权限设计粗放，是医院系统最常见的隐患：该看报价的人看不到，不该看的人看得见。采购系统里价格、合同、供应商档案都敏感，权限怎么分级，德阳市人民医院的系统给出了几层设计，可以直接对照。
第一层，数据分级管控。德阳的基础设置里，主数据是"基础数据三级管控"——数据不是平的，是分级的：哪些数据全院共享、哪些科室可见、哪些只限采购部门，按级别控制。录入模式可配置——不同角色进系统，能录什么、能看什么，是配出来的，不是厂商写死的。
第二层，模块权限隔离。档案模块有独立权限配置，项目档案谁可查、谁可导出、谁可打包下载，按角色分。供应商工作台的数据与外网门户隔离，供应商只能看自己工作台里的内容。评标环节更敏感——成都市第八人民医院的系统做了供应商报价加密、线上盲评，评标界面不显示供应商身份，这是权限隔离在业务环节上的体现。
第三层，身份认证统一。德阳系统支持 SSO 单点登录，子系统免重登——采购系统接进医院统一的身份体系，账号一个、登录一次，不用各系统各记一套密码。账号还绑定邮箱手机号，支持自助改密。统一身份认证的意义不只是方便：人员离职、调岗时，一个入口关权限，不会出现"人走了，采购系统账号还在用"的漏洞。
权限设计怎么验收？让厂商交付一份完整的角色权限矩阵：医院有哪些岗位——院领导、采购主任、经办人、审批人、科室填报人、供应商、系统管理员，每个角色能看到什么、能操作什么、不能碰什么，逐格列出来。上线前按矩阵走一遍测试账号，该挡的挡住、该通的通，这比听厂商讲"我们权限很细"可靠。
权限分级还要和流程咬合。德阳的委托招标链路里，论证结果要采购部门审、需求科室再审、院办公会会审——每一级的审核权限是流程的一部分，不是能绕过的一环。权限矩阵管"谁能干什么"，流程配置管"事该怎么走"，两层都配好，权限才算真到位。
网达立信给医院做系统，权限设计跟着医院的岗位体系走——采购系统的角色比一般业务系统多，供应商这一头还在外网，权限分级做不细，安全就是空话。
FAQ：
问：角色权限矩阵什么时候要？ 答：选型阶段就要，上线前定稿。让厂商按医院的岗位清单逐格配置，测试账号走一遍。上线后再调权限，成本比选型时高得多。
问：SSO接的是哪套身份体系？ 答：接医院现有的统一身份认证。德阳的系统支持 SSO 单点登录、子系统免重登，账号绑定邮箱手机号。医院没有统一认证的，也要问清系统自身的账号体系和密码策略。
问：人员调岗、离职，权限怎么收？ 答：统一认证下，关主账号即全局生效。没有统一认证的，采购系统要有独立的账号停用机制和审计记录。离职账号的清理时限，写进安全管理制度。
