從客戶管理案例出發(fā)拆開角色、數(shù)據(jù)范圍、字段權(quán)限和操作權(quán)限上一篇我們把客戶表和跟進(jìn)記錄做成了銷售儀表盤。儀表盤讓管理者能看到客戶總數(shù)、階段分布、來(lái)源分布和待跟進(jìn)明細(xì)。系統(tǒng)變得更有用了但也馬上帶來(lái)一個(gè)更現(xiàn)實(shí)的問(wèn)題這些數(shù)據(jù)應(yīng)該所有人都能看到嗎銷售人員只應(yīng)該看到自己負(fù)責(zé)的客戶銷售經(jīng)理需要看到團(tuán)隊(duì)客戶管理層關(guān)心全局指標(biāo)但不一定要進(jìn)入每一條跟進(jìn)明細(xì)。客戶電話、報(bào)價(jià)金額、合同備注、失敗原因這些字段也不應(yīng)該對(duì)所有人開放。所以企業(yè)數(shù)字化系統(tǒng)里權(quán)限不是上線前補(bǔ)一個(gè)“管理員開關(guān)”。它應(yīng)該和數(shù)據(jù)模型、視圖、儀表盤一樣從業(yè)務(wù)開始就被設(shè)計(jì)進(jìn)去。織信官方文檔把平臺(tái)定位為企業(yè)級(jí) AI 信息化系統(tǒng)底座覆蓋數(shù)據(jù)建模、流程自動(dòng)化、權(quán)限治理、系統(tǒng)集成與 AI Agent 能力。入口可以參考織信企業(yè)級(jí) AI 開發(fā)平臺(tái)簡(jiǎn)介。這篇文章先不展開 AI而是把“權(quán)限治理”落到一個(gè)普通客戶管理系統(tǒng)里看。權(quán)限不是一個(gè)開關(guān)很多人第一次做權(quán)限會(huì)先建兩個(gè)角色管理員和普通用戶。這個(gè)設(shè)計(jì)看似簡(jiǎn)單實(shí)際很快會(huì)失控。普通用戶里有銷售、銷售主管、銷售經(jīng)理、市場(chǎng)人員、財(cái)務(wù)人員和老板他們對(duì)同一張客戶表的需求完全不同。如果只靠“管理員/普通用戶”區(qū)分要么權(quán)限太大大家都能看到不該看的數(shù)據(jù)要么權(quán)限太小業(yè)務(wù)推進(jìn)時(shí)到處找管理員幫忙。更合理的做法是把權(quán)限拆成一條判斷鏈客戶管理中的權(quán)限判斷鏈路當(dāng)一個(gè)用戶打開客戶表時(shí)系統(tǒng)至少要回答四個(gè)問(wèn)題這個(gè)人是什么角色這個(gè)角色能看哪些記錄這些記錄里哪些字段可以顯示頁(yè)面上的新增、編輯、刪除、導(dǎo)出等動(dòng)作是否允許最終結(jié)果不是“能不能進(jìn)系統(tǒng)”而是“這個(gè)人在當(dāng)前頁(yè)面能看到什么、能改什么、能繼續(xù)做什么”。從三個(gè)角色開始建模權(quán)限設(shè)計(jì)不應(yīng)該從技術(shù)名詞開始而應(yīng)該從組織中的真實(shí)職責(zé)開始。在客戶管理案例中可以先定義三個(gè)角色角色典型職責(zé)權(quán)限設(shè)計(jì)目標(biāo)銷售人員維護(hù)自己負(fù)責(zé)的客戶記錄跟進(jìn)動(dòng)作只能處理自己的客戶減少越權(quán)查看銷售經(jīng)理分配客戶、檢查團(tuán)隊(duì)推進(jìn)情況、復(fù)盤銷售階段能看團(tuán)隊(duì)數(shù)據(jù)能調(diào)整負(fù)責(zé)人和階段管理層看整體經(jīng)營(yíng)情況、關(guān)注關(guān)鍵指標(biāo)和風(fēng)險(xiǎn)能看全局匯總謹(jǐn)慎開放明細(xì)操作這三個(gè)角色不是為了做組織架構(gòu)而是為了回答“系統(tǒng)應(yīng)該怎樣為不同人呈現(xiàn)同一份數(shù)據(jù)”。三類角色查看客戶數(shù)據(jù)的權(quán)限矩陣如果角色定義清楚后面的數(shù)據(jù)范圍、字段權(quán)限和操作權(quán)限就不再是拍腦袋。數(shù)據(jù)范圍誰(shuí)能看到哪些記錄數(shù)據(jù)范圍解決的是“哪些行對(duì)這個(gè)人可見”。在客戶表里最常見的規(guī)則是按負(fù)責(zé)人過(guò)濾銷售人員負(fù)責(zé)人 當(dāng)前用戶 銷售經(jīng)理負(fù)責(zé)人屬于當(dāng)前團(tuán)隊(duì) 管理層不限制負(fù)責(zé)人查看全部客戶這和數(shù)據(jù)庫(kù)查詢里的where條件很像。區(qū)別在于權(quán)限條件不是用戶手工篩選出來(lái)的而是系統(tǒng)根據(jù)當(dāng)前登錄用戶和角色自動(dòng)加上的。例如銷售張三打開“客戶明細(xì)”視圖時(shí)看到的是負(fù)責(zé)人為張三的客戶銷售經(jīng)理打開同一張表時(shí)看到的是團(tuán)隊(duì)成員負(fù)責(zé)的客戶老板打開儀表盤時(shí)看到的是全公司客戶匯總。同一張客戶表沒(méi)有復(fù)制三份只是不同角色進(jìn)入時(shí)系統(tǒng)加了不同的數(shù)據(jù)范圍規(guī)則。這一點(diǎn)很關(guān)鍵權(quán)限不是通過(guò)復(fù)制數(shù)據(jù)實(shí)現(xiàn)的而是通過(guò)統(tǒng)一數(shù)據(jù)源上的訪問(wèn)規(guī)則實(shí)現(xiàn)的。字段權(quán)限不是每一列都應(yīng)該展示數(shù)據(jù)范圍解決“能看哪些客戶”字段權(quán)限解決“能看客戶的哪些信息”。客戶名稱、行業(yè)、當(dāng)前階段、負(fù)責(zé)人這類字段通常屬于業(yè)務(wù)基礎(chǔ)信息可以給銷售和經(jīng)理查看。手機(jī)號(hào)、郵箱、合同金額、報(bào)價(jià)底線、失敗原因、關(guān)鍵聯(lián)系人私人信息則可能需要更嚴(yán)格控制。可以用一個(gè)簡(jiǎn)單規(guī)則設(shè)計(jì)字段可見性字段類型示例字段建議權(quán)限基礎(chǔ)識(shí)別字段客戶名稱、行業(yè)、來(lái)源銷售、經(jīng)理、管理層可見推進(jìn)狀態(tài)字段當(dāng)前階段、負(fù)責(zé)人、下次跟進(jìn)時(shí)間銷售和經(jīng)理可見管理層看匯總聯(lián)系方式字段手機(jī)號(hào)、郵箱、聯(lián)系人微信負(fù)責(zé)銷售和經(jīng)理可見商務(wù)敏感字段報(bào)價(jià)金額、折扣底線、合同備注經(jīng)理或授權(quán)角色可見復(fù)盤字段失敗原因、流失原因經(jīng)理和管理層可見字段權(quán)限最容易被忽略。很多系統(tǒng)只控制“能不能打開客戶表”卻不控制“打開后能不能看到手機(jī)號(hào)和金額”。結(jié)果是數(shù)據(jù)范圍看似沒(méi)問(wèn)題敏感信息卻在列表、導(dǎo)出、儀表盤明細(xì)里泄露了。開發(fā)者理解字段權(quán)限可以把它看成響應(yīng)數(shù)據(jù)的裁剪。不是前端把列隱藏一下就結(jié)束而是后端、接口、頁(yè)面和導(dǎo)出都要遵守同一套規(guī)則。操作權(quán)限能看不代表能改第三層是操作權(quán)限。能看到一條客戶記錄不代表可以隨意修改。客戶管理里常見動(dòng)作包括新增客戶編輯客戶基礎(chǔ)信息修改客戶階段分配或轉(zhuǎn)移負(fù)責(zé)人新增跟進(jìn)記錄刪除客戶導(dǎo)出客戶數(shù)據(jù)。這些動(dòng)作應(yīng)該分開設(shè)計(jì)。銷售人員可以新增跟進(jìn)記錄、更新自己客戶的階段但不一定能刪除客戶。銷售經(jīng)理可以調(diào)整負(fù)責(zé)人、修正階段、查看團(tuán)隊(duì)跟進(jìn)但刪除客戶和批量導(dǎo)出應(yīng)該更謹(jǐn)慎。管理層可以查看全局?jǐn)?shù)據(jù)和導(dǎo)出報(bào)表但不一定參與日常維護(hù)。這里有一個(gè)很重要的原則刪除和導(dǎo)出永遠(yuǎn)不要因?yàn)椤胺奖恪本湍J(rèn)開放。刪除會(huì)破壞追蹤鏈導(dǎo)出會(huì)把系統(tǒng)內(nèi)的權(quán)限邊界帶到系統(tǒng)外。企業(yè)系統(tǒng)越依賴數(shù)據(jù)越要把這些動(dòng)作當(dāng)成高風(fēng)險(xiǎn)操作。視圖和儀表盤也要受權(quán)限約束前幾篇文章里我們已經(jīng)做了客戶表格、階段看板、跟進(jìn)日歷和銷售儀表盤。權(quán)限不是只作用在表單詳情頁(yè)也應(yīng)該作用在這些入口上。例如“我的客戶”視圖默認(rèn)只顯示當(dāng)前銷售負(fù)責(zé)的客戶“團(tuán)隊(duì)客戶”視圖只對(duì)銷售經(jīng)理開放“銷售管理駕駛艙”中的客戶總數(shù)銷售看到個(gè)人范圍經(jīng)理看到團(tuán)隊(duì)范圍管理層看到全局范圍儀表盤里的明細(xì)卡片如果包含手機(jī)號(hào)或合同金額也要遵守字段權(quán)限。這也是為什么權(quán)限要和數(shù)據(jù)模型一起設(shè)計(jì)。如果儀表盤直接讀取客戶表但沒(méi)有繼承數(shù)據(jù)范圍規(guī)則銷售就可能通過(guò)儀表盤看到全公司客戶數(shù)量和明細(xì)如果導(dǎo)出按鈕繞過(guò)字段權(quán)限頁(yè)面上隱藏手機(jī)號(hào)也沒(méi)有意義。一個(gè)可靠的權(quán)限模型應(yīng)該讓表格、看板、日歷、儀表盤、表單、接口和導(dǎo)出都基于同一套判斷。權(quán)限驗(yàn)證要用具體賬號(hào)測(cè)試權(quán)限不能只靠配置完成后“看起來(lái)差不多”。它必須測(cè)試。最簡(jiǎn)單的驗(yàn)證方法是準(zhǔn)備三類測(cè)試賬號(hào)測(cè)試賬號(hào)角色驗(yàn)證點(diǎn)zhangsan銷售人員只能看到自己負(fù)責(zé)的客戶不能刪除客戶manager銷售經(jīng)理能看到團(tuán)隊(duì)客戶能分配負(fù)責(zé)人boss管理層能看全局指標(biāo)但不參與普通客戶維護(hù)然后針對(duì)同一條客戶記錄做檢查把客戶負(fù)責(zé)人設(shè)為張三用張三登錄確認(rèn)可以看到并新增跟進(jìn)記錄用另一個(gè)銷售登錄確認(rèn)看不到這條客戶用銷售經(jīng)理登錄確認(rèn)能看到并調(diào)整負(fù)責(zé)人用管理層賬號(hào)查看儀表盤確認(rèn)看到的是匯總指標(biāo)檢查手機(jī)號(hào)、金額、導(dǎo)出、刪除等敏感字段和動(dòng)作是否符合預(yù)期。權(quán)限驗(yàn)證的核心不是“頁(yè)面有沒(méi)有報(bào)錯(cuò)”而是“越權(quán)路徑有沒(méi)有被堵住”。尤其要檢查列表、詳情、儀表盤、導(dǎo)出和接口這幾條路徑是否一致。常見誤區(qū)第一個(gè)誤區(qū)是把管理員當(dāng)成權(quán)限設(shè)計(jì)。管理員只是系統(tǒng)維護(hù)角色不應(yīng)該替代業(yè)務(wù)角色。真正的業(yè)務(wù)權(quán)限要從銷售、經(jīng)理、財(cái)務(wù)、管理層這些職責(zé)出發(fā)。第二個(gè)誤區(qū)是只控制菜單不控制數(shù)據(jù)。隱藏一個(gè)菜單并不等于數(shù)據(jù)安全。如果接口、儀表盤或?qū)С鋈阅苣玫綌?shù)據(jù)權(quán)限就沒(méi)有閉環(huán)。第三個(gè)誤區(qū)是只控制記錄不控制字段。客戶記錄可以看不代表手機(jī)號(hào)、金額和敏感備注都應(yīng)該看。第四個(gè)誤區(qū)是忘記測(cè)試。權(quán)限配置越復(fù)雜越需要用不同賬號(hào)驗(yàn)證。不要只用管理員賬號(hào)驗(yàn)收企業(yè)系統(tǒng)。從權(quán)限走向流程到這里我們的客戶管理系統(tǒng)已經(jīng)有了數(shù)據(jù)表、視圖、儀表盤和權(quán)限模型。權(quán)限回答的是“誰(shuí)能看、誰(shuí)能改”。但企業(yè)系統(tǒng)還需要繼續(xù)回答另一個(gè)問(wèn)題當(dāng)一件事需要多人協(xié)作時(shí)系統(tǒng)如何推動(dòng)它一步步完成比如請(qǐng)假申請(qǐng)需要員工提交、主管審批、人事備案客戶折扣申請(qǐng)需要銷售發(fā)起、經(jīng)理審核、財(cái)務(wù)確認(rèn)。每一步都要知道當(dāng)前狀態(tài)、負(fù)責(zé)人、處理時(shí)間和歷史記錄。下一篇我們進(jìn)入工作流請(qǐng)假審批如何實(shí)現(xiàn)全過(guò)程追蹤。權(quán)限會(huì)繼續(xù)發(fā)揮作用因?yàn)榱鞒汤锏拿恳徊奖举|(zhì)上也在回答“當(dāng)前這個(gè)人能不能處理這件事”。