客户
Admin 中的客户列表让店长了解客户群——谁来过、联系方式（按角色控制可见性）和历史。
客户列表与搜索
Admin → 客户
列表支持分页、搜索和按门店过滤。功能：
- 门店筛选：查看特定门店的客户，或所有门店。
- 包含已删除开关：可查看和恢复已软删除的客户。
- 搜索：客户姓名（法定姓名或显示名）的部分匹配。电话号码加密存储，因此不支持按电话搜索。
敏感字段与掩码
客户电话、邮箱、生日在存储时加密，且对除 Super Admin 外的所有管理员角色默认隐藏：
| 字段 | 默认显示 | 谁能看到明文 |
|---|---|---|
| 电话 | 隐藏——显示电话按钮 | Super Admin 直接可见；其他管理员经审计揭示（见下） |
| 邮箱 | 隐藏——显示邮箱按钮 | 同上 |
| 生日 | 隐藏 | 同上——与电话/邮箱一并揭示 |
客户姓名以明文存储以支持搜索——有客户列表访问权限的人可见。
揭示敏感字段需要 customers.pii.reveal 权限且对该客户门店有访问权。租户管理员默认持有此权限；区域经理默认没有（租户管理员可在角色权限中按角色开启）。一次点击同时揭示该行的电话、邮箱和生日，每次揭示都会记录审计（customer:pii_reveal——谁、哪位客户、何时、哪个门店），审计不记录敏感值本身。POS 端客户搜索隐藏全部三个字段，仅电话可经操作员 PIN 取回。客户列表页面显示水印以阻止截屏。
创建客户（Admin）
- 客户 → 创建。
- 填写姓名（必填；可按需分别填写名、中间名、姓），可选电话、邮箱、生日、性别、备注，以及首选语言——它决定该客户预约、改期和收据邮件所用的语言。
- 保存。
姓名只做首尾清理与 Unicode 规范化，不改大小写或标点。性别为可选项，包含“不愿回答”和“自我描述”。电话目前只接受澳洲号码并存为 +61…，邮箱会在保存前校验语法。
保存带电话号码的顾客后，MMOS 可能显示同一门店内的可能重复候选。提示只显示最小身份信息与掩码电话；它不会阻止保存、自动合并记录或搜索其他门店。请先复核候选，再决定是否需要另行清理。
大部分客户在 POS 创建到店时建立——Admin 创建用于预加载或导入。
编辑客户
选择客户 → 编辑任意字段。更改立即保存。无论姓名如何变更，客户的到店历史保持关联。
匿名散客
在 POS 创建时未填信息的散客在列表中显示为匿名。稍后可补充信息（添加姓名/电话）——系统自动关联过往到店。
老客标记
如果您的门店使用老客功能：
- 在 POS 上，技师将服务标记为"老客"（参见 服务）。
- 在 Admin 中，老客标记页面展示这些标记用于报表和提成。
软删除与恢复
- 删除（软）：从活跃列表移除。历史到店记录保留。
- 恢复：开启"包含已删除" → 找到客户 → 恢复。
客户删除是软删除——数据为财务和审计完整性而保留。如需 GDPR/隐私擦除，请联系平台管理员申请数据导出+硬删除。
顾客评价（审核）
Admin → 顾客评价（权限 reviews.moderate；租户管理员与区域经理默认拥有）。
顾客在顾客账户门户中，可在到店后 30 天内对本人已完成的到店打分——每次到店一条评价，1–5 星加可选文字。审核前不会公开任何内容。
- 选择门店（评价按精确门店审核，没有全部门店视图）。
- 按待审核（默认）、已通过或已拒绝筛选。
- 对待审核评价可选填简短原因（顾客可见），然后通过或拒绝。结果不可更改并写入审计；已审核的评价不能再改。
公开页面显示：仅已通过评价，最新在前，每条带到店验证标记，署名为名字加姓氏首字母（绝不显示电话或邮箱）。门店均分只在已通过评价达到 5 条及以上时显示，此前只显示评价数量。