权限矩阵（角色 × 模块）
强制口径以后端 RolesGuard（@Roles 装饰器）为准；本页为交付验收与运维排障的只读参照。
通用约定：所有接口须登录（JWT）；学生角色仅能访问学生自助接口且只能操作本人数据；首次登录/密码重置后强制改密（未改密仅可访问改密接口）。
| 功能模块 | 超级管理员 | 教务 | 年级组长 | 班主任 | 任课教师 | 教务审核 | 财务 | 学生 |
|---|---|---|---|---|---|---|---|---|
功能模块 | 超级管理员 | 教务 | 年级组长 | 班主任 | 任课教师 | 教务审核 | 财务 | 学生 |
组织架构 / 班级 / 教室 学年学期、年级班级、教室与功能室台账 | 读写 | 读写 | 只读 | 只读 | 只读 | 只读 | 只读 | — |
教师人事 / 任课安排 教师档案、任课分配与一致性校验 | 读写 | 读写 | 只读 | 只读 | 只读 | 只读 | 只读 | — |
学生学籍 学籍增改、班级调整、名册导入导出 | 读写 | 读写 | 读写 | 只读 | 只读 | 只读 | — | — |
分班 / 选科 / 分车（学段流程） 新生分班、选科确认与分科分班、出行分车 | 读写 | 读写 | 只读 | 只读 | — | 只读 | — | — |
学生自助（选科填报 / 我的主页） 本人选科填报、课表、成绩、操行分（仅本人数据） | 只读 | — | — | — | — | — | — | 读写 |
走班教学班 从选科批次生成、调班、任课教师/教室指定、名册导出 | 读写 | 读写 | 读写 | 只读 | 只读 | 只读 | — | — |
届别升学（学年切换） 升学方案预览、批量执行（毕业归档+班级上移）、执行历史 | 读写 | 读写 | — | — | — | — | — | — |
自动排课 / 课表管理 排课生成、微调修复、教室安排、发布 | 读写 | 读写 | 只读 | 只读 | 只读 | 只读 | — | 只读 |
调课 / 代课 / 请假 / 考勤 调代课登记审批、请假审批、考勤记录 | 读写 | 读写 | 读写 | 读写 | 只读 | 审批 | — | — |
学生处分（德育） 登记（W）、审批生效（A）、解除/撤销、证据附件、操行分 | 读写 | 读写 | 读写 | 读写 | — | 审批 | — | — |
考试成绩 考试管理、成绩录入/矩阵导入、发布（发布后学生可见） | 读写 | 读写 | 只读 | 只读 | 读写 | 只读 | — | 只读 |
毕业档案 / AI 结语 三年档案、结语草稿生成；审核发布限教务/年级组长 | 审批 | 审批 | 审批 | 只读 | 只读 | 只读 | — | — |
课时核算（TeachPay） 课时规则、批次核算、审批链、导出中心 | 读写 | 读写 | 只读 | — | 只读 | 审批 | 审批 | — |
通知公告 发布（W）与查看（R） | 读写 | 读写 | 读写 | 只读 | 只读 | 只读 | 只读 | 只读 |
用户权限 / 系统设置 账号管理（含学籍绑定、重置密码强制改密）、系统参数 | 读写 | — | — | — | — | — | — | — |
审计日志 关键操作留痕（升学执行/审批/发布等） | 只读 | 只读 | — | — | — | — | — | — |
图例：读写可新增/修改；审批可审批/发布/解除等状态动作；只读仅查看；— 表示后端拒绝访问（403）。