角色、权限与数据范围
本页面向系统管理员，介绍柠檬ERP 的权限模型：用户通过角色获得「能做什么」（功能权限）和「能看哪些数据」（数据权限）。具体的配置操作见系统管理章节中的用户管理、部门管理、角色管理和菜单管理。
权限模型
用户 ──属于──▶ 部门
│
└──拥有多个──▶ 角色 ──▶ 菜单权限（目录 / 页面 / 按钮）
└──▶ 数据权限（全部 / 自定义部门 / 本部门 / 本部门及以下 / 仅本人）| 层级 | 控制什么 | 配置位置 |
|---|---|---|
| 功能权限 | 能看到哪些模块和页面、能点击哪些按钮、能调用哪些功能 | 系统管理 → 角色管理 → 菜单权限 页签 |
| 数据权限 | 能看到、能操作哪些部门或哪些人的数据 | 系统管理 → 角色管理 → 数据权限 页签 |
- 一个用户可以有多个角色，功能权限取并集，数据权限也取并集（范围最大的生效）。
- 角色可以停用，停用后拥有该角色的用户立即失去该角色的权限。
- 角色、菜单、部门、用户的变更立即生效，不需要用户重新登录；但页面上的菜单是在打开系统时加载的，用户需要刷新浏览器（F5）才能看到新增或减少的菜单。
菜单与按钮权限
菜单分三级：
| 类型 | 说明 | 示例 |
|---|---|---|
| 目录 | 一级目录是模块，显示在顶部导航；模块下的二级目录是侧边栏的分组 | 供应链管理；采购、销售 |
| 菜单 | 对应一个页面 | 采购订单 |
| 按钮 | 页面中的操作，没有页面，只有权限 | 新增、修改、删除、审核、导入、导出 |
在角色的「菜单权限」中勾选：
- 勾选一个页面时，会自动勾选它所在的分组和模块；
- 只勾选页面不勾选按钮时，用户只能查看，看不到新增、编辑、删除等按钮；
- 没有勾选的按钮在页面上不显示，即使通过其他方式调用也会被系统拒绝，提示「没有权限，请联系管理员」。
数据权限的 5 种范围
| 范围 | 说明 | 适用岗位举例 |
|---|---|---|
| 全部数据 | 可以查看和操作所有部门的数据 | 超级管理员、总经理、会计、仓库管理员、人事专员 |
| 自定义数据 | 只能访问勾选的部门的数据，在「数据权限」页签中勾选部门树 | 跨部门负责人、区域经理 |
| 本部门数据 | 只能访问用户所在部门的数据 | 采购员、车间主管 |
| 本部门及以下数据 | 可以访问用户所在部门及其全部下级部门的数据 | 部门经理、生产计划员 |
| 仅本人数据 | 只能访问用户本人的数据 | 销售员、项目经理、普通员工 |
数据权限如何作用于单据：
- 业务数据都记录了所属部门和所属人（通常是制单人；客户、线索、商机等为负责人；项目为项目经理）。
- 「全部数据」之外的范围，系统只显示所属部门在范围内的数据，「仅本人」还会显示本人制单 / 负责的数据。多个角色时满足任一角色的范围即可看到。
- 用户没有设置部门、而角色是「本部门」时，看不到任何按部门过滤的数据。
- 调整用户的部门后，「本部门」类数据范围按新部门计算。
- 数据权限同时影响列表、详情、统计（例如首页的本月销售额）和导出。部分只适合全局查看的统计（如首页的应收余额、应付余额卡片，经营预警待办）只对「全部数据」的用户显示；经营驾驶舱、数据大屏等汇总全公司数据的页面，也要求「全部数据」才能打开。
提示
数据权限只控制「看到哪些数据」，不影响编码、单号等唯一性校验。例如销售员 A 看不到销售员 B 新建的客户，但也不能再新建同样编码的客户，会提示「客户编码已存在」。
内置角色
系统预置了以下角色（按岗位预置了菜单和按钮权限，可在「角色管理」中调整）。所有内置角色都有员工自助、流程中心的个人页面（我的待办、发起申请、我的申请等）、费用报销和借款申请。
| 角色 | 编码 | 数据权限 | 权限范围 |
|---|---|---|---|
| 超级管理员 | admin | 全部 | 全部权限，不能被修改、停用或删除 |
| 普通用户 | common | 本部门及以下 | 所有页面只读（数据大屏除外） |
| 总经理 | gm | 全部 | 业务模块只读 + 商务智能（含数据大屏和投屏链接管理）；审核采购 / 销售订单、招聘需求、假勤、工时 |
| 采购员 | purchaser | 本部门 | 请购、询价、采购订单、采购入库退货、补货、供应商及评估、寄售结算；库存、物料只读 |
| 销售员 | sales | 仅本人 | 报价、销售订单、发货通知（不含拣货）、客户，CRM 客户、线索、商机、跟进、合同；库存、出库、价目表只读 |
| 仓库管理员 | warehouse | 全部 | 仓库全部单据与资料、采购收退货、销售出库退货、拣货、发运、工单领料与完工入库、补料发料、移动作业、数据大屏 |
| 生产计划员 | planner | 本部门及以下 | 生产计划、MRP、产能排程、工单（不含领料、报工、完工）、齐套、BOM、工作中心、物料计划属性、请购单 |
| 车间主管 | workshop | 本部门 | 工单领料、报工、完工入库，补料申请、质量检验、不合格登记、设备与维护、OEE 停机登记、模具工装 |
| 质量工程师 | quality | 全部 | 质量管理全部功能；物料、供应商、工单只读 |
| 会计 | accountant | 全部 | 财务全部功能；采购销售单据、工资表、项目核算只读 |
| 出纳 | cashier | 全部 | 收付款、预收预付、银行对账、报销借款付款；账簿、应收应付、发票只读 |
| 人事专员 | hr | 全部 | 人力资源全部功能 |
| 项目经理 | pm | 仅本人 | 项目管理全部功能（只看自己负责的项目） |
| 普通员工 | staff | 仅本人 | 员工自助、流程中心、费用报销和借款申请 |
| 供应商 | supplier | 仅本人 | 供应商门户账号专用（在供应商资料中开通），只有门户功能，只能看到关联供应商的数据 |
| 经销商 | dealer | 仅本人 | 经销商门户账号专用（在客户资料中为经销商开通），只能看到关联客户的数据 |
注意
审批流程中的审批人如果设置为「角色」（如总经理、会计），必须在「用户管理」中给对应人员分配该角色，否则该节点没有审批人，按流程设计中「审批人为空时」的设置自动通过或转交超级管理员。部门主管类审批人取「部门管理」中设置的部门负责人。
防止越权的规则
非超级管理员即使有角色管理、用户管理的权限，也受以下限制：
- 不能给任何人分配超级管理员角色；
- 不能授予自己没有的菜单权限，不能授予超出自己范围的数据权限；
- 不能修改超级管理员角色；
- 不能重置密码、修改、停用、删除超级管理员账号；
- 只能管理自己数据权限范围内的用户和部门。
免登录的投屏链接
数据大屏的投屏链接是系统中唯一不需要登录就能查看业务数据的入口，供车间、仓库的电视使用：链接只能只读查看创建时选择的大屏，不能访问其他页面和接口；只有同时拥有「投屏链接管理」按钮权限和「全部数据」数据权限的用户才能创建。链接泄露时应立即停用或重新生成。
门户账号
供应商、经销商账号是特殊的外部账号：
- 在「供应链 → 往来单位 → 供应商 / 客户」中为对方开通，账号关联到该供应商或客户；
- 登录后顶部导航只有「供应商门户」或「经销商门户」，只能看到与自己相关的订单、对账单等数据；
- 即使被误分配了其他角色，也只保留门户权限，不能访问内部业务功能。
详见供应商门户。
SaaS 多租户下的权限
开启 SaaS 模式时，每个租户（公司）的数据相互隔离：
- 平台租户（「柠檬科技」）管理租户和租户套餐；菜单、字典管理（系统字典）、参数设置、租户、服务监控、缓存监控、定时任务是平台专属功能，只有平台租户可以使用；各租户在业务字典中维护自己的下拉选项。
- 租户套餐限定租户可用的菜单。各租户的 admin 角色是该租户的管理员，菜单与套餐一致；其他角色的权限也以套餐为上限。
- 新建租户时，系统自动开通租户管理员账号（首次登录需修改密码），并复制内置岗位角色和基础数据。
- 租户停用或到期后，该租户所有账号不能登录，已登录的立即下线。
配置建议
- 先在「部门管理」中建好组织架构，并设置各部门的负责人（审批中的「部门主管」）。
- 优先使用内置角色，按需复制或微调；新建角色时先勾选页面，再按岗位职责勾选按钮。
- 为用户分配部门和角色。一个人身兼多职时分配多个角色即可。
- 用该用户（或测试账号）登录，检查菜单和数据是否符合预期。