园区多个门岗各用各的卡？人员通行怎么统一授权

A栋楼的员工刷不开B栋的门禁；临时工和正式工拿的权限一样宽；外包人员离职三个月了，卡在闸机上照样刷得开。问题不在闸机，而在授权这件事从来没人统一做过。

根子是三个习惯：名单按楼栋各维护一份、权限按楼栋发而不是按角色发、卡是发出去的而不是授权出来的。本文只讲园区内部人员（正式员工、临时工、外包、实习）的授权主数据与权限生命周期——权限发给谁、按什么粒度发、临时和长期怎么区分、离职当天怎么收回。

一、各门岗各用各的卡，是怎么形成的

一卡一通行范围不是谁疏忽，而是三处做法长期叠出来的结果。看清这三处，就知道从哪儿下手。

1.1 名单是按楼栋长出来的，不是按企业长出来的

多数园区的门禁名单，起因是A栋要进一批人，就抄一份给A栋门岗；后来B栋也要进，再抄一份。名单跟着楼栋走，不跟着企业走。判断方法：拿一个已离职的员工问物业，他还在哪些楼有权限？答不上来，就是按楼栋分的。这样分下去，同企业跨楼的权限必然不一致。

1.2 权限按楼栋发，不按角色发

“给这个人开A栋”和“给这个岗位开A栋”只差几个字，差别很大。前者是给个人开特例，每来一人、每换一栋都要开一次；后者是给岗位定规则，人挂在岗位上，岗位变了规则才变。按楼栋发的园区，权限是按楼栋记的、不是按人记的，查某人只有一条记录。

1.3 卡是“发出去的”，不是“授权出来的”

发卡是物理动作：办卡、记卡号、交到人手里。授权是逻辑动作：这个人能在什么时间、什么区域、用哪张凭证通行。卡号本身没有权限，权限才是刷开闸机的原因。混着做，后果就是离职时收回了卡，权限记录还在、卡号依然被认——真正的门还开着。

1.4 临时工和正式工用同一套规则

名单不区分用工类型，授权就分不出有效期，临时工拿到和正式工一样的长期权限。干三个月走了权限还在，卡一旦被转借，就成了谁也说不清归属的通行凭证。判断有没有这个问题，看两个数：在册人员和有权限人员的比例对不对得上，长期有效的临时工有多少。

二、人员主数据：字段、归口与唯一来源

授权是“人”的授权。人不唯一、状态不可信，授权设计得再精巧也落不了地。这一章讲一个“人”该有哪些字段、谁建档谁维护、重复建档怎么发现。

2.1 一个“人”该有哪些字段

字段	授权时起什么作用	缺了会怎样
姓名	人工核对与门岗识别	同名难分
证件号	唯一标识、去重的锚点	重复建档查不出
所属企业	权限跟着企业走	换驻场无从重授
用工类型	决定有效期与审批层级	临时工拿到长期权限
部门岗位	挂角色的依据	只能按楼栋发权限
办公地点	推导默认通行范围	默认范围靠人判断
联系方式	异常时联系到本人	异常只能靠拦
入职时间	权限生效起点	提前或滞后生效
离职状态	权限回收的触发信号	离职后权限一直有效

九项里最关键的是证件号和用工类型：证件号让人唯一、让重复建档能被查出来，用工类型让有效期能自动生成。其余七项缺了会麻烦，缺这两项会让授权逻辑跑不起来。

2.2 谁建档、谁维护：HR入口、物业登记、企业自报

人员主数据通常有三个来源：企业HR给名单、物业自己登记、企业在平台上自报。三个来源都要留，但不能三头都改同一份数据。

关键在归口：入职和离职这两个状态只能有一个来源说了算。常见做法是企业HR或物业人事作为状态源，其余渠道只能提交变更申请，由状态源确认后生效。企业自报适合补办公地点、联系方式这类低风险字段，不适合声明“这个人还在职”。

判断归口是否清楚，问一句就够：离职名单最终以谁为准？如果答案是“以HR的为准，物业再核一遍”，中间那一步核出不一致听谁的？含糊最终都会落到门岗现场，变成“人走了卡还在”。

2.3 同一个人重复建档，怎么发现

重复建档几乎必然发生：企业报过一次，物业办卡时又录一次，人换了个企业名称再建一次。单看每一条都正常，合在一起就是“同一个人三份档案、三条权限”。

发现靠三步：先按证件号做完全匹配，抓出同号不同名的；再按姓名加企业做模糊匹配，抓出同一人换了企业名称的；最后看通行记录里的异常，比如同一时段在两栋楼都有刷卡记录。合并时以证件号为主键迁移权限记录，而不是直接删掉其中一份。

2.4 离职状态为什么必须是唯一可信来源

权限回收只需要一个信号：这个人走了没有。这个信号如果来自三个地方，系统里就会出现“人已经离职但状态仍是在职”的记录，而这类记录在日常巡检里看不出来。

所以离职状态要做成单一可信来源，并满足三个条件：变更实时到位或约定时限内到位；任一处显示离职，其余系统同步失效；状态变更本身留痕。判断是否达标，看一个动作：随机抽十个已离职的人，在系统里立刻查他们当前的权限状态，十个都能查出已失效，才算立住。

三、权限粒度与授权规则：授到多细才够

很多园区的授权只有两个档：进园区，或者进某栋楼。粒度太粗，临时工和正式工没区别；粒度太细，维护规则成负担。关键在于找到够用的那一档。

3.1 授权四要素：谁、在哪、什么时段、哪类区域

要素	具体含义	不写清楚会怎样
谁	具体到人，或到岗位角色	找不到该收回谁
在哪	楼栋、楼层、房间或区域	整栋楼通行
什么时段	日期区间加每天时段	夜间长期可通行
哪类区域	办公区、实验区、设备区	敏感区域被一并开放

四要素里最容易漏的是“哪类区域”。不少园区有独立门禁的实验室、机房、财务区，这类区域不在楼层权限范围内，得单独成条。判断粒度够不够，问一句：这份授权能不能不改动就翻译成一条门禁下发规则？翻译不了，说明中间缺了一环。

3.2 三种口径：按角色授、按空间授、按企业授

口径	适合的对象	优点	代价
按角色	正式员工、实习	人挂岗位，规则只改一次	岗位设计不到位时难落地
按空间	固定工位、值守点位	与门的物理位置对齐	人员流动时改动频繁
按企业	外包团队、施工队	批量开关，成本低	同企业内无法区分岗位

园区的现实通常是三种混用：正式员工按角色、固定值守按空间、外包施工按企业，关键在于别用一种口径硬套所有人。判断自己该怎么配，看两个数：角色种类有多少种（超过十种说明角色没抽象好），以及一个月内权限改了几次。

3.3 默认拒绝还是默认放行

新建一条人员档案时，默认给他什么权限？这个选择决定了后面出不出事。默认放行是新档案直接开园区级通行，出问题时才发现范围太大；默认拒绝是新档案无权限，需要显式授权才能进，代价是多一个动作。

推荐默认拒绝，理由是两个方向的错误代价不对称：默认放行的错误会被“人确实在园区里”这件事掩盖，等发现时已经过了很久；默认拒绝的错误是有人被挡在门外，当场就能发现、马上能补。具体判断这样问：一个新入职的人，从建档到能刷卡，园区内部要经过几个人？答案是“物业经理看一眼名单就行”，那多半是默认放行。

3.4 最小权限怎么落地，以及要不要留有效期

最小权限不是“给得越少越好”，而是“给到刚好够用，并且能解释为什么需要”。落地分三层：先按岗位角色给出基线权限，再按办公地点和办公时间加严，最后对敏感区域单独收紧。授权单上要能写出一句话——这个人为什么需要这个区域的权限，写不出来就说明这条授权是补出来的。

有效期要分两类。正式员工的权限跟着在职状态走，不单独设到期日，否则每季度要重授权一遍，运营方嫌麻烦就干脆把人一次性设成长期，反而更乱。临时用工和外包必须有明确到期日，到期即失效。到期日建议取合同结束日或用工批次结束日。

四、临时用工与长期用工的差异处理

正式员工在园区里是少数，人数上流动的多数是临时工、外包人员、实习和短期顾问。这批人如果按正式员工的规则授权，就是园区通行管理里最容易失控的一段。

4.1 四类人员的权限差异，先把类型分清

类型	权限来源	有效期	回收触发
正式员工	岗位角色	随在职状态	离职当天自动失效
临时工	用工批次	批次结束日	到期自动失效
外包人员	所属企业	合同期	企业级批量回收
实习与短期顾问	企业加指导人	项目或学期	项目结束批量失效

四类里最需要单独设计的是外包人员：他们跟着企业走，企业在园区里有自己的区域权限，但企业更换驻场单位或更换物业时，权限要跟着重新授权。这类跟着企业走的权限必须挂在企业主体上，不要挂在个人身上，否则人一换权限就散了。

4.2 有效期到点自动失效，而不是到期提醒

很多园区的临时工权限到点只发提醒，然后靠人去回收。这套做法的失效点很清楚：提醒发给谁？没人处理怎么办？三个问题答不上来，到期权限就一直在。

正确做法是让权限自己到期：到期日一到，系统自动把这条授权置为失效，不需要谁确认，管理员要做的是在失效之前核对。判断有没有做成，看一条权限的到期日过了之后系统里还留不存在有效状态——如果还在，说明“自动失效”其实是“发了个提醒”。

4.3 批量开通与批量回收

外包施工进场常常一天来二十几个人，逐个授权、逐个回收，人力成本比权限本身还高。所以要支持按“企业加区域加时段”的条件批量生成授权；回收时按同一条件批量撤销，而不是一个一个点。

批量最大的风险是范围失控：条件写宽了，比如某某公司一进场就在园区内所有楼栋开通了本该只在指定楼栋的人。防御办法是给批量操作加一道校验——生成前先看命中人数与命中区域，超阈值要人工确认；生成后留一条汇总记录。

4.4 外包跟着企业走，企业换驻场要重新授权

外包企业的驻场人员名单由企业自己维护，因为只有企业知道谁在、谁走了。但由此带来两个必须处理的问题：一是企业自报的人员离职了企业没报，权限就还在，所以企业自报必须附带变更即时报的承诺；二是企业更换驻场单位或更换物业时，原授权不会自动跟着走。

处理办法是在企业维度设一个授权锚点：外包企业的权限挂在企业主体上，企业变更时重新走一次重新授权流程，把上一批整批失效、这一批整批下发。判断有没有做，看一个问题：去年入驻过的外包企业，今年换了驻场单位，旧的权限记录还在不在？在，就说明这步漏了。

五、离职与调岗当天，权限怎么收回

授权做得再好，收不回来就等于没做。离职回收的关键不在于勤快，在于触发点是不是唯一的、动作是不是自动的。

5.1 触发点：离职流程触发，还是定时对账

离职流程触发是主路径：离职动作一旦生效，系统立刻按主数据里的离职状态回收该人全部权限。好处是快，坏处是依赖上游流程走通——只要有一家企业的离职不走这套流程，这条路径就漏了。

定时对账是兜底路径：每周扫一遍在册人员，把离职状态为“是”、权限却仍然有效的记录挑出来回收。好处是不依赖任何一方流程，坏处是有延迟，当天就要失效的场景满足不了。正确做法是两条都留但职责分开：流程触发负责当天，定时对账负责查漏，产出的是差异清单。这样“当天”有保障，“不漏”也有保障。

5.2 “卡还在用”的真实原因

第一种，收回的是卡，不是权限，卡号依然有效；第二种，人没被标成离职，离职信息走了纸面流程没进主数据；第三种，主数据里的离职状态改了，但授权表的更新是异步的，中间有延迟甚至失败没人管；第四种，人离职后又回园区办别的事，比如取私人物品、跟原同事交接，门岗按人情放行，顺手开了临时权限，之后没人收回。

排查方法是把一个具体的人和一条具体的记录拉出来看：这个人离职日期是什么、权限失效日期是什么、两者差几天。差一天是机制问题，差很多或者查不到失效日期，是数据问题。

5.3 手工回收与系统联动，各自管什么

手工回收指物业拿离职名单逐条到门禁平台撤销；系统联动指状态一变权限跟着变。两者不是替代关系，硬要用一个替另一个，工作量都压不下来。

系统联动管常规量：离职状态准时到位，权限就自动失效，人工只需做一件事——抽查。手工回收管异常：主数据没收到离职通知的、系统联动失败的、跨物业交接的。分工划清之后，原来每天核对几百条离职名单，变成每天核对几条差异。

5.4 离职当天几点前收回，调岗要不要重新授权

时间点要有明确约定，不能含糊。建议按人员离园时间设定权限失效时刻，而不是统一零点失效：零点失效意味着人当天白天还在园区内却已经进不来。按离园时间当刻失效，既满足当天收回，又不影响正常离场。园区有装卸货、加班这类场景的，可以设一个更晚的失效时刻，但必须是成文规则，不能个案处理。

调岗要不要重授，判断标准是权限集是否发生变化：调岗后所在楼栋、区域、时段三者都没变，不用重授；任何一项变了，原授权收回、新授权按新岗位下发。要避免的是只加不减——调岗的人权限越来越多，最后谁也说不清他在园区里该去哪。回收时同样留记录：原权限哪几条、什么时候收的，留存可查。

常见问题

问题一：园区规模不大，二三十个门岗人员，用得着做统一授权吗？

关键不在人数，在变动频率。人员稳定、几乎不流动，各自维护名单反而省事；但只要有临时工、外包、实习这三类中的任意一类，统一授权就有价值，因为这些人的进出和园区里其他人不走同一条流程，靠人工记名单必然漏。判断标准很简单：过去一个月有没有出现“人已经不在园区但还能通行”的情况？有，就该做。

问题二：授权到底该按岗位发，还是按楼栋发？

看人怎么流动。人跟着岗位走，按岗位发；人跟着空间走，比如值守、设备间固定工位，按空间发；一批人跟着企业走，比如外包施工，按企业发。园区里通常是三种混用。判断哪种更适合自己，看一个月内权限改动占全部授权的比例：改得频繁，说明口径选错了。

问题三：临时工的权限要不要每次都人工开通？

不需要，但要有固定的批量入口。把临时用工按批次管理，每批次一次开通、一次设定到期时间，到期系统自动失效，人不用管。真正需要人工介入的只有两件事：新批次进场时确认名单对不对，以及个别例外单独走一次。判断标准是每月处理临时授权的人工动作条数，如果每月要动几十条，说明流程没建好，只是靠人力硬扛。

问题四：离职当天回收权限，怎么保证不漏人？

靠两条路径叠加，不靠一条。离职流程触发负责当天，主数据状态一改权限就失效；每周定时对账负责查漏，扫出状态是离职但权限仍有效的差异并回收。只用前者，上游流程一断就漏；只用后者，回收会滞后，当天做不到。验证方式是随机抽十个已离职的人查他们当前的权限状态，十个都能查到已失效，才说明闭环成立。

问题五：集团内从别的园区调过来的人，权限怎么给才合适？

这类人最容易走两个极端：要么图省事给个长期权限，要么干脆不给。合适的做法是按调入周期给：明确起止日期、限定在指定楼栋的办公区域、不给设备间和独立门禁区域，到期自动失效。关键是这类授权必须带到期日，否则临时的就会变成长期的。

问题六：员工离职后马上又入职，权限怎么处理？

按离职当天失效、再按新岗位重新下发，两步都要走，不能图省事直接延期。原因是岗位可能变了：离职前在A栋做研发，新岗位在B栋做行政，沿用旧权限会留下多余范围。实操上不少园区靠证件号识别为同一自然人，保留历史记录，新建一份新授权。至于人脸、指纹要不要清，取决于园区的数据留存规定，但至少要保证旧授权不再有效。