常见的一幕：一张库存表要发给外部合作方。发之前，负责的人在视图里把「成本价」那一列隐藏了，来回切了两遍，网格上确实看不见了。第二天，对方在消息里报出一串成本价，一个不差。
他只是点开了一条记录的详情页。隐藏的那一列在详情页里照样看得到，最多折在底部，点一下就展开。
隐藏、锁定、「可阅读」，都不是权限
隐藏改的是「这个视图画不画这一列」，数据一直待在记录上。锁定只防别人改筛选、排序、字段显隐这些视图配置，本来就不管谁能看。「可阅读」挡的是改，挡不住带走。三样东西各管一件事，没有一样管的是「这一列该不该被这个人看见」。
一张表至少有五条出口：切到别的视图、点开记录详情、导出、定时推送到群里的仪表盘图片、图表的分组和图例。隐藏只管住了眼前这张网格，这五条它一条都管不到。推进群里的是一张渲染好的图，它不认协作者，也不认字段权限：就算那几列设了字段权限，图上照样画出来，谁在群里谁看得见，发出去就收不回。图表直接读数据，显示设置管不到它，被隐藏的字段照样能拿来分组，一档一档写在图例上。
而且谁看过，表里查不到：看是读操作，变更历史里什么都没有；有的版本管理后台会留访问日志，但一般不在经手人手上。
再往外还有两层。分享按整个文件给，对方能翻到同一个文件里的其他数据表。挡住了成本价，却留着售价和毛利率，售价乘上（1 − 毛利率）就是成本。
在同一个文件里挡住，只能靠付费那一档
在同一个文件里，要让某几列、某几行对某些人真正不存在，只有字段级和记录级权限。在飞书里，它们属于高级权限，是付费档的能力。换到企业微信的智能表格、钉钉或 WPS 的多维表格，挡列放在哪个版本、要不要另付费，以实际要用的那个账号为准。
开了也有它管不到的地方：推送进群的图片照样把数画出来，能倒推出成本的那几列也得另外处理。它还会反过来卡住自己人：我们在一个开了高级权限的库里实测过，对接的程序只能写已授权给它的表，新建表被挡住，最后请库的所有者本人授权才走通。
所以套餐这句话必须在建库第一天问。没有这一档，「有些列只给部分人看」在一个文件里做不到，只能拆成几个文件；而关联只在同一个文件里成立，等几百行录完、公式和仪表盘都配好才发现，拆文件就是推倒重来。反过来，第一天就让这几列待在对方打不开的文件里，就不依赖任何付费档，下面三个方案走的都是这条路。
三个方案，三种挡法
「这几列别让某些人看见」，在我们经手的多维表格方案里反复出现。
一家税务咨询公司要让四十多家渠道各看各的客户，原来靠从总表复制数据分给各渠道。他们用的是飞书免费版，每家渠道单开一个文件，就是四十多份表要维护。我们给的方案是：渠道走网页门户，登录后只见、只改自己的客户，数据再同步进飞书总表；字段按所有权分工，渠道写跟进进度，报价和内部备注由总部在飞书里填，同一个字段绝不两边都写。
一家县城广告公司要让师傅看不到报价成本。方案里不依赖付费权限：成本只记在采购表，不上项目表；毛利由老板单开一个文件来算；师傅不碰电脑，手里只有手机表单，用来报进度。
一家数据中心的机房巡检要巡检记录「不可篡改」。这家客户已经确认用付费版，我们给的方案仍然不让巡检员当协作者：每台设备贴一张预填好设备信息的表单二维码，扫码只进表单，表单开启收集填写人。这样他没有编辑入口，看不到别人的记录，也改不了自己的。前提是搭建第一天先实测填写人能不能落进记录，这一步不成立，整套留痕就不成立。
我们现在的规矩
- 建库第一天问清套餐，并用真正要用这张表的账号确认字段级、记录级权限在不在；拿不准，就直接按「挡不住」来设计。
- 不该外传的列，不靠隐藏、锁定和「可阅读」：要么走字段级权限，要么根本不放进对方能打开的那个文件。
- 对外的东西单独成件：给外部看的表单独放一个文件，只装能公开的字段；推送进群的仪表盘单独做一屏，每张图的分组、图例逐个核对。发出去之前先假装自己是对方，拿剩下的字段倒推一遍敏感列。
- 只需要提交数据的人，只给表单，不给协作者身份；靠表单记身份的，第一天先验证填写人能不能落进记录。
- 两边同步同一批数据，每个字段只认一个写入方。
- 验收借普通成员的账号，网格、记录详情、仪表盘、分享链接、导出文件各看一遍。管理员视角通常看得见全量，自己怎么点都是「对的」。
哪几列不能给谁看，要在建第一张表之前定下来。