docs: Add Permission System Design (Hướng B) to WORKFLOW.md and AGENTS.md

AGENTS.md

@@ -331,10 +331,10 @@
 4. **Command generate schedule hàng loạt:** `php artisan contracts:generate-schedules` cho 139 hợp đồng đã import
 
 ### Giai đoạn 2: Module Bổ sung (Ưu tiên TRUNG BÌNH)
-5. **PaymentFine Resource:** Quản lý tiền phạt chậm thanh toán
-6. **Appendix Resource:** Quản lý phụ lục hợp đồng
-7. **Settlement Resource:** Quản lý thanh lý hợp đồng
-8. **Discount Engine:** Tính toán tự động chiết khấu từ `discount_details` vào giá trị hợp đồng
+5. **PaymentFine Resource:** Quản lý tiền phạt chậm thanh toán ✅
+6. **Appendix Resource:** Quản lý phụ lục hợp đồng ✅
+7. **Settlement Resource:** Quản lý thanh lý hợp đồng ✅
+8. **Discount Engine:** Tính toán tự động chiết khấu từ `discount_details` vào giá trị hợp đồng ✅
 
 ### Giai đoạn 3: Báo cáo & Tối ưu (Ưu tiên THẤP)
 9. **Dashboard Tài chính:** Tổng doanh thu, dòng tiền dự kiến, công nợ phải thu ✅
@@ -342,6 +342,19 @@
 11. **Export Excel:** Xuất báo cáo công nợ khách hàng ✅
 12. **Notification:** Cảnh báo đợt thanh toán sắp đến hạn ✅
 
+### Giai đoạn 4: An toàn & Audit (Đang làm)
+13. **Soft Delete:** Contract, Payment, Customer + Restore/ForceDelete UI ✅
+14. **Payment.collected_by:** Ghi nhận ngườ thu tiền ✅
+
+### Giai đoạn 5: Phân quyền (Thiết kế xong, chờ triển khai)
+15. **Permission System (Hướng B - Tự viết, không Spatie):**
+    - `role_templates`: Mẫu nhóm với permissions JSONB
+    - `users`: role_template_id + extra_permissions + excluded_permissions
+    - Session cache effective permissions (tính 1 lần/login)
+    - `php artisan permissions:sync` thủ công khi thêm module
+    - Action mới mặc định TẮT, admin bật thủ công
+    - Xem chi tiết: `WORKFLOW.md` Phần VIII
+
 ---
 
 ## 7. CÂU LỆNH THƯỜNG DÙNG