高级权限场景3｜记录范围与权限诊断

OdooCC增强版场景课｜不只控制看见什么按钮，还要明确能访问哪些记录

本节学习目标

配置严格记录范围，并用目标用户权限诊断追查基础授权与角色限制的差异。

配套视频

配套视频已安排于 2026-10-24 09:00（北京时间） 公开。上线前播放器可能暂不可播放，可先学习下方完整图文。

在B站观看本节配套视频

演示准备

使用已安装相应模块的演示或测试环境，准备截图所示的虚构业务样例。配置操作由具备相应权限的管理员或维护人员进行；日常使用与结果验收再按实际岗位账号核对。界面以本次演示为例，不同版本与配置下入口可能有所不同。

业务问题

员工能打开销售应用，不代表应该访问每一张销售订单。这个场景给演示岗位配置记录范围，再用普通演示账号诊断一张不在范围内的订单。重点是把权限要求从菜单和按钮，落到具体业务记录。

操作与理解

1. 从模型权限找到销售订单

进入模型权限，可以集中查看销售订单的规则、来源角色和原生权限。尚无模型细则，不代表用户拥有全部权限；原生业务组、公司环境和通用限制仍然生效。管理员需要把这些来源一起看，才能判断实际权限。

2. 在记录范围页选择岗位角色

在销售订单的记录范围页新增规则，选择演示销售岗位。模型视角已经固定目标模型，减少配置时的混淆。规则名称应当说明业务意图，公司范围也要核对。本演示只配置隔离岗位，不修改内部用户公共角色。

3. 把销售人员范围设为演示申请人

这个演示把销售人员条件设为演示申请人，并绑定同一个演示账号，所以形成该账号的本人单据范围。这里使用的是明确指定人员的条件。如果要复用于多人岗位，需要另行核对动态规则和组织要求，不能直接复制固定人员条件。

图：把销售人员范围设为演示申请人。点击图片可查看大图；业务数据均为虚构样例。

4. 严格域与柔性筛选有不同作用

严格记录域会收紧服务端访问范围。柔性限制主要影响常规搜索，不能作为数据隔离依据。只是在搜索栏默认显示本人订单，并不能证明别人通过单据编号或接口访问不到其他订单，验收时必须区分这两种作用。

5. 诊断选择用户、公司和样例订单

打开用户权限诊断，选择演示申请人、当前公司，并指定样例订单。诊断使用目标用户的非超级权限环境，只解释配置和记录范围，不会创建或修改业务数据。公司必须属于目标用户允许的范围，条件变化后需要重新诊断。

图：诊断选择用户、公司和样例订单。点击图片可查看大图；业务数据均为虚构样例。

6. 原生允许，访问角色拒绝

结果显示，样例订单的读取和修改在原生检查中允许，但角色范围拒绝，因为销售人员不符合演示规则。删除则由原生权限拒绝。这样的分层结果，帮助管理员区分基础授权与岗位限制，不必把所有问题都归结为菜单看不见。

图：原生允许，访问角色拒绝。点击图片可查看大图；业务数据均为虚构样例。

7. 诊断解释配置，验收验证业务

诊断还列出公共角色、岗位角色和规则来源，方便追查。一个样例的结果不代表所有记录，创建也只是配置检查，新记录仍要符合业务校验。上线前应覆盖本人、其他人员、多公司及不同操作，完成真实岗位验收。

结果核对

• 本演示把销售人员条件固定为演示申请人，不是多人岗位的动态本人规则。
• 样例订单原生允许读取和修改，但角色记录范围拒绝；删除由原生权限拒绝。
• 诊断使用目标用户的非超级权限环境，指定公司必须在其允许范围内。

使用边界

严格域收紧服务端访问，柔性筛选主要影响常规搜索。一个样例不能替代本人、他人、多公司、创建、读取、修改和删除的完整验收。

动手练习

准备范围内与范围外各一张测试单据，用同一普通账号分别搜索和按编号直接访问，再核对修改、删除结果。不要将本例固定人员条件直接复制给多人岗位。

老赵的实践建议

先明确岗位职责，再配置、诊断和验收，最后保留变更依据。权限方案要能解释来源、验证效果，并能够交接维护。

如需体验本节场景，可通过OdooCC官网“服务与合作”联系老赵领取演示账号。