# FSD M15 · 平台（审批 + 权限 + 审计 + 配置）

LLMS 索引： [llms.txt](/llms.txt)

---

> [← 总则](/poms/fsd/00-%E6%80%BB%E5%88%99/) ｜ [附录 →](/poms/fsd/99-%E9%99%84%E5%BD%95/) ｜ 上游：[主 PRD](/poms/%E5%8D%B0%E5%88%B7%E8%A1%8C%E4%B8%9A%E5%B7%A5%E5%8D%95%E7%B3%BB%E7%BB%9F%E4%BA%A7%E5%93%81%E4%B8%8E%E4%BA%A4%E4%BA%92%E8%AE%BE%E8%AE%A1/)（§六模块行审批/权限/审计/配置 +「十一、安全、数据权限、审计与合规」+ 页面树 13/14）｜ 交互稿：[prd/design/approval/](/poms/design/approval/readme/)（已确认，F15.01）+ [prd/design/admin/](/poms/design/admin/readme/)（已确认，F15.02~04）
>
> 册边界：四能力合一册（跨 approval/admin 两域）；**各域业务审批流的表单与影响评估归各域**（B1/B2/B3/B5 归并裁决——审批中心只做统一入口聚合，不重复设计审批流）；业务状态机归各域（审批通过只是触发器）；细粒度角色管理界面（角色 CRUD/用户绑定）属实现期管理后台常规能力（admin README 归并注）。F15.02/F15.03 被全册引用（各域「权限与数据规则」「审计」小节收口于此）。

### M15 平台

#### F15.01 审批中心

**对应 PRD**：§六模块行「审批：规则、代理人、驳回、加签」+ 6.4 插单联合审批等各域审批规则（`prd/印刷行业工单系统产品与交互设计.md:193,262`）｜ **交互稿**：[prd/design/approval/](/poms/design/approval/readme/)（已确认，审批中心屏）｜ **实现落点**：待回填 ｜ **操作入口**：`/approvals` ｜ **状态**：未实现

##### 1 功能定义

跨域审批任务**统一入口聚合屏**（归并裁决：B1 取消/恢复、B2 地址变更、B3 报价审批、B5 外协超损耗/少回、报工更正——各域在业务动作处发起，本屏聚合）：待办列表（**来源域标注**；页签=待我审批/我发起的/已办结）；**审批动作（同意/驳回/转办）跳转回各域详情完成**（业务上下文在各域）；加急标注；当前节点与代理人展示（与订单详情审批态一致 7.3）；多级审批按节点串行（每节点一次任务实例——如插单计划主管/销售经理联合审批+财务确认费用条款）；**审批时效/升级参数可配置禁预设**（访谈候选）。

##### 2 触发条件与前置状态

- 触发：各域审批事件（F03.04 报价/F05.02 变更/F04.06 取消/F07.05 插单/F11.02 外协/F08.05 更正等）。
- 前置状态：审批规则已配置（节点/审批人/分级——各域定义，配置归 F15.04）。

##### 3 输入与校验

| 字段 | 必填 | 校验 | 失败处理 |
|------|------|------|----------|
| 审批任务（来源域/单据/类型/发起人/节点） | 自动 | 事件源合法 | 脏数据隔离 |
| 审批动作 | 各域详情执行 | 任务归属校验（待我审批） | 越权禁用 |
| 转办/代理人 | 转办时必填 | 代理人有权限 | 阻断 |
| 驳回原因 | 驳回必填 | 非空 | 阻断 |
| 时效 | 自动跟踪 | 阈值可配置（访谈候选） | 超时升级 |

##### 4 处理流程

```mermaid
flowchart TD
    A[各域审批事件] --> B[生成审批任务: 待审批]
    B --> C[聚合列表: 来源域标注]
    C --> D[跳转各域详情执行动作]
    D --> E{结论}
    E -- 同意 --> F[已同意: 回写业务状态]
    E -- 驳回 --> G[已驳回: 附原因回发起人]
    D -- 转办 --> H[已转办: 新处理人待办]
    C -- 发起人撤回 --> I[已撤回]
```

##### 5 输出与结果状态

审批任务实例（通用状态机：待审批→已同意/已驳回/已转办/已撤回）；业务回写触发（各域状态机承载）；审批记录归口（审计联动 F15.03）。

##### 6 状态流转

审批任务状态机见 approval README 状态迁移图；业务对象状态归各域（报价/变更/取消/插单等各自状态机）。

##### 7 边界与异常

| 条件 | 系统行为 | 提示 |
|------|----------|------|
| 审批人配置缺失 | 任务生成阻断并提示（各域提交时拦截） | 「未配置审批规则」 |
| 业务单据被取消 | 任务自动终态并标注来源失效 | — |
| 联合审批部分通过 | 节点串行，未到节点不展示终态 | — |
| 代理人代处理 | 记录代理关系（7.3 同口径） | — |

##### 8 权限与数据规则

- 审批动作=当前节点处理人；金额/毛利按 Q41 脱敏；发起人=撤回权限（业务侧允许时）。
- 任务实例与动作进审计（F15.03）；时效参数访谈候选禁预设。

#### F15.02 角色权限与脱敏矩阵

**对应 PRD**：§六模块行「权限：角色、数据范围、临时授权」+「十一、安全」段（`prd/印刷行业工单系统产品与交互设计.md:194,441`）+ 决策 Q41（矩阵收口）｜ **交互稿**：[prd/design/admin/](/poms/design/admin/readme/)（已确认，管理控制台屏——权限矩阵区）｜ **实现落点**：待回填 ｜ **操作入口**：`/admin`（权限矩阵区）｜ **状态**：未实现

##### 1 功能定义

**Q41 敏感数据可见性矩阵的统一收口**：角色×敏感数据矩阵（成本/毛利=仅财务与管理层；报价=销售/客服可见；附件按敏感级；应收台账=财务——B1~B5 各域脱敏落点统一引用本矩阵）；数据范围（组织/销售归属/授权客户）；**临时授权**（有据可审计）；行级规则。安全基线（PRD 十一章）：组织隔离、功能/字段权限、双因素按风险启用、强密码、异常登录告警、会话失效、导出控制——承载口径在本节声明，实现细节属实现期。管理员不得无业务原因浏览个人客户资料/报价/成本。

##### 2 触发条件与前置状态

- 触发：矩阵配置/调整；临时授权申请。
- 前置状态：角色体系已建立（实现期管理后台常规能力，admin README 归并注）。

##### 3 输入与校验

| 字段 | 必填 | 校验 | 失败处理 |
|------|------|------|----------|
| 矩阵项（角色×敏感数据） | 是 | 角色/数据类型枚举 | 阻断 |
| 数据范围规则 | 是 | 组织/归属/授权合法 | 阻断 |
| 临时授权 | 申请制 | 期限+原因+审批人 | 缺审批阻断 |
| 矩阵变更生效 | 保存即生效 | 旧值→新值留痕（F15.03） | — |

##### 4 处理流程

配置矩阵→保存生效（留痕）→各域渲染读取（工作台毛利卡/报价编辑毛利区/客户列表敏感列/审批金额列等全部落点）；临时授权到期自动回收。

##### 5 输出与结果状态

权限矩阵（生效版本+历史版本）；数据范围规则；临时授权记录。

##### 6 状态流转

配置项变更沿 admin README 状态迁移（草稿→已生效→历史版本归档）；生效配置即各域读取口径。

##### 7 边界与异常

| 条件 | 系统行为 | 提示 |
|------|----------|------|
| 矩阵删除某角色可见性 | 各域即刻收口（渲染兜底=不可见） | — |
| 临时授权到期 | 自动回收+留痕 | — |
| 越权访问敏感数据 | 阻断+审计（PRD 十一章） | — |
| 导出 | 带水印/审计（6.8/十一章） | — |

##### 8 权限与数据规则

- 矩阵配置=管理员+管理层审批；本节自身是全系统权限收口（各域「权限与数据规则」小节引用本矩阵，不重复定义——00-总则 §1 全局规则）。
- 矩阵变更旧值→新值进审计（F15.03）。

#### F15.03 审计日志

**对应 PRD**：§六模块行「审计：日志、版本、导出、证据链」+「十一、审计」段（`prd/印刷行业工单系统产品与交互设计.md:195,443`）｜ **交互稿**：[prd/design/admin/](/poms/design/admin/readme/)（已确认，管理控制台屏——审计日志区）｜ **实现落点**：待回填 ｜ **操作入口**：`/admin`（审计日志区）｜ **状态**：未实现

##### 1 功能定义

**只追加、不可修改删除**的审计留痕：记录范围（PRD 十一章）=登录与授权变更/单据创建·修改·撤回·取消/状态变化/版本生成/**关键字段前后值**/审批/更正/删除附件/数据导出/临时授权/发票登记与回款；追溯视图按时间线展示**「谁、在何时、从何值、为何改成何值、关联审批/附件」**；日志界面不展示不必要敏感信息；高风险日志不允许普通管理员删除；日志保留策略=法规/客户合同/内部制度共同确定（首期可设默认但须评审确认）；订单取消不影响历史审计（m04 F04.06 口径的平台兜底）。各域 FSD 节头引用的「进审计（F15.03）」全部收口本节。

##### 2 触发条件与前置状态

- 触发：全系统关键业务动作（各域埋定的审计点）。
- 前置状态：无（横切能力）。

##### 3 输入与校验

| 字段 | 必填 | 校验 | 失败处理 |
|------|------|------|----------|
| 审计事件（操作人/时间/对象/动作） | 自动 | 事件源合法 | — |
| 前后值 | 值变更类必录 | 旧值→新值可读 | — |
| 关联审批/附件引用 | 有则录 | 引用可溯 | — |
| 保留策略 | 配置 | 法规/合同口径（首期默认须评审确认） | — |

##### 4 处理流程

业务动作→生成审计事件（只追加）→追溯视图按时间线查询→导出受控（带水印/审计）。

##### 5 输出与结果状态

审计日志流（不可变）；时间线追溯视图；导出记录（自身也被审计）。

##### 6 状态流转

日志只追加无状态迁移；保留到期按策略归档（不可物理删除——删除转失效口径，PRD 对象关系约束）。

##### 7 边界与异常

| 条件 | 系统行为 | 提示 |
|------|----------|------|
| 尝试修改/删除日志 | 禁止（只追加；高风险日志连管理员不可删） | — |
| 敏感字段展示 | 界面脱敏（数据本体完整留痕） | — |
| 导出越权 | 阻断+审计 | — |
| 日志量聚合查询 | 分页+筛选（性能边界，实现期细化） | — |

##### 8 权限与数据规则

- 查询=管理员/审计角色（按数据范围）；导出=受控角色（水印+审计）。
- 会计凭证口径（PRD 十一章 `:445`）：结算/开票/收款/发料/报工/质检作为经营/成本凭证须真实可核对可追溯——金额调整走版本/调整单，禁止覆盖历史（各域已沿此口径，本节兜底）。

#### F15.04 平台配置

**对应 PRD**：§六模块行「配置：单位、枚举、状态、通知、字段显示」+ 决策 Q43（`prd/印刷行业工单系统产品与交互设计.md:198,451`）｜ **交互稿**：[prd/design/admin/](/poms/design/admin/readme/)（已确认，管理控制台屏——平台配置区）｜ **实现落点**：待回填 ｜ **操作入口**：`/admin`（平台配置区）｜ **状态**：未实现

##### 1 功能定义

各域「可配置参数」的**统一归口**：组织结构/审批流节点配置/单据编号规则/枚举与状态词汇/**预警阈值与审批时效入口**（m14 F14.02、F15.01 的配置落点）/账期与财务策略（m13）/损耗规则入口（m06 Q13）/通知渠道与频率（m14）；配置项变更**全程留痕**（旧值→新值+操作人+时间，进 F15.03）；生效配置即各域读取口径。**Q43 边界声明**：安全点检/化学品台账/设备维护**不进系统**（外部 EHS/设备管理承载）——本系统仅只读引用其维护窗口/不可用时段（m06 F06.05/m07 消费）。

##### 2 触发条件与前置状态

- 触发：参数配置/调整；组织变更。
- 前置状态：管理员权限。

##### 3 输入与校验

| 字段 | 必填 | 校验 | 失败处理 |
|------|------|------|----------|
| 配置项（键/值/作用域） | 是 | 键枚举、值类型校验 | 阻断 |
| 编号规则 | 是 | 前缀/流水规则合法（唯一性） | 冲突阻断 |
| 阈值/时效参数 | 按需 | 可配置、无默认值（访谈候选禁预设） | — |
| 变更留痕 | 自动 | 旧值→新值+操作人+时间 | 缺失不放行 |

##### 4 处理流程

```mermaid
flowchart TD
    A[配置项修改] --> B[旧值→新值留痕]
    B --> C[保存生效]
    C --> D[各域读取新口径]
    C --> E[旧配置归档: 历史版本]
```

##### 5 输出与结果状态

生效配置集 + 历史版本归档；各域参数读取口径切换；Q43 边界声明落点。

##### 6 状态流转

配置项沿 admin README 状态迁移（草稿→已生效→历史版本）；无业务单据状态。

##### 7 边界与异常

| 条件 | 系统行为 | 提示 |
|------|----------|------|
| 参数值预设数值 | 禁止（访谈候选一律空值+待访谈标注） | — |
| 编号规则变更 | 仅影响新单据，历史编号不变 | — |
| 外部 EHS 数据不可达 | 只读引用降级提示（Q43 边界） | 「维护窗口暂不可用」 |
| 安全模块按钮化 | 禁止（Q43：功能按钮不替代安全管理；P2 可配置安全模块再议） | — |

##### 8 权限与数据规则

- 配置=管理员；敏感策略（账期/权限相关）变更须管理层审批。
- 全部变更进审计（F15.03：旧值→新值）。

## E2E 场景清单（m15 覆盖地图）

| 场景 ID | 场景名 | FSD 功能 ID | 前置种子 | 主干路径 | 关键断言 | 冒烟? | 可并行? | 现状 |
|---------|--------|-------------|----------|----------|----------|-------|---------|------|
| E15.01 | 跨域审批聚合主干 | F15.01（+F03.04） | 报价提交+变更提交 | 打开审批中心 | 来源域标注；页签正确；动作跳各域执行 | ✓ | ✓ | 未实现 |
| E15.02 | 联合审批节点串行 | F15.01 | 插单申请（6.4） | 逐节点审批 | 每节点一次任务实例；未到节点不展示终态 | ✓ | — | 未实现 |
| E15.03 | 发起人撤回 | F15.01 | 待审批任务 | 撤回 | 任务已撤回；业务回写（各域逻辑） | — | ✓ | 未实现 |
| E15.04 | 矩阵收口渲染 | F15.02 | 各域敏感落点 | 调整矩阵→各域查看 | 工作台毛利卡/报价毛利区/客户敏感列即刻收口（Q41） | ✓ | ✓ | 未实现 |
| E15.05 | 临时授权到期回收 | F15.02 | 临时授权记录 | 到期 | 自动回收+留痕 | — | ✓ | 未实现 |
| E15.06 | 审计只追加 | F15.03 | 任意业务动作 | 尝试修改/删除日志 | 禁止；时间线追溯含前后值 | ✓ | ✓ | 未实现 |
| E15.07 | 参数归口变更留痕 | F15.04 | 预警阈值调整 | 修改→生效 | 旧值→新值留痕；各域读新口径 | ✓ | — | 未实现 |
| E15.08 | Q43 边界只读引用 | F15.04（+F06.05） | 外部维护窗口 | 排程避让 | 不承载安全功能；数据不可达降级提示 | — | ✓ | 未实现 |

---

反链：

- [印刷工单系统功能规格说明书（FSD）v1.0 · 总则](/poms/fsd/00-%E6%80%BB%E5%88%99/)