首次登录与初始化

首次上线的目标不是只创建一个管理员账号，而是建立“租户 → 组织 → 用户 → 角色 → 菜单/按钮”的最小权限闭环。

初始化顺序

1. 确认平台超级管理员

平台超级管理员负责跨租户控制面：租户、全局菜单、网站发布、AI 配置和受控 AI 写入。不要把这一身份作为普通业务管理员使用，也不要通过可编辑的用户 metadata 判断超级权限。

2. 创建租户与组织

在“系统管理 → 租户管理”建立租户，再在“组织管理”创建部门或业务组织。业务记录应落在当前租户范围内；组织用于进一步约束人员归属与可见范围。

3. 建立角色

建议先建职责角色，而不是按人员命名，例如：

• 运输调度员
• 车辆管理员
• 财务审核员
• 人力资源专员
• 安全生产管理员
• 只读审计员

每个角色只授予需要的页面和按钮。平台超级权限不是普通角色的替代品。

4. 创建或邀请用户

给用户设置租户、组织和状态，再分配一个或多个角色。若修改了角色或授权，用户可能需要刷新会话后才能获得最新能力。

5. 验证权限

使用普通测试账号登录，并验证：

1. 只看到已授权应用和菜单。
2. 页面中的新增、编辑、审核、导出、AI 分析等按钮符合角色授权。
3. 直接输入未授权路由会被拒绝。
4. 即使绕过界面发请求，数据库或 Edge Function 仍会拒绝越权写入。
5. 跨租户记录不会出现在列表、详情、选项或 AI 上下文中。

推荐最小上线角色

角色	建议权限
平台运维	平台配置与观测，不默认拥有业务审批权
租户管理员	本租户用户、组织和角色维护，不拥有跨租户控制面
业务操作员	指定业务页面与必要操作按钮
业务审核员	待办、详情、审核/驳回，避免同时拥有不必要的制单权限
审计只读	报表、日志、轨迹与只读 AI 分析

不要只验证菜单

菜单隐藏只是界面能力。所有业务修改和流程状态变化必须有服务端权限与租户条件，RLS 是数据读取和常规写入的最后边界。