Web：访问令牌 10 分钟；活跃时自动轮换刷新令牌；连续无操作 30 分钟后清除登录并跳转登录页。 App：会话窗口 3 天；打开 App、恢复前台或请求接口时自动刷新并重新顺延 3 天。 普通登录和 SSO 使用同一策略。 刷新令牌只以 SHA-256 摘要入库，每次刷新都会轮换，旧令牌无法再次使用；退出登录会吊销刷新令牌。 网络临时故障不会误清登录状态，多标签页同时刷新也做了竞争处理。
基础数据拆分为：组织机构、学年学期、教学场所。 人员档案拆分为：教师档案、学生档案。 基础数据、教师、学生、用户权限均支持 Excel 模板下载、批量导入和导出。 导入按编码/工号/学号/账号新增或更新；整批校验，失败不写入，限制 2000 条、10 MB。 用户列表新增密码重置，包含双重确认、最低 8 位校验和服务端权限保护。 导入严格执行角色及学院数据范围校验，并保护当前超级管理员账号。 保留旧地址重定向，原有入口不会失效。
