出过这么一档子事：一家做母婴连锁的客户，新来的运营在后台整理内容，顺手把「已下架」筛选里的几款奶粉直接删了，没走回收站，第二天客服接电话接到手软——客户收藏的商品全失效了。多端合一建站的后台是一个入口管所有端，权限不分清楚，一个人手滑就能波及三个端。
权限设计的基本思路：按角色，不按人
比较合理的划分是把后台操作拆成角色：内容运营只管产品和文章的增改，没有删除权或者删除进回收站可恢复；客服只能看订单和询盘，改不了价格；财务看支付流水和对账；店长级的有审批权。人可以兼职多个角色，权限跟着角色走，人员流动时只需调整角色分配，不用一个个功能重新配。很多企业图省事全公司共用一个管理员账号，出了问题连是谁操作的都查不到，日志就成了摆设。
几个容易被漏配的权限点
- 价格和库存：敏感字段单独设权，运营和客服默认不可改
- 数据导出：会员资料导出要单独授权，避免名单外流
- 消息推送：群发权限收紧到一两个人，误发比误删还难撤回
- 操作日志：全角色留痕，谁在什么时候改了什么可查
这四条里，数据导出最容易被人忽视，也最容易出大事，会员名单一旦流出去，麻烦比删几条商品大得多。
多端带来的新权限问题
端多了，还有一层「端权限」：小程序的内容分发要不要单独设人管？公众号菜单谁来维护？这些端口在多端合一建站里都归一个后台，但修改后影响的范围不同，给谁开哪一端的管理权限，应该跟组织架构对上。一家企业两三个端却只有一个全权管理员，风险比端口分权大得多，出了事还互相甩锅。权限矩阵不是配完就完事，每半年过一遍：人员变动、新功能上线，都会让旧矩阵出现漏洞。特别是接了分销、客服这些新模块之后，新功能默认给谁开，要有明确规定，不能谁先看到谁先用。
两条建议：一是上线第一周就把角色和权限矩阵定下来，白纸黑字，新人入职按矩阵开号；二是管理员账号永远只留一到两个，且绑定到具体的人。比格网络交付后台时会按客户的组织架构预配一套角色模板，权限边界清楚，手滑删库这种事故，从源头就挡住了。端权限还有个实打实的好处：责任清楚。哪端出了问题，看修改记录就知道经手人，追责和改进都有抓手，不用开会互相猜。三个人的团队也要分权限，越小越要分清，因为一个人出错所有人买单。
