聚水潭架构演进权限审计：操作留痕到字段级

2026年4月13日，聚水潭完成权限体系的架构演进。新体系支持角色、数据范围、字段三级授权，商家可精确控制某个岗位能看到哪些店铺、哪些字段，敏感字段的修改会留痕到字段级。审计日志保留期从180天延长到365天，支持按人、按单据、按字段检索。

权限设计得好不好，平时看不出来，出事时一目了然。客服能看到成本价、离职员工还能登录、仓管能改价格，这些都是常见隐患。聚水潭平台架构负责人顾行舟说：“权限不是防君子，是防万一。该看到的人看得到，不该看到的一个字段都不给。”

三级授权：角色、数据范围、字段

角色决定能做什么，系统内置老板、运营、客服、仓管、财务等12个预设角色，也可自建。数据范围决定能看哪些数据，可按店铺、仓库、渠道、品类设置，支持“本人负责”“本部门”“全部”三档。字段权限决定能看到哪些字段，成本价、毛利、供应商报价等敏感字段默认不对非财务角色开放。

三级授权可组合使用。例如某客服角色只能看旗舰店的数据范围，且成本价字段不可见，退款金额超过500元需上级审批。配置界面以矩阵呈现，勾选即生效，修改后立即应用于新会话。

字段级留痕与365天审计日志

所有敏感字段的修改都会记录修改前值、修改后值、操作人、时间与来源IP，形成字段级快照。商家可按字段检索，例如查看某商品成本价最近半年的所有变更，定位是谁在什么时候改的。批量导入同样逐条留痕，不会只记一条“批量修改”。

审计日志保留365天，支持导出为标准格式供外部审计使用。日志本身不可修改，且只有具备审计权限的角色可查看。灰度期间，共有3家商家利用日志定位到内部价格篡改行为，及时止损。

与审批、告警联动

高危操作可配置审批流，例如修改成本价、批量导出订单、删除商品。触发后系统先冻结操作，推送审批请求给指定角色，审批通过才执行。审批记录与操作日志关联，形成完整链路。

系统还提供异常行为告警，例如同一账号在异地登录、短时间大量导出、非工作时间修改价格，触发后立即通知管理员并可选择自动锁定账号。顾行舟表示，下一阶段会把权限使用情况做成报表，帮助商家定期做权限清理。

权限模型分为角色、数据范围与字段三级。角色决定能执行哪些操作，例如“订单专员”可审单但不能改价；数据范围决定能看哪些数据，可按店铺、仓库、渠道、区域组合限定；字段级权限则控制成本价、毛利、供应商底价等敏感字段的可见性。系统内置23个常用角色模板，商家可复制后微调。所有权限变更都记录操作人、时间与前后差异，支持按人、按角色、按时间段回溯。灰度期间，一家拥有260个账号的商家把权限复核周期从季度缩短到月度，异常授权发现时间从平均11天缩短到1天。

权限与审批、告警联动之后，越权操作的成本明显上升。修改成本价、批量导出订单、调整审单规则三类高风险动作需要二级审批，审批人按角色自动匹配；同一账号在异地登录、短时间大量导出、非工作时间改价都会触发告警，管理员可选择自动锁定账号并强制作废当前会话。

权限申请也做成了流程。员工在系统内提交权限申请，选择需要的角色与数据范围，系统按预设规则匹配审批人，审批通过后自动开通并记录有效期；到期未续期的权限自动回收，避免出现离职后仍能登录的情况。所有申请与审批记录可导出，用于内审与外部合规检查。

角色模板支持按行业预设。零售、分销、跨境三类商家拿到的初始角色不同，例如跨境商家默认多一个“关务”角色，分销商家默认多一个“渠道经理”角色，商家在此基础上微调即可，不必从空白开始搭建权限体系。

权限体系升级已随V8.5版本全量生效，历史角色已按预设映射迁移，商家可在“设置—权限管理”中复核。字段级留痕对全部商家默认开启。最新客户端可在下载页获取。