4. 权限分配与生命周期管理

LIMS 中的权限不是一次性授予就永久有效的静态配置，而是随人员岗位、职责和组织关系持续变化的动态资产。权限生命周期管理的核心目标只有一句话：让每个账号在任何时刻拥有的权限，都恰好等于其当前岗位所必需的最小集合。围绕这一目标，需要把用户开户、角色变更、转岗、离职四个节点串成闭环，并对临时权限与紧急权限设置独立的审批与时效控制机制。

一、四个生命周期节点的权限处理逻辑

用户开户是权限生命周期的起点。开户不是简单“建个账号”，而是一次基于岗位的权限初始化。正确做法是：先由用人部门提交《LIMS 开户申请》，明确姓名、工号、所属部门、岗位、所需角色、生效日期；再由系统管理员在 LIMS 中创建账号并绑定角色模板，而不是逐个勾选权限点。角色模板（如“样品接收员”“仪器分析员”“QA 审核员”“实验室主管”）把权限打包，既降低配置错误，也便于后续批量回收。开户时应同步设置初始密码策略、首次登录强制改密、账号有效期（如合同制人员设为合同到期日）。

角色变更发生在同一岗位内职责扩展或收缩时，例如分析员从“仅录入数据”变为“可复核数据”。此时应走角色变更申请，由部门负责人审批后，管理员在账号上新增或移除角色，而不是修改角色模板本身——角色模板是共享的，改模板会波及所有绑定该角色的人。变更后必须记录变更前后角色对比，作为审计证据。

转岗是权限风险最高的节点，因为人员从 A 部门到 B 部门，旧权限往往被遗忘。规范流程是“先回收、后授予”：转岗生效日当天，系统管理员依据转岗通知，先移除原岗位全部角色，再按新岗位绑定新角色模板。若新旧岗位存在权限交集（如都需要“查看样品信息”），也应通过新角色模板重新获得，而不是保留旧角色。转岗必须核对数据归属，例如原部门的历史记录是否仍可查看，通常应限制为只读或不可见，避免跨部门数据泄露。

离职是权限回收的终点，也是最容易出问题的环节。建议采用“T-1 预回收 + T 日硬禁用”策略：离职前一个工作日，由 HR 触发离职流程，系统自动或人工将账号置为“待禁用”，撤销全部业务角色，仅保留必要的交接查询权限；离职生效日当天，账号立即禁用、会话强制失效、电子签名证书吊销或冻结。离职回收必须形成清单：账号状态、角色清空、签名证书、共享账号、门禁/仪器工作站登录、邮箱与文件共享，逐项确认。

二、临时权限与紧急权限的审批与时效控制

临时权限和紧急权限是常规角色体系之外的两类“例外通道”，必须用更严格的审批和更短的时效来约束，否则会成为权限失控的主要漏洞。

临时权限适用于可预见的短期需求，例如某分析员临时支援另一个项目组、参与方法验证、短期代班。其审批要点是：申请单必须写明权限范围、使用起止时间、业务理由、审批人。系统实现上，临时权限应作为独立授权记录，与常规角色分离，并设置到期时间字段。到期后由系统自动回收，而不是依赖管理员手动删除。建议默认有效期不超过 30 天；如需延期，必须重新提交申请并再次审批，禁止“一键续期”。临时权限同样要纳入定期权限复核，QA 每月抽查临时权限使用记录与实际业务是否匹配。

紧急权限（Break-Glass，破窗权限）适用于无法等待正常审批的突发场景，例如生产系统故障需要立即介入、监管审计临时要求调阅数据、关键仪器故障需紧急处理。紧急权限的核心矛盾是“时效性”与“可控性”的平衡，因此采用先授予、后补批、强审计模式：授权时记录触发人、触发时间、使用理由；权限默认有效期极短（如 4 小时），到期强制失效；触发后立即向 QA 和管理员发送告警；使用人须在 24 小时内提交书面说明并补办审批，QA 逐条复核操作日志，确认无越权或数据篡改。若补批未通过，应追溯责任并考虑收回相关权限。

三、可执行的权限回收检查清单

以下清单可直接用于离职与转岗场景的逐项核对，建议作为 LIMS 权限管理 SOP 的附件：

权限生命周期管理的本质，是把“人变了，权限跟着变”这件事变成有申请、有审批、有执行、有回收、有审计的固定动作。开户时用角色模板保证起点正确，变更和转岗时坚持“先回收后授予”，离职时执行 T-1 预回收与 T 日硬禁用，临时与紧急权限用短时效和强审计兜底。做到这几点，LIMS 的权限体系才能既支撑业务灵活运转，又经得起数据完整性与合规审计的检验。