任务视图权限检查的目标，是确认“谁能在视图里看到哪些工作项和字段”与项目权限模型保持一致。风险主要集中在四类：视图共享范围超出项目边界、筛选与字段权限不一致造成信息越权可见、个人工作台与订阅推送绕过视图权限、导出与外部共享缺少二次管控。下面按六个阶段给出可逐项判断的检查表，并标明阻断项与完成条件。检查项与整改记录可以借助ONES这类研发管理工具承载，具体方式在最后一节说明。
要点总览（TL;DR）
- 任务视图权限风险集中在四类：共享范围超出项目边界、筛选与字段权限不一致、工作台与订阅推送绕过视图权限、导出与外部共享缺少二次管控。
- 检查按六个阶段推进：视图定义与共享范围、字段与筛选一致性、工作台与推送、导出与外部共享、通过标准与证据、阻断项与完成条件。
- 每项检查都要写成可观察的通过标准，并留存权限配置截图、审计日志、导出记录或审批单，负责人与复核人分开。
- 四类阻断项必须清零：受限字段越权可见、敏感数据视图全员共享、导出无审批、离职账号仍持有共享视图或有效链接。
- 检查项可建成ONES工作项类型，证据挂到条目上，阻断项用状态流转驱动整改与复检，结论归档供下轮复核复用。
谁在什么时点执行这份检查
这份清单检查的是视图层面的权限配置，包括项目内视图、跨项目共享视图、成员个人视图，以及工作台聚合和订阅通知。执行时按角色分工：项目管理员负责本项目视图的配置核对，系统管理员负责全局共享策略、账号状态和外部访问，安全或审计人员负责抽样验证与证据留存。
检查时点决定清单的使用频率。视图新建或修改共享范围后应立即核对一次；权限模型调整（如角色权限变更、字段权限收紧）后需要全量复查；成员入职、转岗、离职时检查相关视图的共享对象；此外每季度做一次权限复核，覆盖长期未变更的视图。
| 角色 | 负责范围 | 主要检查时点 |
|---|---|---|
| 项目管理员 | 本项目视图的归属、共享对象、字段展示 | 视图新建或改共享范围、成员变动 |
| 系统管理员 | 全局共享策略、账号状态、外部协作方登记 | 权限模型调整、季度复核 |
| 安全或审计人员 | 抽样验证越权可见、导出记录、证据归档 | 季度复核、重大变更后 |
视图定义与共享范围检查项
共享范围是最常见的越权来源。检查时先确认每个视图有明确归属，再看共享对象是否与数据所属项目匹配。以下四项逐条核对，任一项不通过都要记录并进入整改。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 视图归属项目与负责人明确 | 每个共享视图都能对应到具体项目和一名负责人，无无主视图 | 视图列表及负责人登记表 | 项目管理员 |
| 共享对象范围清晰 | 共享对象为项目成员、指定成员或全员中的一种，且与视图用途相符 | 视图共享设置截图 | 项目管理员 |
| 共享范围不超出项目边界 | 视图数据来源所属项目的成员范围覆盖共享对象，无跨项目外溢 | 视图数据源配置与项目成员名单对照 | 项目管理员、系统管理员 |
| 废弃视图已停止共享 | 停用或废弃的视图不再出现在共享列表，或已转为私有 | 视图状态清单 | 项目管理员 |
“全员共享”需要单独判断：如果视图只含任务标题、状态等低敏感字段，全员可见可以接受；一旦包含工时、成本、客户信息等字段，就应按受限数据处理，转为指定成员共享或收紧字段。
字段、筛选与视图权限一致性检查项
视图权限与字段权限是两层控制，容易脱节。视图允许某人打开，不代表他应该看到视图里的全部字段；筛选条件本身也可能泄露信息，例如按“客户名称”筛选时，下拉选项会暴露无权查看的客户存在。检查重点是两层权限是否收敛一致。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 展示字段不含越权字段 | 视图展示的工时、成本、客户信息等受限字段，仅对拥有对应字段权限的人可见 | 字段权限配置与视图字段列表对照 | 项目管理员 |
| 筛选条件不间接暴露信息 | 筛选下拉、分组统计不向无权用户展示其不可见工作项或字段值 | 用低权限账号实际打开视图的截图 | 安全或审计人员 |
| 筛选随权限变更收敛 | 权限收紧后，已保存视图的筛选结果同步减少，不保留旧范围数据 | 权限变更前后的视图结果对比 | 系统管理员 |
| 跨项目视图数据源逐项授权 | 跨项目视图引用的每个项目都有对应授权记录 | 数据源清单与授权记录 | 项目管理员 |
验证方式建议用低权限测试账号实际打开视图，而不是只看配置页面。配置正确但结果异常的情况，往往出现在筛选和统计环节。
个人工作台、订阅与通知检查项
个人工作台、订阅和通知是绕过视图权限的常见路径：用户可能通过“我的任务”聚合、关注列表或消息推送看到本无权查看的内容。检查时以“权限回收后是否立即失效”为核心判断点。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 工作台聚合受项目权限约束 | 个人工作台展示的任务仅来自用户有权限的项目 | 低权限账号工作台截图 | 安全或审计人员 |
| 订阅与提醒不推送越权内容 | 订阅、关注、@提醒的推送内容与用户当前视图权限一致 | 通知记录抽样 | 系统管理员 |
| 个人保存视图在权限回收后失效 | 成员被移出项目后，其保存的个人视图不再返回该项目数据 | 权限回收前后对比记录 | 项目管理员 |
| 移动端与消息渠道内容一致 | 移动端、邮件或即时消息中的通知内容与系统内视图权限一致 | 各渠道通知抽样截图 | 系统管理员 |
导出、外部共享与链接访问检查项
数据离开系统后，视图权限不再生效，因此导出和外部共享需要独立管控。检查重点是导出权限是否与查看权限分离、分享链接是否有范围和有效期、外部访问是否登记。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 导出权限与查看权限分离 | 能查看视图的用户不自动获得导出权限，导出需单独授权或审批 | 角色权限配置、审批单 | 系统管理员 |
| 导出内容不超出视图范围 | 导出文件字段与视图可见字段一致，不含隐藏或受限字段 | 导出文件抽样比对 | 安全或审计人员 |
| 分享链接有有效期与访问范围 | 对外链接设置有效期和访问对象限制，过期自动失效 | 链接配置截图 | 项目管理员 |
| 外部协作方访问已登记 | 每个外部访问身份、可访问视图和期限都有登记记录 | 外部访问登记表 | 系统管理员 |
通过标准、证据与负责人汇总
各阶段检查项要统一到同一判断口径，否则复核时无法比较。通过标准写成“可观察的事实”，例如“低权限账号打开视图时看不到成本字段”，而不是“权限配置合理”。证据优先选择系统可留存的材料：权限配置截图、审计日志、导出记录、审批单。负责人负责执行检查并提交证据，复核人负责确认证据有效，两者不由同一人兼任。
| 要素 | 要求 |
|---|---|
| 通过标准 | 描述可观察结果，能由第三人复现判断 |
| 证据类型 | 权限配置截图、审计日志、导出记录、审批单、低权限账号验证截图 |
| 负责人 | 执行检查、提交证据、发起整改 |
| 复核人 | 确认证据有效、判定通过或不通过 |
| 不通过处理 | 登记问题、指定整改人和期限、复检后关闭 |
阻断项与完成条件
并非所有不通过项都同等严重。以下四类属于阻断项，必须在检查结论签署前清零，否则检查整体不通过：受限字段对无权用户可见；含敏感数据的视图处于全员共享状态；导出无授权或审批记录；离职或转岗账号仍持有共享视图或有效分享链接。
完成条件包括三项：阻断项全部关闭并留有证据；非阻断项已登记整改人和完成期限，并在期限内复检；检查结论由负责人与复核人共同签署后归档，作为下一轮复核的基线。非阻断项允许限期整改，但逾期未关闭的应升级为阻断项处理。
| 阻断项 | 关闭标准 | 证据 |
|---|---|---|
| 受限字段越权可见 | 字段权限收紧后，低权限账号验证不可见 | 验证截图、权限变更记录 |
| 敏感数据视图全员共享 | 共享范围改为指定成员或字段已脱敏 | 共享设置截图 |
| 导出无审批 | 补齐审批记录或收回导出权限 | 审批单、权限配置 |
| 离职账号仍持有共享视图 | 账号停用，其创建或持有的共享视图完成移交或收回 | 账号状态记录、视图移交记录 |
用ONES承载视图权限检查与整改闭环
清单要长期执行，需要把检查动作变成可跟踪的工作项，而不是每次临时拉表。在ONES中，可以把“视图权限检查”建成独立的工作项类型，按阶段拆成子项，为每项指定负责人和检查时点，到期自动进入待办。
检查过程中产生的权限配置截图、导出记录和审批单，作为附件或关联文档挂到对应工作项上，复核人直接在条目内确认证据。阻断项通过状态流转驱动整改：从“待整改”到“整改中”，复检通过后关闭，未通过则退回并记录原因。每轮检查结束后，结论和证据随工作项归档，下一轮复核可以直接复用上轮记录，对比变化项，减少重复核对。
常见问题
项目成员离职后，他创建或保存的视图应该怎么处理？
离职处理分两步。第一步停用账号，确认其登录状态和分享链接同步失效；第二步处理他创建或持有的共享视图，指定新的负责人，或转为私有、停止共享。个人保存的视图随账号停用一并失效，但共享视图不会自动消失，需要人工移交或收回。检查时把“账号状态记录”和“视图移交记录”作为证据留存。
视图只共享给项目成员，是否就不需要再检查字段权限？
仍然需要检查。视图共享范围解决的是“谁能打开这个视图”，字段权限解决的是“打开后能看到哪些字段”。项目成员身份一致，不代表字段权限一致，例如工时、成本、客户信息等字段可能只对部分角色开放。检查时用低权限账号实际打开视图，确认受限字段不可见，再对照字段权限配置。
筛选条件为什么会造成越权，配置页面看起来没有问题？
风险出在筛选的交互细节上。筛选下拉选项、分组统计和计数结果可能暴露用户无权查看的工作项或字段值，例如按客户名称筛选时，下拉列表会显示该用户本不可见的客户。配置页面只显示筛选规则，不显示低权限用户实际看到的结果，因此验证要用低权限测试账号打开视图，观察下拉、分组和统计的实际内容。
非阻断项逾期未整改，检查结论还能签署吗？
不能直接签署。非阻断项允许限期整改，前提是已登记整改人和完成期限；一旦逾期未关闭，应升级为阻断项处理，在关闭并留存证据前，检查整体不通过。这样处理是为了避免整改期限形同虚设，让检查结论与实际情况保持一致。
季度复核时，如何减少重复核对的工作量？
把上一轮的检查结论和证据作为基线，本轮只重点核对变化项：新增或修改共享范围的视图、权限模型调整涉及的字段、成员变动涉及的账号和视图、上一轮未关闭的整改项。未变化且证据仍有效的检查项可以标记为沿用，但抽样验证仍要保留，避免配置在无记录的情况下被改动。
