谁定规则，谁管名单，谁来背书
系统管理员划定边界，实验室负责人在边界内处理日常授权，导师为自己的学生把第一道关。 每类身份看到的菜单和可用操作不同。
系统管理员（信息化 / 保卫）
建区域与房间，把需要额外把关的实验室标为「高敏感」，在系统设置里配置高敏感复核人组，并给实验室负责人分配门禁管理范围。设备、告警、常开与禁用通行只有这一角色能操作。
实验室负责人
在被分配的房间范围内发放和回收授权、做批量授权、维护坐席组名单、审批派到本实验室的申请子单。范围外的房间在批量授权里灰显并标注「需由该房间管理人授权」，选不进去。
导师
学生提交的门禁申请先到导师这里背书，背书通过后才派给各房间的责任人。学生邀请访客，也要先经导师批准。
研究生 / 学生
看自己能进哪些门、出示通行码、发起门禁申请、邀请访客（需导师批准）、查本人通行记录。看不到别人的数据，也没有任何管理入口。
一个课题组一年里会碰到的事
新生进组
负责人在坐席组里添加成员并选一个授权档位，系统按档位时长算出有效期并直接生成门禁权限，不走审批。人多时用 Excel 批量导入，跳过的行会写明原因。
坐席组与授权档位
一个坐席组绑定若干实验室或办公室，再配几档授权，例如「硕士」「博士」，时长按天、月或年设定。名额只用来提示超额，不会拦下授权。
临近到期
「待续期成员」面板列出已到期或即将到期的坐席授权，勾选后批量续期。档位还没定的成员会提示先去名单里设置。
毕业或换课题组
把人从名单移出，只回收坐席生成的那部分权限，并给出撤销入口。他通过角色组、申请或个人授权得到的权限不受影响，需要在授权中心单独核对。
借用另一间实验室
学生发起申请，先经导师背书，再按门拆给各房间的责任人并行审批。责任人可以「同意但调整」，但只能缩短时间、收窄时段或减少房间，不能放宽。
高敏感实验室
申请里含高敏感房间时，自动追加一张并行的安全复核子单。房间负责人与安全复核都同意，这扇门才建立授权；复核人组内任一成员作出决定即可完成复核。
这四条要先讲清楚
实验室门禁权限出问题，多半出在「以为删干净了」「以为批了就能进」。下面四条决定了操作之后还要核对什么。
- 移出名单不等于失去全部权限
- 坐席只是授权来源之一。移出名单只回收「坐席管理」这一来源，同一个人的其他来源仍然有效。毕业核对时要看授权中心里这个人的全部来源，而不是只看名单。
- 管理权不等于开门权
- 实验室负责人拿到的是给别人发放、回收授权的能力，不会因此获得本人刷卡进门的授权。要自己进门，需要另外授予这扇门的通行授权。
- 安全复核只作用于申请
- 高敏感房间的安全复核挂在门禁申请这条路径上。负责人在授权中心或批量授权里直接发放的授权不经过申请审批，选门时界面会给高敏感房间打上标记。
- 审批通过不等于门一定能开
- 审批通过后建立的是授权记录，刷卡还要求授权已下发到控制器。下发状态单独显示，现场能否开门以设备实际反馈为准。
按房间看谁能进，每一行都带来源
选中一间实验室，列出所有有权进入的人，按来源聚合：坐席、角色组、申请、个人授权各自带徽章。 上线前或调整后，再用「虚拟刷卡测试」选一个人模拟此刻刷卡，立即得到允许及命中的来源，或者具体的拒绝原因。
实验室门禁权限常被问到的五件事
- 学生毕业后，把他移出坐席名单就够了吗？
- 不一定。移出名单只回收坐席管理生成的权限。如果他还有角色组、申请审批或个人授权带来的权限，这些仍然有效，需要在授权中心的按人视图里逐条核对来源，再分别处理。
- 实验室负责人有了管理范围，自己就能刷卡进门吗？
- 不能。管理范围是给别人发放和回收授权的能力，不包含本人的通行授权。负责人要自己进门，需要另外获得这扇门的授权。
- 学生没有登记导师，申请交给谁背书？
- 没有登记导师的学生，申请自动转交所在院系的思政或辅导员；仍识别不到时转给系统管理员。转交原因会显示在申请的审批路线上。
- 高敏感实验室还没配置安全复核人，会怎样？
- 含高敏感房间的申请会回落给系统管理员复核，界面会提示尚未配置高敏感房间的安全复核人组。复核人组在系统设置里配置，学生与离职人员不在候选范围内。
- 怎么在不真正开门的情况下验证一个人的权限？
- 在空间管理里对房间做「虚拟刷卡测试」：选一个人，立即返回允许及命中的授权来源，或者明确的拒绝原因。它只验证当前授权，不会触发真实开门。
接着看
删了一个授权来源，为什么他还能进
毕业核对前先看这一篇：一个人的权限可能来自不止一处。
多门申请与审批
导师背书、按门拆分子单与安全复核的完整规则。
高校门禁方案
院系分级授权、统一身份平台同步与离校权限回收。