ctms/docs/guides/role-uat/08-权限与规则交叉测试清单.md

# 权限与规则交叉测试清单

## 1. 使用方式

本清单用于在各角色手册执行完成后做集中复核。执行人可以是 ADMIN、PM、QA 或测试负责人。每条规则至少记录一次实际测试结果，失败项必须登记缺陷。

结果填写：

| 规则编号 | 执行角色 | 测试账号 | 结果 | 备注 |
|---|---|---|---|---|
| 例如 R-001 | ADMIN | `uat-admin@example.com` | 通过 / 失败 / 阻塞 |  |

## 2. 账号和登录规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-001 | 启用用户可登录 | 使用启用状态测试账号登录 | 登录成功 |
| R-002 | 待审核用户不可登录 | 注册新用户但不审核，尝试登录 | 被拒绝，提示待审核或认证失败 |
| R-003 | 禁用用户不可登录 | ADMIN 禁用 `uat-no-role@example.com` 后尝试登录 | 被拒绝 |
| R-004 | 密码规则生效 | 创建或修改密码时输入弱密码 | 保存失败并提示规则 |
| R-005 | 退出登录生效 | 登录后退出，再访问项目页面 | 跳转登录或要求重新认证 |

## 3. 项目成员和项目访问规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-101 | 项目成员可进入项目 | PM/CRA/PV/医学审核/IMP/QA 选择 UAT 项目 | 可进入项目总览 |
| R-102 | 非项目成员不可进入项目 | `uat-no-role@example.com` 尝试访问 UAT 项目 | 被拒绝或看不到项目 |
| R-103 | 停用成员权限失效 | PM 或 ADMIN 临时移除某成员，再让该账号访问项目 | 不能继续访问项目 |
| R-104 | 恢复成员后权限恢复 | 重新添加成员并分配原角色 | 可重新进入项目 |
| R-105 | ADMIN 不依赖项目成员身份 | ADMIN 进入 UAT 项目 | 可访问项目内主要页面 |

## 4. 项目锁定规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-201 | 锁定后读操作保留 | ADMIN 锁定项目后，各角色查看项目总览 | 可查看 |
| R-202 | 锁定后写操作被阻止 | PM 保存立项配置或 CRA 新建受试者 | 被拒绝并提示项目锁定或不可操作 |
| R-203 | 锁定对 PM 生效 | PM 尝试费用、里程碑、受试者任一写操作 | 被拒绝 |
| R-204 | 锁定对普通项目角色生效 | CRA/PV/IMP 尝试各自写操作 | 被拒绝 |
| R-205 | 解锁后写操作恢复 | ADMIN 解锁项目后重复写操作 | 按角色权限恢复 |

## 5. 权限矩阵规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-301 | PM 项目内全权限 | PM 分别访问受试者、费用、药品、权限配置 | 可执行项目内写操作 |
| R-302 | ADMIN 可配置项目权限 | ADMIN 打开项目权限配置 | 可查看和保存权限矩阵 |
| R-303 | PM 可配置项目权限 | PM 打开项目权限配置 | 可查看和保存权限矩阵 |
| R-304 | 非 PM 不能配置权限 | CRA/PV/医学审核/IMP/QA 尝试进入权限配置 | 被拒绝或无入口 |
| R-305 | 权限关闭即时生效 | 关闭 CRA 创建受试者权限，CRA 尝试创建 | 被拒绝 |
| R-306 | 权限恢复即时生效 | 恢复 CRA 创建受试者权限，CRA 再次创建 | 可执行 |
| R-307 | 未配置覆盖时使用默认权限 | 清除某角色临时覆盖后复测默认动作 | 与默认权限一致 |

## 6. 前置权限规则

系统部分写操作依赖前置读权限。测试时可由 ADMIN 临时关闭前置权限验证。

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-401 | 创建受试者需要中心读权限 | 关闭 CRA `sites:read` 后尝试创建受试者 | 被拒绝 |
| R-402 | 更新受试者需要中心读权限 | 关闭 CRA `sites:read` 后尝试编辑受试者 | 被拒绝 |
| R-403 | 创建访视需要受试者读和中心读 | 关闭 CRA `subjects:read` 或 `sites:read` 后创建访视 | 被拒绝 |
| R-404 | 创建 AE/SAE 需要受试者读和中心读 | 关闭 PV 前置读权限后创建 AE | 被拒绝 |
| R-405 | 创建药品发货需要中心读权限 | 关闭 IMP `sites:read` 后创建发货 | 被拒绝 |
| R-406 | 恢复前置权限后操作恢复 | 恢复对应前置权限后重复操作 | 按角色权限恢复 |

## 7. 模块读写规则

| 编号 | 模块 | 角色 | 期望结果 |
|---|---|---|---|
| R-501 | 项目总览 | PM/CRA/PV/医学审核/IMP/QA | 均可查看 |
| R-502 | 受试者 | PM/CRA | 可创建和更新 |
| R-503 | 受试者 | PV/医学审核/QA/IMP | 可查看或按权限受限，不可维护主数据 |
| R-504 | AE/SAE | PM/CRA/PV/医学审核 | 可创建或更新授权范围内信息 |
| R-505 | AE/SAE | IMP/QA | 默认只读或不可维护 |
| R-506 | 合同费用 | PM | 可维护 |
| R-507 | 合同费用 | CRA/IMP | 可查看，不可维护主数据 |
| R-508 | 合同费用 | PV/医学审核/QA | 默认不可维护 |
| R-509 | 药品流向 | PM/IMP | 可创建和更新 |
| R-510 | 药品流向 | CRA/QA | 可查看 |
| R-511 | 药品流向 | PV/医学审核 | 默认不可维护 |
| R-512 | 审计日志 | ADMIN/PM/QA | 可查看或导出授权范围内日志 |
| R-513 | 审计日志 | CRA/PV/医学审核/IMP | 默认不可查看系统审计 |
| R-514 | FAQ | PM | 可维护 |
| R-515 | FAQ | 其他项目成员 | 可查看，回复或协作按权限执行 |
| R-516 | 知识库笔记 | PM/CRA/PV/医学审核 | 可创建和编辑 |
| R-517 | 知识库笔记 | IMP/QA | 可查看，不可维护 |

## 8. 删除和关闭类高风险规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-601 | 受试者删除仅高权限 | CRA/PV/医学审核/IMP/QA 尝试删除受试者 | 被拒绝 |
| R-602 | 中心删除仅高权限 | 非 ADMIN/PM 尝试删除中心 | 被拒绝 |
| R-603 | 费用合同删除仅 PM | 非 PM 尝试删除合同 | 被拒绝 |
| R-604 | 药品发货删除仅高权限 | IMP 尝试删除药品发货 | 按权限矩阵执行，结果需记录 |
| R-605 | AE 关闭权限 | PV 关闭 AE，QA/IMP 尝试关闭 AE | PV 可执行，QA/IMP 被拒绝 |
| R-606 | 监查问题关闭权限 | CRA 关闭监查问题，QA/IMP 尝试关闭 | CRA 可执行，QA/IMP 被拒绝 |

## 9. 审计日志规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-701 | 用户创建留痕 | ADMIN 创建测试用户 | 审计日志有记录 |
| R-702 | 用户审核留痕 | ADMIN 审核注册用户 | 审计日志有记录 |
| R-703 | 项目创建留痕 | ADMIN 创建 UAT 项目 | 审计日志有记录 |
| R-704 | 中心创建和 CRA 绑定留痕 | ADMIN 创建中心并绑定 CRA | 审计日志有记录 |
| R-705 | 权限变更留痕 | ADMIN/PM 修改 CRA 权限 | 审计日志有记录 |
| R-706 | 项目锁定留痕 | ADMIN 锁定和解锁项目 | 审计日志有记录 |
| R-707 | 业务写操作留痕 | CRA 创建受试者、PV 创建 AE、IMP 创建发货 | 审计日志或业务历史有记录 |
| R-708 | 审计导出留痕 | ADMIN/QA 导出审计日志 | 导出动作本身有记录 |

## 10. 数据校验规则

| 编号 | 规则 | 操作 | 期望结果 |
|---|---|---|---|
| R-801 | 必填字段校验 | 新建受试者时留空必填字段 | 保存失败并提示 |
| R-802 | 日期字段校验 | 输入明显非法日期或结束早于开始 | 保存失败或提示 |
| R-803 | 编号唯一性 | 重复创建 `UAT-SUBJ-001` | 保存失败或提示重复 |
| R-804 | 附件格式校验 | 上传不支持格式文件 | 被拒绝或提示格式不支持 |
| R-805 | 金额字段校验 | 合同金额输入负数或非数字 | 保存失败或提示 |
| R-806 | 数量字段校验 | 药品数量输入负数或非数字 | 保存失败或提示 |

## 11. 完成标准

交叉测试完成需满足：

- `R-001` 到 `R-307` 全部通过。
- 前置权限规则至少覆盖 CRA、PV、IMP 三类角色。
- 审计日志规则至少覆盖账号、项目、权限、业务写操作和导出。
- 所有失败项均已登记缺陷。
- 所有临时关闭的权限已恢复到 UAT 默认状态。