Vai trò: admin toàn quyền · designer chỉ trạm của mình · viewer chỉ xem & in. Không thể xóa quản trị viên cuối cùng.

Trạm chỉ là nơi lưu trữ mẫu và dữ liệu — quyền vào trạm do danh sách trạm của tài khoản trong users.json quyết định (cột Trạm ở thẻ "Người dùng nội bộ" — một tài khoản có thể được cấp nhiều trạm, . là tất cả), không do token công ty; StationId trong token chỉ hiện ra để đối chiếu xem đã dán đúng token. Riêng lối gọi máy-với-máy (Authorization: Bearer) vẫn lấy trạm từ claim StationId. Hàng phát hiện tự động là trạm đã có thư mục nhưng chưa ghi vào sổ trạm. Hàng dùng chung (_chung) và hàng cũ (tệp phẳng) chỉ xem.

Token công ty chỉ là khóa lấy dữ liệu: nó không đổi vai trò, không đổi trạm và không phải cách đăng nhập. Máy chủ không bao giờ trả lại giá trị token.

Chỉ ghi các trường an toàn — không có payload, không có token.