# identity-access 当前行为

## Purpose

描述后台身份令牌与数据范围拒绝的当前行为。

## Requirements

### Requirement: 令牌生命周期

系统 SHALL 为登录成功的后台账号签发访问令牌，并支持刷新、登出和当前账号查询。

#### Scenario: 令牌生命周期

- **GIVEN** 账号凭证有效
- **WHEN** 调用登录接口
- **THEN** 返回访问凭证；后续认证接口按该凭证识别账号

### Requirement: 数据范围拒绝

系统 SHALL 对无权管理的店铺、企业或资源返回统一拒绝结果，不区分资源不存在与越权。

#### Scenario: 数据范围拒绝

- **GIVEN** 操作者不在目标资源的数据范围内
- **WHEN** 请求读取或修改目标资源
- **THEN** 请求被拒绝且响应不泄露目标是否存在

## 可达操作索引

本节只用于入口导航，不是行为 Requirement；业务义务以上述 Requirements 为准。

### 统一认证

`POST /api/auth/login`（统一登录（后台+H5））；`POST /api/auth/logout`（统一登出）；`GET /api/auth/me`（获取用户信息）；`PUT /api/auth/password`（修改密码）；`POST /api/auth/refresh-token`（刷新 Token）。

### 账号管理

`GET /api/admin/accounts`（查询账号列表）；`POST /api/admin/accounts`（创建账号）；`DELETE /api/admin/accounts/{account_id}/roles/{role_id}`（移除账号角色）；`DELETE /api/admin/accounts/{id}`（删除账号）；`GET /api/admin/accounts/{id}`（获取账号详情）；`PUT /api/admin/accounts/{id}`（更新账号）；`PUT /api/admin/accounts/{id}/password`（修改账号密码）；`GET /api/admin/accounts/{id}/roles`（获取账号角色）；`POST /api/admin/accounts/{id}/roles`（为账号分配角色）；`PUT /api/admin/accounts/{id}/status`（修改账号状态）；`PUT /api/admin/accounts/{id}/wecom-binding`（绑定账号企业微信成员）。

### 角色

`GET /api/admin/roles`（角色列表）；`POST /api/admin/roles`（创建角色）；`DELETE /api/admin/roles/{id}`（删除角色）；`GET /api/admin/roles/{id}`（获取角色详情）；`PUT /api/admin/roles/{id}`（更新角色）；`PUT /api/admin/roles/{id}/default-credit`（更新客户角色的新建代理默认信用模板）；`GET /api/admin/roles/{id}/permissions`（获取角色权限）；`POST /api/admin/roles/{id}/permissions`（分配权限）；`PUT /api/admin/roles/{id}/status`（更新角色状态）；`DELETE /api/admin/roles/{role_id}/permissions`（批量移除权限）；`DELETE /api/admin/roles/{role_id}/permissions/{perm_id}`（移除权限）。

### 权限

`GET /api/admin/permissions`（权限列表）；`POST /api/admin/permissions`（创建权限）；`DELETE /api/admin/permissions/{id}`（删除权限）；`GET /api/admin/permissions/{id}`（获取权限详情）；`PUT /api/admin/permissions/{id}`（更新权限）；`GET /api/admin/permissions/tree`（获取权限树）。

### 店铺管理

`GET /api/admin/shops`（店铺列表）；`POST /api/admin/shops`（创建店铺）；`DELETE /api/admin/shops/{id}`（删除店铺）；`GET /api/admin/shops/{id}`（查询店铺详情）；`PUT /api/admin/shops/{id}`（更新店铺）；`GET /api/admin/shops/{shop_id}/roles`（查询店铺默认角色）；`POST /api/admin/shops/{shop_id}/roles`（分配店铺默认角色）；`DELETE /api/admin/shops/{shop_id}/roles/{role_id}`（删除店铺默认角色）；`GET /api/admin/shops/business-owner-candidates`（查询店铺业务员候选）；`GET /api/admin/shops/cascade`（店铺联级查询）。

### 企业客户管理

`GET /api/admin/enterprises`（查询企业客户列表）；`POST /api/admin/enterprises`（新增企业客户）；`PUT /api/admin/enterprises/{id}`（编辑企业信息）；`PUT /api/admin/enterprises/{id}/password`（修改企业账号密码）；`PUT /api/admin/enterprises/{id}/status`（启用/禁用企业）。

### 授权记录管理

`GET /api/admin/authorizations`（授权记录列表）；`GET /api/admin/authorizations/{id}`（授权记录详情）；`PUT /api/admin/authorizations/{id}/remark`（修改授权备注）。