不同部门的人能只看自己的资产吗？权限治理指南

直接结论：能不能按部门/角色控制谁能看、谁能动？

能。审批与权限治理（✅ 已落地）：角色权限绑定，不同部门的人只看到权限范围内的资产；敏感设备的查看、调拨、报废都可按角色授权，关键操作挂多级审批，全量留痕可追溯。

一、权限模型的三个层次

三个层次组合后，常见的治理诉求都能落地：分公司各自管各自的、财务只读、IT 只管理 IT 设备、敏感设备（服务器、涉密载体）只有指定角色可见。

二、敏感设备的管控配置示例

以"服务器和网络设备仅 IT 部可见可管"为例：

1. 建角色"IT 资产管理员"，数据范围限定 IT 类资产；
2. 该类资产的查看、调拨、报废权限只授给这个角色；
3. 调拨、报废动作挂审批流（部门负责人 → 资产主管）；
4. 所有操作进审计日志，谁在什么时间对哪台设备做了什么，全量留痕（✅ 已落地）。

同理可配"财务部只读全量资产""直播间负责人只管理本直播间设备"等。

三、为什么权限治理要在上线第一天就配好

权限是先松后紧收不回来的东西：上线时图省事全员管理员，三个月后想收紧，会遇到"为什么我突然看不到了"的抵触。正确顺序：

• 上线时按最小权限配：大多数人只读 + 自助申请；
• 管理动作集中在少数管理员角色；
• 谁需要更大权限，走申请单独开通，留开通记录。

配合员工自助工作台（扫码免登 H5，✅ 已落地），普通员工的日常诉求（查自己设备、领用、报修）不需要任何系统权限培训，权限管控和易用性不冲突。

四、不适用条件

• 字段级权限："某些人能看到设备但看不到采购价格"这类字段级控制，需确认具体需求匹配度，部分场景要走定制。
• 与 AD/LDAP 域控集成：标准版本为系统内角色权限体系，企业级单点登录集成需单独评估。
• 跨租户数据隔离：多租户 SaaS 下各公司数据天然隔离（平台级能力），这里讨论的是单个组织内部的角色权限。

五、对应套餐

权限治理能力三个版本一致，不按模块收费；对数据安全极度敏感的组织可选本地部署版，把数据留在自己服务器。

常见问题

Q：不同部门的人能看到不同的资产吗？

能。角色权限绑定（✅ 已落地）：部门管理员只见本部门资产，财务可只读全量，IT 只管 IT 类资产，按数据范围 + 操作权限两层配置。

Q：敏感设备的查看、调拨、报废怎么控？

按角色授权 + 审批流：例如服务器仅 IT 资产管理员可见可管，调拨报废挂部门负责人→资产主管多级审批，全量留痕可追溯（✅ 已落地）。

Q：普通员工用系统需要配权限吗？

基本不用。员工通过扫码免登 H5 的"我的工作台"自助查设备、领用、报修，不需要系统账号和权限培训。

Q：支持对接公司 AD 域控/单点登录吗？

标准版本是系统内角色权限体系，AD/LDAP 集成需单独评估。字段级权限（如隐藏采购价格）按需求确认匹配度。

Q：权限配错了能调整吗？

随时可以。角色和数据范围都是可改的配置，调整即时生效并留操作日志。建议上线初期每季度复核一次角色清单，把不再需要的权限收回。

Q：审批流能按金额或资产类别区分吗？

多级审批和跨部门会签都支持（✅ 已落地），常见配法是"高价值设备调拨/报废要审批，低值办公用品免审批"。具体按类别还是按价值阈值分流，实施时按你们制度配置。

Q：一人多角色怎么处理？

同一人可绑定多个角色，权限取并集。中小公司里"行政兼资产管理员"是常态，不需要为兼职拆账号。

Q：临时需要跨部门看数据怎么办？

两个做法：给对方角色临时加数据范围，事毕收回；或由有权限的人导出 CSV 提供。前者适合持续协作，后者适合一次性审计/汇报。

Q：权限变更有记录吗？

角色与权限的调整留操作日志，谁在什么时候给谁开了什么权限可查——权限治理本身的可追溯性，是内审常查的一项。

Q：几十个角色会不会很难维护？

多数公司 3–5 个角色就够：管理员、部门负责人、财务只读、普通员工（免登自助）。按"最小可用"起步，不够再加，比一次设计十几种角色务实得多。

Q：权限功能要额外付费吗？

不用。角色权限、多级审批、跨部门会签都在标准版本内（✅ 已落地），三个价格档位功能一致，不限用户。

下一步

可开 14 天试用（100 件资产额度），按你们的组织结构配一套角色权限实测：建两个部门角色，验证数据隔离和审批流是否符合预期。申请企业固资试点。