一所学校刚上线心理筛查系统时，最省事的做法是给班主任和心理老师开同一套权限：都能看完整报告、都能看预警名单、都能导出原始作答。看起来高效，实际埋雷——筛查数据的敏感度，本就不该由「方便管理」来决定谁看得见。
两类角色，本来就在看两类东西
班主任关心的是班级层面的落地：谁还没交卷、完成率够不够、哪些孩子近期需要多留意。这类信息偏「管理与关注」，不需要看到量表的因子分、临床风险描述或逐题原始作答。心理老师则要做专业研判：因子结构、效度、预警等级、是否需要进一步访谈，必须看到完整报告。把这两类需求塞进同一个账号，等于让不该接触临床细节的人默认拥有了访问权，出了问题也说不清是谁看过。
拆权限，拆的是数据层级不是人
正确顺序是先给数据分级，再按角色映射。完成率与应测未测名单是一层；预警是否触发（只给结论、不含原因细节）是一层；完整因子报告和原始作答是最敏感的一层。班主任账号止步于前两层里必要的部分，心理老师账号才进入最深一层。像橙星云这类系统通常支持按角色配置字段级可见范围，配置时不要用「年级组长」「德育主任」去套心理数据，而要单独定义谁能进入报告层，避免行政岗位顺带拿到临床信息。
现实里还有几个容易漏掉的边界。一是身份兼任：不少心理老师同时带班，或班主任临时代管别班，账号权限应跟着「当前对哪个班、哪些学生负责」走，而不是把两种身份的权限直接叠加，否则代课一结束权限还留着。二是范围限定：班主任即便在管理层，也应只看到本班学生，看不到全校名单；心理老师的报告权限则可能覆盖全校，但同样要能按年级或校区收窄。把「看什么层级」和「看哪些人」这两条分别配好，权限才算真正拆干净。
边界写清，验收要用账号实测
配置完别只看权限表，要用真实账号各点一遍同一个学生：班主任应止于完成状态和必要提示，心理老师能进入完整报告，且每次打开报告都留下「谁在何时看了谁」的日志。还要确认导出是否受控——能不能一键导全班原始分、导出有没有记录。班主任若能随手导出全班逐题作答，拆权限就形同虚设。另外要专门测一个越权场景：让班主任尝试直接改地址或换参数去访问别班学生的报告，系统应当拦下而不是照常返回。真正的验收标准只有一条：换任何一个不该看细节的角色登录，无论从哪个入口，都进不到最敏感那一层。