控制台 · 用户与租户

用户、角色与租户决定"谁能看到什么"。这页讲控制台里身份侧的日常操作：建用户、发凭据、分配角色、看懂租户上下文，以及每步对应的权限语义。平台的鉴权模型（JWT、RBAC、租户隔离的 fail-closed 语义）在鉴权 · 租户 · RBAC——这里只讲界面怎么用。

你在这里：平台已部署，要给团队开账号、控权限。对象模型见租户；权限如何拦截请求见鉴权页。

用户管理

打开设置 → 账户与身份 → 用户管理。列表按当前租户隔离；工具栏提供检索与新增；每行可分配角色、启停、编辑。

新增用户：填登录名、昵称、手机号、邮箱等资料并保存——表单没有口令字段，用户记录本身不承载登录凭据。新用户要能登录，还需在 设置 → 账户与身份 → 本地凭证为其创建（或重置）一条本地凭证，用户凭该凭证首次登录后自行改密。两步配合才是完整的"开号"。

分配角色：行内"分配角色"打开角色多选——角色决定用户能调用的 API 集合（RBAC 的 @perm.can 检查的就是角色绑定的资源/权限码）。角色本身在设置 → 角色与权限 → 角色管理里维护：角色 → 绑定资源/API → 再把用户绑到角色。

控制台没有租户切换控件：当前租户在右上角用户菜单里只读展示，登录即固定在本租户；要把人员加进/移出租户，用设置 → 账户与身份 → 租户成员维护成员关系；
default 是系统管理员租户——安装时的种子账号（dc3）属于它，具有全平台管理权；生产环境应尽快改掉种子口令并按人员拆分账号；
所有业务查询与写入都带 tenantId 作用域——跨租户的读取既不可见也不可查（404 语义）。

界面动作	API（经网关，auth 中心）	语义
用户检索	`POST …/user_profile/list`	当前租户内
新增用户	`POST …/user_profile/add`	隶属当前租户
分配角色	`POST …/role_principal/add` / `DELETE …/role_principal/delete` / `POST …/role_principal/list`	主体-角色绑定
改密（自助）	`POST …/token/change_password`	本人登录态下改密
重置凭证（管理侧）	`POST …/local_credential/reset_password`	用户记录无口令字段，凭据由本地凭证体系承载，Argon2id 存储

种子账号

默认账号 dc3 / 初始口令仅用于首次登录。生产环境第一步就是改密；更严格的做法是在 default 租户外另建业务租户，日常操作用业务租户的管理员。