导语
权限体系在工装模具管理系统里是个低调但致命的模块：设计得好，一线操作顺滑、敏感数据不泄露、责任可追溯到人；设计得差，要么车间抱怨"扫个码还要跳三个确认页"，要么出现模具图纸被外协方整库导出的事故。本篇拆解这类系统权限体系的三层结构——功能权限（菜单/按键）、数据权限（组织隔离）、操作身份（绑定到人），再讲多组织、多客户场景下的数据隔离实现，最后给出权限配置的落地清单。适合系统设计人员、实施顾问和负责数据安全审计的 IT 管理者。
一、为什么模具系统的权限比普通业务系统更敏感
先看这个系统里"谁在用、用什么数据"的特殊性：
用户构成横跨办公室与车间：模具工程师、模具主管、仓库管理员、一线操作工、机修工、外协人员、客户（模具租赁/OEM 场景下客户要查自家模具进度）、集团管理层。用户群体的数字化素养差异极大，权限设计必须在"管得住"和"用得简单"之间找平衡。
数据资产高度敏感：模具图纸、工艺参数是企业的核心技术资产——公开方案把"模具图纸/工艺参数等核心资料可设定加密访问"列为安全能力标配。这些数据一旦随系统账号泄露，损失远超模具本身。
操作直接关联资产责任：领用、归还、报修、报废每一笔操作都对应资产责任归属。操作记录不能只有"某个账号做过"，而要落到具体的人——这就是为什么公开方案普遍采用刷卡登录、双因子认证（RFID 工卡 + 人脸识别）这类强身份手段。
二、三级功能权限：菜单、按键、数据
公开方案（如"工模设备智管云"的公开能力清单）给出的三级管控结构值得作为设计基线：
第一级：菜单权限。控制用户能看到哪些模块。角色划分建议贴合岗位而非部门：模具管理员（档案/台账/盘点全权限）、仓库操作员（出入库/领用归还）、保养人员（保养单/点检单）、维修人员（维修单/备件领用）、查询角色（报表/看板只读）、系统管理员（参数/权限/字典）。原则是每个角色只开当前岗位职责内的菜单。
第二级：按键/操作权限。同一菜单内的动作细分：同为台账页面，模具管理员可"新增/编辑/封存"，查询角色只能"查看/导出申请"。这一级最容易漏配——很多系统上线后账目混乱，根源就是查询角色顺手改了不该改的字段。设计上要把危险操作（删除、状态强改、价格字段、报废审批）单独设权限点。
第三级：数据权限。同一菜单下，不同人看到不同范围的数据：车间 A 的操作员只看本车间模具，客户 A 只看自己的模具，集团管理层看全部。实现上就是查询过滤，见第三节。
三级的关系是"漏斗式"：菜单决定进不进得来，按键决定能做什么，数据权限决定看到哪部分。三层都过才出数据。
落到表结构上，经典 RBAC 五表（用户、角色、权限点、用户-角色、角色-权限）加上按键粒度的权限点编码即可支撑前两级：
user_role (user_id, role_id, org_id)
role_perm (role_id, perm_code) — perm_code 如 "mold:archive:edit"
perm_point (perm_code, perm_name, level, risk_flag)
risk_flag 标记高风险权限点（删除、状态强改、导出、报废审批），赋权时强制二次审批。这套结构的优点是权限变更只动配置不动代码，新增菜单时登记权限点即可纳入管控。
三、数据隔离：组织架构与行级过滤
四级组织模型：公开方案支持"集团-工厂-车间-工序"四级权限分配。数据落表时给业务对象挂组织路径（org_path），查询时按当前用户的数据范围做行级过滤：
— 用户数据范围: user_scope = 'SELF' | 'WORKSHOP' | 'FACTORY' | 'GROUP'
SELECT m.* FROM mold m
WHERE (u.scope = 'GROUP')
OR (u.scope = 'FACTORY' AND m.org_path LIKE CONCAT(u.factory_path, '%'))
OR (u.scope = 'WORKSHOP' AND m.org_path LIKE CONCAT(u.workshop_path, '%'))
OR (u.scope = 'SELF' AND m.owner_id = u.user_id);
多组织与集团化：公开方案明确支持多组织、多工厂架构与集团化应用场景。设计要点是"主数据集中、业务数据隔离"：模具分类、点检项目库、编码规则由集团统一维护；库存、工单、履历按工厂隔离，集团只读汇总。
客户维度隔离：模具租赁与 OEM 代工场景下，客户通过小程序/门户查询自家模具进度、使用情况、维保记录（互邦公开方案的能力项）。这类外部账号必须做成独立角色类型：只能查询、只能看授权客户名下的模具、图纸类附件默认不开放——只给状态与进度字段。
四、操作身份：把每个动作绑到人
车间端强身份：CS 端刷卡登录（公开方案：刷卡登录以便快速准确识别操作人）；高安全场景叠加双因子（RFID 工卡 + 人脸识别），责任绑定到具体操作工。设计上要坚持"一人一号、岗动号随"——杜绝班组共用账号，共用账号等于责任追溯失效。
现场辅助确认：模具室双屏设计（公开方案：内外同时显示领用归还操作情况，防止出错并共同确认）本质是把"操作归属"做成人机双确认，值得在领用归还环节复用。
审计日志：登录、单据操作、状态强改、导出、权限变更五类事件全量审计，日志含操作人、时间、终端、前后值。导出行为单独审计是模具系统的特殊要求——图纸与台账批量导出是数据外泄的主通道。
图纸与工艺参数的加密访问：附件加密存储 + 按角色授权访问 + 水印（下载带用户标识）是可落地的组合；至少要做到"图纸访问独立权限点 + 访问日志"。
五、权限配置的落地清单与常见错误
常见错误三个：① 权限按部门复制而不是按岗位设计，导致"财务经理看得到维修工单明细"这类越权；② 忘了外协/客户这类外部账号的存在，用内部账号临时借给外协——审计直接断链；③ 权限变更无审批无记录，半年后没人说得清谁有报废权限。
实操要点
- 按岗位（不是部门）梳理角色清单，每个角色对照三级权限逐项配置
- 危险操作（删除/状态强改/报废审批/价格字段/批量导出）单独设权限点
- 组织路径落库，行级过滤用 org_path 前缀匹配，先写 SQL 验证再配界面
- 外部账号（外协/客户）独立角色类型，图纸附件默认不可见
- 车间端启用刷卡/双因子，禁用共用账号；导出行为全量审计
技术总结
下一篇讲接口集成：这套系统的权限与主数据如何通过 API 与 ERP/MES 打通，确认重试与幂等设计怎么做。
