ORG8 补齐组织账号角色边界

docs/管理员手册.md

@@ -26,6 +26,40 @@
    - 按需开启：`announcements_v1`、`presence_board_v1`、`weekly_report_v1`、`employee_lifecycle_v1`、`todo_board_v1`、`global_search_v1`。
    - 建议保留备用：`payment_batch_v1`、`cutover_console_v1`、预算/AP/ERP/AI 相关开关。
 
+### 3.1 ORG8 组织账号与角色边界
+
+OA 员工账号是权限、审批、业务数据和审计的主事实源；企业微信身份只作为入口、免登和通知辅助。管理员维护组织账号时，先保证员工主数据完整，再配置角色和企业微信绑定。
+
+最小必填主数据：
+
+| 字段 | 用途 | 缺失影响 |
+| --- | --- | --- |
+| 员工账号和姓名 | 登录、单据归属、审批历史 | 无法稳定追踪责任人 |
+| 部门和职位 | 列表筛选、组织展示、权限判断辅助 | 财务和负责人扫读困难 |
+| 直属主管 | 请假、报销、采购等默认审批链 | 审批人缺失或错误回退 |
+| 账号状态 | 登录、入口、通知和禁用拦截 | 离职或停用人员可能继续进入 |
+| 业务角色 | 审批、财务、HR、系统管理入口 | 权限过大或无法处理待办 |
+| 企业微信绑定状态 | 手机入口、免登、通知 deeplink | 企业微信入口无法直达或误绑定 |
+
+角色边界：
+
+| 角色 | 允许能力 | 禁止或高风险边界 |
+| --- | --- | --- |
+| 员工 | 提交本人报销、请假、采购，查看本人单据和通知 | 不得查看他人财务、审批待办或管理员入口 |
+| 直属主管 / 审批人 | 处理分配给自己的审批待办，查看必要的单据摘要和历史 | 不得处理未分配给自己或超出角色范围的待办 |
+| 财务 | 复核报销、处理付款标记、导出授权范围内财务数据 | 不默认拥有系统管理权限，不处理非财务系统配置 |
+| 管理员 / HR | 维护员工、部门、角色、主管链、入口配置和绑定异常 | `admin` 不等于业务审批人，不应用管理员账号代批 |
+| 系统管理员 | 维护部署、备份、配置、日志和企业微信应用密钥 | 不处理业务审批，不查看无关财务明细 |
+| 老板 / 负责人 | 处理高风险或大额审批，查看授权管理摘要 | 不替代员工直属主管的日常组织配置 |
+
+不兼容或需确认的组合：
+
+- `admin-only` 账号不得作为报销、请假或采购的业务审批人。
+- 财务和系统管理员混授属于高风险组合，必须有人工确认、审计记录和可回退路径。
+- 直属主管、审批人或财务账号停用后，不得继续接收新待办；历史审批记录保留只读。
+- 新员工账号创建必须同时确认直属主管、初始角色、账号状态和企业微信绑定路径。
+- 离职或停用账号必须阻断登录、企业微信入口和新业务处理，但不得删除历史单据和审批记录。
+
 ## 4. 人员生命周期管理
 ### 4.1 入职
 1. 在 `人员管理` 创建员工账号。