权限与可见范围速查
用一条判定链理解账号身份、项目关系、角色、模型与数据的最终可见范围。
1. 看不到不一定是功能缺失
同一企业里的主账号、系统管理员、财务对账人员和普通成员承担不同职责，页面与数据范围可能不同。遇到同事能看到而你看不到的页面或记录，先沿下面的权限链核对身份和项目关系，不要通过购买套餐或更换 Key 猜测解决。
2. 权限由 4 层共同决定
主账号和系统管理员按账号级身份管理企业项目；下面的项目关系与角色检查主要用于普通成员。财务对账人员在企业范围核对费用，不进入项目工作区。
- 登录主体：当前账号能否成功登录企业网关。
- 账号级身份：决定可进入的企业管理区域。
- 项目关系与项目角色：决定可进入哪些项目及可执行操作。
- 角色模型权限：决定在项目内可见和可调用哪些模型。
3. 常用可见范围
| 对象 | 默认可见范围 | 不会自动扩大范围的身份 |
|---|---|---|
| 项目 API Key | 当前账号 + 当前项目 | 主账号、系统管理员、项目管理员 |
| 项目日志与用量 | 管理者按项目数据权限查询；普通成员只看本人记录 | 有企业汇总权限不等于获得其他账号完整 Key |
| 企业 AccessKey | 企业管理范围 | 普通项目成员 |
| 操作审计 | 当前企业；主账号与系统管理员可查询 | 财务对账人员、普通成员 |
| BYOK 配置 | 企业管理范围 | 普通项目成员 |
| 项目模型 | 项目范围 ∩ 角色模型权限 | 仅拥有项目入口但无模型权限的成员 |
4. 切换项目后重新判定
切换项目会同时切换成员关系、角色、模型、路由、项目 API Key、日志和用量上下文。上一项目的凭证和路由不能直接用于新项目。
5. 操作审计的可见范围
主账号和系统管理员可以查询当前企业最近 180 天的关键管理操作。图形化控制台记录实际登录账号，AccessKey 管理接口记录本次签名使用的企业 AccessKey；成功、已识别失败和权限拒绝分别展示。审计详情不展示密码、Secret、项目 API Key、BYOK 密钥、Authorization、签名或原始请求体。
6. 无权限时的页面表现
无权限页面不展示敏感数据，并明确说明当前缺少的权限或可联系的管理员。只读角色可查看允许的数据，但不显示或禁用高风险操作。
7. 暂未加入项目
账号仍可成功登录，但只显示受限落点，不显示项目数据和项目导航。页面提供「重新检查权限」，由管理员完成项目关系配置后再刷新结果。
8. 排查顺序
- 确认当前登录账号与企业。
- 确认当前项目和项目成员关系。
- 确认绑定的项目角色与操作权限。
- 确认角色模型权限、项目模型范围和项目状态。
- 确认凭证、路由和数据都属于当前项目。