先聊聊TM/QM到底是啥玩意儿

先说清楚，TM负责把底层表、字段、维度dou给梳理好。

QM则是告诉外部系统：“我这儿Neng查哪些字段，Neng加哪些业务过滤。”

两者分工明确，别把权限这块偷偷塞进业务代码里。

你想啊，用户登录后系统得先判断他到底Nengkan哪些公司、哪些仓库。

Ru果把这玩意儿写在业务 Service 里那每个接口dou要记得手动加。

结果？代码到处dou是 if …，改个规则得改十几处。

说实话，这种“散落式”权限根本不靠谱。

1️⃣ 权限统一入口。 不管是列表、导出还是报表，dou是同一套规则在跑。

2️⃣ 可审计。 系统在执行查询时会自动记录“因为公司ID限制才返回这些行”，审计日志一目了然。

3️⃣ 可维护。 业务变geng只需要改模型或查询配置，不用去翻遍所有 Service。

前端传来的筛选条件只Neng是“我想查什么”。 比如用户挑了时间范围、状态，这属于业务过滤。

权限属于“系统必须强制加上的边界”，只Neng在后端统一注入。

Ru果前端自己写 {companyId: userSelected} 那么恶意请求直接绕过去——哈哈，这可不行。

export const model = {
  name: 'StockTransferModel',
  tableName: 'stock_transfer',
  idColumn: 'id',
  properties: ,
  dimensions: 
};

这里仅描述字段和关联，别硬编码哪个用户Nengkan哪家仓库。

const queryModel = {
  name: 'StockTransferQueryModel',
  caption: '库存转移查询',
  model,
  columnGroups: 
    }
  ],
  accesses: 
};

注意：.and 是引擎内部统一加的行级过滤，业务代码根本感受不到它的存在。

比如商品维度里只允许用户kan到自己租户下的商品：

dimensions: ,
        forcedOrderBy : ,
        hierarchyEnabled:true,
        allowedHierarchyOps:
      }
    }
  }
];

这样即使前端打开一个下拉框去搜索商品，也只Neng返回合法范围内的选项，安全感倍增。

有人问：“为啥我的页面百度不收录？”其实原因大多跟以下几点有关：

页面没有Zuo好 SEO 基础：标题、meta 描述缺失或重复；

内容质量太低或大量重复内容，被判定为垃圾站；

网站结构混乱，内部链接不足导致爬虫抓取困难；

服务器响应慢、频繁报错也会被降权。

解决办法就是：完善标题标签、合理布局关键词、确保页面加载快、搭建清晰的站点地图，然后耐心等百度重新爬取。你懂的，这事儿没捷径，一步一步来就行了。

早期我们在 Service 层写了这么一段：

if  {
   sql += ` AND company_id = ${user.companyId}`;
}
if  {
   sql += ` AND team_id IN })`;
}

SIGH，这种写法每新增一个角色dou得改一次 SQL 拼接，还容易忘记某个角色综合进来导致泄露数据。后来改成统一的 QM accesses，上面那段代码直接消失了。

职责分离：T​M负责模型结构，Q​M负责查询语义，业务层只管“我要查什么”。把权限混进去违背了单一职责原则。

C​ode 重复：P​ermission logic 会在多个 Service 中重复出现，一改多处疼痛感爆表。

A​udit & Trace：S​ystem Neng够自动记录谁为什么被限制访问，而散落的 if‑else 根本追溯不到。

M​aintainability：E​ngine 升级或组织结构变geng，只需要修改 TM/QM 配置，不用动业务代码，大幅降低风险。

所以啊，我跟你说这事儿真的别硬扯进去。把权限当作模型的一部分，让引擎天然帮你拦截非法访问，你省心省力又省 bug。咱就是说这才是稳妥又优雅的Zuo法！以后再碰到类似需求，就直接往 TM/QM 那边扔规则吧——别再让业务代码背锅啦！哈哈~