提交管理员操作一切

Modules/Store.Users/README.md

@@ -22,21 +22,21 @@ HTTP 方法约定：控制器通过 [DefaultHttpPost] 启用默认 POST。所有
 | 方法 | 路径 | 访问与行为 |
 | --- | --- | --- |
 | POST | /user/GetUser?userName=... | 本人、直属主账号或管理员；省略用户名读取本人 |
-| POST | /user/GetAllUser | 管理员分页查询，支持 Keyword、GroupId |
-| POST | /user/GetSubUser | 当前主账号直属子账号分页查询 |
+| POST | /user/GetAllUser | 管理员查询全部；普通主账号查询本人及直属子账号 |
+| POST | /user/GetSubUser | 管理员查询所有子账号，可用 ParentUserName 按父账号筛选；普通主账号仅能查询自己的子账号 |
 | POST | /user/AddUser | 管理员新增主账号 |
 | POST | /user/AddSubUser | 当前主账号新增直属子账号 |
-| POST | /user/UpdateUser | 管理员修改资料 |
-| POST | /user/UpdateSubUser | 主账号修改直属子账号 |
+| POST | /user/UpdateUser | 管理员修改任意账户；普通主账号修改本人及直属子账号 |
+| POST | /user/UpdateSubUser | 管理员修改任意子账号；普通主账号修改直属子账号 |
 | POST | /user/DelUser?id=... | 管理员或直属主账号删除空账户 |
-| POST | /user/ChangePassword | 本人校验旧密码后修改，会话立即失效 |
+| POST | /user/ChangePassword | 本人改密校验原密码；管理员/主账号可重置授权账户密码 |
 | POST | /user/GetUserPoints | 授权账户积分流水，支持起止时间、操作类型、店铺过滤 |
 | POST | /user/GetUserBalance | 授权账户余额流水，支持起止时间、支付类型、订单过滤 |
-| POST | /user/UpdateUserPoints | 管理员充值；本人向其他账户转移自己的积分 |
+| POST | /user/UpdateUserPoints | 管理员充值；本人向管理范围内账户转移自己的积分 |
 | POST | /user/UpdateUserBalance | 管理员充值或消费调整 |
-| POST | /user/AddUserTopUpMsg | 本人提交充值备注 |
-| POST | /user/UpdateUserTopUpMsg | 管理员填写处理结果，不自动充值 |
-| POST | /user/GetUserTopUpMsg | 本人备注或管理员查看全部 |
+| POST | /user/AddUserTopUpMsg | 本人或授权账户提交充值备注 |
+| POST | /user/UpdateUserTopUpMsg | 管理员或主账号处理授权账户的备注，不自动充值 |
+| POST | /user/GetUserTopUpMsg | 管理员查看全部；主账号查看本人及直属子账号备注 |
 | POST | /user/UpdateTopUpQrcode | 管理员维护代理二维码 |
 | POST | /user/GetTopUpQrcode?agentCode=... | 登录用户读取代理二维码 |
 | POST | /user/ShopRenew | 保留原有 MediatR 事务续费用例 |
@@ -85,3 +85,15 @@ RequestValidator.Validate(request);
 权限、账户归属、数据库记录是否存在、余额是否足够、重复请求等业务规则继续在服务或业务管道中判断。不合法的参数抛出 ValidationException，权限和业务错误沿用现有业务异常；现有过滤器将它们转换为 HTTP 200 和对应业务码。
 
 公共 RequestValidator 位于 `Core/MAX.Framework/Validation/RequestValidator.cs`。它仍支持标准 DataAnnotations 及 IValidatableObject，其他模块可以直接复用；User 模块“DTO 仅非空”的约定不改变公共校验器能力。该工具不递归验证嵌套对象。
+
+## 账户管理权限
+
+统一使用 Services/UserAccessPolicy：管理员可管理任意账户，普通主账号可管理本人及直属子账号；普通子账号保留本人查询和本人改密能力，不能管理其他账户。UpdateUser 支持此统一范围，UpdateSubUser 同时要求目标确实是子账号。管理员创建子账号时可传 ParentUserName 指定任意主账号；普通主账号只能指定自己。
+
+ChangePassword 可传 UserName 指定目标，省略表示本人。本人改密仍须正确 OldPassword；管理员或主账号重置管理范围内的其他账户时仅需 NewPassword。成功后注销目标账户的会话。
+
+已确认的财务权限保持：直接充值积分/余额、余额扣款、计费配置和公共代理二维码维护仅管理员可用；普通主账号不能提升管理员级别。积分转移仅从当前登录账户转出，普通主账号的转入目标限直属子账号。充值备注的提交/处理不代表资金到账。
+
+ShopRenew 可传 UserName 指定授权账户，以店铺所属账户积分扣款，流水记录实际 OperatorName。账户删除仍禁止删除当前登录账户，且要求无积分、无余额、无子账号和无店铺关联。
+
+管理员角色账户即使存在父账号关系，也不能由普通主账号修改或重置密码，避免通过子账号关系获得管理员身份。