卓安Claw 角色与权限矩阵 v0.1

版本：v0.1（草案，待评审）
日期：2026-11-06
适用范围：卓安Claw V1 角色、数据范围、字段级权限、案件团队、Agent 权限
依据：《卓安Claw 业务流蓝图 v0.1》、卓安需求文档（2026-11-06）、演示站角色与权限页
状态：需求讨论稿，不改代码

---

0. 结论摘要

1. 权限按五维设计：角色 + 数据范围 + 案件团队 + 字段级 + 审计。
2. 7 个业务角色：客服、客户经理、谈案律师、承办律师、管理者、财务、运营。
3. 4 类主管：客服主管、客户经理主管、谈案主管、承办主管；主管是数据范围，不是新角色。
4. 3 种管理员形态：总管理员、板块管理、自定义管理；与业务角色分开。
5. 前端隐藏不算权限；所有 API 必须走服务端策略引擎。
6. Agent 继承用户 token，不做超级账号；C 类案卷默认不出私有云。
7. 发现一处需求冲突：客户经理是否能制定/修改服务方案，docx 两处口径不一致，列为 TBD-01。

---

1. 权限符号

符号	含义
✅	可查看 + 新建/编辑（在数据范围内）
👁	只读
✍️	可编辑，但关键动作需审批/确认
△	条件开放（被分配、案件团队成员、审批人、本人）
❌	不可见 / 不可操作
🔒	字段遮条或脱敏

所有“可编辑”都受数据范围限制；跨分所、跨部门默认不可见，除非案件团队授权。

---

2. 角色定义

角色	核心职责	默认数据范围	不能做
客服	预约、建档、分诊发起、公海、来电/留电	本人录入 / 本组线索	不做谈案；查重只读
客户经理	客户、逐次跟进、维护、回款登记	本人客户	不承办案件；真实报价遮条
谈案律师	接诊、诊断、服务方案、签约、审批	被分配客户	不做冲突最终判断
承办律师	检查、诊断、办案、文书、结案、归档、冲突	案件团队	不做财务审批
管理者	全所/分所案件、驾驶舱、质量、规则、组织账号	本分所 / 全所（按账号）	关键动作按管理员形态过滤
财务	审核、发票、收退款、账册、分配、报表	本分所账套	不做总账、成本核算、票据开具
运营	本渠道线索、谈案、收退款、报表、周报	本渠道	交付后办案信息不可见；不进财务端

2.1 主管

主管	数据范围	额外权限
客服主管	本部门全部	分诊确认、公海再分配、组内看板
客户经理主管	本部门全部	客户分配、组内看板、跟进质检
谈案主管	本部门全部	谈案分配、方案审核、组内看板
承办主管	本部门全部	案件分配、复核排班、组内看板

主管不自动获得财务、冲突复核、系统配置权限。

2.2 管理员形态

形态	可见板块	渠道	财务端	组织账号	系统配置
总管理员	全部	全部	✅	✅	✅
板块管理	本板块	锁定本渠道	❌	❌	本板块
自定义管理	勾选	勾选	按授权	❌	按授权
业务管理者	全所业务	全部	✅（按账号）	✅	✅

---

3. 模块级权限矩阵

模块	客服	客户经理	谈案律师	承办律师	管理者	财务	运营
M1 预约/线索	✅	△ 接手后	△ 被分配	❌	👁 本所	❌	👁 本渠道
M2 客户	👁 查重只读	✅ 本人	△ 被分配	△ 案件团队	✅	👁 财务相关	❌ 交付后不可见
M3 分诊/分配	△ 发起/建议	❌	❌	❌	✅ 确认	❌	❌
M4 接诊	❌	👁 客户沟通	✅ 被分配	✅ 案件团队	👁	❌	❌
M5 检查（证据/检索）	❌	❌	👁 案件相关	✅	👁	❌	❌
M6 诊断	❌	❌	✅ 参与	✅	👁	❌	❌
M7 服务方案	❌	👁 / △ 待确认	✅	✅ 参与	👁	❌	❌
M8 合同/签约	❌	👁 状态	✅	👁 案件团队	👁 / ✅	👁 财务条款	❌
M9 案件/办案	❌	👁 客户关联	👁 交接后	✅	✅	👁 财务字段	❌
M10 交付清单/办案路径	❌	👁 进展	👁 交接	✅	👁 / ✅ 模板	❌	❌
M11 结案/归档	❌	👁 状态	👁	✅	✅ 审核	👁 / ✅ 财务归档	❌
M12 质量评查	❌	❌	👁 被评查	👁 被评查	✅	❌	❌
M13 利益冲突	❌	❌	❌	✅	✅ 复核	❌	❌
M14 审批（OA）	△ 发起	△ 发起	△ 发起/审批	△ 发起/审批	✅ 审批/配置	✅ 财务审批	△ 本渠道发起
M15 回款/退款	❌	✅ 登记	👁	👁 案件相关	👁	✅ 审核	👁 本渠道
M16 发票/账套/分配	❌	❌	❌	❌	👁 / ✅ 分配	✅	❌
M17 知识空间/文书模板	👁 共享	👁 / △ 个人资料	✅	✅	✅ 发布/审核	👁	👁 共享
M18 报表/驾驶舱/运营	👁 本人/本组	👁 本人/本组	👁 本人	👁 本人	✅ 本所/全所	✅ 财务	✅ 本渠道
M19 组织/账号/配置	❌	❌	❌	❌	✅	❌	❌
M20 Agent/模型	△ 本人权限内	△ 本人权限内	△ 本人权限内	△ 本人权限内	△ 管理范围	△ 财务范围	△ 本渠道

3.1 条件说明

• M1 客户经理/谈案：只有被分配或接手的线索可见。
• M2 承办：只有案件团队成员可见；非团队成员仅能看到“存在案件”的状态，不显示案卷。
• M3 分诊：客服可发起建议，确认权在客服主管/管理者。
• M7 客户经理：docx 一处写“客户经理与谈案律师都可制定/修改方案”，另一处写“客户经理不制定服务方案”，列为 TBD-01；V1 暂按“只读 + 可提建议”设计。
• M13 谈案律师：docx 明确“谈案律师不做利益冲突检索”，V1 按不可见设计；如业务要求参与，需单独授权。
• M16 管理者：可查看账套与分配，但付款/开票审批仍归财务。
• M18 运营：只能看本渠道，且交付后的办案信息不可见。

---

4. 数据范围矩阵

角色	默认范围	可授予	跨分所
客服	本人录入 / 本组线索	本部门（主管）	❌，除非案件团队
客户经理	本人客户	本部门（主管）	❌，除非案件团队
谈案律师	被分配客户	本部门（主管）	❌，除非案件团队
承办律师	案件团队	本部门（主管）	△ 跨所案件团队
管理者	本分所 / 全所（按账号）	全所（总管理员）	✅ 按账号
财务	本分所账套	全所账套（总所财务）	✅ 总所财务
运营	本渠道	无（渠道锁定）	❌

4.1 数据范围判定顺序

1. 先判角色是否可见该模块。
2. 再判数据范围（本人/本部门/本分所/全所/案件团队）。
3. 再判案件团队角色（主办/协办/谈案/客服/客户经理）。
4. 再判字段级遮条（报价/身份证/成本/联系方式）。
5. 最后判操作类型（查看/编辑/审批/导出/删除）。
6. 任一层拒绝，整体拒绝；不得靠前端绕过。

---

5. 字段级权限矩阵

字段	客服	客户经理	谈案律师	承办律师	管理者	财务	运营
真实报价	❌	🔒	✅	✅	✅	✅	❌
身份证号	🔒	🔒	✅*	✅*	🔒 / ✅ 按需	🔒	❌
联系方式	✅	✅	✅	✅	✅	🔒	🔒 本渠道
成本/利润	❌	❌	❌	❌	✅	✅	❌
案卷文件	❌	❌	△ 交接前	✅	👁	❌	❌
冲突结果	❌	❌	❌	✅	✅	❌	❌
回款/退款	❌	✅ 登记	👁	👁	👁	✅	👁 本渠道
发票	❌	👁	❌	❌	👁	✅	❌
知识文档	👁	👁	✅	✅	✅	👁	👁
审计日志	❌	❌	❌	❌	✅	❌	❌

* 身份证号默认脱敏；谈案/承办仅在案件团队且“需要知道”时可申请解除，解除动作审计留痕。

---

6. 案件团队权限矩阵

团队角色	案程记录	跟进/通话	交付清单	服务方案	办理记录	客户关系	案卷文件	财务字段
主办律师	✅	✅	✅	✅	✅	✅	✅	👁
协办律师	✅	👁	✅	👁	✅	👁	✅	❌
谈案律师	✅	✅	👁	✅	👁	✅	👁 交接前	❌
客户经理	✅	✅	👁	👁	👁	✅	❌	👁 回款
客服	👁 查重	👁	❌	❌	❌	👁	❌	❌
合伙人/主任	✅	👁	✅	✅	✅	👁	✅	👁
财务	👁 结案	❌	👁 归档	👁	❌	❌	👁 财务材料	✅
管理者	✅	✅	✅	✅	✅	✅	✅	👁

案件团队是“最小授权单元”：不在团队里，即使是同分所同事，也不能看案卷。

---

7. Agent 权限矩阵

Agent 场景	客服	客户经理	谈案律师	承办律师	管理者	财务	运营
读取客户上下文	本人范围	本人范围	被分配	案件团队	管理范围	财务范围	本渠道
写跟进/草稿	✅	✅	✅	✅	👁	❌	❌
生成文书	❌	❌	✅	✅	👁	❌	❌
读案卷全文	❌	❌	△ 交接前	✅	👁	❌	❌
外部模型调用	A/B 类	A/B 类	A/B 类	A/B 类	A/B 类	A/B 类	A/B 类
C 类外部调用	❌	❌	❌	❌	❌	❌	❌
财务数据	❌	回款	👁	👁	👁	✅	本渠道收退款
审批/签字	❌	❌	❌	❌	❌	❌	❌

7.1 Agent 五条铁律

1. 继承用户 token：Agent 不能比用户看得多。
2. 写操作默认草稿：落库前需用户确认；审批/签字/付款永远不由 Agent 完成。
3. C 类不出域：外部模型调用默认拒绝；例外需审批并记录。
4. 全链路审计：谁、哪个 Agent、哪个案件、哪份文件、哪个模型、多少 token。
5. 可降级：模型不可用时退回本地检索/模板，不阻塞办案。

---

8. 导出、下载与审计

操作	规则
单份文件下载	按模块权限；敏感文件加水印；审计
批量导出（客户/案件）	管理者/财务，需审批；审计
财务报表导出	财务/管理者；按账套范围
知识文档下载	按知识权限；版本记录
案卷导出	案件团队 + 管理者审批；水印 + 审计
删除	不做物理删除；软删除/归档，仅管理者
权限变更	审计；必要时强制下线
离职	停用账号、撤销 token、案件转交、审计

---

9. 越权与异常处理

• API 返回 403，不返回“存在但无权”的详情，避免信息泄露。
• 越权尝试记录：用户、时间、接口、对象 ID、结果。
• 连续越权触发告警；管理者可查看。
• 共享链接必须带有效期、权限、下载次数限制；过期自动失效。
• 代理/代登录：不提供；如必须，走审批 + 双人审计。

---

10. 验收用例

编号	用例	期望
P-01	客服打开案卷	拒绝；不显示案卷入口
P-02	客户经理查看真实报价	遮条；不可复制
P-03	谈案律师打开冲突检索	拒绝（按当前 docx 口径）
P-04	承办律师查看非团队案件	拒绝
P-05	财务查看案卷证据	拒绝；仅财务材料
P-06	运营查看交付后办案信息	拒绝
P-07	深圳客户经理查看成都客户	拒绝；除非案件团队
P-08	分所管理者查看其他分所	拒绝；总管理员除外
P-09	Agent 以客户经理身份读案卷	拒绝
P-10	Agent 把 C 类案卷发给外部模型	拒绝；审计告警
P-11	批量导出客户	需审批；水印；审计
P-12	离职账号登录	拒绝；案件已转交

---

11. 待确认事项

编号	事项	说明
TBD-01	客户经理能否制定/修改服务方案	docx 两处口径冲突；V1 暂按只读 + 建议
TBD-02	谈案律师是否可看冲突结果	docx 写“不做冲突检索”，需确认是否完全不可见
TBD-03	财务可见案卷范围	仅财务材料，还是可看合同/回款相关文书
TBD-04	运营可见客户信息范围	姓名/电话是否脱敏；本渠道线索是否可见
TBD-05	分所管理者范围	本所，还是可跨所查看
TBD-06	总管理员与业务管理者是否分离	谁可进财务端、谁可改配置
TBD-07	外部律师/顾问账号	企业微信外部联系人还是自建账号
TBD-08	Agent C 类例外审批人	管理者/合规/案件主办
TBD-09	审计日志保留年限	5 年/10 年/永久
TBD-10	共享链接策略	是否允许外发、有效期、下载次数

---

12. 下一步

1. 与卓安确认 TBD-01～TBD-10，尤其是 TBD-01（客户经理与方案）和 TBD-02（谈案律师与冲突）。
2. 本矩阵确认后，再出《数据对象与状态机 v0.1》和《页面与交互清单 v0.1》。
3. 页面和接口按本矩阵实现服务端校验，前端只做展示与提示。

---

---

13. 补充：客户小程序主体（2026-11-06 新增）

13.1 客户侧权限

操作	客户（小程序）
查看本人合同/案件进度	✅ 仅公开档位内
查看公开办案动态	✅
查看共享文书	✅ 按份授权，带水印
查看承办律师/团队	✅ 按授权
查看费用/回款摘要	⚠️ 按开关，默认关
查看内部案卷/证据/冲突/质评	❌ 永不
查看其他客户/案件	❌ 永不
修改任何数据	❌ 只读
解绑/注销	✅ 本人

13.2 律所侧发布权限

操作	承办律师	客户经理	管理者	财务	运营
创建客户版动态	✅	✅	✅	❌	❌
发布/撤回动态	✅ 申请	✅ 申请	✅ 审批	❌	❌
设置公开档位	✅ 申请	❌	✅	❌	❌
共享文书	✅ 申请	❌	✅ 审批	❌	❌
撤销客户绑定	❌	✅ 申请	✅	❌	❌
查看访问日志	👁 本案件	👁 本客户	✅	❌	❌

13.3 铁律

1. 客户永远只读，且只看公开内容。
2. 合同号不是密码；绑定需姓名+手机+OTP。
3. 公开默认关闭；发布/撤回/访问全审计。
4. Agent 可起草客户版动态，不能自动发布。

---

本文为需求讨论稿，不构成开发承诺；权限以服务端策略引擎为准。