了解对象上线前需要检查的权限边界。
概述
对象权限用于回答两个问题：用户是否能看到并操作对象，以及用户能访问哪些对象记录。对象定制中的权限与访问控制只介绍对象配置相关的关键判断。完整的角色、数据权限、共享规则和排查方法，请参阅权限专题文档。
对象权限通常分为两类：
| 权限类型 | 控制内容 | 配置入口 |
|---|---|---|
| 对象功能权限 | 控制用户是否能进入对象，并执行查看、新建、编辑、删除、导入、导出和按钮操作。 | 系统管理 > 角色权限管理 > 业务功能权限 |
| 数据权限 | 控制用户可以访问哪些对象记录，以及对记录是只读还是读写。 | 系统管理 > 角色权限管理 > 数据权限管理 |
[!NOTE]
对象功能权限和数据权限需要同时满足。用户拥有对象查看权限，但没有对应记录的数据权限时，仍然看不到该记录。用户拥有记录的数据权限，但没有对象入口或详情权限时，也无法正常访问对象页面。
对象功能权限
对象功能权限用于控制用户能否看到对象入口和执行对象操作。新建自定义对象后，如果业务角色没有被授予对应功能权限，前台用户可能无法在工作台中看到该对象。
| 权限项 | 作用 | 未配置时的表现 |
|---|---|---|
| 查看列表 | 控制对象列表入口。 | 用户在工作台中看不到对象入口。 |
| 查看详情 | 控制对象详情页访问。 | 用户无法打开对象记录详情。 |
| 新建 | 控制记录创建动作。 | 列表页或详情页不显示新建入口。 |
| 编辑 | 控制记录修改动作。 | 用户无法对记录执行编辑动作。 |
| 删除 | 控制记录删除动作。 | 用户无法删除记录。 |
| 导入 | 控制批量导入动作。 | 用户看不到或无法使用导入入口。 |
| 导出 | 控制列表数据导出动作。 | 用户看不到或无法使用导出入口。 |
| 自定义按钮 | 控制对象按钮使用范围。 | 仅授权角色可看到并使用按钮。 |
对象功能权限的详细配置步骤，请参阅 创建和分配业务角色。
数据权限
数据权限用于控制用户可以访问哪些记录。即使用户拥有对象的查看或编辑权限，也只能访问数据权限范围内的记录。
| 数据权限类型 | 说明 | 典型用途 |
|---|---|---|
| 基础数据权限 | 按对象设置私有、公开只读、公开读写。 | 决定对象默认开放程度。 |
| 部门内数据权限 | 按归属部门控制部门成员可见范围。 | 支持部门内或上下级部门协作。 |
| 相关团队数据权限 | 将人员加入记录的相关团队。 | 支持单条记录协作。 |
| 数据共享规则 | 按负责人、归属部门、归属组织或条件共享数据。 | 支持跨部门或跨角色共享。 |
| 多维度数据权限 | 按区域线、行业线、产品线等维度授权。 | 支持矩阵式业务组织。 |
数据权限的详细配置步骤，请参阅 配置基础数据权限、配置部门内数据权限 和 配置数据共享规则。
对象上线前检查
新对象上线前，建议管理员完成以下检查：
- 确认对象已启用。已禁用对象不会在角色权限配置中正常展示。
- 确认目标业务角色拥有对象的查看列表和查看详情权限。
- 按岗位职责配置新建、编辑、删除、导入和导出权限。
- 如对象配置了自定义按钮，确认按钮已授权给目标角色。
- 根据数据敏感度选择基础数据权限，例如私有、公开只读或公开读写。
- 如需要跨部门协作，改用部门内数据权限、数据共享规则或相关团队放开访问范围。
- 使用测试账号登录前台，检查对象入口、列表数据、详情页和操作按钮是否符合预期。
[!TIP]
当员工反馈“看不到对象”时，优先检查对象功能权限。当员工反馈“能进对象但看不到某条记录”时，优先检查数据权限。