許可權引擎

引擎定位

許可權引擎把「能進哪個選單、能看哪幾行、能改哪個欄位、能點哪個按鈕」收束到可配置的規則，而不是散落在各業務頁面的硬編碼。基於組織引擎的部門與任職，資料範圍可按本部門、本部門及下級等邊界裁剪；流程節點、報表大屏與欄位級控制元件共享同一套授權語境，滿足製造企業多角色、多工廠的管控要求。

與雙智慧體配合時，設計態與執行態能力仍受許可權約束：智慧體不能繞過組織範圍去改不該改的資料。審計留痕支援事後追責與合規檢查。授權隨任職生效日切換，兼崗、借調、代理應顯式建模並設期限，避免「先開著方便」變成永久超額許可權。

適用場景

• 選單授權與資料行許可權分裂，能進頁面卻看見全公司資料，或相反——該看的行被裁沒了
• 欄位與按鈕控權靠前端隱藏，介面層未統一校驗，存在繞過風險，審計時無法證明最小許可權
• 流程節點審批人與功能許可權兩套體系，調崗後出現「能批不能看」或「能看不能批」
• 報表與大屏許可權粗放，敏感經營資料擴散到不必要的角色，或現場大屏與辦公室口徑不一致
• 臨時代理、專案組授權無到期回收，許可權債務越積越多，離職與調崗後仍可越權

能力要點

• 功能 / 選單授權RBAC 選單與功能點授權，角色可組合為崗位級許可權包。製造多角色（計劃、倉管、質檢、銷售）可按最小許可權裝配，而不是複製管理員。
• 資料範圍按本部門、本部門及下級、自定義組織範圍等裁剪列表與單據可見行。選單能進不等於資料能看全——行級範圍與組織任職繫結。
• 欄位與按鈕表單/列表欄位只讀或隱藏、按鈕可見可控，且前後端規則一致。禁止「前端藏按鈕、介面仍可改」的假安全，提交側必須同樣校驗。
• 流程與節點流程辦理、轉辦與節點欄位編輯權仍受許可權與組織解析約束。智慧體建議與代理操作同樣不能繞過節點授權與資料範圍。
• 報表與大屏報表、駕駛艙展示範圍可授權，敏感經營指標按角色收斂。現場大屏與管理駕駛艙共用授權模型，避免敏感資料因投屏擴散。
• 審計與回收關鍵授權變更與敏感操作可追溯；代理、專案組與臨時授權設到期並定期清理，抑制許可權債務在調崗與專案結束後殘留。

與其他引擎協同

典型斷點

推進與驗收

• 以「同一角色、同一單據」做列表、詳情、匯出與辦理介面四方對比抽檢，差異即缺陷
• 調崗生效日場景：舊部門行不可見、新部門行可見，待辦與歷史單據可見性策略可解釋
• 代理與臨時授權到期後自動失效或有回收工單；審計日誌能追到授權人與變更原因
• 智慧體設計態/執行態試點賬號按最小許可權裝配，演示越權請求被攔截
• 報表匯出、大屏投屏、移動端辦理三類入口同一角色範圍一致
• 抽檢 SRM 門戶賬號與內部採購角色對同一訂單行的可見欄位差異符合設計
• 月結、發薪、大盤點視窗禁止批次許可權變更，除非有回滾預案與值班安排

實施分期

• 一期：崗位級角色包模板、選單與行級範圍基線、審計日誌開啟
• 二期：流程節點辦理權、欄位級規則、匯出/介面抽檢用例
• 三期：門戶與多產品聯調、臨時授權回收機制、許可權債務清理節奏

製造落地提示

QMS 質檢員、WMS 倉管、MES 班組長、SRM 採購員往往一人多角：許可權包宜按崗位模板裝配，兼崗時顯式疊加資料範圍而非複製管理員包。供應商門戶賬號與內部採購角色對價格、圖紙、訂單行的可見性要在驗收清單中單列。成本與薪酬欄位即使 UI 隱藏，也須在介面層攔截，防止匯出洩露。

不適用場景

• 希望用許可權引擎替代流程編排或業務狀態機——節點順序與業務規則仍由流程與表單承擔
• 拒絕組織主資料治理卻要求精細到人的動態授權——應先有任職與生效日
• 將「超級賬號」作為長期運維手段——應使用可審計的臨時授權與到期回收
• 僅靠培訓要求員工「自覺不看」——系統必須能證明不可見、不可導、不可辦

產品落地

• EHR：許可權包隨任職生效日切換，兼崗代理可回收
• SRM：採購組織資料範圍與供應商門戶分權
• CRM：銷售組織行級可見與價格欄位保護
• 雙智慧體：問數與改配均不繞過授權模型
• 案例：許可權隨任職切換抽檢
• 洞察：許可權隨任職繼承，兼崗如何收回