先给结论：列表页的权限正常，不代表搜索也安全。输入姓名片段、虚构号码或备注词后，联想词、结果数和摘要都可能暴露超出当前角色范围的记录。因此，搜索、详情、导出与复制链接必须共用同一服务端权限边界。验收时只使用隔离环境里的虚构记录，不拿真实患者资料演示。
为什么列表没问题，搜索仍可能越界
一些系统在列表接口上先按团队、机构或负责人过滤，但搜索另用了一套索引。如果索引只按关键词匹配，没有在服务端再次核验权限，页面就可能出现本不应被看见的姓名、记录摘要或结果数。即使点开详情后被拒绝，列表摘要已经造成了不必要的信息暴露。
先搭一组可复现的虚构数据
在测试环境创建两个完全虚构的服务团队A与B，每个团队放入几条虚构居民记录。为了便于判断，可在姓名、虚构电话、地址和任务备注中分别放入不同的无医疗意义测试词。账号A只授权查看团队A，账号B只授权查看团队B，管理员可看全部。每条数据都明确标记为测试，测试后按制度清理。
测试词不要模仿真实患者信息
可使用“测试青山”“测试蓝河”等不指向真实个人的词，电话号使用不可拨通的内部测试值。不要从生产环境复制真实记录，也不要在截图中保留可识别信息。
按四个入口逐项搜索
姓名与拼音联想
使用账号A输入只存在于团队B的测试词、部分文字和拼音首字母。预期结果不是“显示姓名但无法打开”，而是根本不返回该记录，不显示联想词，结果总数也不应暴露团队B有多少条匹配记录。
电话号和地址片段
分别输入虚构号码的前三位、中间四位、后四位，以及虚构地址中的楼栋词。查看列表、即时联想、快捷卡片和最近搜索是否使用相同权限。一些系统会隐藏号码中间位，但搜索仍能告诉用户“有一条结果”，这也应被纳入验收。
任务备注和附件名
某些搜索引擎会同时索引任务备注、附件名或导入批次名。账号A不应通过搜索这些字段发现团队B的记录。如果搜索范围可由管理员配置，页面需要清楚说明哪些字段被索引，配置变更应有审计记录。
详情、导出和复制链接
只在搜索结果中隐藏不够。还要用虚构记录测试直接访问详情链接、从搜索结果导出、复制链接后换账号打开，以及通过浏览器后退查看缓存。每个入口都应在服务端重新判定权限，导出文件也只能包含当前角色可访问的虚构记录。
异常结果要记成可复测问题
不要只写“搜索越权”。应记录测试账号、角色范围、输入词、预期结果、实际结果、可见字段和发生时间，并由有权限的安全或系统人员复核。修复后需重跑姓名、电话、地址、备注、详情和导出全部用例，因为只修正页面显示，未必修正搜索索引或导出接口。
机构可在患者管理实践场景中检查角色分工，并参考基层慢病管理动态理解连续服务中的最小必要信息原则。
FAQ
详情页打不开，是否就不算权限问题？
不是。如果搜索结果已显示了不应可见的姓名、摘要或匹配数，仍需要按信息暴露问题处理。
可以直接用生产账号测试吗？
应优先在隔离的测试环境和虚构数据上验证。涉及生产环境时，需按机构的授权、变更和安全制度执行，不随意扩大查看范围。