权限引擎

引擎定位

权限引擎把「能进哪个菜单、能看哪几行、能改哪个字段、能点哪个按钮」收束到可配置的规则，而不是散落在各业务页面的硬编码。基于组织引擎的部门与任职，数据范围可按本部门、本部门及下级等边界裁剪；流程节点、报表大屏与字段级控件共享同一套授权语境，满足制造企业多角色、多工厂的管控要求。

与双智能体配合时，设计态与运行态能力仍受权限约束：智能体不能绕过组织范围去改不该改的数据。审计留痕支持事后追责与合规检查。授权随任职生效日切换，兼岗、借调、代理应显式建模并设期限，避免「先开着方便」变成永久超额权限。

适用场景

• 菜单授权与数据行权限分裂，能进页面却看见全公司数据，或相反——该看的行被裁没了
• 字段与按钮控权靠前端隐藏，接口层未统一校验，存在绕过风险，审计时无法证明最小权限
• 流程节点审批人与功能权限两套体系，调岗后出现「能批不能看」或「能看不能批」
• 报表与大屏权限粗放，敏感经营数据扩散到不必要的角色，或现场大屏与办公室口径不一致
• 临时代理、项目组授权无到期回收，权限债务越积越多，离职与调岗后仍可越权

能力要点

• 功能 / 菜单授权RBAC 菜单与功能点授权，角色可组合为岗位级权限包。制造多角色（计划、仓管、质检、销售）可按最小权限装配，而不是复制管理员。
• 数据范围按本部门、本部门及下级、自定义组织范围等裁剪列表与单据可见行。菜单能进不等于数据能看全——行级范围与组织任职绑定。
• 字段与按钮表单/列表字段只读或隐藏、按钮可见可控，且前后端规则一致。禁止「前端藏按钮、接口仍可改」的假安全，提交侧必须同样校验。
• 流程与节点流程办理、转办与节点字段编辑权仍受权限与组织解析约束。智能体建议与代理操作同样不能绕过节点授权与数据范围。
• 报表与大屏报表、驾驶舱展示范围可授权，敏感经营指标按角色收敛。现场大屏与管理驾驶舱共用授权模型，避免敏感数据因投屏扩散。
• 审计与回收关键授权变更与敏感操作可追溯；代理、项目组与临时授权设到期并定期清理，抑制权限债务在调岗与项目结束后残留。

与其他引擎协同

典型断点

推进与验收

• 以「同一角色、同一单据」做列表、详情、导出与办理接口四方对比抽检，差异即缺陷
• 调岗生效日场景：旧部门行不可见、新部门行可见，待办与历史单据可见性策略可解释
• 代理与临时授权到期后自动失效或有回收工单；审计日志能追到授权人与变更原因
• 智能体设计态/运行态试点账号按最小权限装配，演示越权请求被拦截
• 报表导出、大屏投屏、移动端办理三类入口同一角色范围一致
• 抽检 SRM 门户账号与内部采购角色对同一订单行的可见字段差异符合设计
• 月结、发薪、大盘点窗口禁止批量权限变更，除非有回滚预案与值班安排

实施分期

• 一期：岗位级角色包模板、菜单与行级范围基线、审计日志开启
• 二期：流程节点办理权、字段级规则、导出/接口抽检用例
• 三期：门户与多产品联调、临时授权回收机制、权限债务清理节奏

制造落地提示

QMS 质检员、WMS 仓管、MES 班组长、SRM 采购员往往一人多角：权限包宜按岗位模板装配，兼岗时显式叠加数据范围而非复制管理员包。供应商门户账号与内部采购角色对价格、图纸、订单行的可见性要在验收清单中单列。成本与薪酬字段即使 UI 隐藏，也须在接口层拦截，防止导出泄露。

不适用场景

• 希望用权限引擎替代流程编排或业务状态机——节点顺序与业务规则仍由流程与表单承担
• 拒绝组织主数据治理却要求精细到人的动态授权——应先有任职与生效日
• 将「超级账号」作为长期运维手段——应使用可审计的临时授权与到期回收
• 仅靠培训要求员工「自觉不看」——系统必须能证明不可见、不可导、不可办

产品落地

• EHR：权限包随任职生效日切换，兼岗代理可回收
• SRM：采购组织数据范围与供应商门户分权
• CRM：销售组织行级可见与价格字段保护
• 双智能体：问数与改配均不绕过授权模型
• 案例：权限随任职切换抽检
• 洞察：权限随任职继承，兼岗如何收回