数据范围与行级权限
本章介绍行级与字段级的权限控制，以及明细行、附件两处容易被忽略的规则。
1. 数据范围
在为模板授权时，查看、修改、删除三个操作各自可附带一档数据范围，允许组合——例如查看放宽到本部门、修改仍限制为仅本人。
| 档位 | 可操作的记录 |
|---|---|
| 未设置 | 不授予该操作的数据范围 |
| 仅本人 | 归属人为本人的记录 |
| 本部门 | 归属部门恰好等于本人所在部门的记录 |
| 本部门及下级 | 归属部门在本人所在部门这棵子树内的记录 |
| 全部 | 不限制 |
数据归属随交接变化。 行级权限按记录的当前归属判断，不是按最初的创建人。单据交接后，接手人按"仅本人"档即可看到它，原创建人反而看不到——这是预期行为，交接即转移可见性。
需要跨人查看时（例如部门主管要看全部门的单据），把对应角色的数据范围放宽即可，不必改动其他角色的配置。
采购申请人只能新增、查看和修改本人单据
本人数据范围下，周宁看不到管理员创建的采购单据
2. 字段级控制
除行级范围外，模板授权还可配置三类字段清单：
| 清单 | 效果 |
|---|---|
| 隐藏字段 | 该字段对被授权者不可见 |
| 只读字段 | 可见但不可修改 |
| 禁止导出字段 | 导出时不包含该字段 |
多条授权命中同一人时，字段级清单取交集——任一条授权允许可见，该字段即可见。这与操作位取并集、数据范围取最宽是一致的方向：合并的结果总是更宽松。
3. 明细行的插删
明细表支持使用者手动插入与删除行。这类操作有一条默认豁免：
单据的填写者本人默认可以直接插删自己正在填写的明细行，不需要单独授权——这与修改单据中的普通字段一样，属于填报本身的能力。
该豁免只针对填写时的手动操作。自动化动作要修改其他单据的明细行时，仍需通过正常的权限校验。
日常搭建应用通常不需要关注这条规则，只在明细行插删被意外拦截时才需要排查。
4. 附件权限
单据中上传的图片与附件不是可单独授权的对象，其可见性跟随所依附的记录：
| 情形 | 规则 |
|---|---|
| 业务记录中的附件 | 能看到该记录的人即可看到其附件。看不到记录时表现为附件不存在，不会提示"存在但无权限" |
| 设计阶段的素材（如模板中的标识图片） | 跟随模板本身的查看权限 |
| 尚未关联到记录的附件（刚上传未保存） | 上传者本人始终可见 |
附件权限是派生的，不需要单独维护。 只要模板与记录的权限配置正确，附件权限自然正确。
5. 配置示例
"报销经办人"只能看自己的单据，"部门主管"能看整个部门（含下级）的单据：
| 角色 | 查看 | 修改 |
|---|---|---|
| 报销经办人 | 仅本人 | 仅本人 |
| 部门主管 | 本部门及下级 | 本部门 |
两个角色的授权分别配置、互不影响。同一人若同时命中两条授权（例如既是经办人又被加入主管角色），按并集取最宽档生效。
6. 常见问题
| 问题 | 说明 |
|---|---|
| 单据交接给同事后自己看不到了 | "仅本人"档看的是记录当前的归属人。交接已把归属人改为对方，属预期行为 |
| 想让某一个人例外地看到他人单据 | 数据范围挂在授权项上，可单独对该用户添加一条查看权限并设置更宽的范围，不必改动整个角色 |
| 权限看似生效但操作报错 | 到应用日志查看具体原因 |
7. 相关章节
流程与 AI 的授权边界
流程的发起、办理和回看授权与普通历史记录入口不同。参与人经流程入口可访问相关单据，并按参与节点字段权限查看；普通历史列表仍按本章授权。发起、办理节点明确设置的字段档位可以放宽或收紧模板档位，审批和抄送仍只读。
模板新增「锁定与解锁」授权，独立于查看、修改和删除；操作锁定仍要求可查看对应记录。锁定后即使有修改权也不能普通编辑。
业务问答按来源查看权、行级范围和隐藏字段裁剪，导出另行检查；智能填报需要目标新增权限。AI 访问权不能替代业务和设计授权，见角色权限与数据边界。