私域商城小程序怎样限制导购查看和导出客户手机号

直接回答：私域商城小程序不应把完整手机号作为导购列表的默认字段。应按客户归属、门店、订单任务和授权有效期判断可见范围，列表页只显示脱敏号码；查看原文、复制、单条联系、批量导出分别设权，并让审批、用途和操作日志可以复验。

把查看、复制和导出拆成不同权限

“能看到客户”不等于“能带走客户资料”。在小程序开发中，可以把前台入口和后台能力分开配置：

• 脱敏查看：日常只看姓名简称、尾号和客户标签，足以完成订单跟进。
• 临时查看原文：确有售后或配送任务时，按客户和工单申请，在限定时间内显示完整号码。
• 复制与外呼：复制按钮、外呼组件和手工查询分别记录操作者、用途、客户及时间。
• 批量导出：默认关闭；业务确需导出时，由主管审批字段、数据范围、有效期和接收人。

如果业务已使用CRM / SCRM 客户管理，权限判断应放在服务端，不能只靠前端隐藏按钮。接口还要核对员工身份、所属门店、客户归属和任务状态。

权限跟着客户归属和任务变化

私域客户可能被门店认领、转交售后，或由多个导购临时协作。系统要保存客户当前归属、协作人、授权原因和有效期，不能只维护长期不变的名单。

1. 客户未分配时，导购只看待领取数量，不展示联系方式。
2. 客户认领后，负责人获得跟进权限，协作人只得到任务所需字段。
3. 订单进入退款或投诉时，把处理人、工单号和临时权限关联起来。
4. 客户转店或重新分配后，旧导购的原文查看和导出权限同步失效。

商城系统的客户表、订单收货信息和客服工单都可能保存手机号。权限规则也要覆盖搜索、打印、下载和接口返回，不能只改客户列表。

离职、转店和临时协作怎样收口

员工离职时，应冻结登录，撤销客户协作关系、导出任务和接口令牌；已生成但未下载的文件也要失效。转店时重新计算数据范围，临时协作到期后自动关闭。审计日志记录员工、客户、动作、字段范围、理由、审批人、终端和结果，但不在日志中再次明文复制手机号。

上线验收要覆盖正常与越权场景

• 用归属导购完成正常跟进，核对脱敏展示、临时授权和工单关联。
• 用其他门店账号搜索同一客户，核对列表、详情、订单和接口都不返回完整号码。
• 撤销权限后刷新旧页面并重放旧请求，确认服务端仍拒绝访问。
• 模拟离职和转店，确认旧会话、导出文件与接口令牌同步失效。

如果企业还没有统一员工身份、客户归属或离职停用流程，先不要开放完整号码批量导出。可以先用脱敏列表和受控外呼完成业务，再补齐审批、服务端鉴权和审计。

说明：本文为通用落地建议，具体合规规则以行业主管部门与平台当期文档为准，不构成法律与经营保证。