权限配置后仍无权访问的排查

现象

已经给某用户配了权限，但他仍然无法访问相应功能，或者看不到应有的数据。

四个层面

权限问题分两层：功能权限（能不能进这个菜单）和数据权限（能看到哪些数据）。

再叠加缓存和多系统因素，一共四个层面。

层面一：功能权限

检查 1：角色是否分配

用户有没有被分配角色？配了角色但没保存？

验证：打开用户详情，看已分配的角色列表。

检查 2：角色是否包含该功能

角色的权限清单里，有没有包含这个菜单/按钮？

注意：很多系统把权限细化到按钮级。有"查看"权限不一定有"导出"权限。

检查 3：权限是否被多个角色覆盖

如果一个用户有多个角色，权限可能是并集也可能是交集，取决于系统设计。

常见坑：系统设计为"取交集"，用户加了新角色反而权限变少了。

要确认系统的规则。

检查 4：是否有显式的拒绝权限

有些系统的权限模型支持"拒绝"（deny），优先级高于允许。

如果某个角色配置了拒绝，即使另一个角色允许，也无法访问。

层面二：数据权限

功能能进，但看不到数据。

检查 1：数据范围配置

数据权限通常按维度限定：

• 所属组织/部门
• 所属车间/产线
• 所属班组
• 个人

检查：该用户的数据范围是否覆盖了他要访问的数据。

常见情况：用户属于 A 车间，但要查 B 车间的数据，数据范围不覆盖，就看不到。

检查 2：组织架构关系

数据权限往往依赖组织架构树。如果用户被挂在了错误的组织节点下，数据范围就会错。

检查：用户的组织归属是否正确。

检查 3：数据的归属字段

数据本身要有所属组织的字段。如果某条数据没有这个字段（历史数据、手工录入的），可能任何数据权限都过滤掉了它。

检查：看不到的那条数据，有没有归属字段的值。

层面三：缓存与刷新

检查 1：用户需重新登录

权限变更后，如果用户的会话里缓存了旧的权限信息，需要重新登录才生效。

这是一个非常常见的原因。

解决：让用户退出重新登录。

检查 2：服务端缓存

服务端可能缓存了权限数据（为了提高性能）。变更后缓存未失效，导致权限不生效。

解决：权限变更时主动清除相关缓存。

检查 3：前端缓存

浏览器的本地存储里可能缓存了菜单树。

解决：清理浏览器缓存，或强制刷新。

层面四：多系统

检查 1：账号是否对应

如果权限在另一个系统（比如统一认证平台）配置，而业务系统的账号映射不对，权限就不生效。

检查：账号 ID 映射关系。

检查 2：同步是否及时

权限从统一平台同步到业务系统可能有延迟。

检查：同步日志、同步时间。

检查 3：单点登录的会话

SSO 场景下，如果会话未更新，权限信息可能是旧的。

排查流程

按从简到繁的顺序：

1. 让用户退出重新登录（能解决一半以上的问题）
2. 核对角色分配（用户 → 角色 → 权限）
3. 核对数据范围（组织归属、范围配置）
4. 用一个"肯定有权限"的账号测同一功能
   • 有权限账号能访问 → 权限配置问题
   • 有权限账号也不能访问 → 功能本身有问题
5. 查数据本身（那条数据是否存在、字段是否完整）
6. 查多系统同步（如果有 SSO 或统一权限）

第 4 步是关键分界：能快速区分"权限问题"和"功能问题"。

常见根因清单

预防措施

1. 权限变更后强制刷新会话

权限修改后，主动失效该用户的会话，要求重新登录。

2. 提供权限自查功能

让用户能看到"我有哪些权限、能看到哪些范围的数据"。这能大幅减少支持工作量。

3. 权限变更留痕

记录谁在什么时候改了谁的权限。出问题时能快速定位。

4. 定期权限审计

每季度导出权限清单，让部门负责人确认。

5. 测试账号

为每个典型角色准备一个测试账号，出问题时能快速对比。

一个设计建议

权限提示要明确。

用户看不到菜单时，系统应该告诉他"你没有 XXX 权限，请联系管理员"，而不是什么都不显示。

用户查数据为空时，应该区分"确实没数据"和"你没权限看这些数据"。

这两种情况的处理方式完全不同，混在一起会让排查变得困难。

权限模型与配置说明，[待补充：百华智造 MES 权限模型说明]。