# S03 · 员工授权与数据访问边界

状态：**业务评审草案 v0.11 / draft**。更新日期：2026-10-15。
来源：PRD 2.1、2.5、5.1、9.3、9.4；C-04、C-08、C-13–C-16；A5。
依赖：S01。

## 问题与目标

员工只在获授权的公司、小区和业务范围内办事，离职撤销员工权限时不误伤其住户身份。

## 使用者与需求

- 授权管理员：给员工配置业务动作及数据范围。
- 处理人员：只查看处理所需的信息。
- 管理员：离职后将未完成任务交给有权跟进的人。

## 一期范围

- PC 员工管理与授权、小程序员工访问、脱敏、权限撤销及逐单交接。

## 业务规则与确认状态

- 【本轮用户确认，2026-10-15】平台指定首个物业管理员的手机号并开通；物业管理员按手机号添加其他员工，分配可管理的小区和操作权限；对应手机号的本人账号登录后获得相应管理或员工入口。
- 【本轮用户确认 C-15，2026-10-15】派单、改派权限由物业管理员授予指定员工；只有维修处理权限的师傅不自动获得派单、改派权限。操作仍限于其获授权的小区及业务范围。
- 【本轮用户确认 C-16，2026-10-15】普通报修已提交维修结果、住户未确认时，PC 后台人工关单权限由物业管理员单独授予指定员工；派单、改派和维修处理权限均不自动包含关单权限。仍在获授权的小区及业务范围内操作。
- 【PRD 已定】角色 × 数据范围；员工可兼任；历史环节记录实际操作人，不要求每环节不同人。
- 【PRD 已定/议混合】公司、小区、业务类型、动作共同判定；投诉需额外授权；按 PRD 原标记等待完整矩阵确认。
- 【本轮用户确认 C-13，2026-10-15】师傅可查看派给自己报修任务中报修人的完整手机号；用户针对这次维修提交的投诉对涉事师傅本人不可见。能看报修电话不代表能看投诉，投诉处理授权也不能向涉事师傅开放该投诉。
- 【PRD 已定，按本轮 C-13 细化】其他敏感信息按授权脱敏；派给本人任务中的报修人完整手机号可直接查看，无需另授电话明文资格；导出不能由可读自动推导。
- 【PRD 已定/议混合】离职立即撤销员工身份及权限；保留有效住户身份与历史操作人；逐单改派，不做批量移交。
- 【本轮用户确认 A2，2026-10-15】待处理任务改派后保持待处理；处理中任务改派后回到待处理，新师傅点“开始处理”后进入处理中；已提交结果、待住户确认的任务保留待确认状态和已有结果，只更换跟进人。原有处理记录全部保留。离职后逐单交接沿用相同状态规则；已关闭/已取消不因交接回退。找不到接手人的名单与责任安排仍见 S03-D02。

- 【本轮用户确认，S11】本 spec 权限控制后台维护及非公开业务；任何人作为访客可读任意所选小区的已发布物业通知。未获该小区后台写权不影响公共阅读，公共阅读也不授予后台权限。

- 【本轮确认】S12 公示权限/审核功能延期；S13 信息牌维护复用已有后台小区内容维护权限，所有人公开阅读不校验住户身份。

## 操作前提与业务对象

- 物业已开通，首个管理员可使用本公司管理域。
- 完整角色/动作/范围/敏感字段矩阵待 A5、C-04、C-14 及其他状态的结束范围确认；C-16 本场景后台关单独立授权已确认；C-15 派单、改派授权方式已确认；C-13 本人被派任务的报修人完整手机号已确认可见；不得用口语身份替代权限规则。

下列“入口”描述业务上的操作位置，不预设最终菜单名或页面布局。`基线`沿用源文档；`待同步`仍需 PRD 同步；`条件/待裁决/候选`不能视为已批准；`补充建议`为本次新增的待确认细节。主流程中遇到相应条件未定，即表示该分支尚未具备实现依据。

## 用户主流程

| 步骤 | 给谁操作 | 在哪里 | 用户操作 | 可观察结果 / 状态 | 依据与确认等级 |
|---|---|---|---|---|---|
| S03-M01 | 物业管理员 | PC 员工管理 | 按手机号添加本公司员工，并分配可管理的小区和操作权限 | 对应手机号的本人账号登录后获得相应员工入口；入口内动作按已分配权限 | 本轮用户确认；S03-D01 |
| S03-M02 | 授权管理员 | 授权设置 | 指定角色、公司/小区、业务类型与动作 | 可将派单、改派权限授予指定员工，维修处理权限不自动包含；后台关单另行授予，不随派单/改派授予；其他角色/动作矩阵继续评审 | 本轮确认 C-15/C-16；其余 A5/C-04 |
| S03-M03 | 员工 | 小程序员工视图/PC 功能域 | 访问任务、档案或内容入口 | 按有效授权返回业务和字段，不把列表可见当成所有动作可用 | 基线：PRD 2.5；完整矩阵 A5 |
| S03-M04 | 当前被派师傅 | 被分配报修任务详情 | 查看作业位置与报修人电话 | 可查看本任务报修人完整手机号；用户针对此次维修的投诉对涉事师傅不可见 | 本轮用户确认 C-13；S10 投诉隔离 |
| S03-M05 | 管理员 | 员工离职/调岗办理 | 撤销员工身份或相应授权 | 新员工操作不再允许；住户身份和历史操作人保留 | 基线：PRD 9.3；具体状态 R07 |
| S03-M06 | 管理员 | 待重新分配/待跟进任务 | 逐单指定接手员工或跟进人 | 待处理保持待处理；处理中回待处理，新师傅开始后进处理中；待确认仅换跟进人并保留结果，终态不回退 | 本轮用户确认 A2；无接手人分支 S03-D02 |
| S03-M07 | 获准查看者 | 权限变更记录入口（若纳入） | 查看授权变动 | 仅按批准 C-08 范围展示；未纳入不能承诺此页面 | 候选：C-08 |

## 异常与分支处理

| 分支 | 触发情况 | 系统或业务处理 | 用户/办理者下一步 | 状态与历史影响 | 依据与确认等级 |
|---|---|---|---|---|---|
| S03-E01 | A 小区管理员尝试管理 B 小区 | 按 B 的授权拒绝该动作 | 联系 B 的授权人员 | B 任务/权限不改变 | 基线：PRD 2.5 |
| S03-E02 | 涉事师傅访问本次维修投诉，或其他人员查询未获准投诉/敏感信息 | 拒绝相应内容，不能仅前端遮挡；派给本人报修任务的报修人完整手机号属于已获准范围 | 投诉由获授权且非涉事师傅的人员处理 | 投诉不通过维修列表、详情、附件、回复或提醒向涉事师傅展示 | 本轮用户确认；PRD 2.5/第 6 章 |
| S03-E03 | 员工被撤权后在旧页面提交动作 | 重新按当前有效授权拒绝 | 刷新身份或由新负责人接手 | 历史仍保留原操作人，不凭旧页面补写动作 | 基线真实撤权；恢复方式 S03-D01 |
| S03-E04 | 离职员工名下既有未完又有终态任务 | 待处理仍待处理，处理中改派后回待处理；待确认保留结果只换跟进人；终态不回退 | 管理员逐单安排；无接手人见 E05 | 处理记录和原操作人保留，跟进归属可核对 | 本轮用户确认 A2；原终态保护 |
| S03-E05 | 没有合适接手人 | 候选：保持管理员可见的未分配/待跟进名单，禁止假装已交接 | 管理员指定获准接手人 | 原处理成果和未完成状态保留 | 补充建议：S03-D02 |
| S03-E06 | 授权变更与派单/发布同时发生 | 候选：操作执行时校验有效授权，不沿用失效许可 | 重新查询实际结果后由有权人办理 | 并发判定顺序与拒绝结果需明确 | 补充建议：S03-D01 |

异常表对能够从基线确定的处理给出明确结果；无法确定的分支给出候选或明确缺口。没有写成定稿的恢复动作，不由开发者自行补成业务选择。

## 待确认与实现阻塞

- C-04：人员类别与可兼任权限角色的两个维度及正式命名未定；不采用“老板/自己人/非自己人”为正式角色。
- C-15 已收口：物业管理员授予指定员工派单、改派权限，维修处理不自动包含；C-03 已确认已提交结果但住户久未确认时只提醒，由 PC 后台手动关闭；C-16 本场景已确认：后台关单由物业管理员单独授予指定员工，派单/改派/维修处理均不自动包含；其他状态的强制结束仍待评审。公示发布随 S12 后置。
- C-13 已收口：派给本人报修任务的报修人完整手机号直接可见；该次维修投诉对涉事师傅不可见。其他敏感字段、其他人员权限及转交范围仍按 A5 继续评审。
- C-14：一期是否完全不做导出未定；C-08：权限变更记录及专属页面未定。
- A5：投诉权限、各端各字段脱敏及导出范围仍缺完整矩阵；A2 改派状态已确认，离职逐单交接沿用同一规则；找不到接手人的责任安排 S03-D02 仍待明确。


### 本次补充的细节待确认

| 本 spec 补充编号 | 需要确认的具体细节 | 受影响位置 |
|---|---|---|
| S03-D01（开通关联已确认） | 员工按手机号由物业管理员添加并分配小区、操作权限，本人账号登录后获得入口；撤权校验与恢复交互仍需细化，并发实现交技术设计，不因确认开通而批准其他未决权限。 | M01；E03/E06 |
| S03-D02 | 找不到接手人时谁负责、放在哪份名单、如何避免任务消失。 | E05 |

## 验收标准与完成条件

### 可逐条核对的验收条件

以下编号稳定用于评审与后续测试追踪；“给定—当—则”只验证用户能观察的结果。条件验收须先批准对应规则；“未决验收占位”表示目前还没有完整预期，不能宣称通过。

| 编号 | 给定前置条件 | 当用户/办理者操作 | 则应观察到的结果 | 验收依据 / 生效前提 |
|---|---|---|---|---|
| S03-AC01 | 员工 A 小区管理、B 小区仅处理 | 尝试 B 派单或人员管理 | 不能从 A 继承 B 管理权限 | 基线：PRD 2.5 |
| S03-AC02 | 师傅是该次维修的涉事人，即使另有一般投诉处理权限 | 查询该次维修投诉的列表、详情、附件、回复或提醒 | 该投诉对其不可见，不返回投诉内容；普通维修人员也不因报修权限取得其他投诉权限 | 本轮用户确认；PRD 第 6 章 |
| S03-AC03 | 当前被派师傅，未另授电话明文资格 | 查看分配给自己的报修任务详情 | 可查看本任务报修人完整手机号；其他未授权字段仍按权限脱敏，不因本条扩大查看范围 | 本轮用户确认 C-13；PRD 2.5 |
| S03-AC04 | 有效住户兼离职员工 | 离职后使用两种身份 | 员工动作被拒绝，其他有效住户服务可继续 | 基线：PRD 9.3 |
| S03-AC05 | 离职员工名下分别有待处理、处理中、待确认和终态报修 | 获授改派权限的人员逐单指定有权接手人 | 前两类交接后为待处理，新师傅点开始后进入处理中；待确认保留状态及结果只更换跟进人；终态不回退，原处理记录/实际操作人保留 | 本轮用户确认 A2；原权限与终态保护 |
| S03-AC06 | 待确认维修结果的报修；A 员工只有派单/改派/维修处理权限，B 另被管理员授予本范围后台关单权限 | A/B 从 PC 后台或小程序尝试代住户关单 | A 无关单权限被拒绝；B 可在获授权范围 PC 后台按实际情况在 7 天前或之后手动关闭；小程序无此类操作，记录实际操作来源 | 本轮确认 C-03/C-16：独立授权、后台操作及 7 天参考 |
| S03-AC07 | 导出范围决策已批准 | 尝试导出列表或明文 | 若一期无导出，不存在可用导出；若有，校验独立授权和字段范围 | 条件：C-14/A5 |
| S03-AC08 | 物业管理员为员工手机号分配了 A 小区及指定操作权限 | 对应手机号的本人账号登录后访问员工入口 | 获得入口并可执行已分配操作；未分配的小区或操作不因员工开通而自动放行 | 本轮用户确认：员工开通关联；原有授权边界 |

| S03-AC09 | 员工只有维修处理权限，或已获管理员授予指定范围的派单/改派权限 | 尝试派单或改派 | 仅维修处理权限时拒绝；已获相应授权时允许在授权范围内操作，不扩大到其他小区或业务 | 本轮用户确认 C-15；原有数据范围边界 |

### 本 spec 完成的判断

- **文本评审完成**：使用者/目标、范围、主流程、异常和验收均有对应描述；本 spec 的待确认项被明确归类，没有把未知结果藏在“正常处理”中。
- **需求定稿完成**：当前“一期范围”中每个待决业务分支有明确选择；每个条件验收落实为确定前提与预期；未决占位被补齐或范围经明确批准调整。不得仅把条件段删除来宣称完成。
- **功能实现完成**：相关住户、员工、PC 路径按已批准范围贯通，适用基线与已生效条件验收逐条通过；越权/异常分支、状态和历史可核对。文档新增表格不表示功能已实现或测试已通过。
- **交接完成**：留下实际验收记录及未完事项；其他 spec 的必要权限/身份/收费/可见范围合同一致，没有只让主流程通过而遗漏关键分支。

## 不在本 spec 内

- 批量移交工具、未裁决的新角色体系和审计页面。

## 后续开发切片建议

1. 授权一名员工处理一个小区事项，并验证跨公司拒绝。
2. 补齐投诉、明文、发布等访问矩阵后，验证拒绝与允许场景。
3. 离职撤权并逐单交接，不改写历史。

开发切片须贯通相关界面、业务处理与可观察结果；不要拆成孤立的“先全部建表，再全部接口，再全部页面”。以上是顺序建议，不是已发布任务。

## 技术设计边界

本 spec 不预设数据库结构、接口地址、模块路径、状态落库方式或测试框架。规则批准后，再结合现有代码和技术约束形成设计与开发任务；验收验证外部行为、权限拒绝与关键边界，避免只测试实现细节。

文档覆盖检查见 [17-规格完整性检查.md](../specs/17-规格完整性检查.md)。

确认等级、全局边界与来源处理见 [00-拆分总览.md](../specs/00-拆分总览.md)；决策追踪见 [16-决策与覆盖矩阵.md](../specs/16-决策与覆盖矩阵.md)。