当客户从 5 个场站扩展到 50 个，权限就会变成刚需：区域经理不该看到其他区域的价格，站长不该有退款权限，财务只需要看账单。
三级模型
- 总部：全部数据，可配置价格策略、审批退款、管理下级账号；
- 区域：仅本区域场站与订单，可查看报表、处理工单，不能改价格；
- 站长：仅本站设备与订单，可处理现场事务，不能查看收入明细。
数据范围与操作权限分离
这是本次重构的核心。一个人能看到哪些数据（数据范围）和能做什么操作（功能权限）是两件独立的事。分开配置后，「能看不能改」这类需求才表达得出来。
审计
所有敏感操作（改价、退款、导出、删除）都会记录操作人、时间、IP 与变更前后值，支持按人按时间检索。这一条在等保测评时是必查项。