多角色账号按 All > College > Class > Self 自动取最高权限。

学院管理员限制在所属学院。
辅导员通过稳定账号 ID 绑定行政班，避免重名串班。
教师只能访问本人档案、授课课程和所授课学生。
学生只能访问本人档案及所在班级课程。
教师/学生角色会自动校验并绑定工号或学号档案。
超级管理员可在用户页面调整角色、学院、工号/学号，并预览生效后的数据范围。

src/Jiaowu.Api/Controllers/TeachingTasksController.cs

@@ -1,8 +1,8 @@
 using System.ComponentModel.DataAnnotations;
-using System.Security.Claims;
 using Jiaowu.Api.Contracts;
 using Jiaowu.Api.Domain.Academic;
 using Jiaowu.Api.Domain.Identity;
+using Jiaowu.Api.Infrastructure.Auth;
 using Jiaowu.Api.Infrastructure.Persistence;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Mvc;
@@ -13,7 +13,9 @@ namespace Jiaowu.Api.Controllers;
 [ApiController]
 [Authorize(Roles = ManagementRoles)]
 [Route("api/teaching-tasks")]
-public sealed class TeachingTasksController(AppDbContext db) : ControllerBase
+public sealed class TeachingTasksController(
+    AppDbContext db,
+    ICurrentUserDataScope currentUserDataScope) : ControllerBase
 {
     private const string ManagementRoles =
         SystemRoles.SuperAdmin + "," +
@@ -314,12 +316,7 @@ public sealed class TeachingTasksController(AppDbContext db) : ControllerBase
     }
 
     private Guid? ScopedCollegeId()
-    {
-        if (!User.IsInRole(SystemRoles.CollegeAdmin)) return null;
-        return Guid.TryParse(User.FindFirstValue("college_id"), out var collegeId)
-            ? collegeId
-            : Guid.Empty;
-    }
+        => currentUserDataScope.Current.RestrictedCollegeId;
 
     private async Task<ActionResult> SaveAsync(
         Guid id,