權限不是畫面效果，而是每次請求的必要條件。

YIHUA Home 在伺服器端驗證登入 Session、社區 Membership、角色與資源範圍。

登入安全

Magic Link 15 分鐘內有效、只可使用一次，資料庫只保存 Token 雜湊；登入狀態使用 HttpOnly、SameSite Cookie，正式環境強制 Secure。

多社區資料隔離

每一筆社區資料都有 community_id，伺服器會從已驗證的 Membership 與路由資源共同決定存取範圍，不相信前端送來的角色或使用者 ID。

重要操作留痕

社區建立、棟戶異動、邀請、公告與成員權限變更都會寫入不可由一般住戶存取的稽核紀錄。