子账号权限怎么分？怎么防止员工带走账号？
两个问题其实是一个问题的两面。权限怎么分的答案是：按岗位给「最小够用」的那一份，能不给的权限就不给。怎么防止员工带走账号的答案不是去监视某个人，而是把它拆成两件可落地的事——权限最小化（让员工没有导出、分享、看明文密码的能力）加上操作留痕（关键操作留下记录，事后可核对）。把权限收好、把痕迹留住，账号资产的安全就有了制度性的保障，而不是靠盯着谁的屏幕。
权限分配的第一原则：最小够用
「最小够用」的意思是：一个成员只拿到他完成本职工作必需的权限，多一分都不给。运营天天要开窗口、发帖、回消息，那就授权他用对应的窗口；但他不需要把 Cookie 导出到本地，那导出权限就关掉。客服只需要看后台回复客户，那就给只读，连新建、删除都不必开。原则很简单：先默认全关，再按岗位一项项打开，而不是先全给再想着关哪些。
- 按岗位划角色：把常见岗位（管理员、运营、客服/只读等）先定义清楚，每个岗位对应一组固定权限，新人进来直接套角色，不用一项项勾。
- 按窗口/分组授权：不是所有成员都能看到所有窗口。只把他负责的那批窗口或分组授权给他，其余不可见。
- 敏感能力单独收：看密码明文、导出 Cookie/环境、分享/转移窗口这三类是「能把账号带走」的关键能力，默认对普通成员关闭，只给确实需要的人。
「防止带走账号」的三类具体控制手段
落到具体操作上，防止员工把账号资产带走，主要靠下面三类控制。它们是否可用、叫什么名字以客户端为准，但思路是通用的。
一、隐藏密码明文：能用不能看
很多平台账号的密码是存在窗口里的，员工日常只需要用这个登录态，并不需要知道密码本身。所以理想状态是：成员能正常打开窗口、保持登录、完成操作，但看不到账号密码的明文。这样即使人走了，他手里也没有能在别处直接登录的凭证。这类「只能用、不能看」的能力是防带走的第一道闸。
二、禁止导出 / 分享 / 转移
能把账号「搬走」的动作主要是三个：导出 Cookie/环境（把登录态打包带走）、分享窗口（把窗口共享给外部账号）、转移窗口（把窗口所有权转给别人）。对普通成员，这三项默认都应该关闭，只有主账号或明确授权的管理员才能做。这样员工即便有心，也没有把窗口环境导出或转移出团队的技术手段。
三、操作留痕：关键动作可回溯
权限收得再紧，也需要一层「事后能查」的兜底。关键操作（导出、分享、转移、删除、批量修改等）留下日志——谁、在什么时间、对哪个窗口做了什么——一旦出现异常导出或转移，可以回溯核对。留痕的意义不是盯着谁，而是让「谁动过账号资产」这件事变得可查、可追溯，从而形成约束。
离职交接：先冻结，再回收，最后核对
员工离职是账号资产最容易出问题的节点。正确的顺序是先冻结、再回收、最后核对，而不是等交接完再想起来收权限。
- 立即冻结/停用该成员账号。 第一时间收回登录权，避免他在交接期继续操作或临时导出。
- 回收窗口与分组授权。 把原本授权给他的窗口、分组交还主账号，或转交给接手的新负责人。
- 敏感平台在账号侧改密/重登。 涉及资金、店铺、收款的平台，光在客户端收权限不够，要在平台那边同步改密码、退出登录。
- 核对操作日志。 检查交接期内有没有异常的导出、分享、转移动作，确认账号资产没有被带走。
- 回收或复用席位。 人走了，席位空出来，可以留作扩容或分配给新人。
几个常见误区
- 误区一：全公司共用主账号。 没法区分谁做了什么，一个人出问题全员受影响，离职只能全员改密。团队成员 + 权限分配就是为了替代这种做法。
- 误区二：先全给再慢慢收。 权限一旦给出去，员工可能已经导出/备份过了，事后再收也追不回已带走的数据。正确顺序是默认全关、按需打开。
- 误区三：把留痕当监控个人。 留痕是为了保护账号资产、事后可追溯，不是记录员工私人行为，别越界。
- 误区四：离职只在客户端收权限。 忘了在敏感平台侧改密，等于门锁换了但备用钥匙还在员工手里。
这些内容不在本篇范围内
怎么把成员加进来、成员数量按什么算，是《怎么添加子账号/团队成员？成员数量怎么算》那篇的范围；窗口的分组、标签、排序怎么管理，是《窗口太多怎么管理？分组、标签、排序、搜索》那篇的范围。本篇只回答「权限怎么按岗位分、怎么靠权限最小化和操作留痕守住账号资产」这一个问题。