# 2026-08-10 M08-C 管理员/员工权限迁移

- 版本：`2026081001_m08c_staff_management_access`
- up：为所有有效 STAFF 角色补 `profile.read` 和 `store.operation.read`，不授予写权限。
- down：只删除 STAFF 的这两项角色权限，不删除角色、用户或门店授权。
- verify：允许空 STAFF 角色集合；存在 STAFF 角色时要求每个有效角色同时拥有两项权限。
- WSL MySQL 8.4.10 已完成 `up → verify → down → up → verify`。

## 订单处置与代下单增量

- 无 schema 迁移。
- 代下单前查询 `qipai_users.tenant_id/status`，只接受当前租户的 `ACTIVE` 用户，避免全局用户外键造成跨租户关联。
- 管理员代下单的 `qipai_order_status_history.actor_id/source` 记录实际管理员与 `ADMIN`；`metadata.targetUserId` 记录目标会员。
- 同事务新增 `qipai_audit_logs.action = ORDER_CREATED_ON_BEHALF`，metadata 记录目标会员、门店和房间。
- WSL MySQL 8.4.10 已验证管理员归因、审计落库、跨租户目标会员拒绝，以及完整 `up → verify → down → up → verify` 往返。