后台权限与角色设计

后台权限设计的目标，是让危险操作不可能靠通配符顺手拿到。

权限码粒度

退款、发放积分、改角色、改设置这类动作要有独立权限码。种子数据里显式列出，禁止通过 admin.payments.* 之类的通配符覆盖。

天花板校验

分配角色或权限时，必须拒绝超出调用者自身权限的授予。core 侧的 beyondCeiling 就是这道闸门。

审计与可追溯

每个写操作记录 actor、目标与结果。订单的金额状态只能由支付流程改变，后台编辑接口不得触碰 paid、refunding、refunded。

一个判断标准

设计新接口时问：这个权限如果被误授予，最坏会造成多少钱的损失？超过阈值就必须独立授权，而不是继承。