多店铺子账号权限配置教程：角色划分、数据隔离与最小权限落地的完整步骤

凌晨两点，客服子账号在回复 C 店纠纷时误触了库存编辑栏，把 A 店 200 件标成 0，B、C 店订单池同时触发补货告警。复盘时大家第一反应是"那个同事没培训好"，但真正的问题在于：客服岗的子账号根本不该看见库存编辑字段——权限边界没画到字段级，一次误触就跨店传染。下面这套配置方法的核心逻辑只有一条：动作做错了能不能在 15 分钟内回滚，能回滚的放宽，不能回滚的锁死。

管几家店才需要拆子账号？三条硬判据

角色按"动作不可逆程度"划分，不按岗位名称

不用"运营""客服""仓管"这些岗位名建角色。每个格子里的字段就是该子账号能触达的全部字段——客服岗在系统里不是"禁止编辑库存"，而是"库存编辑栏不存在"。具体字段级分权可参考库存、订单和客服权限的分权与协同。

数据隔离边界：哪些字段跨店可见、哪些必须锁死

"隔离"不等于"完全看不到"。按字段粒度划可见性：

• SKU 主数据（条码、规格、成本）：全局只读共享，保证采购与财务口径一致。
• 促销库存与活动预算：按店锁死，A 店促销消耗不影响 B 店可用库存，即使卖同一 SKU。
• 客户评价与工单记录：按店隔离，客服子账号只能看见归属店工单，防止跨店口径冲突。
• 操作日志与审批记录：全局只读，主管可追溯"谁在什么时间改了哪个店的哪个字段"。

单向流动原则：库存数据从仓管层向上汇总，不可从订单层直接写回库存；价格从核算层向下推送，运营只能在阈值内微调，不可逆向改核算基准。

配置顺序：从不可逆到可回滚，一次建完不返工

按风险倒序操作，每步完成后立即执行标注的最小测试动作，确认无误再进下一步：

1. 锁价格与库存写权限。把"可编辑本店"的价格与库存字段分配给对应子账号，其余角色设为只读。测试：用客服子账号打开库存编辑页，确认字段不可见。
2. 切订单认领范围。每个子账号的订单池绑定到具体店铺 ID，跨店改派归入"可跨店审批"。测试：A 店运营子账号搜索订单号，确认只返回本店记录。
3. 开客服工单归属。工单按店铺自动分配，客服子账号默认只拉取本店队列。测试：B 店客服子账号登录，确认队列中无 A 店工单。
4. 配数据看板可见性。促销库存和客户评价模块按店隔离，SKU 主数据全局可见。测试：打开看板，确认促销库存数字仅显示本店。
5. 放操作日志审计。全局只读日志记录：操作人、时间戳、店铺、字段名、旧值、新值。测试：执行一次改价，确认日志五列无缺失。
6. 开跨店审批流。跨店调拨、统一定价、批量退款走审批，审批人独立于执行人。测试：发起一次跨店调拨，确认未审批前库存未变动。

工具选型上，2–8 店团队不需要上 ERP，按库存规模和日订单量选对档位比堆功能更重要。配权限前先确认你的工具是否支持字段级角色控制，不支持就先换工具再配。

上线后 72 小时要跑完的三项验证

• 越权拦截：用每个子账号分别尝试跨店改价（超出本店范围），确认被系统拦截或进入审批流而非直接执行。
• 库存池独立性：模拟 A 店某 SKU 库存归零，确认 B、C 店同一 SKU 库存池未联动扣减，补货告警仅在 A 店触发。
• 日志完整性：抽查 72 小时全部操作日志，确认"谁/何时/哪个店/哪个字段/旧值→新值"无缺失，跨店审批记录含审批人签名。

三项全过，配置才算闭环。任何一项不过，回退到对应步骤重新锁定，不要"先上线后面再补"。