能不能导报表，在很多景区是一句给客服开个导出权限就定下来的事，出事故之后才发现这句话管着三类完全不同的数据。原始订单、核销明细、财务汇总表各自的敏感点不在行数而在字段，权限应该按内容分层，不是按岗位一口切。

一、三类表各自给谁。原始订单明细里有姓名、手机号、证件号、下单渠道，日常只有客服和财务对账岗需要，而且客服要的往往只是某一单，不是某一天的全部。核销明细是通道、时间、票号，给检票班长和运营，用来算时段峰值和通道负载，字段不敏感，可以放开。财务汇总表已经是聚合数，被拿走的后果最小，反倒可以给得宽松。

二、含手机号与证件号的表怎么管。默认脱敏列：证件号只留前六后四，手机号中间四位打星。要出全量走审批，一次批一天。单次导出限行数，一般两万行为上限，超了分日导。文件不要长期留在票务系统的下载目录，链接设有效期，过期重下并重新留痕。权限颗粒度要拆到能不能看到全量列这一层，只按菜单开关放人，等于把整份名单交给一个账号。

三、留痕要记什么。一条导出记录至少六项：操作人账号与所属部门、操作时间、筛选条件原样文本、导出的列清单、行数、审批人与用途。条件原样文本很重要，很多人只记导了某日报表，事后查不出他实际筛的是哪个渠道。这类日志的自动清理周期不要短于一年，个人信息相关的留痕删得太快，出事时无从说明。

四、只让看不让导的场景。渠道结构、时段曲线、分时预约系统的余量走势，这几张给看就够了，导出反而坏事：景区分销渠道拿到同一片区的渠道结构，就能反推景区给谁放了多少量。做法是给这些数一个受控页面加定时快照，不给导出按钮。确实需要线下汇报的，由运营岗出带水印的固定视图，谁取的、什么时候取的写在视图上。

五、出过的状况长什么样。最常见的一类不是外部拿走数据，是自家员工把名单导出去做了别的事：给某个渠道额外放量、把当天预约的人拿去做二次推销。票务管理系统里最坏的隐患是一个登录名多人共用，导出留痕直接失去意义。先把共用账号清掉，再谈权限分级。

六、审批要落在线上申请单。口头批、群里批一句“导一下昨天的名单”，事后什么都查不到。可用的做法是在票务系统里放一张导出申请单，字段包括申请人和部门、要哪张表、时间范围、是否需要全量列、用途、保留到哪天，由直属负责人加一名数据岗双人批复，正常两小时内给结论。批复只覆盖这一次的条件和时长，不给长期全量权限；到期权限自动收回，不靠人记得去关。窗口旺季临时要名单的，走同一条流程但把范围限死在本班次，出完票第二天早上收回。