32 KiB
后台管理系统需求文档
参考管理端功能拆解、C 端映射与安全重构方案
目标：基于参考管理系统的实际页面、按钮、链接与弹窗，形成可直接用于产品设计、前后端开发、测试和运维的后台需求基线；保留业务闭环，不复制品牌资产和真实用户数据。
主要读者：产品负责人、交互设计师、前端开发、后端开发、测试、运营、客服、财务、风控、安全与审计。
观察日期：2026-10-07 参考环境：Web 管理后台 文档版本：V1.0
结论： 后台覆盖门户配置、会员、交易、商品、任务、RBAC 与个人设置七大域。复刻时应优先修复敏感数据裸露、资金操作单人审批、配置无校验、接口错误和审计不足。
目录
- 1 文档范围与走查方法
- 2 产品定位与后台角色
- 3 C 端与后台功能映射
- 4 首页数据看板
- 5 门户、内容与 Banner 管理
- 6 会员管理
- 7 会员等级与任务大厅
- 8 交易管理
- 9 商品与任务管理
- 10 管理员、角色与权限
- 11 数据字典与个人设置
- 12 状态机与数据模型
- 13 推荐接口清单
- 14 安全、隐私与审计
- 15 非功能需求
- 16 端到端验收场景
- 17 研发里程碑
- 18 原型图说明
- 19 待确认事项
1 文档范围与走查方法
本需求对后台 21 个可见页面入口进行了逐项走查，并打开新增、编辑、查看、分配、审核等代表性弹窗。为了保护现网数据，没有执行最终确定、上传、删除、禁用、设为假人、审核通过或驳回、资金调整、奖励金发放、权限保存和改密。
1.1 已覆盖入口
| 一级模块 | 页面 | 主要控件 |
|---|---|---|
| 主页 | 首页、网站设置、文本管理、Banner 设置、手工商城 | 指标卡、保存、上传、编辑、删除、发布 |
| 会员管理 | 会员列表、会员等级、任务大厅 | 搜索、新增、编辑、团队、账变、奖励金、等级配置 |
| 交易管理 | 订单、充值、提现、客服 | 筛选、自动刷新、匹配、凭证、审核、客服嵌入 |
| 商城管理 | 商品列表 | 搜索、新增、编辑、推荐、删除、富文本 |
| 任务管理 | 任务列表、会员任务审核 | 任务新增、编辑、通过、驳回 |
| 管理员 | 后台管理员、角色、权限、数据字典 | 账号、角色、权限树、配置项 |
| 设置 | 基本资料、修改密码 | 资料修改、密码修改 |
1.2 操作边界
- 只验证页面、按钮和弹窗是否可达，未提交会改变会员、资金、权限或配置的数据。
- 删除、禁用、设为假人、审核、账变、奖励金、改密等高风险入口仅记录需求，不执行最终动作。
- 原型图基于实测界面脱敏重绘，手机号、姓名、IP、银行卡、订单号均为掩码或虚构值。
- 接口名称以推荐实现命名；现网真实接口需在开发前通过代码或服务端文档二次核验。
1.3 证据等级
| 等级 | 定义 | 使用方式 |
|---|---|---|
| A 实测 | 页面、按钮、表格或弹窗在走查中直接可见 | 可作为复刻基线 |
| B 推导 | 由相邻页面、C 端闭环或字段关系推导 | 开发前需确认 |
| C 建议 | 为安全、合规、可用性提出的重构要求 | 作为新系统强制规范 |
2 产品定位与后台角色
该后台用于运营一个移动端会员任务与账户平台。C 端会员进行注册、余额储入、领取订单、任务提交、佣金结算、提现和客服咨询；后台完成内容配置、会员治理、商品与任务配置、交易审核、财务对账和权限审计。
| 角色 | 职责 | 允许范围 | 禁止范围 |
|---|---|---|---|
| 超级管理员 | 系统与权限治理 | 账号、角色、权限、系统参数 | 不得绕过双人复核直接放款 |
| 运营 | 内容、Banner、商品、任务、等级 | 草稿、预览、发布申请 | 不得查看完整银行卡或改余额 |
| 客服 | 会员与订单查询、工单 | 脱敏资料、只读订单、备注 | 不得资金审核或导出全量用户 |
| 财务 | 充值、提现、对账 | 凭证、审核、支付状态 | 不得修改会员身份与权限 |
| 风控 | 异常行为与冻结复核 | 设备、IP 风险、冻结申请 | 不得单人完成冻结与解冻 |
| 审计 | 只读复核与导出 | 日志、审批链、差异报表 | 不得修改业务数据 |
2.1 信息架构
采用“一级业务域 + 二级页面 + 多标签工作区”的桌面后台结构。一级菜单固定在左侧，二级页面以标签页打开；标签支持关闭、刷新和回到首页。任何页面刷新后，应保持当前路由但不保留未提交敏感表单。
2.2 全局交互规范
- 列表页统一：查询区、主操作区、表格、固定操作列、分页；查询条件可重置并写入 URL。
- 弹窗统一：标题、关闭、表单、确定、取消；确定前做前后端双重校验，提交后禁止重复点击。
- 危险操作使用红色按钮并要求对象、影响、理由和二次确认；资金与权限操作额外要求复核人。
- 敏感值默认脱敏；查看完整值需单独权限、再次确认、限定时长，并记录操作者、目标、时间和用途。
- 加载超过 2 秒展示骨架与取消，接口失败展示错误码、重试和上报入口，不长期停留空白页。
- 操作成功后提供结果提示与审计编号；失败不得只显示“error”。
3 C 端与后台功能映射
后台不是独立工具，其配置和操作必须能解释 C 端每个入口、状态和金额。以下矩阵为联调的单一事实源。
| C 端能力 | 后台来源 | 后台操作 | 一致性要求 |
|---|---|---|---|
| 首页横幅与快捷入口 | Banner、网站设置 | 排序、有效期、跳转、开关 | 发布后按版本生效 |
| 平台简介/规则/公告 | 文本管理 | 富文本编辑、预览、发布 | CSP 与 HTML 白名单 |
| 手工商城 | 手工商城 | 商品增删改、图片、价格、时间 | C 端仅显示已上架 |
| 会员等级 | 会员等级 | 门槛、赠送、次数、佣金、提现次数 | 计算与展示同源 |
| 领取中心 | 网站设置、商品、订单 | 营业时间、最低余额、匹配规则 | 服务端状态机判定 |
| 订单记录 | 订单列表 | 查询、冻结、匹配、异常处理 | 业务单号和台账可追溯 |
| 储入 | 充值管理 | 凭证、审核、入账、驳回 | 幂等入账与自动对账 |
| 取出 | 提现管理、银行卡信息 | 收款资料、审核、通道、结果 | 金额、手续费、到账同源 |
| 任务大厅与任务 | 任务大厅、任务列表、会员任务审核 | 配置、分发、审核 | 等级、佣金、状态一致 |
| 个人资料 | 会员列表 | 资料、团队、状态、风控 | 敏感字段默认脱敏 |
| 通知与弹幕 | 文本、会员弹幕 | 发布、定向、撤回、查看记录 | 真实性标识和审计 |
| 客服 | 客服管理 | 客服入口、工作时间、会话映射 | 失败有备用通道 |
图 1 C 端与后台业务闭环（脱敏重绘原型）
4 首页数据看板
首页展示用户、商品、订单、充值、提现、佣金、利息宝转入、下级返佣与账户余额等汇总卡，并展示微信、支付宝和银行卡渠道统计。新系统应把口径、时间区间、刷新时间和数据延迟显式化。
| 指标 | 定义 | 筛选维度 | 权限 |
|---|---|---|---|
| 用户总量/新增 | 去重有效会员数 | 今日、昨日、自定义日期 | 运营只读 |
| 充值用户 | 至少一笔成功充值的会员数 | 时间、渠道、等级 | 财务/运营 |
| 订单量与金额 | 按订单状态和完成时间统计 | 状态、商品、等级 | 运营/财务 |
| 充值/提现 | 成功与待处理金额分开 | 渠道、状态、时间 | 财务 |
| 佣金/返佣 | 任务佣金与层级返佣分开 | 类型、等级、时间 | 财务/审计 |
| 账户余额 | 钱包可用与冻结余额总和 | 币种、账户状态 | 财务/审计 |
- 卡片可点击进入对应明细页，并继承时间筛选；无权限用户只能看到隐藏金额或不可点击状态。
- 页面顶部展示“数据截至时间”和刷新按钮；自动刷新不得造成重复请求风暴。
图 2 后台首页看板（按实测界面脱敏重绘）
5 门户、内容与 Banner 管理
5.1 网站设置
| 配置组 | 字段 | 要求 |
|---|---|---|
| 品牌 | Logo、站点名称、隐私政策 URL | Logo 可预览；URL 仅允许 HTTPS 白名单 |
| 交易 | 交易余额、等待时间、每日次数、奖励次数 | 数值范围校验；修改按版本发布 |
| 佣金 | 0–5 级普通佣金 | Decimal；总和上限；法务开关 |
| 时间 | 提现、充值、交易、签到时间 | 支持多区间；禁止结束早于开始 |
| 门槛 | 最低充值、自动派单时间与金额 | 最小值≤最大值；币种与单位清晰 |
| 开关 | 免费领取、手工商城、首页任务、签到、商品模式、验证码 | 每项写明 C 端影响和降级文案 |
实测问题：交易等待时间输入框提示语与字段无关；签到时段出现“18:00–17:00”反向区间。新系统保存前必须做语义校验，并支持草稿、预览、发布、回滚。
5.2 文本管理
内容类型包括平台公告、平台简介、订单规则、代理合作、FAQ、指南、利息宝规则、首页滚动、订单提示、活动、首页弹窗和公司资质。编辑器需支持标题、正文、图片、链接、预览、定时发布、版本和回滚。
- 富文本使用标签/属性白名单；禁止 script、事件属性、javascript: URL 和未知 iframe。
- 现网编辑弹窗标题错误显示“编辑商品”，新系统标题必须与内容类型一致。
5.3 Banner 设置
支持多张首页 Banner 的上传、删除、排序、上下线、有效期、跳转类型与替代文本。上传前预览并校验尺寸、比例、MIME、文件大小和恶意内容。删除需要二次确认，已发布素材优先下线而非物理删除。
5.4 手工商城
列表字段为图片、名称、价格、时间与操作；新增/编辑字段为产品名称、价格、图片与展示时间。现网新增弹窗曾长时间停留 loading，需增加 8 秒超时、重试和错误上报。
6 会员管理
6.1 会员列表
查询条件：用户名、手机号、注册时间、状态、自动派单。列表字段：ID、账号、绑卡姓名、用户名、账户余额、冻结金额、上级用户、邀请码、注册时间、最后登录 IP、IP 属地、自动抢单、状态、当日交易次数。
| 操作 | 页面或弹窗 | 关键校验 | 审计要求 |
|---|---|---|---|
| 添加/编辑 | 会员表单 | 手机号唯一；余额不可由普通编辑修改；密码强度 | 记录前后值，密码永不回显 |
| 银行卡信息 | 开户人、银行、电话、卡号、数字钱包、云闪付、收款码 | 必要性与格式；图片扫描 | 完整值查看留痕 |
| 地址信息 | 姓名、电话、地区、详细地址 | 最小化收集；字段脱敏 | 查看和修改留痕 |
| 查看团队 | 当前用户、层级、人数、余额、佣金、充值、提现 | 仅展示授权层级 | 导出单独授权 |
| 账变 | 余额调整或流水 | 金额、类型、理由、业务单号 | 双人复核；不可直接改余额 |
| 弹幕 | 会员定向或模拟内容 | 标注来源、有效期、撤回 | 禁止伪造真实用户行为 |
| 奖励金 | 奖励金额与原因 | 非负、额度、幂等 | 财务复核与凭证 |
| 设为假人 | 账号标记 | 不得混入真实统计或 C 端荣誉榜 | 仅测试环境默认启用 |
| 禁用 | 账号状态 | 理由、范围、时长、申诉 | 双人复核；通知用户 |
| 删除 | 软删除/注销 | 检查资金与订单；不可物理删台账 | 高风险二次确认 |
P0 风险： 现网页面默认显示完整手机号、姓名与登录 IP。新系统必须默认脱敏，按角色和目的临时授权查看；列表、导出、日志、埋点和截图统一执行同一脱敏规则。
图 3 会员列表脱敏原型
图 4 添加会员弹窗原型
7 会员等级与任务大厅
7.1 会员等级
列表字段为等级名称、升级价格、赠送金额、接单次数、佣金比例和提现次数；支持编辑与受控删除。等级配置直接影响 C 端充值、领取和提现，必须使用版本化发布，不得修改后立即影响进行中的订单。
| 规则 | 校验 | 生效策略 |
|---|---|---|
| 升级价格/赠送金额 | ≥0；货币精度；赠送比例上限 | 新会员或下个结算周期 |
| 接单次数 | 整数；按日重置时区明确 | 发布后次日生效 |
| 佣金比例 | 0–1 Decimal；展示百分比 | 锁定到任务订单快照 |
| 提现次数 | 整数；与提现时间窗一致 | 发布后次日生效 |
| 删除等级 | 无有效会员与在途订单方可删除 | 优先停用并保留历史 |
7.2 任务大厅
页面字段为名称、图标、比例、简介、创建时间；新增弹窗还包含会员等级。实测列表接口直接显示“数据接口请求异常：error”，但新增弹窗可打开。新系统需要标准错误码、可重试状态、traceId 与空数据区分。
- 任务大厅条目必须绑定可用会员等级、比例单位、图标和 C 端跳转。
- 停用条目不影响已领取任务；删除仅允许无历史引用的数据，建议统一软删除。
8 交易管理
8.1 订单列表
查询条件：订单号、手机号、用户名、日期；支持开启/关闭自动刷新。列表含绑卡姓名、用户名、自动派单、余额、手机号、当日交易次数、商品、数量、金额、佣金、下单时间、解冻时间、消息、订单状态、冻结状态和操作。
| 状态 | 后台操作 | 约束 |
|---|---|---|
| 匹配中 | 查看进度、取消匹配 | 同一会员仅一笔匹配；需幂等 |
| 待处理 | 查看详情、发送提醒 | 不可手动完成；服务端倒计时 |
| 冻结 | 查看风险、发起解冻复核 | 冻结理由、时长、申诉路径 |
| 已完成 | 查看台账 | 金额、佣金、解冻三方一致 |
| 异常/失败 | 重新匹配、人工处理申请 | 人工改状态必须双人审批 |
8.2 充值管理
顶部展示全部、用户已支付、用户未支付、手动审核、手动驳回等汇总金额。列表字段：订单号、真实姓名、手机号、余额、交易金额、打款凭证、添加时间、支付方式、类型、处理时间、备注和操作。
- 审核通过前校验凭证、订单金额、收款主体、重复订单和账户状态；入账使用幂等键。
- 驳回必须选择标准原因并可补充说明；通知 C 端且允许补充材料。
8.3 提现管理
查询条件：订单号、用户名、日期。列表含用户余额、提现金额、手续费、实际到账、银行名称、开户名称、银行卡号、云闪付、数字钱包、支付宝/微信收款码、发起与处理时间、操作。
P0 风险： 现网直接显示完整银行卡号与多个钱包账号。新系统列表只显示掩码，完整值不进入普通 DOM；付款处理时通过一次性授权查看，超时自动隐藏。
图 5 提现审核脱敏原型
8.4 客服管理
实测页面在加载后保持空白。新系统至少提供客服账号、名称、工作时间、在线状态、跳转 URL、排序、启停和会话映射；第三方 iframe 失败时显示备用联系方式和错误编号。
9 商品与任务管理
9.1 商品列表
查询条件：商品名称、支付类型。列表：ID、图片、名称、商品价格、店铺名称、创建时间、是否推荐、操作。新增/编辑字段：商品名称、分类、店铺名称、商品单价、展示图片、商品详情富文本。
- 推荐/不推荐为明确状态切换，提交前展示影响范围；列表筛选和 C 端排序一致。
- 价格采用 Decimal；图片与富文本执行内容安全校验；商品被订单引用后只允许停用。
9.2 任务列表
按会员类型筛选；字段为任务编号、封面、标题、描述、等级、佣金、创建时间。新增弹窗含标题、描述、封面、等级、佣金和详情。实测新增任务弹窗标题误用“添加大厅任务”，需修正。
9.3 会员任务审核
按手机号、用户名查询；列表含记录 ID、用户名、手机、任务标题、等级、佣金、成功率、状态、备注、创建时间和操作。待审核记录支持通过与驳回。
| 动作 | 前置条件 | 提交内容 | 结果 |
|---|---|---|---|
| 通过 | 任务存在、会员有效、未重复审核 | 审核意见、证据摘要、幂等键 | 发放佣金或进入结算队列 |
| 驳回 | 记录为待审核 | 标准原因、补充说明、是否允许重提 | 通知会员并保留证据 |
| 撤回审核 | 仅异常且未结算 | 变更单与复核人 | 冲正而非修改历史记录 |
10 管理员、角色与权限
10.1 后台管理员
查询条件为登录名、手机、邮箱、角色；列表含姓名、登录名、手机号、邮箱、角色、更新时间和创建时间。新增字段为姓名、用户名、密码、手机、邮箱和多选角色。
- 密码强度至少 12 位，禁止默认密码，首次登录强制改密；密码永不回显。
- 禁用优先于删除；删除账号时保留历史审计主体，不得影响日志可追溯性。
10.2 角色管理
角色列表支持新增、编辑、删除和分配权限。分配弹窗为可展开/折叠的权限树。保存权限属于高风险操作，必须展示新增与移除差异，并由另一名管理员复核。
10.3 权限管理
权限树字段为 ID、名称、权限标识、父级 ID 和操作；支持添加顶级权限、添加子级、编辑、删除、展开/折叠。权限标识唯一且不可随意改名；被角色引用时禁止删除。
图 6 建议 RBAC 权限矩阵
11 数据字典与个人设置
11.1 数据字典
列表字段为 ID、名称、值、创建时间；支持新增、编辑、删除。现网同时存在英文 key、中文名称和缺失名称的条目，并与网站设置重复维护。建议将字典拆为“系统常量”和“业务配置”，以结构化 Schema 管理。
| 字段 | 要求 |
|---|---|
| key | 全局唯一；小写或大写规范统一；发布后不可改名 |
| value | 按 Schema 校验类型、范围、枚举、时间段和单位 |
| description | 必填，说明业务含义、C 端影响和默认值 |
| scope | 环境、租户、渠道、会员等级等作用域 |
| version | 草稿、已发布、已回滚；记录生效时间 |
| secret | 敏感配置不得明文显示，使用密钥管理系统 |
11.2 基本资料
字段为用户名（不可修改）、名称、手机、邮箱，提交按钮为“确认修改”。修改手机或邮箱需验证当前身份和新联系方式；成功后记录审计并通知原联系方式。
11.3 修改密码
字段为当前密码、新密码、确认新密码，现网提示 6–16 个字符。新系统建议至少 12 位并支持密码管理器；最终提交必须由用户本人完成，成功后撤销其他会话并发送安全通知。
12 状态机与数据模型
12.1 核心状态机
| 实体 | 状态 | 允许转换 |
|---|---|---|
| 会员 | 正常、受限、禁用、注销 | 正常→受限/禁用；复核后恢复；注销不可逆 |
| 订单 | 匹配中、待处理、处理中、完成、超时、冻结、取消、失败 | 仅服务端状态机转换 |
| 充值 | 待支付、待审核、成功、驳回、过期、取消 | 成功后只允许冲正 |
| 提现 | 待审核、复核中、处理中、成功、失败、驳回、取消 | 付款前可取消；成功后只允许冲正 |
| 任务审核 | 待审核、通过、驳回、已结算、已冲正 | 结算后不可回到待审核 |
| 内容 | 草稿、待审、已发布、已下线、已归档 | 发布需审批；可回滚版本 |
| 配置 | 草稿、待发布、已发布、已回滚 | 发布后生成不可变版本 |
12.2 核心实体
| 实体 | 关键字段 | 约束 |
|---|---|---|
| AdminUser | id, loginName, roles, status, mfa, lastLogin | 管理员身份与会话 |
| Role/Permission | roleId, permissionKey, scope | 最小权限与数据范围 |
| Member | id, mobileEnc, nameEnc, levelId, status | 敏感字段加密、索引分离 |
| Wallet | available, frozen, currency, version | 只允许台账事务修改 |
| LedgerEntry | bizNo, type, amount, before, after, reversalOf | 不可变、幂等、可冲正 |
| Order | orderNo, memberId, productSnapshot, amount, commission, status | 保存规则快照 |
| Deposit/Withdrawal | bizNo, amount, fee, channel, status, reviewer | 审批链与支付回执 |
| Content/Banner | type, body, version, publishAt, operator | 预览与版本化发布 |
| ConfigVersion | key, value, schema, effectiveAt | 语义校验与回滚 |
| AuditLog | actor, action, target, before, after, reason, traceId | 防篡改与长期留存 |
13 推荐接口清单
接口为新系统建议设计，统一前缀 /admin-api/v1。响应包含 data、code、message、traceId；所有写接口必须携带 Idempotency-Key，资金与权限写操作同时携带审批单号。
| 方法 | 路径 | 用途 | 关键参数 |
|---|---|---|---|
| GET | /dashboard/summary | 首页指标 | timeRange, dimensions |
| GET/PUT | /site-settings | 读取/保存站点配置草稿 | version, settings |
| POST | /site-settings/publish | 发布配置 | draftVersion, reason |
| GET/POST | /contents | 内容列表/新建 | type, status, body |
| POST | /contents/{id}/publish | 内容发布 | publishAt, approver |
| GET/POST | /banners | Banner 查询/新建 | imageAssetId, sort, target |
| GET/POST | /members | 会员查询/新建 | filters, profile |
| GET/PATCH | /members/{id} | 会员详情/编辑 | editableProfile, version |
| POST | /members/{id}/adjustment-requests | 账变申请 | type, amount, reason, evidence |
| POST | /members/{id}/status-requests | 禁用/解禁申请 | targetStatus, reason, duration |
| GET/POST | /member-levels | 等级查询/草稿 | rules, effectiveAt |
| GET/POST | /products | 商品查询/新建 | category, price, assets, detail |
| GET/POST | /tasks | 任务查询/新建 | levelIds, commission, detail |
| GET | /orders | 订单列表 | orderNo, member, status, timeRange |
| POST | /orders/{id}/exception-requests | 异常处理申请 | action, reason |
| GET | /deposits | 充值列表 | status, channel, timeRange |
| POST | /deposits/{id}/review | 充值审核 | decision, reason, version |
| GET | /withdrawals | 提现列表 | status, member, timeRange |
| POST | /withdrawals/{id}/review | 提现审核 | decision, reason, version |
| GET | /withdrawals/{id}/sensitive-view | 一次性查看收款信息 | purpose, challengeToken |
| GET/POST | /task-submissions | 任务审核列表/决定 | decision, reason |
| GET/POST | /admin-users | 管理员查询/新建 | profile, roleIds |
| GET/POST | /roles | 角色查询/新建 | name, scope |
| POST | /roles/{id}/permission-change-requests | 权限变更申请 | add, remove, reason |
| GET | /audit-logs | 审计查询 | actor, action, target, timeRange |
14 安全、隐私与审计
| 风险 | 现网表现 | 新系统要求 | 优先级 |
|---|---|---|---|
| 个人信息裸露 | 完整手机号、姓名、IP | 默认脱敏；临时授权；全链路审计 | P0 |
| 金融信息裸露 | 完整银行卡与钱包账号 | 应用层加密；非 DOM 展示；一次性查看 | P0 |
| 资金单人操作 | 通过/驳回、账变、奖励入口直接可达 | 职责分离、双人复核、额度和幂等 | P0 |
| 伪造行为 | 设为假人、弹幕入口 | 测试数据隔离；禁止混入真实榜单与统计 | P0 |
| 富文本 XSS | 商品与内容支持富文本 | 白名单、CSP、上传扫描、预览隔离 | P0 |
| 配置误发布 | 时间反向、字段提示错误 | Schema 校验、预览、审批、回滚 | P0 |
| 接口不可用 | 任务大厅 error、客服空白 | 错误码、重试、熔断、监控和降级 | P1 |
| 权限漂移 | 多角色与权限树直接保存 | 差异预览、审批、定期复核 | P0 |
14.1 审计日志
- 记录登录、查看敏感信息、导出、查询大范围数据、资金审核、账变、奖励、冻结、配置发布、权限变更和改密。
- 字段至少包含操作者、角色、MFA、目标、动作、前值、后值、理由、审批人、IP、设备、traceId、时间和结果。
- 日志写入独立存储并防篡改；业务管理员无删除权限；按监管与公司政策设定留存期。
- 导出文件水印、加密、限时下载；下载与转发均可追踪。
14.2 登录与会话
- 管理员必须启用 MFA；高风险动作触发再次认证。
- 闲置 15–30 分钟自动锁定；会话撤销、设备列表和异地登录提醒。
- 连续失败触发限流与告警；不得依赖前端验证码作为唯一防护。
- 服务端密码使用 Argon2id 或 bcrypt；任何日志、监控和前端状态都不得保存密码。
15 非功能需求
| 类别 | 目标 | 验收指标 |
|---|---|---|
| 性能 | 常用列表与详情快速可用 | 列表 P95<1s；写操作 P95<1.5s；首屏<2.5s |
| 可用性 | 关键交易全年可用 | 资金审核 99.95%；其余 99.9% |
| 容量 | 支持 10 万会员与百万级订单 | 游标分页、索引与冷热分层 |
| 并发 | 自动刷新与多运营并发安全 | 乐观锁、版本号、冲突提示 |
| 可观测 | 定位每次请求与资金变更 | traceId、指标、日志、告警、审计关联 |
| 兼容 | 主流桌面浏览器 | Chrome/Edge 最近两个稳定版；1366×768 可用 |
| 可访问 | 键盘与读屏可操作 | 焦点、标签、颜色对比、44px 点击区 |
| 灾备 | 配置与交易可恢复 | RPO≤5 分钟，RTO≤30 分钟；季度演练 |
15.1 列表与弹窗通用验收
- 查询条件、分页、排序、刷新后可恢复；空数据、加载中、失败、无权限均有独立状态。
- 横向宽表固定关键列和操作列；敏感字段不因横向滚动或 tooltip 意外暴露。
- 弹窗关闭与取消不产生写操作；表单脏数据关闭前提示；成功后只刷新受影响区域。
- 重复点击、网络重试和浏览器回退不会重复创建、重复审核或重复入账。
- 所有时间显示时区，金额显示币种和精度，百分比与小数含义统一。
16 端到端验收场景
| 编号 | 场景与验收路径 |
|---|---|
| A01 内容发布 | 运营新建公告→预览→提交审核→审批→定时发布→C 端显示相同版本→回滚 |
| A02 会员查询 | 客服按掩码手机号查询→查看脱敏资料→申请查看完整值→审计留痕→超时隐藏 |
| A03 任务闭环 | 配置任务→C 端领取→生成订单→提交→后台审核→佣金入账→台账核对 |
| A04 充值审核 | C 端提交→后台待审核→重复回调→单次入账→通知→对账一致 |
| A05 提现复核 | C 端申请→风控命中→财务初审→复核→通道付款→状态与到账金额一致 |
| A06 禁用会员 | 客服发起→填写理由和时长→风控复核→会员受限→通知与申诉→解禁 |
| A07 账变 | 运营申请奖励→财务复核→台账入账→重复提交被幂等拦截→审计可追溯 |
| A08 权限变更 | 管理员申请新增提现审核权限→展示差异→复核→即时生效→历史会话重新鉴权 |
| A09 配置错误 | 输入反向时间/非法比例→前后端阻止→错误定位到字段→不生成草稿版本 |
| A10 服务降级 | 任务大厅 API 失败/客服 iframe 失败→清晰错误→重试/备用入口→告警产生 |
16.1 发布门槛
- P0 风险全部关闭；资金、权限、隐私与上传通过专项安全测试。
- C 端和后台使用同一配置版本、状态枚举、金额口径和错误码。
- 关键写操作完成幂等、并发、回滚、重试、超时与断网测试。
- 审计日志可以从一次用户投诉还原完整操作者、审批链和资金流水。
- 备份恢复、支付对账、权限复核和事故响应完成演练。
17 研发里程碑
| 阶段 | 范围 | 退出条件 |
|---|---|---|
| M0 设计基线 | 信息架构、组件、状态机、RBAC、字段字典 | 产品/设计/技术/安全评审通过 |
| M1 基础后台 | 登录、管理员、角色、权限、审计、内容、Banner | MFA、审计、发布流可用 |
| M2 会员与配置 | 会员、等级、团队、配置中心 | 脱敏、临时授权、版本发布完成 |
| M3 商品与任务 | 商品、任务、任务大厅、审核 | C 端联调与佣金快照通过 |
| M4 交易与资金 | 订单、充值、提现、对账、复核 | 支付沙箱、幂等、双人复核通过 |
| M5 运营与稳定性 | 看板、客服、监控、灾备、性能 | SLO、告警、恢复演练通过 |
17.1 建议开发顺序
- 先建设统一认证、RBAC、审计、脱敏和配置发布，再开发具体业务页。
- 会员、商品、任务可先使用模拟资金；充值和提现必须最后接真实通道。
- 资金域上线前实行沙箱、小流量、额度限制和人工对账。
- 上线后第一周每日权限复核、账务核对和错误率复盘。
18 原型图说明
文档中的界面图按实测后台的布局、菜单、表格、弹窗和业务字段脱敏重绘，可直接用于讨论信息层级和交互。它们不是视觉稿：品牌、颜色、图标和真实数据应在 UI 设计阶段重新建立。
18.1 首页看板（脱敏重绘）
18.2 会员列表（脱敏重绘）
18.3 会员弹窗（脱敏重绘）
18.4 提现审核（脱敏重绘）
18.5 角色权限（脱敏重绘）
18.6 业务闭环（脱敏重绘）
19 待确认事项
- 目标系统是否处理真实资金，适用司法辖区、支付牌照与实名要求是什么。
- “设为假人、弹幕、奖励金、层级返佣”是否保留；若保留，业务合法性和真实性如何证明。
- 充值、提现、账变和会员禁用的初审/复核角色与金额阈值。
- C 端现有接口能否修改，还是需要后台兼容旧字段和状态枚举。
- 客服使用自建工单还是第三方服务，允许向第三方传输哪些数据。
- 运营内容是否需要多语言、定时发布、区域差异与灰度发布。
- 历史用户、订单、银行卡和台账的迁移范围、清洗规则和保留年限。
- 生产环境数据导出、敏感值查看和紧急权限的审批人。
在上述事项确认前，可以完成认证、RBAC、审计、内容、会员脱敏查询、商品任务配置和沙箱交易；不得接入真实收款、放款或自动资金调整。