直接答案：连锁权限按"三层四类"划分。三层是总部、区域、门店；四类是菜品价格、订单收银、会员营销、数据报表。核心原则是"该管的管死、该放的放活"——价格和品牌管死，日常经营放活。权限设计错了，要么总部管不住门店，要么门店被管死没活力。
核心结论速览
**价格必须总部管死。** 门店能改价，就会出现同城不同价、私下降价抢客、改价套取差价。
**订单退款要给门店权限但有额度。** 小额退款（比如 100 元内）门店自己处理，大额要审批。全部审批效率太低，全部放开风险太大。
**会员数据必须归总部。** 会员是连锁最核心的资产，门店只能看本店会员，不能导出、不能带走。
**报表要分层。** 店长看本店，区域经理看本区，总部看全局。让店长看全部门店数据，是管理灾难。
**所有敏感操作要留日志。** 改价、退款、折扣、删单、导出数据，每一笔都要记录谁在什么时候做了什么。
一、权限不清会出什么问题
问题一：门店私自改价。店长为冲业绩，把招牌菜从 68 改成 58，客户在别的店看到还是 68，投诉总部。更严重的是门店把价格改高再打折，套取活动补贴。价格权放开，这类问题必然发生。
问题二：门店删订单、改订单。收银员操作失误下了单，为了不担责直接删掉；或者门店把大额订单拆成小额，规避审批。订单一旦能被删改，所有数据都不可信。
问题三：店长带走会员数据。店长离职前把会员手机号导出来，去对面开店直接挖客。这是连锁最痛的事，也是最容易发生的事——只要系统允许导出，就一定会发生。
问题四：总部看不到实时数据。总部想知道今天各店卖了多少，要等门店晚上报数，报上来的数字还可能被修饰。数据延迟一天，决策就慢一天；数据被修饰，决策就是错的。
问题五：越权审批。店长自己提交退款申请、自己审批通过。审批流形同虚设。这类问题的根源是权限没有分离——提交权和审批权给了同一个人。
问题六：加盟商不服从管理。加盟店认为自己出了钱，系统权限应该全给自己。结果总部定的价格政策执行不下去、活动做不了、数据收不上来。这是加盟体系的通病，必须在合同和系统两层同时约束。
这六个问题的共同点是：权限边界不清。不是"给不给权限"的问题，是"给到什么程度"的问题。给太少门店没效率，给太多总部失控。分界线要设计出来。
二、三层权限模型：总部、区域、门店各管什么
总部层：定规则、管资产、看全局。总部管的是"不能变的东西"：品牌标准、菜品库、价格策略、会员体系、财务规则、系统配置。总部不直接管日常经营，但管经营的规则边界。
总部的核心权限包括：菜品库维护（新增、下架、配方）、价格策略制定（统一价、区域价、活动价）、会员规则制定（等级、积分、储值档位）、营销活动创建、财务报表查看（全部门店）、系统参数配置、门店和账号管理。
总部不应该做的事：直接改单店的日常订单、直接处理单店客户投诉、直接调整单店排班。这些是门店的事，总部插手会打乱门店节奏。
区域层：承上启下、督导执行。区域经理管一片门店，权限是"总部授权的执行权 + 区域内的调配权"。
区域的核心权限包括：查看本区域所有门店数据、审批本区域门店的申请（改价、退款、活动）、调配本区域的人力（跨店支援）、区域内营销活动的小幅调整（在总部授权范围内）。
区域层的价值是缩短决策链。门店申请改价，不用报到总部，区域经理就能批（在授权范围内）。这样效率高，也不失控。
门店层：执行、服务、日常经营。门店管的是"每天要做的事"：接单、出餐、收银、接待客户、日常盘点。
门店的核心权限包括：订单操作（下单、改单、退单，有额度限制）、收银操作（收款、找零、开发票）、会员服务（办卡、积分兑换，不能改规则）、库存操作（领用、盘点、报损，有额度限制）、本店数据查看。
门店不应该有的权限：改价、改菜品配方、改会员规则、导出会员数据、查看其他门店数据、删除订单（只能作废并留痕）。
三层之间的关系：总部定规则、区域管执行、门店做经营。规则是刚性的（价格、品牌、会员），执行是弹性的（审批额度、区域调配），经营是自主的（排班、服务方式）。这三层分清楚，连锁才不会"一管就死、一放就乱"。
三、四类权限的具体划分
第一类：菜品和价格。菜品库维护权归总部（新增、下架、配方、图片）；价格制定权归总部（统一价、区域价）；门店只能申请（"本店建议调整某菜价格"），不能直接改。
特殊情况：门店专属菜品。允许门店申请新增本店特色菜，但要总部审批（控制 SKU 和品牌一致性）。审批通过后，这道菜只在该店可见。
售罄和临时下架可以给门店权限。某个菜卖完了，门店自己标记售罄，不用等总部。这个权限风险低、效率收益高，应该放。
第二类：订单和收银。下单、改单、结账归门店（这是日常工作）；退单要给权限但设额度（比如单笔 200 元内门店自主，超过要店长审批，超过 1000 元要区域审批）。
删单绝对不能给门店。订单只能"作废"并留痕，不能删除。作废要填原因，作废率异常（比如某店作废率 5%，其他店 0.5%）自动告警。
折扣权限要分级。会员折扣自动执行（规则是总部定的），手动折扣要限额（比如店长 9 折以内，区域经理 8 折以内，更低要总部批）。手动折扣的使用记录要能查，这是腐败高发点。
发票开具归门店，但要有额度管理和税务合规校验。
第三类：会员和营销。会员规则（等级、积分、储值档位、权益）归总部制定，门店只能执行。会员办卡、充值归门店操作（这是服务动作），但会员数据（手机号、消费记录）门店只能看本店的，不能导出。
营销活动由总部创建，门店报名参加。门店可以申请本店的小型活动（比如店庆），但要审批。活动力度、赠送金额、有效期这些参数由总部控制。
会员导出权限必须严格限制。技术上要做三件事：一是默认关闭导出功能；二是导出要审批 + 留痕（谁导的、导了多少条、用途）；三是导出数据脱敏（手机号中间四位打码）。这三件事做了，数据泄露风险能降很多。
第四类：数据和报表。店长看本店全部数据 + 本店历史对比；区域经理看本区域门店数据 + 区域排名；总部看全局数据 + 跨区域对比。
跨层级看数据要有理由。店长不需要看别的店数据（看了会攀比、会泄气），但需要看"本店在区域内的排名"（这是激励）。所以排名数据可以给，明细数据不给。
财务报表（利润、成本、费用）权限要更严。店长看本店损益，区域看区域汇总，总部看全局。加盟店的财务数据要单独隔离，直营和加盟不能混看。
四、审批流和操作日志：让权限真正生效
审批流设计原则：提交权和审批权必须分离。谁申请谁不能批，这是底线。店长申请改价，区域经理批；区域经理申请，总部批。
审批流的层级要按金额或影响面定：小额单级审批（店长 → 区域），大额多级审批（店长 → 区域 → 总部）。层级太多效率低，太少失控，通常两到三级最合适。
审批要有超时机制。申请提交后 24 小时未审批自动提醒，48 小时未审批自动升级到上一级。没有超时机制，审批会积压，门店等不起就绕过系统。
审批要有撤回和驳回理由。申请人可以撤回，审批人驳回必须填理由。理由是后续复盘的依据——如果某类申请经常被驳回，说明规则没讲清楚。
操作日志要记全。哪些操作要记日志：登录、改价、退款、折扣、作废订单、修改会员信息、导出数据、修改系统配置、账号权限变更。每条日志记：谁、什么时候、在哪个设备、做了什么、改前改后是什么。
日志的价值在于事后追溯。出现价格异常、数据泄露、资金损失时，能查到是谁在什么时候做的。没有日志，只能靠猜。
日志不能改、不能删。技术上要做成只追加（append-only），最好有独立的日志表或日志服务。如果日志能被改，就等于没有日志。
异常行为要主动监控。除了被动记录，还要主动发现异常：短时间内大量退款、非营业时间操作、异地登录、批量导出、频繁改价。这些行为触发告警，让管理者主动介入。
五、常见问题解答
门店能不能自己改菜价？
不能。价格是连锁的核心管控项，门店改价会导致同城不同价、私下降价抢客、套取活动补贴。门店可以"申请"调价（说明理由），由区域或总部审批。唯一可以给门店的是"售罄标记"和"临时下架"，这两个风险低、效率收益高。
店长能看到其他门店的数据吗？
建议只给排名，不给明细。店长看本店全部数据 + 本区域排名（知道自己排第几），但不看其他店的营业额、成本、客户明细。给排名是激励，给明细会引发攀比和数据泄露风险。区域经理和总部才看明细。
退款额度定多少合理？
参考门店日均营业额。常见做法：单笔 200 元内店长自主，200-1000 元区域审批，1000 元以上总部审批。也有按比例定的（单笔不超过日均营业额的 1%）。额度要定期复盘——如果 90% 的退款都在额度内，说明额度合理；如果经常超额度申请，说明额度太低。
加盟店的权限和直营店一样吗？
不完全一样。加盟店在"经营自主权"上更多（排班、人员、本地营销），但在"品牌标准"上更少（价格、菜品、会员规则必须服从总部）。合同里要写清楚哪些是强制的、哪些是自主的，系统按合同配置权限。数据上加盟店的财务数据要隔离，不能和直营混看。
怎么防止店长离职带走客户？
三层防护：一是系统层禁止导出会员数据（默认关闭、审批留痕、脱敏显示）；二是制度层在劳动合同里约定竞业和保密条款；三是运营层让会员关系归品牌不归个人（企业微信统一管理、会员权益全连锁通用、客户认品牌不认店长）。第三层最根本——客户如果只认店长，说明品牌没建立起来。
审批流太慢，门店等不及怎么办？
三个优化：一是分级授权，小额单级审批、大额多级；二是移动审批，审批人手机上就能批，不用回办公室；三是超时自动升级，24 小时未批提醒，48 小时升级。还有一个务实做法：把高频低风险的申请做成"自动通过 + 事后抽查"，比如 100 元内的退款。
操作日志要保存多久？
建议至少两年。财务相关的（退款、折扣、作废）建议保存五年以上，因为税务和审计可能追溯。技术上日志存储成本不高（文本数据），没必要为了省空间缩短保存期。
总部管得太死，门店没活力怎么办？
区分"规则"和"执行"。规则（价格、品牌、会员）必须管死，执行（排班、服务、本地营销）要放活。很多总部的问题是连执行都管，导致门店变成执行机器。解决办法是列一张"权限清单"，明确哪些是总部定、哪些是门店自主，清单之外的一律门店自主。
六、九尾狐在这类问题上的做法
九尾狐做连锁权限模块时，用的是"角色 + 数据范围"两层模型。角色决定能做什么操作（改价、退款、导出），数据范围决定能看到哪些数据（本店、本区域、全部）。这两层分开，权限配置才不会爆炸——不用为每个门店配一套角色。
审批流我们做成可视化的流程配置，客户能自己画流程图（谁提交、谁审批、超时怎么办）。这样调整审批规则不用改代码，运营自己就能改。实际项目里，客户的审批规则半年会调一次，配置化省了很多事。
操作日志我们做成"只追加 + 独立表"，并且做了异常行为监控：批量导出、非营业时间操作、频繁改价这些行为会主动推送告警。有个客户就是靠这个功能发现了一个店长在系统里做手脚。
会员数据保护我们做得比较硬：默认关闭导出、导出要审批、导出数据自动脱敏（手机号打码）、导出记录永久保存。这套机制上线后，客户反馈"店长离职带走客户"的情况基本没有了。
七、综上所述
连锁权限设计的本质是回答一个问题：什么该管死，什么该放活。价格、品牌、会员规则必须管死，这是连锁的根基；排班、服务、本地营销应该放活，这是一线的活力。分界线画错了，管死了门店变机器、放活了总部失控。三层四类这个框架不是标准答案，但它提供了一个可以讨论的起点——把每一类权限拿出来问一句"这个该谁定"，答案就出来了。