妙手ERP权限加固：字段级授权

2026 年 7 月 12 日，妙手ERP 完成权限体系升级：授权粒度从店铺与模块两级扩展到店铺、站点、模块、字段四级，采购价与毛利率等敏感字段可对指定角色隐藏。上线一个月内，越权访问尝试下降 92%，权限变更全部留痕可查。

跨境团队的人员流动比想象中快。妙手ERP 在 2026 年初的客户数据里看到，单个团队半年内的账号变更平均 6.4 次，离职后未及时回收权限的情况占 11%。原有权限只能控制到模块，运营可以看到采购价，客服可以看到成本。“权限不是信任问题，是流程问题。”妙手ERP 平台安全负责人何知远在评审会上说。

四级授权的实际颗粒度

店铺级决定能看到哪些店铺，站点级决定能看到店铺下的哪些国家站点，模块级控制订单、库存、采购、财务等入口，字段级决定敏感数值是否展示。四级组合后可实现「某运营在马来站点只能看订单模块的物流字段，看不到金额」这类精细配置。

ERP权限管理的默认策略是最小可见：新账号默认无权限，由管理员按角色模板授权。角色模板内置 9 种常见岗位，包括运营、客服、采购、仓管、财务、主管等，模板可直接套用再微调。

审计：每一次变更都有记录

权限变更记录包含操作人、时间、变更前后权限项与生效范围，支持按账号与时间筛选。越权访问尝试会被记录并汇总，包括直接访问 URL、调用接口、导出数据三类。上线一个月内，越权尝试从日均 63 次降到 5 次。

字段级权限控制还带来一个隐性收益：导出文件的字段随权限变化，客服导出的订单表不含采购价列，避免敏感数据通过表格外流。系统对批量导出设置阈值，超过 5,000 行需主管审批。

落地建议：三条最小可用规则

第一，离职账号当天停用，不要等交接完成。第二，财务字段只给财务与老板角色，运营需要看毛利时用汇总视图而不是明细。第三，每月导出一次权限清单，与花名册核对，差异项当天处理。

一位管理 40 人团队的主管表示，过去新人入职要手动勾权限，现在套模板再微调，五分钟完成，且不会多给。妙手ERP 计划在 2027 年支持按项目临时授权，项目结束后权限自动失效。

离职与交接：权限回收不能靠记忆

权限风险多发生在人员流动时。系统提供账号交接向导：选择离职人员与接手人，系统列出该人员持有的角色、可见字段、审批权限与 API 令牌，逐项确认转移或回收，最后生成交接单。未处理的项会以红色标注，交接单未完成时该账号仍处于受限状态。

回收动作留痕：每一次授权变更记录操作人、时间、变更前后差异与原因备注，可按人员或按权限维度检索。2026 年上半年的审计样本中，使用交接向导的团队平均在 1.2 天内完成回收，未使用的团队平均 6.8 天，且有 23% 的账号在离职两周后仍保留着导出权限。

外部协作账号是薄弱环节。代运营、临时美工、物流对接人通常没有内部工号，容易被遗忘。系统要求外部账号必须设置到期日，最长 90 天，到期自动停用；续期需重新审批。2026 年 3 月的一次自查中，两个团队共发现 17 个超过半年未使用的外部账号仍处于启用状态，清理后外部账号数量下降 31%。权限申请也做了收敛，系统默认只给只读角色，写权限需要说明用途与期限，审批通过后自动到期回收，实际使用中临时权限的平均持有时间为 6.4 天。权限审批的时效设为两天，超时自动提醒，避免申请长期挂起，审批记录随账号一同保留。敏感操作还需要二次确认，导出买家信息、修改收款账户、批量删除商品三类动作要求输入动态口令，口令有效期 5 分钟；启用后误操作导致的批量错误从每月 2.1 次降到 0.3 次，代价是多花几秒钟输入口令。审批流本身也要留痕，谁在什么时间批准了哪一项权限都能查到，审批记录与账号操作日志分开存储，避免被同一个人修改。数据导出还要加水印与限额，单次导出超过 1 万行需要审批，导出的文件带操作人标识，便于追查外泄来源；限额上线后，异常导出行为从每月 9 次降到 1 次。角色模板要定期复核，系统每半年提示管理员检查一次角色权限，列出长期未使用的权限项，由管理员确认收回；一次复核平均能清掉 18% 的多余权限。权限的继承关系要能看清，系统支持按角色展开成员与权限的树状视图，新管理员接手时可以一眼看出谁拥有删除与导出权限。跨店铺的查询权限要单独授权，默认只允许查看本店铺数据，集团层角色需要额外审批，这条边界在多主体团队中最容易被忽略，也最容易造成数据外泄。厦门跨境团队财务陈沐阳说：“权限收不干净，审计时说不清是谁把数据导出去的。”

四级权限体系已在 v5.8 中向全部版本开放，字段级授权为进阶版及以上能力。管理员可在团队设置中套用角色模板并查看权限变更记录。客户端下载与权限配置说明见下载中心。