服务端身份 · 最小权限不是隐藏按钮，
不是隐藏按钮，
而是真正的权限边界
前端可以显示角色入口，但每一次读写都必须由服务端重新确认身份、角色和资源范围。
- 会话值只存在于 HttpOnly Cookie，前端无法读取
- 数据库只保存会话哈希，不保存原始值
- 拒绝、过期和退出都会留下安全审计
登录工单工作区
公开环境默认使用只读访客并自动填入体验码，可直接登录浏览合成数据。
只读体验码是公开演示凭证，只能读取指定合成数据；客服、主管和管理员密码仍只由服务器密钥配置管理。
前端可以显示角色入口，但每一次读写都必须由服务端重新确认身份、角色和资源范围。
公开环境默认使用只读访客并自动填入体验码，可直接登录浏览合成数据。
只读体验码是公开演示凭证，只能读取指定合成数据；客服、主管和管理员密码仍只由服务器密钥配置管理。