互联网|对权限系统的思考 |系统|思考|

编辑导语：几乎所有的管理后台都会涉及到权限的设计，权限控制是管理后台的重要功能，可以有效的提高系统的安全性，减少误操作、数据泄漏等风险的发生；本文作者对权限系统进行了思考，我们一起来看一下。

本文插图

最近入职了新公司，在申请后台权限时，发现后台没做权限系统，开通账号、分配权限必须要找运维；领导跟运维同事确定好要开通的权限，半小时之后，运维才完成账号添加和权限分配。
没有权限系统，给权限的分配和管理带来了困难；回想过去从0到1搭建权限系统，和对权限系统进行了改造升级的经历，我对权限系统有了更多的思考。
一、为什么要做权限控制？
每个企业都有自己的分工协作体系；不同岗位的员工，负责不同的工作内容；不属于岗位职责范围内的事情，员工通常不具有参与权和知情权。

垂直电商企业，运营人员的负责维护商品信息、策划和执行运营活动；客服人员负责处理客户投诉、售后问题；财务人员负责处理收支款项、查看财务数据。
运营人员不需要处理客户投诉，也不需要给客户打款，更不应该查看企业的月度财务报表。

如果每个岗位地员工都可以参与所有的工作、看到所有的信息，就会给企业的分工协作体系造成巨大冲击，导致内部管理混乱。

如果每一个员工都可以修改商品信息，商品价格可能随意变化，导致大量的订单纠纷和订单流失。
如果每一个员工都可以处理客户投诉，就会因为与客户沟通的语气不好或方法不当，导致客户产生更大的怨气。
如果每一个员工，都可以给客户打款，企业对外打款就会失控，出现严重的资金管理问题。

更极端的情况是，员工利用自己“无限制的参与权和知情权” ，进行违法的牟利活动，给企业带来致命的损害。
如员工删除数据，以掩盖工作失误，导致系统瘫痪；员工导出企业重要客户资料，高价卖给竞争对手；员工向竞争对手泄漏企业关键业务数据。
企业通过对员工在系统中拥有的权限进行控制，让不同岗位、层级的员工，只能使用和看到其职权范围内的功能和信息，以确保分工协作体系能顺畅运作，同时维护企业信息安全。
二、权限系统的适用场景
权限系统，是指对用户在系统中可操作的功能、可查看数据范围进行控制的功能模块。

通俗的解释是：权限系统通过设定不同的用户角色，再将权限分配给各个角色，控制不同的用户，能在系统中使用什么功能、查看什么信息，是企业对员工进行权限控制的工具。

设定运营人员为“电商运营”角色，并分配商品管理、订单管理、活动管理权限。
权限系统允许了运营人员查看和编辑商品信息、订单信息、活动信息，禁止了他们对财务等非岗位职责范围内的功能操作和信息查看。

并非所有的系统都需要做权限控制——只有当系统功能足够多、使用角色多样时，才有对用户进行权限控制的必要。
当更多岗位的工作内容被纳入系统时，系统使用的角色也会从单个变成多个；为了避免员工的权限不受限带来的信息安全问题，就需要分岗位进行权限控制；如上文提到的随意修改数据、泄漏重要信息等。
而当系统功能单一、或使用角色单一时，意味着系统的用户必须拥有该功能的权限，或他们的工作职责也相同，需要使用的功能也相同；此时，对用户权限进行控制没有太大意义。
三、功能权限
1. 功能权限的定义

根据员工的岗位职责，控制在系统中能使用的功能，是最常见的情况，也是权限控制最基础、最主要的部分——限制用户能使用的功能，称之为功能权限控制。