越权导出与权限审计
数据外流很少是外部入侵做的。更多时候，是一个权限给多了的账号，在某个下班后的时段，把一张报表导成了表格文件。这类事情当场看不出来，事后也未必有人查——除非权限本身被定期体检过。越权导出与权限审计要解决的，不是防住每一次点击，而是让「谁有权做什么、做过什么」始终有据可查。
一、功能说明
| 能力 | 说明 |
|---|---|
| 权限逐账号体检 | 按操作员核对权限配置，列出重叠项与缺省放行的项 |
| 空密码与弱密码 | 列出未设密码、仍在使用默认密码的账号 |
| 导出行为记录 | 记录报表导出类操作，可按操作人与时间回看 |
| 授权来源对照 | 机构授权与角色授权分开呈现，便于确认并集后的实际权限 |
| 结果可导出 | 体检结果可导出，作为整改清单分派到门店或岗位 |
| 越权拦截佐证 | 与越权拦截的提示记录对照，判断是配置缺失还是操作越界 |
具体检查项、字段与检查范围以实际版本为准。
二、适用场景
一个人握了整条链。 单据的录入、审批、删除都在同一个账号手里，账面怎么改都没人对着看。这种配置在系统里不报错，也不影响日常使用，但它让内控失去了意义。权限体检把这类重叠列出来，先说清风险，再谈怎么拆；拆不动的时候，退一步加强监督，也比装作看不见要好。
导出没有边界。 报表查询是正常业务，问题是「谁能导、导多少、导完去哪」。会员名单、成本明细、客户资料一旦导出成文件，系统内的权限就管不到了。审计能做两件事：让每一次导出留下记录，让导出权限只落在确实需要的人身上。
离职与轮岗留下的账号。 人走了，账号还在，密码还是原来那个。这类账号平时不出现，出现时往往就是异常登录与异常导出的源头。定期体检的第一件事，是把不该存在的账号清掉。
三、使用要点
- 先分清「配错了」和「本来就该有」。 体检列出的重叠权限里，有一部分是岗位设计使然，小店可能只有一名管理员。逐条确认是设计还是疏忽，全部按风险处理会把清单变成噪音。
- 录入、审批、删除尽量分开。 拆不开时，至少把删除与审批分开，并对保留高权限的账号加强导出和登录监控。权限设计的目标不是让人做不了事，而是让做错事留得下痕迹。
- 导出权限按岗位给、按需给。 默认不给，需要时按报表范围授权，用完回收。比一次性给「全部报表导出」麻烦，但这是唯一能说清边界的做法。
- 审计要定期做，不要等出事。 每月或每季跑一次，形成前后对比：新增了哪些高权限账号、哪些账号长期未登录、哪些人导出量突增。没有基线，单次体检看不出异常。
- 发现的问题要闭环。 每条风险写清处理方式：改权限、改密码、停用账号、补审批。没有结论的体检报告，下一次还是同一份。
四、与其他功能的关系
| 环节 | 对应功能 |
|---|---|
| 权限模型 | 权限模型与生效规则 |
| 角色授权 | 角色管理 |
| 越权拦截 | 越权拦截与权限排查 |
| 体检入口 | 数据安全管家 |
| 登录侧证据 | 设备授权与新设备验证 |
五、验收清单
| 检查项 | 通过标准 |
|---|---|
| 权限重叠可见 | 同时拥有录入、审批、删除的账号能被列出 |
| 弱密码可见 | 未设密码与使用默认密码的账号能被列出 |
| 导出留痕 | 任一次报表导出后，能在记录里查到操作人与时间 |
| 授权可对照 | 机构授权与角色授权的来源能分别查看 |
| 整改可跟踪 | 每条风险有责任人、处理方式与完成时间 |
| 离职账号清零 | 停用人员名单与在用账号名单一致 |
六、常见问题
体检说某账号权限重叠，但这是老板的账号，怎么办？ 高权限账号本身不是问题，问题是它没有对应的监督。保留权限的同时，把这个账号的导出行为与登录时段纳入定期查看范围，并约定谁能看这些记录。权限可以集中，监督不能空缺。
员工说导出是为了做分析，不算违规，怎么界定？ 界定靠事先约定，不靠事后争论。把「哪些报表可以导、导出的文件放在哪里、能不能带出公司」写进制度并让岗位签收；制度之外发生的导出，才谈得上违规。系统记录提供事实，不替代制度。
权限改完，用户说功能反而用不了了，怎么排查？ 按两级来源查：先看角色授权里是否还有这个功能，再看机构授权是否被同步收回。两边取并集，少了一边就可能失效。改动前记录原配置，出问题能对照回滚；改动记录也建议留档，方便下次排查。