用户与权限¶
权限按模块划分，并在服务端强制执行。导航会把你用不了的入口藏起来，但那只是体验——接口无论如何都会拒绝。
每个模块三个级别¶
每个模块对每个角色是三选一：
| 级别 | 含义 |
|---|---|
| none | 不可见。导航项不渲染，接口一律 403。 |
| read | 能看、能查、能导出。所有写操作拒绝。 |
| write | 完整权限。 |
父子回退¶
子模块没有显式授权行时，继承父模块的级别。这正是"升级不会弄坏你的角色"的原因：新增子页面时，老角色继承父级级别，而不是因为缺一行授权就突然看不见原本能看的东西。
内置角色¶
| 角色 | 定位 |
|---|---|
| 管理员 | 完整权限，含用户与角色管理 |
| 运维用户 | 日常运维：备份、配置下发、堡垒机登录 |
| 只读用户 | 仪表盘、可视化、告警、DCIM、IPAM——只读 |
| 访客 | 仅仪表盘。LDAP / SSO 首次登录自动建号时落在这一档。 |
内置角色的代码不可改名、不可删除，因为代码里还有针对它们的判断。但权限可以改；改过之后以你的版本为准，后续升级不会还原它。
自定义角色¶
可以建任意多个角色，逐模块显式设定级别。常见做法是一个区域运维角色：设备与备份可写，限定到指定设备分组，系统设置不可见。
用户¶
「系统设置 → 用户管理」：用户名、显示名、邮箱、手机、来源、角色、状态与创建时间。用户可以本地创建，也可以由 LDAP / OIDC 带进来。「批量编辑」可以对选中的一批改角色或状态。
自助与管理是分开的：任何已登录用户都能改自己的密码、管自己的双因子设备，不需要用户模块的权限。
认证¶
「系统设置 → 认证设置」：
- LDAP——绑定你的目录服务；首次登录自动建本地用户记录，角色取默认值。
- 企业 SSO（OIDC）——单点登录，按钮文案可配。
- 双因子（TOTP）——标准认证器 App，带恢复码。
挡住暴力破解¶
三样东西互补，建议一起开，都在「系统设置 → 通用设置 → 安全策略」：
- 登录失败锁定——到点谁也别想登。最直接，但会误伤：别人可以拿它锁死你的账号， 所以阈值别设太低。
- 登录人机验证（滑块拼图）——出厂关闭。开启后可选「失败 N 次后」（默认 2 次） 或每次登录都要（次数填 0）。验证在校验密码之前：验不过就连试密码的机会都没有， 这才是它防爆破的地方；而且它不锁任何人，真人拖一下就能继续。
- 密码复杂度——最少字符数与字符种类要求。
它挡得住的是批量、无人值守的撞库脚本，把每次尝试的成本从毫秒抬到几百毫秒， 让十万次字典跑不动。它挡不住会写图像处理的定向攻击——那要靠双因子和 Passkey。 验证图在你自己的服务器上生成，不连任何第三方服务。
审计¶
写操作会审计：谁、何时、哪个对象、来自哪个 IP、哪种认证来源。被拒绝的写也会记录——一个反复撞上权限错误的账号，无论如何都值得聊一聊。