凌晨兩點，客服子帳號在回覆 C 店糾紛時誤觸了庫存編輯欄，把 A 店 200 件標成 0，B、C 店訂單池同時觸發補貨告警。覆盤時大家第一反應是「那個同事沒培訓好」，但真正的問題在於：客服崗的子帳號根本不該看見庫存編輯欄位——權限邊界沒劃到欄位級，一次誤觸就跨店傳染。下面這套配置方法的核心邏輯只有一條：動作做錯了能不能在 15 分鐘內回滾，能回滾的放寬，不能回滾的鎖死。
管幾家店才需要拆子帳號？三條硬判據
判斷公式：SKU 總數 × 日均訂單量 × 在營運平台數。
- 1–2 店、SKU ≤ 200、日單 ≤ 50：共享主帳號 + 操作日誌抽檢夠用，拆子帳號的配置成本大於收益。
- 3–4 店、SKU 200–2000、日單 50–500：必須按四條線拆角色，庫存與價格寫權限至少分給兩個人。
- 5 店以上、SKU 2000+、日單 500+：在角色拆分基礎上加入資料隔離層（欄位級可見性），否則跨店促銷庫存與定價衝突會呈指數級增長。
如果你還處於「一人開多個瀏覽器窗口管所有店」的階段，先對照多店營運的階段任務劃分確認目前處於哪個階段，再動權限配置。
角色按「動作不可逆程度」劃分，不按崗位名稱
不用「營運」「客服」「倉管」這些崗位名建角色。每個格子裡的欄位就是該子帳號能觸及的全部欄位——客服崗在系統裡不是「禁止編輯庫存」，而是「庫存編輯欄不存在」。具體欄位級分權可參考庫存、訂單和客服權限的分權與協同。
| 操作線 | 唯讀 | 可編輯本店 | 可跨店審批 |
|---|---|---|---|
| 庫存（SKU 數量） | 查看本店在庫/在途 | 調整本店安全庫存閾值 | 跨店調撥釋放（需主管簽） |
| 價格（售價/促銷價） | 查看全店價格 | 修改本店日銷價（±10% 內） | 促銷價、跨店統一定價 |
| 訂單（認領/發貨） | 查看本店訂單池 | 認領本店訂單、打面單 | 跨店改派、取消已發貨單 |
| 客服（工單/評價） | 查看本店工單 | 回覆本店工單、查看評價 | 跨店客訴升級、批量退款 |
資料隔離邊界：哪些欄位跨店可見、哪些必須鎖死
"隔離"不等於"完全看不到"。按欄位粒度劃可見性：
- SKU 主資料（條碼、規格、成本）：全域唯讀共用，確保採購與財務口徑一致。
- 促銷庫存與活動預算：依門市鎖定，A 門市促銷消耗不影響 B 門市可用庫存，即使銷售同一 SKU。
- 客戶評價與工單紀錄：依門市隔離，客服子帳號只能看到所屬門市工單，防止跨門市口徑衝突。
- 操作日誌與審批紀錄：全域唯讀，主管可追溯「誰在什麼時間改了哪個門市的哪個欄位」。
單向流動原則：庫存資料從倉管層向上彙總，不可從訂單層直接寫回庫存；價格從核算層向下推送，營運只能在閾值內微調，不可逆向改核算基準。
設定順序：從不可逆到可回滾，一次建置完畢不返工
依風險倒序操作，每步完成後立即執行標註的最小測試動作，確認無誤再進下一步：
- 鎖定價格與庫存寫入權限。將"可編輯本店"的價格與庫存欄位分配給對應子帳號，其餘角色設為唯讀。測試：使用客服子帳號開啟庫存編輯頁，確認欄位不可見。
- 切換訂單認領範圍。將每個子帳號的訂單池綁定至具體店鋪 ID，跨店改派歸入"可跨店審批"。測試：A 店運營子帳號搜尋訂單號，確認僅返回本店記錄。
- 開啟客服工單歸屬。工單依店鋪自動分配，客服子帳號預設僅拉取本店佇列。測試：B 店客服子帳號登入，確認佇列中無 A 店工單。
- 設定數據儀表板可見性。促銷庫存與客戶評價模組依店鋪隔離，SKU 主資料全域可見。測試：開啟儀表板，確認促銷庫存數字僅顯示本店。
- 開啟操作日誌稽核。全域唯讀日誌記錄：操作人、時間戳、店鋪、欄位名稱、舊值、新值。測試：執行一次改價，確認日誌五列無缺漏。
- 開啟跨店審批流。跨店調撥、統一定價、批次退款走審批，審批人獨立於執行人。測試：發起一次跨店調撥，確認未審批前庫存未變動。
工具選型上，2–8 店團隊不需要上 ERP，依庫存規模與日訂單量選對檔位比堆砌功能更重要。配權限前先確認你的工具是否支援欄位級角色控制，不支援就先換工具再配。
上線後 72 小時要跑完的三項驗證
- 越權攔截：用每個子帳號分別嘗試跨店改價（超出本店範圍），確認被系統攔截或進入審批流而非直接執行。
- 庫存池獨立性：模擬 A 店某 SKU 庫存歸零，確認 B、C 店同一 SKU 庫存池未聯動扣減，補貨告警僅在 A 店觸發。
- 日誌完整性：抽查 72 小時全部操作日誌，確認"誰/何時/哪個店/哪個欄位/舊值→新值"無遺缺，跨店審批記錄含審批人簽名。
三項全過，配置才算閉環。任何一項不過，回退到對應步驟重新鎖定，不要"先上線後面再補"。
常見問題
子帳號數量有上限嗎？團隊擴到 20 人怎麼辦？
多數 SaaS 工具子帳號上限在 10–30 個。超過 15 個角色後建議引入部門級 RBAC 框架：先按"運營部/客服部/倉管部"分組，組內再按四線分權，避免角色數爆炸。規模判斷可參考多帳號運營的店鋪管理工具與流程拆解。
共用信箱和獨立子帳號在風控上有區別嗎？
有。共用信箱意味著多個操作人共用一個登入憑證，平台風控把這些行為歸到同一訊號源；獨立子帳號各自持有憑證，行為訊號可區分。但風控關聯是多因素疊加（憑證、網路出口、裝置指紋、資料行為），單一因素不必然觸發封號，以各平台帳戶通知和官方政策為準。
亞馬遜 + Shopee + 獨立站，權限模板能一套複用嗎？
四條線的角色劃分邏輯可複用，但欄位名和審批閾值需按平台調整：亞馬遜後台叫 Manage Inventory，Shopee 叫「批量修改庫存」，獨立站則是 SKU 的 stock_quantity。先按一套邏輯畫完矩陣，再逐平台映射欄位，不要直接複製貼上。
員工離職當天權限回收的 SLA 是多少？
建議 2 小時內完成四步：主帳號管理員禁用該子帳號→檢查未完成的跨店審批單→將其經手工單轉派→確認操作日誌最後一條記錄。超過 24 小時未回收的子帳號視為「幽靈帳號」，需觸發安全審計。
