1. Nguyên tắc

Matrix này là implementation baseline. Các invariant mặc định (điều chỉnh theo client input):

1. Authorization kiểm tại API/server, không dựa vào việc ẩn nút UI.
2. Vai trò gate (duyệt/phê duyệt) chỉ do role được gán thực hiện; admin quản lý assignment nhưng không tự có quyền gate nếu chưa được gán.
3. Action nhạy cảm phải audit actor/time/action/mục tiêu/reason và before-after khi phù hợp.
4. Guest (chưa xác thực) là trạng thái, không phải role.
5. Thay đổi matrix sau khi freeze phải version và regression-test RBAC.

2. Ký hiệu

• Own: chỉ dữ liệu của account.
• R: read.
• RW: read/write theo state rule.
• A: approval/gate action.
• Admin: quản trị cấu hình/quyền.
• Request: gửi yêu cầu, không tự thực thi.
• —: không có quyền mặc định.

3. Permission matrix