权限出事，多数不是有人越权，是账号与通道之间根本没有绑定关系，任何工号在任何一台机器上都能开那扇门。事后调记录要查是谁放的，发现机器上没留工号，或者留的是那个班共用的一个号。绑定关系要先于权限等级设计，顺序弄反了，等级表做得再细也定不了责，最后只能靠监控视频一帧一帧找。

一、一个账号只属于一个人。窗口、带班、值班经理各用一个共享号，是无法定责的直接原因。判据很硬：账号表里每一个启用中的账号都能对应到唯一在职人员，共用号数量合格线是 0，存在 1 个就算不合格；出现一人多号或一号多人，当天冻结多余的那几个。工号在系统里唯一，不随班次变化，换班换的是排班记录，不是把同一个人拆成三个号。

二、账号绑到通道组，不是只绑到角色。角色解决能做什么，绑定解决在哪台机器上做。窗口售票员的账号，绑定范围应当是它登录那台终端所属的通道组。合格标准：该账号在未绑定通道上发起核销或放行时，系统直接拒绝并生成一条越权记录，记录里能看到人、时间、通道编号三项。只在界面上把按钮灰掉不算数，接口层照样能把请求推过去，必须两层都拦。

三、五类动作各设独立授权点。抬杆放行、票号作废、强改状态、退款审核、批量导入名单，这五类不许打包成一个万能角色。带班可以抬杆但不可作废，财务可以查流水但不可核销，客服可以查单但不可放行。判据：随机抽一次抬杆动作，能倒查到一个具体人名和一句放行原因；抽一次作废，能看到审批人。抽不出人名的那一类动作，说明权限点还没拆开。

四、临时权限必须有到期时间。旺季借调、应急演练、设备检修都会临时放权。有效期精确到小时，最长不超过 72 小时，到期自动回收并把回收动作写进日志。合格线：权限表里生效日期有、失效日期为空的记录数应为 0；一周内清出超过 40 条空白失效期，说明借调申请已经流于形式，只走纸面不走系统。

五、离岗当日收号。调岗、离岗、外包撤场，账号停用时限按小时记，合格线是离岗当日 24:00 前停用，不等下个月的人事名单。抽查方法固定：随机抽 10 个已离岗人员的账号，从最后一次登录到停用的跨度都应落在 24 小时以内。抽到还活着的，回去查是谁提的开通、谁批的延期，两头都要有人签字。

如果要排优先级，第一件不是画权限矩阵，是把现存的共用号全部停掉，让每个人只剩一个号。第二件做绑定表，把启用中的账号逐个落到通道组和终端上，落不下的先停用再说。第三件才拆那五类动作的授权点。等级表做得再漂亮，机器上认的还是共享号，出了事一样查不到人。