定义
权限（Permission）指用户、角色或设备在物联网平台中可执行的操作范围与可访问的数据范围。权限管理是 设备管理平台、充电平台、运维平台 等系统的安全基石，支撑多租户、多区域、多角色的访问控制。典型权限包括：设备查看/控制、配置修改、用户管理、报表导出、远程锁卡 等。跨境场景下，权限需支持按国家、区域、子账号的细粒度划分，满足当地合规与数据隔离要求。
技术特点与架构
权限技术特点包括：RBAC——基于角色的访问控制（Role-Based Access Control），角色与权限解耦；资源与操作——权限可细化为对特定资源（如设备组、区域）的特定操作（读、写、删除）；继承与委托——子账号继承主账号权限、支持权限委托；审计——权限变更与敏感操作可追溯。典型架构包括：权限模型定义、强认证 与鉴权、与 平台对接 的 SSO 或 OAuth 集成。跨境场景需考虑 GDPR 等数据访问权限、多语言权限文案及当地运维人员的权限隔离。
在物联网与跨境场景中的应用
权限在物联网与跨境场景中的应用包括：充电平台——CPO、eMSP、运维人员、财务人员等不同角色对 充电桩、CDR、结算数据的不同权限；设备管理——客户对其自有设备的全权限、运营商对共享设备的受限权限；运维平台——按区域划分的运维人员权限，跨境团队仅能操作其负责区域；物流平台——物流平台 的货主、承运商、司机等角色的数据与操作权限。达希物联平台支持细粒度权限配置，保障跨境多租户场景下的安全隔离。
权限在跨境租户里的资源边界
权限回答的是：这个身份可以对哪些对象做什么。对象包括设备组、区域、卡批次、账单和工单；动作包括查看、导出、改配置、下发锁机、发起升级和关闭告警。只给“管理员”三个字，等于没有边界。跨境平台上，同一家客户可能在若干国家有设备，当地运维只应看到本国的桩或车，总部财务只应看到汇总金额而不是每一条可识别行程。资源范围和动作必须同时限制，只限制动作、不限制国家，当地人员仍能改到别国设备。
角色是权限的打包方式，不是身份本身。一个人可以在甲国持有运维角色、在乙国只有只读角色。委托是把自己的一部分权限临时交给别人，委托单应写明对象范围、动作和到期时刻。到期后，已经下发到边缘网关或浏览器里的缓存也要失效，否则撤销只发生在中心数据库。设备证书代表的是设备，不是操作员；用设备通道执行锁机或升级，仍应能追溯到批准该命令的人员账号。审计记录要保留操作者、对象、动作、来源地址和结果，跨境调阅时按数据所在区域控制可见性。
临时委托能够生效的条件
临时委托可以生效的条件是：委托者自身拥有所授出的动作和资源，被委托者已完成身份核验，期限短于对应的作业窗口，并且高风险动作（锁机、密钥更换、批量升级）需要单独勾选而不是随角色打包继承。跨公司协作时，外包人员的账号应挂在受托租户下，而不是加入设备所有者的超级角色。单点登录从客户目录同步过来的组，要映射到平台里的区域角色，不能因为目录里有“全局管理员”字样就映射成全设备写入。
管理员角色被整份复制
常见差错是新站点上线时复制总部管理员，现场账号因此能导出全部国家的卡清单和账单。其次是只在界面上隐藏菜单，接口仍接受写入，脚本或对接系统可以绕过。再次是人员离职后只禁用登录，已签发的令牌和边缘缓存继续有效。还有一种是把锁卡权限和设备重启权限放在同一个角色里，财务停卡时误触桩的继电器。区域过滤若做在报表层而不是查询条件层，接口分页仍会返回别国设备。纠正方式是按区域和动作拆角色，高风险动作单独授权，令牌和缓存与账号禁用联动失效，并定期核对实际可调用的接口而不是只看菜单。
接口层的鉴权要使用和菜单相同的区域与动作，不能只在页面上隐藏按钮。导出功能应单独授权，并限制导出范围与行数，避免只读账号通过导出拿到别国明细。令牌失效列表要下发到仍在使用的边缘网关，网关在本地缓存未过期前拒绝已撤销的账号。定期用一把低权限测试账号调用写接口，确认它确实被拒绝，比只检查角色名称更可靠。测试结果记入审计，不在生产数据上做试探性修改。