作者： Next

问题： 我已将我的员工添加为用户，并为他们分配了角色。但他们登录后仍然无法查看仪表盘。

回答：

ERPNext 中有两种类型的用户。

• 系统用户：通常是内部用户，如员工、经理和管理员，他们需要对 ERPNext 系统进行广泛访问以执行各种业务操作。他们拥有更高级别的访问权限和更详细的权限，允许他们与多个模块交互、生成报告和自定义工作流程。
• 网站用户：通常是外部用户，如客户或供应商，他们通过网络门户与 ERPNext 系统交互。他们的访问权限仅限于与其需求相关的功能，例如下订单、查看订单状态或管理其账户信息。与系统用户使用的全面后台界面相比，他们的界面更简单。

以下是 ERPNext 中系统用户和网站用户的表格对比

系统用户	网站用户
此类型适用于管理内部活动和操作	适用于管理外部操作和交易
提供对 ERPNext 模块和功能的完全访问权限	提供对 ERPNext 模块和功能的受限访问权限
此类别的典型用户是内部员工	此类型的用户角色包括外部方，如客户、顾客等
由 ERPNext 内的管理员创建	可以自行注册或由管理员创建
提供对公司范围数据和报告的访问权限	仅提供对个人数据和有限报告的访问权限
可以查看、创建、编辑和删除记录	大多只能查看和创建与其相关的记录
在所有模块中拥有完整的数据录入能力	数据录入能力仅限于与其角色相关的部分

用户 ID 是根据电子邮件地址创建的。当用户重命名时，其值会在所有现有记录（包括变更日志）中更新。因此，这是一个资源密集型操作。如果在重命名用户时遇到超时问题，可以考虑使用更新后的电子邮件地址创建一个新的用户 ID，并禁用旧用户。

要更改用户的电子邮件 ID，请按照以下步骤操作：

用户列表 -> 打开该用户 > 点击菜单 -> 重命名 > 输入新的电子邮件 ID。保存

请参考此处展示相同操作的 GIF：

##启用双因素认证（2FA）

通过运行以下命令激活双因素认证。

bench --site [站点名称] set-config enable_two_factor_auth true

在系统设置中指定以下内容

• OTP 验证方式（OTP 应用 = 使用软件或硬件令牌的 TOTP，而电子邮件/短信 = 使用电子邮件或短信的 HOTP）
• 如果指定了 OTP 应用，服务器上二维码的过期时间
• OTP 发行者名称。

从设置中激活 2FA 后，它也会为“所有”角色激活。这样，包括管理员在内的所有用户都必须使用令牌进行第二级身份验证。通过取消选中“所有”角色中的“双因素认证”复选框，并在其他角色中启用它，可以将使用令牌登录的需求限制在特定角色。2FA 不适用于 Web 用户登录和 API 登录。

如果使用短信认证，请确保您的短信设置已更新。

如果使用电子邮件，请确保您的发件邮箱账户设置已更新。

当新用户首次尝试登录一个已启用双因素认证且认证方式为 OTP 应用的系统时，会发送一封包含二维码链接的电子邮件。

使用 Google Authenticator 等认证应用扫描二维码，即可为用户注册访问权限，并自动开始生成可用于登录的令牌。

如果使用电子邮件/短信作为认证方式，您还会收到通知。

常见问题解答（FAQ）

问：即使按照整个流程操作，我仍然无法登录。

答：Frappe 使用基于 TOTP 的 OTP 算法，该算法依赖于您设备的系统时间。请确保您使用的设备时间与您的 ERPNext 服务器时间一致。

在版本13中引入

访问日志是一项安全功能，用于记录系统中所有用户的所有数据导出操作。

它是系统管理员用来追踪用户在系统上访问或导出了哪些文件的工具。这对于追踪公司敏感信息（如交易或财务数据）非常有用。

访问日志在以下事件中创建：

• 打印所有表单和报表
• 下载私有文件
• 通过XLSX/CSV格式导出

在ERPNext中，系统管理员可以访问访问日志，通过全局搜索或以下路径访问：

首页 > 用户与权限 > 日志 > 访问日志

如果在导出报表事件中创建了访问日志，则会在相应日志中生成一个显示报表按钮。点击此按钮，可以查看导出的报表及其设置的筛选条件。

类似地，对于直接与文档相关的事件（如文档打印和私有文件下载），会生成一个显示文档按钮。

原始打印等事件会保存信息以及文档所选模板。

基于角色限制字段可以通过大多数组织所需的权限级别轻松配置。要定义权限级别，您可以前往相应表单并进行自定义。

假设一个场景：组织不希望其员工（财务用户）在创建销售发票时编辑项目的单价。为此，我们只需将项目单价字段设置为只读。

步骤 1：自定义表单

要实现此目的，请前往自定义表单，选择文档类型为销售发票项目，滚动到项目单价字段并展开它。

步骤 2：权限级别

搜索权限级别，输入数字（0、1、2、3 等），然后保存。

步骤 3：权限规则

保存后，在角色权限管理器中点击添加新规则，选择文档类型和角色（本例中为财务用户），将权限级别设置为 2，并授予员工读取权限。

角色权限管理器将显示新创建的规则，权限级别为 2：

步骤 4：验证视图

现在，如您在销售发票中所见，用户只能读取项目单价字段，该字段将自动从价格列表中获取。

可以通过“页面和报表的角色权限”来控制对不同页面和报表的访问。

单据类型包括销售订单、客户、供应商等。它们是一种单据类型，意味着每种类型可以包含多个单据。而页面是单个页面，例如销售设置。您不能创建多个销售设置，但可以创建多个销售订单。

在 ERPNext 中，用户可以使用页面创建自定义用户界面，并使用报表生成器或查询报表创建自定义报表。ERPNext 采用基于角色的权限系统，您可以为用户分配角色。相同的角色也可以分配给页面和报表，以授予访问权限。

如果用户启用了开发者模式，则可以直接在页面和报表记录中添加角色。在这种情况下，权限也会反映在页面/报表的 JSON 文件中。如果您希望限制可以访问 ERPNext 中某些页面和报表的角色，可以通过“页面和报表的角色权限”来实现。

要访问“页面和报表的角色权限”，请转到：

首页 > 用户和权限 > 页面和报表的角色权限

1. 如何使用页面和报表的角色权限工具

如果开发者模式已禁用，用户可以使用“页面和报表的角色权限”页面为页面和报表分配角色。

1.1 重置为默认值

使用“重置为默认值”按钮，用户可以移除对页面或报表应用的自定义权限。之后，该页面或报表将应用默认权限。

作为开发者从页面/报表设置角色权限

页面的角色权限

1. 转到：首页 > 开发者 > 页面。
2. 添加一行，并选择哪些其他角色可以访问该页面。 为页面分配角色

报表的角色权限

1. 转到：首页 > 开发者 > 报表。
2. 添加行，并选择可以访问该报表的角色。 为报表分配角色

角色定义了在 ERPNext 中访问各种文档的权限。

角色定义了一组权限，可以通过角色权限管理器进行设置。ERPNext 中已定义了最常用的角色，您可以直接使用这些角色来操作系统。如果需要，您还可以添加更多角色。例如，如果您将销售用户角色分配给某个用户，他们将能够访问报价单和销售订单等文档，因为销售用户角色的权限已经设置好。

角色配置文件用于存储不同的角色，以便可以一次性分配多个角色。

角色配置文件充当模板，用于存储和选择多个角色。然后可以将此角色配置文件分配给用户。例如，销售主管将拥有员工、销售经理、销售用户和销售主经理等角色。在添加多个员工时，角色配置文件有助于一次性分配多个角色。

要访问角色，请前往：

首页 > 用户和权限 > 角色

1. 如何添加角色

1. 前往角色列表，点击新建。
2. 输入角色的名称。
3. 选择该角色是否具有桌面访问权限。具有桌面访问权限的角色可以访问 ERPNext 模块和公司的文档。访问级别取决于分配给用户的角色。
4. 保存。

您可以为该角色添加双因素认证，并将其限制在特定领域。从这里，您可以前往角色权限管理器，为不同文档类型设置该角色的权限。

2. 如何添加角色配置文件

要访问角色配置文件，请前往：

首页 > 用户和权限 > 权限 > 角色配置文件

1. 前往角色配置文件列表，点击新建。
2. 输入名称。
3. 选择要分配给此配置文件的角色。
4. 保存角色配置文件

可以使用基于角色的权限来控制对不同文档的访问权限。

ERPNext 拥有一个基于角色的权限系统。这意味着您可以为用户分配角色，并可以为角色设置权限。角色权限管理器允许您设置哪些角色可以访问哪些文档以及拥有哪些权限（读取、写入、提交等）。

一旦为用户分配了角色，他们的访问权限就可以被限制在特定的文档上。权限结构允许您使用一个称为字段权限级别的概念，为不同字段定义不同的权限规则。

1. 如何使用角色权限管理器

---

要开始使用角色权限管理器，请前往：> 首页 > 用户和权限 > 角色权限管理器

权限应用于以下组合：

• 角色： 正如我们之前所见，用户被分配了角色，权限规则正是应用于这些角色。例如，销售用户可能被赋予员工和销售用户的角色。

角色的示例包括会计经理、员工、HR 用户等。

• 文档类型： 每种类型的文档，无论是主数据还是交易单据，都有其独立的基于角色的权限列表，如前面的截图所示。

文档类型的示例包括销售发票、请假申请、库存录入等。

• 权限级别： 在每个文档中，您可以按“级别”对字段进行分组。每个字段组由一个唯一的数字（0 到 9）表示。可以为每个字段组应用一组独立的权限规则。默认情况下，所有字段的级别都是 0。

权限“级别”将级别为 X 的字段与级别为 X 的权限规则连接起来。要了解更多信息，请点击此处。

• 文档阶段： 权限应用于文档的每个阶段，如创建、保存、提交、取消和修改。一个角色可以被允许打印、发送电子邮件、导入或导出数据、访问报表或定义用户权限。
• 用户权限： 在 ERPNext 中使用用户权限，可以将用户限制为仅能访问该文档类型的特定文档。例如：只能访问所有地区中的一个地区。如果其他文档类型通过链接字段与当前文档类型相关，那么为这些文档类型定义的用户权限也会被应用。

例如，客户是销售订单或报价单中的一个链接字段。在角色权限管理器中，可以使用“设置用户权限”按钮来设置用户权限。

要根据文档/字段设置用户权限，请前往：> 首页 > 用户和权限 > 权限 > 用户权限

• 添加新规则：在角色权限管理器中，要添加新规则，请点击添加新规则按钮，然后会弹出一个窗口，要求您选择一个角色和一个权限级别。选择后点击“添加”，这将在您的规则表中添加一个新行。

2. 基于角色的权限如何工作

---

请假申请是一个很好的例子，它涵盖了权限系统的所有方面。

• 它应该由员工创建。为此，员工角色应被授予读取、写入、创建权限。

• 一个*

*员工**应该只能访问他/她自己的请假申请。因此，应该为每个用户-员工组合创建用户权限记录。

• 如果您希望一个*

*员工**只能在另一个文档中选择一个文档，而不能整体读取该文档，那么只需为员工角色授予选择权限。

*HR 经理**应该能够查看所有请假申请。为 HR 经理创建一个级别为 0、具有读取权限的权限规则。应禁用“应用用户权限”。

*请假审批人**应该能够查看和更新其下属员工的请假申请。请假审批人被授予级别 0 的读取和写入权限。相关的员工文档应列入请假审批人的用户权限中。（对于在员工文档中提到的请假审批人，此工作量通过编程方式创建用户权限记录来减少）。

• 它只能由 HR 用户或请假审批人批准/拒绝。请假申请的状态字段设置在级别 1。HR 用户和请假审批人被授予级别 0 的读取和写入权限，而其他所有人（所有角色）被授予级别 1 的读取权限。

*

HR 用户应该能够将请假申请委托给其下属。HR 用户被授予设置用户权限的权利。拥有 HR 用户角色的用户将能够为其他用户定义对请假申请的用户权限。

如果您已正确分配角色，但在访问文档时仍然遇到错误，请参考此页面。

3. 权限类型

在角色权限管理器中，可以为每个角色启用多种权限。以下是可用权限选项及其用法的详细信息。

权限	描述	示例
选择	允许用户搜索和查看记录。	用户可以在销售订单中选择一个客户，但无法打开客户主数据。
读取	允许用户查看文档。	用户可以查看销售发票，但无法修改它们。
写入	允许用户编辑他们有权限访问的现有记录。	用户可以更新客户地址，但无法创建新客户。
创建	允许用户创建新文档。	用户可以创建新物料，但无法编辑现有物料。
删除	允许用户删除文档。	用户可以删除已提交的文档。
打印	允许打印或下载文档的PDF。	文档中的打印按钮对用户启用。
电子邮件	允许用户从文档中发送电子邮件。	文档中的电子邮件按钮对用户启用。
报告	允许用户访问与文档相关的报告。	如果用户有员工访问权限且报告功能已启用，他们可以查看基于员工的报告。
导出	允许用户从报告视图中导出数据。	用户可以导出报告数据。
导入	允许用户将数据导入到文档中。	用户可以导入文档的数据。
共享	允许与其他用户共享文档访问权限。	用户可以与其他用户共享文档访问权限。

掩码（数据掩码）	在ERPNext版本16中，数据掩码允许根据用户的角色和权限配置特定字段以显示掩码或隐藏的值，而不限制字段的可见性。	确保敏感信息得到保护，同时保持用户界面的一致性和信息性。

如果您想禁止某个 ERPNext 用户使用系统，可以按照以下步骤操作。这在员工离职或需要禁止某些用户访问系统时非常有用。

如何禁用用户？

1. 在搜索栏中输入“用户列表”
2. 选择您要禁用的用户
3. 取消勾选所选用户的“已启用”复选框
4. 保存您的更改

保存更改后，该用户将在列表中被标记为“已禁用”，您可以根据需要随时重新启用。重新启用用户后，所有与之关联的配置将原样恢复。