权限挂在岗位上

按人配，还是按岗位配

如果按人配权限，每来一个人要开一遍，每走一个人要收一遍，调一次岗两边都要改。人一多，难免有人多拿、有人漏收，也很难说清某个人手里到底攒了多少权限。

Console 按岗位配：人和数字员工都挂在岗位上。岗位定下能看什么、能做什么；谁坐上这个岗位，谁就拿到这个岗位的边界。

数字员工也坐在岗位上

数字员工和人一样按岗位上岗，它能看到的资料，不多于这个岗位该看的。它还有自己的钥匙，用量逐次计量，管理员随时看得见、收得回。

这背后有两条不让步的原则。权限不上浮：数字员工的权限永远不高于它所服务的岗位。最小可用：它每次拿到的资料，是完成这件事所需、且有权查看的最小一份，而不是整个部门的全部。

所以有人说「给它开大一点权限，效果会更好」时，正确的做法是调整岗位定义，或者换一个有权限的岗位来做，而不是单独给它加权限。

数字员工能看的、能做的，与它所服务岗位上的人一致：多一分是漏洞，少一分是它没法干活。

入职、调岗、离职

权限挂在岗位上，好处在人员变动时最明显：

1. 新人入职

   管理员把他放进部门、坐上岗位，他随即拿到这个岗位该有的边界。

2. 调岗

   换一个岗位，边界跟着换；原岗位的权限不会跟着人走。

3. 离职

   收回账号或吊销钥匙，立即生效。岗位还在，接替的人坐上来就能用。

4. 边界要调整

   改岗位定义，不逐个改人；坐在这个岗位上的人与数字员工都按新的定义来。

人来人走，岗位留下：岗位的边界、档案和沉淀下来的做法都还在，不会跟着某一个人离开。

上线前，做一次越权抽查

边界配好了，还要验证它真的生效。上线前做越权抽查：模拟一个人去问他不该知道的事，确认拿不到。

通过的标准只有一句：每个人的 AI 只知道他有权知道的。

在交付路线的阶段一里，这件事做两轮：第 7–8 周全员开通时做越权抽查；第 9–10 周再用模拟越权提问，把公司、部门、小组三级边界各验一遍。