实现系统管理后台 V1

docs/project/requirements/M003-identity-access-hotel-menu-v1.md

@@ -36,9 +36,9 @@
   - `AUTH_BOOTSTRAP_ADMIN_USERNAME`
   - `AUTH_BOOTSTRAP_ADMIN_PASSWORD`
   - `AUTH_BOOTSTRAP_ADMIN_DISPLAY_NAME`
-- 系统中已存在超级管理员后，不再使用环境变量覆盖管理员账号或密码。
+- 系统中已存在启用状态的超级管理员后，不再使用环境变量覆盖管理员账号或密码；如果只存在禁用的超级管理员，环境变量仍可初始化一个可登录超级管理员，避免系统锁死。
 - 第一期开启登录和权限底座，但不强制拦截现有业务接口。
-- 管理后台还没有做，必须明确后置。
+- 系统管理后台已由 M006 承接；M003 仍只描述登录、权限、酒店和菜单运行时底座。
 
 ## 3. 核心目标
 
@@ -225,6 +225,7 @@ platform.security
 
 - 普通用户至少应有一个可访问酒店。
 - 普通用户最多只能有一个默认酒店。
+- 后端写入用户酒店授权时，如果将某个酒店设为默认酒店，会同时清理该用户其他酒店默认标记；数据库通过生成列和唯一索引兜底约束同一用户最多一条 `default_hotel=1`。
 - 超级管理员不需要为每个酒店插授权关系，默认可访问全部启用酒店。
 - 业务接口收到 `hotel_id` 时，后续强制鉴权阶段必须校验当前用户是否可访问该酒店。
 
@@ -291,6 +292,7 @@ platform.security
 - `RESERVATION_OPERATOR` 需要查看邮件原文和附件外链来处理任务，因此第一版包含 `SOURCE_MESSAGE_ORIGINAL_READ`。
 - `RESERVATION_VIEWER` 只读查看订单、任务、审计和来源消息安全摘要；不允许保存、确认、执行 OPERA 模拟，也不允许访问 Debug EML。
 - `SYSTEM_DEBUG_EML_RUN` 第一版只授予 `SYSTEM_ADMIN`，避免普通业务用户触发 SuperAgent 调试链路。
+- 启动初始化会按上表同步内置角色权限矩阵：矩阵中新增的权限会补齐，矩阵中移除的旧关系会清理。后续如果管理后台允许人工改内置角色，需要先重新确认“代码矩阵”和“后台配置”的优先级。
 
 第一期可内置菜单，需和当前前端路由保持一致：
 
@@ -557,7 +559,7 @@ AUTH_TEST_SESSION_TTL_MINUTES=720
 
 说明：
 
-- 启动初始化发现系统中已经存在超级管理员后，不会继续用环境变量覆盖管理员用户名或密码。
+- 启动初始化发现系统中已经存在启用状态的超级管理员后，不会继续用环境变量覆盖管理员用户名或密码；禁用状态超级管理员不阻止首次可登录管理员恢复初始化。
 - 数据库 `platform_user_session` 只保存 `token_hash`，不保存明文 token。
 - 当前后端提供可选 Bearer token 解析，现有 Reservation / SourceMessage 业务接口第一版仍不强制登录。