OdooCC 权限管理

OdooCC 权限管理

用访问角色统一管理用户、Odoo 原生用户组、记录范围和界面限制。

本模块面向需要岗位分工、数据分层和权限审计的 Odoo 18 企业。它保留 Odoo 原生用户组、ACL、记录规则和多公司隔离作为安全底座，再通过中文访问角色集中配置高频限制。

为什么需要访问角色

当企业需要“销售经理拥有销售权限但看不到成本”“审计人员只能查看不能导出”“不同岗位只能操作指定范围订单”时，通常需要同时维护用户组、ACL、记录规则和继承视图。访问角色把这些限制收拢到一个可复用、可审计的岗位配置中。

• 按岗位复用：一个角色可绑定多个用户，一个用户也可叠加多个角色。
• 统一收紧：集中管理模型、记录、字段、菜单、按钮、页签、搜索和 Chatter。
• 精确回收：记录原生组授予来源，保护用户在分配角色前已经拥有的组。
• 配置迁移：通过版本化 JSON 完成检查、导入、导出和留档。

核心能力

访问角色与原生用户组

访问角色可以向成员授予允许配置的 Odoo 原生业务用户组，再叠加本模块中的字段、记录和界面限制。用户加入或移出角色、角色停用或组配置变化时，模块通过 Odoo ORM 同步关系，不直接写原生关系表。

• “组授予来源”记录每个角色向每个用户授予的原生组。
• “分配前已拥有”表示该组不是角色首次授予，移除角色时不会误删。
• 多个角色共同授予同一组时，只有最后一个有效来源移除后才判断是否回收。
• 超级管理员、核心身份组、隐藏技术组和高风险组不能通过访问角色自动授予。

带公司范围的角色只在当前公司匹配时生效。为了避免将公司限制错误扩大成全局权限，带公司范围的角色不能同时绑定原生用户组。

记录范围：严格与柔性

管理员可使用 Odoo 域条件编辑器选择字段、运算符和值，不必完全依赖手写表达式。目标模型和条件字段自动级联，减少跨模型误配。

• 严格记录域：在搜索、读取、修改和删除等服务端路径校验范围，并与原生 ir.rule 求交集。
• 柔性限制：在常规搜索中缩小工作列表，用于体验优化，不替代正式安全规则。
• 操作开关：分别配置范围内是否允许读取、创建、修改和删除。
• 多角色合并：匹配多条限制时按收紧方向合并，部署前应验收叠加效果。

字段、按钮、页签与搜索

字段规则会根据目标模型只显示该模型的字段，可隐藏整列、设为只读或界面必填，并控制关系字段打开、快速创建和“创建并编辑”。按钮、表单 page 页签、看板链接、预置筛选和分组可以按技术名称或显示文字匹配。

“元数据目录”支持扫描模型视图和搜索视图，提取视图类型、节点类型、技术名称、显示文字和匹配键，帮助管理员减少直接阅读 XML 的工作。

推荐配置流程

1. 先确认用户需要的原生业务组、ACL、记录规则和公司访问权。
2. 按岗位创建访问角色，选择用户和允许授予的业务组。
3. 配置只读、菜单、导入导出等通用边界。
4. 配置模型权限、记录范围和敏感字段。
5. 最后优化按钮、页签、搜索和 Chatter 等界面入口。
6. 使用普通测试用户验证列表、表单、批量操作、直接链接、多公司和角色叠加。

权限与安全边界

• 访问管理管理员可维护角色、规则、元数据和 JSON；审计员只能查看。
• 模块只收紧用户已有权限，不扩大原生用户组、ACL、记录规则和多公司权限。
• 界面隐藏用于减少误操作，不等于数据安全；敏感字段仍需字段组，敏感记录仍需 ACL 和 ir.rule。
• 隐藏开发者入口不等于撤销技术权限，禁止登录也不替代企业身份认证和离职流程。
• Odoo 或业务模块升级后，应重新扫描视图并回归验证按钮、报表和动作。

当前兼容：Odoo 18；许可证：AGPL-3；技术名称：occ_access_management。

安装前准备

• 适用 Odoo 18，依赖 base、web、mail 和 base_import。
• 安装或升级前备份数据库和附件目录，并先在生产副本中验证。
• 确认现有自定义 ACL、记录规则、视图继承和多公司规则，避免误判角色叠加效果。

安装

1. 将模块目录放入 Odoo addons_path。
2. 更新应用列表，安装 occ_access_management。
3. 在用户访问权限中，将权限管理员加入“OdooCC 权限管理 / 访问管理管理员”；只读审计人员加入审计员组。
4. 按岗位建立访问角色，并使用普通测试用户完成验收后再绑定生产用户。

升级与回滚

升级模块后，重点验证访问角色与原生组同步、组授予来源、严格记录域、导入导出、列表隐藏列、按钮页签以及多角色叠加。发现异常时停止生产操作，恢复升级前数据库和附件备份；不要只替换回旧代码而保留新数据库结构。