多校区、多子公司共用一套心理测评 SaaS，最怕的不是界面不好看，而是 A 单位能搜到 B 单位的人，或集团管理员随手导出全量明细。权限要先切「组织边界」，再切「角色深度」。只改菜单名、不改数据范围，串数据几乎必然发生。
先切组织：租户或组织树，而不是部门字段装饰
稳妥模型是：每个校区/子公司是独立组织（或强隔离的组织节点），人员主键、任务、报告默认只在本组织可见。集团层若需要汇总，应走聚合视图（完成率、预警数量、趋势），而不是默认开放跨组织个报互搜。
验收很直接：用 A 组织账号搜索 B 组织学号/工号，结果应为空；用集团只读账号看看板，应看不到可下载的跨组织明细，除非单独授权并留审计。要连报告详情页、导出接口、搜索框一起验，别只看列表页遮住了就算隔离——很多系统列表做了过滤，直接拼报告 ID 却还能越权打开。组织树若只是「部门下拉框」，底层仍是一张大表、全员可见，那不叫隔离，只是换了个筛选条件。
再切角色：同组织内深度仍要不同
组织隔离解决「串单位」，角色解决「串职责」。辅导员、心理老师、HRBP、高管在同一组织内，看见的字段和能做的操作也应不同。常见翻车是：所有业务角色都复制了超管权限，只是首页换了皮肤。验收时用四个角色点同一个人：完成率、预警名单、完整报告、导出按钮，四者不应长得一样；能看摘要不代表能看逐题，能看名单不代表能导明细。
导出、对接、停用：三条最容易漏的闸
导出要记「谁导出了谁」，并支持按任务/按组织限时关闭，异常导出（非工作时间、超大批量）要能追问到人。对接上游主数据时，人员停用应停止新任务下发，历史报告按保留策略处理，不能继续出现在活跃名单里催测。组织合并、拆分要有迁移剧本：人往哪走、历史归谁、权限如何重授，禁止手工改库「先顶一阵」——手工改库当时看着解决了，往往在下一次同步时把隔离彻底冲垮。还要单独确认跨组织调动的场景：一个人从 A 校区转到 B 校区，历史报告是随人迁移还是留在原组织，两种口径都得在上线前定死，不能上线后靠个案讨论。
橙星云多组织落地时，建议先画一张「组织 × 角色」矩阵，把每格能看什么、能导什么写死，再进系统逐格对权限，而不是上线后再补救串数。权限切开的标准其实很朴素：不该看见的主键，搜不到；不该带走的明细，导不出；不该还活着的账号，发不了新链接。