多角色账号按 All > College > Class > Self 自动取最高权限。

学院管理员限制在所属学院。
辅导员通过稳定账号 ID 绑定行政班，避免重名串班。
教师只能访问本人档案、授课课程和所授课学生。
学生只能访问本人档案及所在班级课程。
教师/学生角色会自动校验并绑定工号或学号档案。
超级管理员可在用户页面调整角色、学院、工号/学号，并预览生效后的数据范围。

web/src/stores/auth.ts

@@ -8,6 +8,7 @@ export interface CurrentUser {
   displayName: string
   roles: string[]
   collegeId?: string
+  effectiveDataScope: 'Self' | 'Class' | 'College' | 'All'
 }
 
 export const useAuthStore = defineStore('auth', () => {