适用源码：9da0beb8e8fdad85f50d7039408c3d98494e91c7。本文记录源码行为，默认配置不等于实服配置。
设计状态：按现状编写，具体业务批准记录未逐项核定；开发状态：下述能力有实现证据，限制单列；验证状态：完成定向源码核对，未执行自动测试或实服验收。

角色不能合并

flrv.facility.admin 是设施管理权限，plugin.yml 默认 op；实际授权由权限插件决定。OP 身份、设施管理员、镇长、助手、国王与控制台不是同一身份。
普通设施命令需要 Player，控制台不能操作玩家背包；WarCommand 允许有权限的控制台执行测试战争。这不是“控制台等于所有玩家”的授权。

正常管理与修复

普通升级/恢复/拆除经当前地块城镇及类型能力校验；不能因为管理员可打开就省略资产检查。
当前 FacilityCommand 对 OP 的 remove 分支进入强制修复服务，即使无坐标参数也可能如此。操作前先区分正常拆除和强制移除，不给 OP 一条“试试拆除”的通用建议。
强制修复先建立数据库快照再删除关联记录，保留世界建筑但清理匹配核心标记；不退钱，不撤销外部账户交易，不等同物品结算。本文不提供生产执行参数或批量清理指令。

归档与测试

FacilityArchiveService 对管理员使用 OP 或 facility.admin 判定，仍有原资产和交接检查。不要把归档资产迁入新设施视为自动行为。核对和领取应使用现有受限流程，未知资产保持账本。
装备测试领取、订单 finish 与皮肤信息查询权限分离；allow-all 不自动开放订单加速。TestWar 仅为开发测试，不在生产用作正式争夺规则。

操作前检查

确认目标设施 UUID、世界与区块、动作类型、资产状态和恢复证据；多管理员避免同时处理一个请求。更新权限后重新打开界面，不能依赖旧页面作为凭据。
公开 Wiki 只提供职责与安全边界；生产账户、数据库详情和维护窗口由内部授权渠道处理。没有可靠访问控制证据时，不上传私有日志与玩家存档。

来源

folia_plugin/src/main/resources/plugin.yml；代码根 folia_plugin/src/main/java/com/flrv/：event/command/FacilityCommand.java#remove/archive、WarCommand.java（同 command）、logic/facility/service/FacilityRemovalService.java#remove、FacilityArchiveService.java#admin（同 service）、infrastructure/persistence/facility/FacilityRemovalRepository.java。本文未执行任何管理或恢复命令。
相关：权限矩阵、异常排查、备份。