第4章 用户、角色与权限
本章讲「谁能进哪些菜单、能改哪些数据、能看到哪些价格」。权限配置错了，要么漏权限用不了，要么越权看到不该看的成本。
先明确你所在的账户空间
注册会创建一个主账户和独立的数据空间。不同主账户的商品、库存、采购、销售和财务数据相互隔离。主账户为同事创建子账户；子账户共享主账户的数据，并受分配的角色和可见范围控制。同事自行注册会创建另一个独立空间。
免费版包含 1 个主账户、0 个子账户和 50 个有效商品。在系统管理 → 账户与 Agent查看容量和管理成员。主账户也在这里创建 Agent API Key，默认只读，可按需开启业务写入。Agent 仅在连接的账户空间操作，不能管理成员或密钥。详见账户与 Agent 设置及 Agent 接入说明。
4.1 系统角色
系统按岗位内置了若干角色，不同角色登录后看到的菜单、能操作的数据、能查看的价格字段都不同。常见角色如下：
| 角色 | 默认职责 |
|---|---|
| 运营 | 统筹业务，通常拥有较广的菜单与数据权限 |
| 采购 | 供应商与供应链订单相关 |
| 销售 | 商户与销售订单相关 |
| 仓储 | 仓库全部作业 |
| 财务 | 应付应收、结算、税票 |
| 客服 | 协助商户、查看订单（不写价格/状态） |
| 商户 | 仅商家采购门户，数据限定在自身 |
由你所在空间的管理员分配角色和数据可见范围。普通成员不能自行给自己增加权限。
权限模型的四层结构——从角色到最终能看到的界面：
st=>start: 角色决定
a=>operation: ① 页面权限（菜单显隐）
b=>operation: ② 数据读写权限（字段级操作）
c=>operation: ③ 数据可见范围（供应商/商户白名单）
d=>operation: ④ 价格脱敏（无权限 → *）
e=>end: 能看什么菜单 / 能改什么数据 / 能看到哪些价格
st->a->b->c->d->e
4.2 角色与权限
权限分两层：页面权限 和 数据读写权限。
页面权限（page_*）
每个左侧二级菜单对应一条页面权限。有这条权限，菜单才显示、页面才能进。例如：
page_supply_order供应链订单page_sale_order销售订单管理page_finance_board财务看板page_warehouse_in_out入库与出库
你左侧看不到某个菜单，基本就是没分配对应的页面权限。找管理员加。
数据读写权限
部分模块在「能进页面」之外，还细分了读写与敏感字段权限，主要在供应链和销售两侧：
| 权限码 | 名称 | 作用 |
|---|---|---|
supplier_read |
供应商读 | 查看供应商 |
supplier_write |
供应商写 | 新建/编辑供应商 |
supplier_order_read |
供应链订单读 | 查看采购订单 |
supplier_order_write |
供应链订单写 | 新建/编辑采购订单 |
supplier_order_cost_read |
供应链订单采购价格读 | 查看采购成本价 |
supplier_order_cost_write |
供应链订单采购价格写 | 修改采购成本价 |
supplier_order_status |
供应链订单状态更改 | 推进订单履约状态 |
store_read |
商户读 | 查看商户 |
store_write |
商户写 | 新建/编辑商户 |
sale_order_read |
销售订单读 | 查看销售订单 |
sale_order_write |
销售订单写 | 新建/编辑销售订单 |
sale_order_price_write |
销售订单售价及折扣写 | 修改售价/折扣 |
sale_order_status |
销售订单状态更改 | 推进销售订单状态 |
商品/品牌/仓库/财务模块只有页面权限，能进页面即可读写，没有更细的字段级分化。 系统为不同岗位预置了角色，下表是常见角色默认拥有的权限（以你所在系统的实际配置为准）：
| 角色 | 典型可见菜单 | 典型数据 / 价格权限 |
|---|---|---|
| 采购 | 供应链看板、供应商管理、供应链订单、采购看板、集装箱装柜 | 供应商读写、供应链订单读写、采购价读写、状态推进 |
| 销售 | 销售看板、销售订单管理、销售退货、商户管理 | 商户读写、销售订单读写、售价折扣写、状态推进 |
| 仓储 | 仓库全部子菜单 | 通常仅页面权限 |
| 财务 | 财务看板、供应链/销售/退货财务操作、财务类型、税票 | 通常仅页面权限 |
| 客服 | 商家采购、销售订单管理（只读） | 仅查看，不写价格/状态 |
按「最小必要」原则：不该看成本的岗位，不会拥有采购价读权限。
4.3 数据可见范围
除了「能看什么菜单」，还能限制「能看哪些数据」：
- 可按 供应商 限定：某采购员只能看到自己负责的供应商及其订单。
- 可按 商户 限定：某销售员只能看到自己负责的商户及其订单。
这是「横向」的数据隔离，和「纵向」的菜单权限互补。两者都在角色/用户配置里设置。
4.4 字段脱敏
价格是最敏感的字段。系统按权限脱敏：
- 没有
supplier_order_cost_read（采购价读）权限的账号，在订单/列表里看到的成本价显示为*。 - 没有
sale_order_price_write（售价写）权限的账号，不能修改销售价/折扣。
脱敏在服务端执行，不是前端隐藏——即便直接调接口也拿不到明文价格。所以「看不到价格」是权限问题，不是 bug。
4.5 审批机制
涉及资金的订单（供应链订单、销售订单）默认走审批流：
- 开单人提交订单 → 状态变 待审批（1）。
- 审批人在「系统管理 → 待审批」看到待办，通过或驳回。
- 通过后状态变 审批确定（2），开单人再「确认下单」才进入后续履约（已下单 3）。
- 驳回则退回，开单人可修改后重新提交。
谁能审批由你的角色决定。审批中心是统一的待办入口，不用去各个订单列表翻。 不是所有订单都必须审批——是否启用审批流、由哪些角色审批，在系统配置中定。
本章小结
- 角色：运营/采购/销售/仓储/财务/客服/商户；登录后菜单与数据范围由角色决定。
- 权限两层：页面权限（控制菜单显隐）+ 数据读写权限（控制增改与敏感字段）。
- 敏感字段（采购价）按权限脱敏，无权限显示
*，且服务端强制。 - 数据可见范围可按供应商/商户横向隔离。
- 资金类订单走审批流，审批中心统一处理待办。
第一篇「认识系统」到此结束。你现在已经掌握：系统是什么（第1章）、核心名词（第2章）、模块地图与关系（第3章）、权限模型（第4章）。 下一篇「使用指南」从第5章开始，按场景教你怎么操作。