组织范围和操作权限是两个维度。可以访问某个菜单，并不代表可以读取所有区域资料，更不意味着可以导出或修改，权限矩阵应把范围与动作逐项组合。

组织范围

按业务职责梳理可处理的事项与区域，明确跨组织协作是否允许。岗位权限与数据范围是两件事，应同时设计，而不只列出页面菜单。

操作类型

查看、受理、审批、退回与导出应分别授权，重要动作可按流程安排复核。权限配置改变后，要核查正在办理任务是否仍有合适的负责岗位。

验证场景

用不同角色检查直接访问接口和跨范围查询，确认后台同样执行限制。技术权限帮助实施已确认的规则，不替业务单位决定谁应获得资料访问资格。

场景核对

可设计一个有菜单访问权限、但没有某区域资料权限的测试账号，检查列表、详情与导出是否一致。两个维度同时验证，才能发现只按菜单授权的缺口。

具体验证方法

用一区账号请求二区详情，确认被限制；允许查看但禁止导出的账号直接调用导出接口，不能得到文件；调岗后旧范围立即按规则收回；列表合计也不能泄露范围以外的资料数量。

授权同时说明能访问哪些资料、能执行哪些操作。列表、详情和导出遵循相同范围规则，岗位变化再同步更新，避免只改菜单而保留接口访问。