Data Table Permission Checker

概述

本 Skill 用于查询和解读当前登录用户在HR数仓中的数据访问权限，帮助用户理解自己能看到哪些数据、哪些数据可能因权限不足被脱敏处理。

数据源

MCP 工具

通过 hr_data_service_v1 MCP 的 get_current_user_data_permission 工具查询用户对指定表的数据权限。

• 工具名称：get_current_user_data_permission
• 参数：
  • tableCode（string，必填）：表的完整编码，从 starrocks://tables resource 中获取的 table_code 字段
• 返回值：用户对该表的权限信息（JSON格式）

获取可用表列表

通过读取 MCP 的 resource starrocks://tables 获取所有可用表的 table_code，作为 get_current_user_data_permission 工具的输入参数。

权限数据结构说明

get_current_user_data_permission 工具返回的数据结构如下：

{
  "hasPermission": true,
  "tableCode": "catalog_dos_diy.hrdw.Report_Wide_Public_Staff_Change_Record",
  "tableName": "人员变动信息宽表",
  "roles": [
    {
      "roleCode": "Data_AI_Test",
      "dataScopes": {
        "Org": ["Org-All"]
      },
      "dataRight": ["to_inaugural_date", "inaugural_type_name"]
    },
    {
      "roleCode": "Data_AI_test02",
      "dataScopes": {
        "Org": ["Org-All"]
      },
      "dataRight": ["manager_quit_flag_desc"]
    }
  ]
}

字段说明

角色权限结构（roles 数组元素）

特殊码值

行权限维度代码映射

dataScopes 中返回的 key 是维度代码，向用户展示时必须转换为中文名称。映射关系如下：

组织机构维度的特殊说明

Org（组织机构）是一个特殊的行权限维度，因为组织是一个树形结构：

• dataScopes 中的每一个组织 ID 表示用户拥有该组织及其所有子组织的数据权限
• 例如：如果用户的 Org 维度包含某个事业群的 ID，则该用户可以查看该事业群下所有部门、中心、组的数据
• 向用户展示时，应说明"XX组织及其下属组织"，让用户理解权限的继承范围
• Org-All 仍然表示拥有所有组织的权限，无需特殊处理

时间范围维度的特殊说明

DataScopeBeginTimestamp（时间范围）是一个特殊的行权限维度，它的值不是 ID 列表，而是一个毫秒数，表示用户可以查看的数据时间范围：

• 值为 0：表示用户可以查看所有时间段的数据，无时间限制
• 值为非 0 的数字：该值是一个毫秒数，表示用户拥有过去 X 毫秒范围内的数据权限。即只能查看从当前时间往前推算 X 毫秒以内的数据

展示要求：

向用户展示时，必须将毫秒数转换为人类可读的时间单位（年、月或天），转换规则：

转换参考常量：

• 1 天 = 86,400,000 毫秒
• 1 个月 ≈ 30 天 = 2,592,000,000 毫秒
• 1 年 ≈ 365 天 = 31,536,000,000 毫秒

注意：此维度无需码值表翻译，直接进行数值换算即可。

维度码值翻译

dataScopes 中每个维度的 value 是 ID 列表（如 ["10001", "10002"]），这些 ID 对用户来说不可读。向用户展示时，必须通过对应的码值表将 ID 翻译为中文名称。

翻译流程：

1. 根据维度代码，从上方映射表中查到对应的码值表名
2. 调用 hr_data_service_v1 MCP 的 slang_query 工具或通过其他可用的码值查询接口，查询该码值表，将 ID 转换为中文名称
3. 特殊值无需翻译：Org-All、global 等直接展示为"全部"即可

展示要求：

• 维度代码 → 显示中文名称（如 Org → 组织机构，WorkPlace → 工作地）
• 维度值 ID → 显示中文码值（如组织 ID 10001 → 具体组织名称）
• 对于 Org 维度，翻译后还需注明权限包含下属组织（如 组织机构：XX事业群及其下属组织）
• 如果码值翻译失败（如接口不可用），则以 ID（码值翻译失败） 格式回退展示，不要直接展示裸 ID

工作流程

Step 1：确定查询目标

收到用户请求后，判断用户意图：

1. 查询表权限概览：用户想知道自己有哪些表的权限，或某张表是否有权限
2. 查询具体权限范围：用户想了解自己对某张表的详细行、列权限
3. 脱敏原因排查：用户在查询结果中发现异常值，想确认是否因权限不足导致

Step 2：获取表编码

1. 如果用户提到了具体的表名，直接使用对应的 tableCode
2. 如果用户未明确指定表，读取 MCP resource starrocks://tables 获取所有可用表列表，根据用户描述匹配目标表
3. 常用表的 tableCode：
   • 员工信息宽表：catalog_dos_diy.hrdw.Report_Wide_Public_Staff_Info
   • 人员变动信息宽表：catalog_dos_diy.hrdw.Report_Wide_Public_Staff_Change_Record

Step 3：调用权限查询工具

对每张需要查询的表，调用 get_current_user_data_permission 工具：

工具：get_current_user_data_permission
参数：{ "tableCode": "<表的完整编码>" }

如果用户想查看所有表的权限，需逐一查询每张表。

Step 4：解读权限结果

根据返回结果，按以下逻辑解读：

4.1 判断是否有表权限

• hasPermission = false：用户完全没有该表的访问权限，任何查询都不会返回数据
• hasPermission = true：用户有该表的访问权限，具体范围看 roles

4.2 解读行权限（dataScopes）

行权限决定用户能看到哪些行的数据。所有角色的行权限取并集。

解读规则：

• dataScopes 中的每个 key 代表一个筛选维度（如组织、员工类型、工作地等）
• 每个维度的 value 是允许的值列表
• Org-All、global 等特殊值代表该维度不受限制
• 如果某个维度不在 dataScopes 中出现，通常表示该维度不受限制
• 多个角色的行权限取并集，即只要任一角色允许访问某行数据，用户就能看到

翻译要求（必须执行）：

• 向用户展示行权限信息时，必须将维度代码翻译为中文名称（参考「行权限维度代码映射」表）
• 维度值 ID 必须通过对应的码值表翻译为中文名称（参考「维度码值翻译」流程）
• 示例："WorkPlace": ["SZ", "BJ"] 应展示为 工作地：深圳、北京，而不是 WorkPlace: SZ, BJ

4.3 解读列权限（dataRight）

列权限决定在行权限范围内，用户能看到哪些字段的值。

解读规则：

• dataRight 中的值为物理字段名
• * 代表拥有所有列的访问权限
• 多个角色的列权限取并集
• 不在任何角色 dataRight 中的字段，其值会被脱敏处理

4.4 综合权限判断

SQL查询结果是对所有角色的行、列权限取并集后的结果：

• 如果某行数据在某个角色的行权限范围内，且某个字段在该角色的列权限中，则该单元格显示真实值
• 如果某行数据在行权限范围内，但对应字段不在任何角色的列权限中，则该单元格会被脱敏
• 如果某行数据不在任何角色的行权限范围内，则该行不会出现在查询结果中

Step 5：结果呈现

根据用户的不同意图，采用不同的呈现方式：

场景一：查询表权限概览

以简洁的表格形式呈现（行权限维度和码值均需翻译为中文）：

您的数据权限概览

表名	是否有权限	角色数量	行权限范围	列权限范围
员工信息宽表	✅ 有权限	2	组织机构=全部，工作地=深圳、北京	部分字段（共15个）
人员变动信息宽表	❌ 无权限	-	-	-

场景二：查询具体权限范围

详细展示每个角色的权限（维度代码和维度值 ID 均需翻译为中文名称）：

您在「员工信息宽表」上的数据权限

角色 1：Data_AI_Test

• 行权限：
  • 组织机构：全部（Org-All）
  • 工作地：深圳、北京
• 列权限：to_inaugural_date（到岗日期）、inaugural_type_name（就职类型名称）

角色 2：Data_AI_test02

• 行权限：
  • 组织机构：XX事业群及其下属组织
• 列权限：manager_quit_flag_desc（管理者离职标识描述）

综合权限（取并集）：

• 行范围：组织机构=全部（角色1）/ XX事业群及其下属组织（角色2），工作地=深圳、北京（角色1）
• 可查看字段：to_inaugural_date、inaugural_type_name、manager_quit_flag_desc（共3个字段）
• 其他字段的值将被脱敏处理

注意：以上示例中的「深圳」「北京」是将原始 ID 通过码值表翻译后的中文名称。实际展示时必须完成此翻译步骤。

场景三：脱敏原因排查

结合权限数据和查询结果进行分析：

脱敏原因分析

您查询的「xxx」字段显示为异常值 0 / * / 1970-01-01，经查询您的权限信息：

• 该字段（field_name）不在您任何角色的列权限（dataRight）范围内
• 因此该字段的值被服务端脱敏处理，显示的不是真实数据

建议：如需查看该字段的真实数据，请联系数据管理员申请相应的列权限。

脱敏值识别

脱敏值的通用特征和识别方法见 hr-data-desensitization 规则。本节聚焦于结合权限信息进行深度排查。

当用户怀疑查询结果中的某些值是脱敏结果时，可结合权限信息进行判断。

脱敏判断流程

1. 识别异常值：查看查询结果中是否存在上述典型脱敏值
2. 查询权限：调用 get_current_user_data_permission 获取用户对该表的权限
3. 字段比对：检查异常字段是否在用户的 dataRight（列权限）范围内
4. 得出结论：
   • 字段不在列权限中 → 确认是脱敏导致的异常值
   • 字段在列权限中但值仍异常 → 可能是真实数据，或行权限导致的部分脱敏
5. 告知用户：说明原因并给出申请权限的建议

与其他 Skill 的协作

与 hr-data-sql-builder 的协作

当 hr-data-sql-builder 生成SQL并执行查询后，如果结果中出现疑似脱敏值，可调用本 Skill 进行权限排查：

1. hr-data-sql-builder 负责生成和执行SQL
2. 本 Skill 负责查询权限信息并解读脱敏原因
3. 两者结合，为用户提供完整的"数据 + 权限解读"

典型协作场景

• 用户查询数据 → hr-data-sql-builder 生成SQL并执行 → 发现结果中有大量 * 或 0 → 调用本 Skill 查询权限 → 向用户解释哪些字段因无权限被脱敏
• 用户在执行查询前想预先了解权限 → 调用本 Skill 查询权限 → 告知用户哪些字段可查看、哪些会被脱敏 → 用户决定是否继续查询

注意事项

1. 隐私保护：权限信息本身属于用户个人数据，仅向当前用户展示其自身的权限，不应泄露其他用户的权限信息
2. 字段名映射：dataRight 中返回的是物理字段名（如 to_inaugural_date），用户不是技术人员，因此呈现给用户时应展示中文名称。可通过读取对应表的 MCP resource（starrocks://tables/{tableCode}）获取字段的中文名称进行映射
3. 权限动态性：数据权限可能会随时间变化（如角色调整、权限申请生效等），查询结果反映的是当前时刻的权限状态
4. 多角色并集：用户可能拥有多个角色，最终的可见数据范围是所有角色权限的并集，解读时需综合考虑所有角色
5. 行列权限交叉：脱敏发生在行权限和列权限的交叉点上，某些单元格可能在一个角色下被脱敏，但在另一个角色下可见，最终结果取并集