管理端后端

docs/architecture.md

@@ -23,3 +23,15 @@ CMS 使用独立的 `ElectionSystem.Cms` Orchard Core 主机及数据库；具
 ## 当前数据库对象
 
 初始迁移仅创建 `identity_users`、`organization_units` 和 `audit_entries`。审计元数据只记录受影响的字段名，不能用于保存线上匿名选票内容或关联信息。
+
+## 第二阶段：地域、人员与候选人
+
+`administrative_regions` 是行政区划目录，不承载单位、支部或选举组织。其层级固定为省、市、区县、镇街、村社区五级；省市区镇基础数据应由 AreaCity-JsSpider-StatsGov 的受控版本导入，村社区只能由本地确认目录预校验后导入，并保留 `Source` 与 `SourceVersion`。补齐节点保留 `IsSynthetic`，不可擅自扁平化。
+
+`identity_user_regional_roles` 将用户角色与地域范围分开保存。省、市、区、镇、村管理员的范围自动覆盖全部下级地域；系统管理员没有地域限制。计票员和监督员还必须经 `identity_user_counting_stations` 分配到具体计票所，未来线下计票接口必须同时检查地域角色和计票所分配。
+
+所有 `/api/admin/*` 路由要求 JWT Bearer 认证，并要求身份提供的本地用户 GUID（`nameidentifier` 或 `sub` claim）。部署时配置 `Authentication:Authority`、`Authentication:Audience`，并在 OpenIddict/Keycloak 的声明映射中提供该 GUID。未认证请求返回 401，不能触发地域范围查询或写入。
+
+`voter_profiles` 是选民主数据，按地域、状态查询和写入均须先应用管理员范围。选民 Excel 采用“上传预校验—逐行错误—同一操作者确认”模式，预览在 30 分钟后失效，确认前重新检查范围和重复选民编号。它不保存投票内容，后续 `Voting` 模块只可从选民 ID 创建资格/已投状态。
+
+`candidate_profiles` 维护候选人地域归属和提名、审核、撤回、取消资格、公示状态；状态转换必须在服务端验证，撤回和取消资格必须说明原因。候选人材料文件将在对象存储接入后作为独立、授权的附件实体实现。