分类： 角色与权限

权限级别（Perm Level），是 ERPNext 和 Frappe 中的字段级权限系统。它允许管理员控制 DocType 中敏感字段的访问权限，而无需隐藏或限制整个文档。

权限级别控制什么

DocType 中的每个字段都有一个权限级别。默认情况下，字段的权限级别为0。级别为 0 的字段受 DocType 的常规权限控制。

当字段被分配了更高的权限级别，例如1或2时，用户需要在角色权限管理器中拥有该级别的匹配权限行。如果没有匹配的权限，用户可能仍然可以打开文档，但根据配置的权限，高级别字段可能被隐藏或设为只读。

权限级别的用途

当大多数用户需要处理文档，但只有部分用户应查看或编辑敏感信息时，权限级别非常有用。这避免了为保护少数几个字段而创建单独的 DocType 或自定义工作流。

• 销售： 销售用户可以创建报价单，而只有经理可以编辑折扣审批字段。
• 人力资源： 人力资源用户可以查看员工记录，而薪资详情仅对薪资角色可用。
• 财务： 用户可以查看供应商发票，而银行或税务相关字段仅限于财务经理访问。
• 支持： 支持用户可以更新工单详情，而内部升级备注仅对高级用户可见。

权限级别如何工作

1. 在 DocType 或自定义表单中为字段分配一个权限级别。
2. 使用角色权限管理器定义每个角色在每个权限级别可以执行的操作。
3. 当用户打开文档时，ERPNext 会检查用户的角色以及每个字段的权限级别。
4. 如果用户拥有该字段权限级别的权限，则根据允许的操作（如读取或写入）提供该字段。
5. 如果用户没有该权限级别的权限，即使该用户可以访问文档本身，该字段也会受到限制。

示例

假设一个销售订单包含以下字段：

• 客户 权限级别为 0
• 项目 权限级别为 0
• 交货日期 权限级别为 0
• 已批准折扣 权限级别为 1
• 管理层备注 权限级别为 2

仅拥有级别 0 权限的销售用户可以使用常规的销售订单字段。拥有级别 1 权限的销售经理还可以读取或更新“已批准折扣”字段。拥有级别 2 权限的销售总监也可以访问“管理层备注”。

权限级别与角色权限管理器

只有当权限级别与角色权限配对时，它们才变得有用。在角色权限管理器中，每个权限行都有一个级别值。该值必须与字段的权限级别匹配。

例如，如果某个字段设置为权限级别 1，则该角色需要在该 DocType 上拥有级别 1 的权限行。然后，该行可以根据 DocType 和业务需求允许执行读取、写入、创建、提交、取消或修改等操作。

良好实践

• 将大多数字段保持在权限级别 0。
• 仅对确实需要额外控制的字段使用更高的权限级别。
• 使用清晰的字段标签，以便在配置期间轻松识别受限制的字段。
• 在依赖设置之前，使用非管理员用户测试权限。
• 避免创建过多级别，因为权限规则可能难以审计。
• 记录每个受限制字段被分配更高权限级别的原因。

常见错误

• 将字段设置为级别 1，但未添加级别 1 的角色权限： 用户可能会意外失去对该字段的访问权限。
• 认为文档访问权限意味着字段访问权限： 用户可以访问文档，但仍可能无法访问更高级别的字段。
• 使用权限级别代替工作流审批： 权限级别控制字段访问。它们不能替代需要业务流程控制时的审批工作流。
• 仅以管理员身份测试： 管理员访问权限可能隐藏权限问题。始终使用目标角色进行测试。

相关主题

• 用户与权限
• 角色权限管理器
• DocType 权限
• 自定义表单

在版本13中引入

访问日志是一项安全功能，用于记录系统中所有用户的所有数据导出操作。

它是系统管理员用来追踪用户在系统上访问或导出了哪些文件的工具。这对于追踪公司敏感信息（如交易或财务数据）非常有用。

访问日志在以下事件中创建：

• 打印所有表单和报表
• 下载私有文件
• 通过XLSX/CSV格式导出

在ERPNext中，系统管理员可以访问访问日志，通过全局搜索或以下路径访问：

首页 > 用户与权限 > 日志 > 访问日志

如果在导出报表事件中创建了访问日志，则会在相应日志中生成一个显示报表按钮。点击此按钮，可以查看导出的报表及其设置的筛选条件。

类似地，对于直接与文档相关的事件（如文档打印和私有文件下载），会生成一个显示文档按钮。

原始打印等事件会保存信息以及文档所选模板。

基于角色限制字段可以通过大多数组织所需的权限级别轻松配置。要定义权限级别，您可以前往相应表单并进行自定义。

假设一个场景：组织不希望其员工（财务用户）在创建销售发票时编辑项目的单价。为此，我们只需将项目单价字段设置为只读。

步骤 1：自定义表单

要实现此目的，请前往自定义表单，选择文档类型为销售发票项目，滚动到项目单价字段并展开它。

步骤 2：权限级别

搜索权限级别，输入数字（0、1、2、3 等），然后保存。

步骤 3：权限规则

保存后，在角色权限管理器中点击添加新规则，选择文档类型和角色（本例中为财务用户），将权限级别设置为 2，并授予员工读取权限。

角色权限管理器将显示新创建的规则，权限级别为 2：

步骤 4：验证视图

现在，如您在销售发票中所见，用户只能读取项目单价字段，该字段将自动从价格列表中获取。

可以通过“页面和报表的角色权限”来控制对不同页面和报表的访问。

单据类型包括销售订单、客户、供应商等。它们是一种单据类型，意味着每种类型可以包含多个单据。而页面是单个页面，例如销售设置。您不能创建多个销售设置，但可以创建多个销售订单。

在 ERPNext 中，用户可以使用页面创建自定义用户界面，并使用报表生成器或查询报表创建自定义报表。ERPNext 采用基于角色的权限系统，您可以为用户分配角色。相同的角色也可以分配给页面和报表，以授予访问权限。

如果用户启用了开发者模式，则可以直接在页面和报表记录中添加角色。在这种情况下，权限也会反映在页面/报表的 JSON 文件中。如果您希望限制可以访问 ERPNext 中某些页面和报表的角色，可以通过“页面和报表的角色权限”来实现。

要访问“页面和报表的角色权限”，请转到：

首页 > 用户和权限 > 页面和报表的角色权限

1. 如何使用页面和报表的角色权限工具

如果开发者模式已禁用，用户可以使用“页面和报表的角色权限”页面为页面和报表分配角色。

1.1 重置为默认值

使用“重置为默认值”按钮，用户可以移除对页面或报表应用的自定义权限。之后，该页面或报表将应用默认权限。

作为开发者从页面/报表设置角色权限

页面的角色权限

1. 转到：首页 > 开发者 > 页面。
2. 添加一行，并选择哪些其他角色可以访问该页面。 为页面分配角色

报表的角色权限

1. 转到：首页 > 开发者 > 报表。
2. 添加行，并选择可以访问该报表的角色。 为报表分配角色

角色定义了在 ERPNext 中访问各种文档的权限。

角色定义了一组权限，可以通过角色权限管理器进行设置。ERPNext 中已定义了最常用的角色，您可以直接使用这些角色来操作系统。如果需要，您还可以添加更多角色。例如，如果您将销售用户角色分配给某个用户，他们将能够访问报价单和销售订单等文档，因为销售用户角色的权限已经设置好。

角色配置文件用于存储不同的角色，以便可以一次性分配多个角色。

角色配置文件充当模板，用于存储和选择多个角色。然后可以将此角色配置文件分配给用户。例如，销售主管将拥有员工、销售经理、销售用户和销售主经理等角色。在添加多个员工时，角色配置文件有助于一次性分配多个角色。

要访问角色，请前往：

首页 > 用户和权限 > 角色

1. 如何添加角色

1. 前往角色列表，点击新建。
2. 输入角色的名称。
3. 选择该角色是否具有桌面访问权限。具有桌面访问权限的角色可以访问 ERPNext 模块和公司的文档。访问级别取决于分配给用户的角色。
4. 保存。

您可以为该角色添加双因素认证，并将其限制在特定领域。从这里，您可以前往角色权限管理器，为不同文档类型设置该角色的权限。

2. 如何添加角色配置文件

要访问角色配置文件，请前往：

首页 > 用户和权限 > 权限 > 角色配置文件

1. 前往角色配置文件列表，点击新建。
2. 输入名称。
3. 选择要分配给此配置文件的角色。
4. 保存角色配置文件

可以使用基于角色的权限来控制对不同文档的访问权限。

ERPNext 拥有一个基于角色的权限系统。这意味着您可以为用户分配角色，并可以为角色设置权限。角色权限管理器允许您设置哪些角色可以访问哪些文档以及拥有哪些权限（读取、写入、提交等）。

一旦为用户分配了角色，他们的访问权限就可以被限制在特定的文档上。权限结构允许您使用一个称为字段权限级别的概念，为不同字段定义不同的权限规则。

1. 如何使用角色权限管理器

---

要开始使用角色权限管理器，请前往：> 首页 > 用户和权限 > 角色权限管理器

权限应用于以下组合：

• 角色： 正如我们之前所见，用户被分配了角色，权限规则正是应用于这些角色。例如，销售用户可能被赋予员工和销售用户的角色。

角色的示例包括会计经理、员工、HR 用户等。

• 文档类型： 每种类型的文档，无论是主数据还是交易单据，都有其独立的基于角色的权限列表，如前面的截图所示。

文档类型的示例包括销售发票、请假申请、库存录入等。

• 权限级别： 在每个文档中，您可以按“级别”对字段进行分组。每个字段组由一个唯一的数字（0 到 9）表示。可以为每个字段组应用一组独立的权限规则。默认情况下，所有字段的级别都是 0。

权限“级别”将级别为 X 的字段与级别为 X 的权限规则连接起来。要了解更多信息，请点击此处。

• 文档阶段： 权限应用于文档的每个阶段，如创建、保存、提交、取消和修改。一个角色可以被允许打印、发送电子邮件、导入或导出数据、访问报表或定义用户权限。
• 用户权限： 在 ERPNext 中使用用户权限，可以将用户限制为仅能访问该文档类型的特定文档。例如：只能访问所有地区中的一个地区。如果其他文档类型通过链接字段与当前文档类型相关，那么为这些文档类型定义的用户权限也会被应用。

例如，客户是销售订单或报价单中的一个链接字段。在角色权限管理器中，可以使用“设置用户权限”按钮来设置用户权限。

要根据文档/字段设置用户权限，请前往：> 首页 > 用户和权限 > 权限 > 用户权限

• 添加新规则：在角色权限管理器中，要添加新规则，请点击添加新规则按钮，然后会弹出一个窗口，要求您选择一个角色和一个权限级别。选择后点击“添加”，这将在您的规则表中添加一个新行。

2. 基于角色的权限如何工作

---

请假申请是一个很好的例子，它涵盖了权限系统的所有方面。

• 它应该由员工创建。为此，员工角色应被授予读取、写入、创建权限。

• 一个*

*员工**应该只能访问他/她自己的请假申请。因此，应该为每个用户-员工组合创建用户权限记录。

• 如果您希望一个*

*员工**只能在另一个文档中选择一个文档，而不能整体读取该文档，那么只需为员工角色授予选择权限。

*HR 经理**应该能够查看所有请假申请。为 HR 经理创建一个级别为 0、具有读取权限的权限规则。应禁用“应用用户权限”。

*请假审批人**应该能够查看和更新其下属员工的请假申请。请假审批人被授予级别 0 的读取和写入权限。相关的员工文档应列入请假审批人的用户权限中。（对于在员工文档中提到的请假审批人，此工作量通过编程方式创建用户权限记录来减少）。

• 它只能由 HR 用户或请假审批人批准/拒绝。请假申请的状态字段设置在级别 1。HR 用户和请假审批人被授予级别 0 的读取和写入权限，而其他所有人（所有角色）被授予级别 1 的读取权限。

*

HR 用户应该能够将请假申请委托给其下属。HR 用户被授予设置用户权限的权利。拥有 HR 用户角色的用户将能够为其他用户定义对请假申请的用户权限。

如果您已正确分配角色，但在访问文档时仍然遇到错误，请参考此页面。

3. 权限类型

在角色权限管理器中，可以为每个角色启用多种权限。以下是可用权限选项及其用法的详细信息。

权限	描述	示例
选择	允许用户搜索和查看记录。	用户可以在销售订单中选择一个客户，但无法打开客户主数据。
读取	允许用户查看文档。	用户可以查看销售发票，但无法修改它们。
写入	允许用户编辑他们有权限访问的现有记录。	用户可以更新客户地址，但无法创建新客户。
创建	允许用户创建新文档。	用户可以创建新物料，但无法编辑现有物料。
删除	允许用户删除文档。	用户可以删除已提交的文档。
打印	允许打印或下载文档的PDF。	文档中的打印按钮对用户启用。
电子邮件	允许用户从文档中发送电子邮件。	文档中的电子邮件按钮对用户启用。
报告	允许用户访问与文档相关的报告。	如果用户有员工访问权限且报告功能已启用，他们可以查看基于员工的报告。
导出	允许用户从报告视图中导出数据。	用户可以导出报告数据。
导入	允许用户将数据导入到文档中。	用户可以导入文档的数据。
共享	允许与其他用户共享文档访问权限。	用户可以与其他用户共享文档访问权限。

掩码（数据掩码）	在ERPNext版本16中，数据掩码允许根据用户的角色和权限配置特定字段以显示掩码或隐藏的值，而不限制字段的可见性。	确保敏感信息得到保护，同时保持用户界面的一致性和信息性。