视频数据的权限分级与脱敏：谁能看、谁能导出
说明视频监控系统里权限模型的设计方法、敏感区域的访问控制、导出审批与水印追责机制，以及常见越权风险的规避。
为什么权限要分级
监控系统的使用者差异很大：保安只需要实时画面，主管需要调阅录像， 运维需要配置设备，而外部人员可能只需要临时查看某个时段。 如果都给管理员账号，一次误操作就可能导致配置丢失或录像外泄。
权限模型设计
| 角色 | 实时预览 | 录像回放 | 导出 | 配置 |
|---|---|---|---|---|
| 值班人员 | 有（限定区域） | 无或有（限定时段） | 无 | 无 |
| 部门主管 | 有 | 有 | 需审批 | 无 |
| 安全管理员 | 有 | 有 | 有 | 部分 |
| 系统管理员 | 有 | 有 | 有 | 全部 |
| 审计员 | 无 | 仅审计日志 | 无 | 无 |
敏感区域的特殊处理
- 涉及隐私的区域（更衣室周边、宿舍内部走廊）原则上不设点位； 确需覆盖的应对画面做遮蔽或降低分辨率。
- 对高敏感摄像机设置「二次授权」：即使有预览权限， 打开时仍需审批或输入二次口令。
- 涉及人脸等生物特征的数据，按个人信息保护要求单独管理， 明确保存期限与用途。
导出与追责
导出是最容易失控的环节。建议：
- 导出必须走审批流程，系统记录申请人、时间、时段、原因。
- 导出文件自动添加可见水印（操作人、时间）与不可见水印，便于事后追溯来源。
- 导出文件加密并设置有效期，过期自动失效。
- 定期导出审计报表，检查是否存在异常批量导出。