docs: AGENTS.md 记录超管跨部门放行规则（含曾经改错的教训）

AGENTS.md

@@ -41,6 +41,12 @@
   过滤点共 4 处：登录 `auth_service.login`、人员列表 `endpoints/users.py`、
   物料 `endpoints/materials.py` 的 `groups`/`items`、
   人员操作统计 `dashboard_service.get_user_operations`。
+  - **登录**是四个过滤点里唯一区分角色的：普通角色（INBOUND / SUPERVISOR /
+    WAREHOUSE_MGR / SALES）必须严格属于本部门，否则一律 401；
+    **但 `SUPER_ADMIN` 跨部门放行** —— IRIS 的超管也能登 LICA 实例，
+    供运维/管理员在两个实例之间切换。角色常量取自 `app/core/roles.py`，
+    不要写裸字符串 `'SUPER_ADMIN'`。
+    （这条曾经被改错过一次：把豁免去掉导致 IRIS 超管登不进 LICA。）
   - 人员与物料都是**服务端钉死**部门，客户端传什么部门参数都不采纳
     （这样 uni-app 里写死的 `dept` 不会造成跨部门影响）。
   - 刻意**不做**「查询失败退回全表」的降级 —— 那是跨部门数据泄漏，