# مصفوفة الصلاحيات

| الإجراء | Super Admin | Admin | Employee |
|---|---|---|---|
| إنشاء عميل ومديره وتعديل الحساب والحدود | نعم، كل العملاء | — | — |
| إدارة كتالوج المرسلين وقواعد الإخفاء | نعم | — | — |
| إتاحة مرسل لعميل | نعم | — | — |
| منح الموظف مشاهدة/تفاعل/تصدير لمرسل | عبر إدارة العميل | فقط المرسلون الممنوحون للعميل | — |
| مشاهدة محادثة | كل العملاء مع سجل خاص | جميع مرسلي العميل المسموحين | فقط المرسل الذي لديه `can_view` |
| استلام أو تغيير رسالة | تدخل منصة مع تسجيل خاص | داخل العميل | فقط عند `can_interact`، وبعد استلام الحجز |
| كتابة ملاحظة أو رفع صوت | نعم | نعم | مشاهدة + تفاعل |
| إدارة الموظفين | حسابات العملاء | موظفو عميله ضمن الحد | — |
| إدارة الأجهزة | كل العملاء | أجهزة عميله ضمن الحد، تعطيل/تدوير سر | — |
| إدارة الأقسام | كل العملاء عبر بيانات العميل | أقسامه ضمن الحد، أعضاء ومسؤول | — |
| إحالة أو استلام إحالة قسم | نعم | جميع أقسام العميل | تفاعل الرسالة وعضوية القسم عند الاستلام |
| تصدير | كل البيانات مع سجل خاص | يتطلب تمكين Super Admin و`exports.create` | يتطلب تمكين العميل و`exports.create` و`can_export` على المرسل |
| إعداد Telegram والنسخ الاحتياطي | نعم؛ الأسرار مشفرة ولا تُعاد | — | — |
| مراجعة المرسل المجهول | نعم فقط | — | — |
| سجل Super Admin الأمني | قراءة من الواجهة | — | — |
| إنهاء الجلسات | جلساته | جلساته | جلساته |

## قواعد الخادم

- الموظف لا يرث صلاحية تفاعل من صلاحية مشاهدة؛ يتطلب `can_interact` صراحةً.
- التصدير يحتاج سماح العميل، صلاحية حساب `exports.create`، ومنح `can_export` للمرسل. لا يكفي إخفاء زر التصدير.
- كل الاستعلامات المقيدة بعميل تستخرج `tenant_id` من المستخدم أو الجهاز الموثق. لا تقبل قيمة tenant من الطلب لتوسيع نطاق الوصول.
- `MessagePolicy` تطبق المشاهدة والتفاعل والتصدير في Controllers. مكون Livewire يكرر التصفية قبل بناء قائمة الرسائل.
- تنزيلات الصوت والصادرات تتحقق من المستخدم في كل طلب، ولا تستخدم روابط عامة دائمة.
- كل مسارات المنصة ضمن Gate `platform-admin`؛ سجل Super Admin ليس متاحًا عبر مسار العميل.
- تدخل Super Admin في الحالة أو الحجز يُوسم كحدث داخلي، ويُستبعد من Timeline العميل وسجله، ويُسجل في `super_admin_security_logs`.

## حدود التنفيذ الحالية

النسخة تستخدم ثلاثة أدوار ثابتة وسياسات مرسل صريحة؛ لا تحتوي محررًا عامًا لكل Gate أو صلاحية. الصلاحيات التفصيلية للإحالة تعتمد على العضوية في القسم، ولا توجد إدارة أذونات منفصلة لعمليات نقل الإحالة أو كل فلتر بحث.