票务系统的权限最容易做反：花很多精力控制谁能看哪个菜单，却把退款、改价、手工核销这三个真正能改钱和改数的动作，交给了每个窗口账号。菜单权限被绕过只是看不该看的，动作权限被绕过是直接对账对不上。

三个高危动作，分开授权

改价动的是价格表，一次误配会影响当天所有出票，权限应该收在能审能撤的少数账号上，且改价要走“拟变更加生效时间”的方式，而不是当场覆盖。退款动的是钱，要区分两种权限：小额退票和超期退票，后者必须有第二人确认；退款原因要写成可选项而不是自由文本，否则一个月后没人知道当时为什么退。手工核销动的是客流事实，往往被当成小功能随便给，实际上它能让一张没用的票变成已入园，也能让超卖的责任被抹平，建议单独授权并强制填写事由与关联设备号。这三个动作各自独立，不要合成一个“高级权限”角色。

/d/file/news/hyzx/2022/07-06/16ecef996dc7663b003865c036372d82.jpg

账号和工号不是一回事

账号解决登录鉴权，工号解决责任归属。窗口旺季会临时加人，一个账号几个人轮着用是常态，也是事故。做法是每个自然人一个账号，工号绑定账号，设备登录时强制选工号；窗口共用的终端在换班时要点一次交接班，把这段时间的记录切给下一个工号。这样一来，一台设备多个人的情况仍然可以按时间段拆清。外包检票人员的账号要有有效期，活动结束自动停用，别留成永久账号。

留痕要记到什么粒度

一条合格的日志至少要有六个字段：操作人账号与工号、操作时间、终端标识、动作类型、修改前的值、修改后的值。前四个是定位，后两个才是追责——只写“某票被修改”没有意义，要能回答改之前是什么、改之后是什么。日志要设为只读，任何账号都不能删，包括管理员。查询要开放给财务和办公室，能按人、按通道、按动作类型筛，否则日志变成一箱没人翻的流水纸。

/d/file/news/hyzx/2022/10-17/cca388f39cc8524c790cc78442c22830.jpg

员工离职之后账怎么追

常见错误是离职当天把账号删除，一起删掉的是所有以这个账号为外键的记录，或者留下一个查询里再也找不到人的孤儿工号。正确做法是禁用而不是删除：账号置为不可登录、状态标注离职日期，历史记录原样保留。窗口人员流动大，工号要能停用不能复用，复用会把两个人的历史混在一起。

权限要能在后台自己改

角色和动作的组合一年会改很多次：新开一条分销渠道、临时加一批外包检票、某个岗位合并。如果每次都要开发方改代码重新部署，最后一定是几个大角色凑合用，权限形同虚设。要能配的有三层：自定义角色、角色挂动作、动作绑范围。范围这一层最常被省掉——同一个退票动作，限定成只能退本窗口当天售出的票，和谁登录都能退全场的票，风险完全不同。省掉之后就只能靠自觉。

报表权限是另一条线

能看明细和能看汇总要分开。渠道返点、结算价这类字段，一线操作员没必要看；财务要的是全量导出，办公室要的是汇总，导出的动作本身也要留痕并限制频次。权限设计里最省事的一条原则是：默认无权限，按角色授予，角色模板给三四个就够——超管只留两三个账号，日常运营不要用超管登录。用超级管理员当日常账号的景区，出了事故只能查到自己头上。