先说结论
在 Odoo 里，有些页面或单据链接即使没传统登录，也可能还能访问。
这并不一定代表权限系统失控，更常见的解释是：
- portal 用户访问
- 或者 share token 这类访问令牌机制在起作用
所以“能不能看”有时不仅取决于登录状态，还取决于：
系统是否认为你带着一个足以证明访问资格的入口凭证。
为什么这个问题特别容易让人紧张
因为从表面看非常像越权：
- 没登录怎么还能看？
- 为什么点开链接就进去了？
这类现象天然会让人担心安全边界。
但现实里，很多门户式产品本来就需要：
- 让客户通过受控链接查看自己的单据
- 让外部人无需完整后台账号也能处理有限信息
所以关键不在于“有没有登录”这么简单，而在于：
- 访问边界是不是被正确约束在该看的那一小块对象上。
Portal 更像什么
Portal 更像：
一种受限外部用户视角。
它不是后台员工权限，也不是完全匿名公开，而是介于两者之间的受控外部访问层。
所以 portal 的核心不是“权限很大”，而是：
- 只给外部人看应该看的那部分业务对象。
share token 更像什么
它更像：
一张带访问资格的链接凭证。
也就是说，系统可能允许：
- 只要你拿着这条正确链接
- 且 token 有效
- 就能看某一份特定对象
这和传统用户名密码登录不是同一条路径。
所以有时“不登录也能看”，其实不是越权，而是 token 访问模型在工作。
为什么这类访问边界特别值得小心
因为它天然带“分享型入口”属性。
一旦设计不好，风险常见在：
- token 范围过大
- 链接暴露后访问面过宽
- 开发者误把 portal / token 访问当成普通后台逻辑
所以它不是不安全，而是：
- 必须非常明确“它到底允许看到哪一份对象、到什么程度”。
为什么不能只用“有没有登录”判断安全
因为访问控制真正关心的是：
- 你是谁
- 你拿着什么凭证
- 这个凭证能打开哪部分对象
- 范围是否严格受限
所以安全判断必须从“访问边界”来理解，而不是只从“有没有后台登录态”来理解。
实战里最容易踩的 5 个坑
1. 看到免登录访问就直接当成权限漏洞
有时其实是 token 模型正常工作。
2. 写 portal 逻辑时沿用后台员工权限脑回路
边界很容易放大。
3. 让 token 入口可见范围过宽
这是最危险的点之一。
4. 只验证“能不能打开”，不验证“是不是只打开该对象”
安全验证会不完整。
5. 不把 portal / token 当独立访问模型设计
后面很容易出灰区问题。
一句话记忆法
把它记成一句话：
Portal 提供受限外部用户视角，share token 提供受控链接凭证；真正的安全关键不只是“有没有登录”，而是“访问边界有没有被严格限制在该对象上”。
理解这一句，很多门户访问问题会清楚很多。
DISCUSSION
评论区