三个问题，问倒大多数连锁的后台
多数中小连锁对安全的投入只有一句"我们有备份"，可备份解决的是整库出事，不解决下面这三问。
"谁删的？"
基础资料删掉了，列表里找不到，也说不清是谁在什么时候做的；最后只能怀疑所有人。
这套做法：删除是可回退的下架动作，记录没消失；配合"显示已删除"随时核查，回收站入口按权限开放，谁有这个动作本身就是一条可控的权限。
"这份成本表谁导出去过？"
查询权限和导出权限混在一起，能看就能带走一整张客户进价表。
这套做法：导出是独立的动作权限，"导出"与"导出选中"还各算一格；成本相关列更要先看这个人有没有成本权限，没有就整列不下发。
"这张历史单据的金额怎么变了？"
单据生效之后有没有人再动过，全靠回忆；审批过了就算数，但批的是什么版本说不清。
这套做法：审批记录六项齐全（阶段、步骤、审批人、状态、审批时间、意见），平台侧另有审批日志与同步日志，能给出线索而不是给一句"应该没人改"。
这六道闸门各自在哪一层
不是同一个开关管全部；入口收在一处，能力分散在各功能页里生效。
| 在哪一层 | 怎么落 | 说明与界面上看得到的 |
|---|---|---|
| 入口在哪 | 一张体检看板：六个检查项各一张卡，卡上三个数——问题总数、安全告警、配置问题 | 卡片按结论上色：安全绿、警告橙、风险红；页面右上角是本次体检时间与「刷新」，每张卡右下角一个「查看详情」落到名单 |
| 第一道：删除可回退 | 删除先把记录标记下架，不物理抹掉 | 实测覆盖仓库、手工价格表、报废与退回类型、次品原因、生产工序、生产订单等一批页面，详见"数据回收站"那一页 |
| 第二道：已删除仍可查 | 打开开关，下架的记录带删除标记重新露出 | 默认关闭——这是"平时看不到、要查查得到"的意思，也是回答"谁删的"的第一步 |
| 第三道：动作逐项授权 | 新增、修改、删除三个动作各挂标记，按岗位给 | 实测工具栏每个按钮各带一个动作标记，页面加载时先读三个判断，没有权的按钮直接不出现 |
| 第四道：带走数据要单独给权 | 导出是与查询、修改并列的另一档动作 | 这一档能配出"巡店主管可以看报表但不能把明细带走"，是老板最关心的那一格 |
| 第五道：敏感列按人下发 | 先看这个人有没有成本权限，没有就把成本相关列整个过滤掉 | 实测销售单、销售退货单、进货单三张单的新增页都带这一判断；不是前端藏起来，是不下发这一列 |
| 第六道：留痕与同步线索 | 审批推得成不成、人和组织同步得全不全，各有页面 | 再往里，审批记录本身列出阶段、步骤、审批人、状态、时间、意见六项——这是"这张单被谁认可过"的凭据 |
| 账与账之间：归属隔离 | 多套账的数据彼此分开，界面上不需要这一列 | 实测列表与单据数据都带这一归属，客户同时管两个品牌、两套账时不会互相串 |
要提前说清的一件：本页写的是"这台系统里真实存在的安全闸门"，不是"我们承诺的合规条款"。字段级改动历史（谁在几点把哪个数字从几改成几）本轮没有取到证据，所以不敢写在这里。
一屏看完：六个检查项，谁在拖后腿直接点名
这张截图是登录后台后首页位置上的体检看板，取自演示账套（会计期 202610，右上角是当前登录的"张工"）。顶部一句话结论"发现 2 项高风险问题，建议立即处理"，下面六个格子各是一张卡。
- 6 个检查项
- 三档上色
- 每项一个「查看详情」
- 右上角可刷新
- 六项条数相加 = 953 条
截图来自演示账套，画面右上角带演示账号名，只用于说明界面位置与体检口径；正式部署的条数取决于账号数量、基础资料完整度与审批流程配置，不会也不应该和这张图一样。
对着截图能核的六件事
| 检查项 | 截图上的数 | 它在看什么 | 看到之后做什么 |
|---|---|---|---|
| 用户权限 | 72 条 = 71 告警 + 1 配置 | 默认密码太过简单、71 个用户未设置登录密码 | 先补密码，再按岗位收权限 |
| 系统登录 | 132 条 | 112 次非正常上班时间登录、20 个账户用多台设备 | 逐条核对是不是本人，不是就停用 |
| 会员业务 | 21 条 = 15 告警 + 6 配置 | 五类会员与礼券单据未设置审批流程 | 去审批流程那一页把流程配上 |
| 门店收银 | 1 条 | 设置了允许前台脱机使用礼券 | 确认这个开关是不是门店该有 |
| 工艺配方 | 726 条 | 589 个物料未定义配方、104 个异常配方、24 个未生产归组、9 个半成品未定义批用量 | 配方不全，成本与生产计划都算不准 |
| 业务单据状态 | 0 条 | 这一项体检通过，未发现风险 | 干净也隔月复核一次 |
- 这张看板真正的用处是排顺序：953 条里 726 条压在工艺配方一项上，而它查的是基础资料完整度，不是软件故障——先补配方，成本与生产计划才准得起来。
- 会员业务那 6 条配置问题全是"某类单据未设置审批流程"，它和审批那一页说的是同一件事：管家负责告诉你哪张单还没上锁，配流程去审批流程定义里。
- 看板给的是计数与结论，不是名单。哪 71 个用户没设密码、哪 112 次算异常，要点「查看详情」落到明细页；明细页的列与筛选本轮没有读到，不在这张表里。
一次"历史单据金额对不上"的排查走法
按六道闸门能给出的线索排序，走一遍大概十几分钟。
| 第几步 | 查什么 | 在哪一层查 | 能得到什么 |
|---|---|---|---|
| 1 | 这张单还在不在 | 列表 + 显示已删除 | 确认是删了、还是被改了 |
| 2 | 谁能改这类单 | 角色与用户管理 | 范围立刻收窄到几个人 |
| 3 | 这张单批过没有 | 审批管理 / 审批记录 | 六项留痕：谁批的、几点、写了什么 |
| 4 | 推得顺不顺 | 审批日志 / 同步日志 | 通道问题还是人为问题，分开 |
| 5 | 被谁导出去过 | 导出权限 + 各人角色 | 知道谁有带走这一张的能力 |
| 6 | 要不要回退 | 回收站 / 备份流程 | 能自己放回的别等还原整库 |
为什么把"安全"和"权限"分成两页讲
权限那一页讲的是日常——谁能做什么，是让业务跑起来；这一页讲的是出事后——能不能查回来、能不能收场，是让别人敢把后台交给员工。两页用的是同一批开关，看的是两个方向。
- 这个走法的价值不在快，而在有条可循：答案不是"应该是仓库那边动的吧"，而是从状态、权限、审批、留痕四层各给出一点。
- 第 3、4 步能给的是"这张单被谁认可、审批推给谁"；至于某个数字被谁改过、原值是多少，本轮没取到这一层证据，不要当成能查。
- 走完一遍如果发现问题是"这个角色本来不该有导出权"，那么修的是岗位表，不是某个人。
这三种情形最需要用得上
安全闸门平时没存在感，出事那一小时才见价值。
有离职纠纷的门店
员工带走客户进价表这种事，靠"导出"这一格单独授权就能防住；已经发生过的，能从角色上说明谁本来有这个能力。
加盟与直营混跑
加盟商的账号只能看自己那片，成本、毛利这类列不该下发；机构加角色加列控制三层配合，才敢把账号开出去。
老板只管两套账
同时经营烘焙与另一块业务，两套数据必须隔开。每条记录带账套归属，界面上不必出现这一列，也串不了。
把能做的和不能做的写清楚
这一页最容易过度承诺，所以我们把没取证的都挑出来。
- 看板给的是计数与结论，不是名单。六个检查项在卡上只显示条数与结论文字，具体是哪 71 个用户没设密码、哪 112 次算异常登录，要点「查看详情」落到明细页；明细页的列与筛选条件本轮没有读到，我们不在页面上凭空描述。
- 字段级修改历史不作承诺。"谁在什么时候把 12 改成 15"这一层没有取到证据；能查的是单据状态、审批留痕、权限归属与删除记录。
- 六道闸门不是六个产品功能，不需要单独购买。它们就在权限、单据、审批的现有页面里，管家入口负责的是把它们收拢到一处看。
- 安全不等于备份。回收站救一条、权限挡一次、留痕查一回，整库出问题仍然只能靠备份与恢复；这套页面没有一处可以替代它。
- 登录异常只到计数这一层。截图上"发现 112 次非正常上班时间登录""20 个账户使用多台设备登录"是这一项给出的数；非正常上班时间按什么界定、明细清单能不能导出，本轮没有读到，这类问题请直接向我们的实施同事确认，我们不在推广页上凭空写。
- 体检条数不是考核分。演示账套这一屏 953 条，其中 726 条来自工艺配方的基础资料完整度，它说明的是"这家账套还有多少档案没建全"，不是系统出了故障，也不是谁要被追责。
一套闸门，和"只靠定期备份 + 老板一个人有账号"
20 家店的连锁，两种安排下老板自己的日常负担。
| 比什么 | 数据安全管家 | 只靠备份 + 少数人有账号 |
|---|---|---|
| 日常小事要不要找老板 | 店长自己按权限处理 | 凡事都要老板登录一遍 |
| 员工能不能自助收场 | 删错自己回，越权按不到 | 任何异常都升级到老板 |
| 敏感数据带走的门槛 | 导出单独一档，能看不能带走 | 有账号就能导出 |
| 出事的线索 | 状态、审批、权限、留痕四层可查 | 只能回忆 |
| 老板的时间 | 看管家入口一眼 | 当运维 |
四步把安全这件事安排下去
不必一次配全，按"先能收场、再谈收紧"的顺序来。
先确认六道闸门各自在谁手里
把删除、导出、成本列三档按现有岗位过一遍，写成一张表：哪个岗位有哪几档。这张表比任何口头承诺都管用。
把回收站与"显示已删除"教给店长
出事后能自己收场，是权限敢下放的前提；这一步做完，很多"必须老板来"的事情就消失了。
从进提醒中心看一次异常
配合提醒那一页，把该看的人看到的事定下来，安全不该只靠某个人偶尔想起来。
把整库备份单独安排
这一条不属于这套闸门，必须另外定：多久备一次、存在哪、试没试过恢复。这三问答不上，前面的都是半套。
关于数据安全管家，常被问到的七件事
它就是后台"系统管理"下的一个入口，登录后台在首页位置显示的就是这块看板，和设置会计期间、票据打印模板同级。本页写的六道闸门也都是现有权限与单据页面里的行为，不额外收费。
不是。演示账套这一屏 953 条里 726 条来自工艺配方那一项，查的是"物料有没有定义配方、半成品有没有定义批用量"，属于基础资料还没建全；另一大项 132 条是登录异常计数，需要人工核对。体检表的价值是告诉你先补哪一块，不是给这家账套打分。
能收窄：导出是与查询、修改并列的独立动作，"导出"和"导出选中"还分开；配合角色，可以做到能看报表但不能导出明细。防不住的是把屏幕拍照，那不是软件问题。
查到的是单据层面的痕迹：状态走到哪、谁批的、审批意见、删除后仍在库里的记录。字段级"从几改成几"这一层，本轮没有证据，我们不作承诺。
每条记录都带账套归属，两套账的数据彼此分开，界面上甚至不需要这一列。这也是很多客户同时经营两个品牌时的前提。
风险就在这里，所以建议把停用当成离职流程的一步：停用后按钮入口随角色消失，但历史单据上仍记着他经手过，追责与追溯都不丢。
它们是同一批开关的三个视角：回收站讲删错了怎么回，岗位权限讲谁能动，本页讲出事之后怎么查回来。建议连着看。
安全之外，这几层同样落在日常操作上
回收站讲怎么收场，岗位权限讲怎么放开，审批讲谁点头，提醒讲别忘了做。
系统架构的八项机制，一项一页
这一页讲的是其中一项。想知道日常业务还靠哪些底层机制兜住，直接切过去。