SuiteScript 2.x通过Restlet创建Transfer Order的角色权限问题咨询

你遇到的An unexpected SuiteScript error has occurred是NetSuite对外部调用返回的脱敏错误，不会暴露具体权限缺失项，内部AJAX调用正常是因为请求携带了你当前登录账号的权限上下文，和第三方调用时绑定的Restlet执行角色权限不共用。

必配权限清单 #

按权限分类给Restlet绑定的执行角色配置以下权限，所有权限级别按实际业务需要最小化配置即可：

脚本执行类基础权限 #

这类是高频漏配项，内部管理员账号默认自带，自定义角色不会默认开通：

• REST Web Services：Full级别，第三方调用Restlet的基础准入权限
• SuiteScript：Full级别，允许角色执行SuiteScript 2.x脚本逻辑
• SuiteScript Scheduling：Full级别，允许Restlet触发调度Map/Reduce脚本任务，缺这个权限时M/R任务根本不会进入队列
• Log in using Access Tokens：Full级别，如果你用TBA令牌认证给第三方做接口鉴权，必须开这个权限

Transfer Order业务单据权限 #

• Transfer Order：Create级别，若脚本包含编辑已有调拨单逻辑则开Edit/Full级别，是创建TO的核心交易权限
• Inventory Transfer：Edit级别，跨库存地点调拨的基础库存操作权限
• Item Fulfillment、Item Receipt：Create级别，如果你的M/R脚本创建TO后会自动触发发货履行、入库接收逻辑，必须开这两个权限，否则TO保存时触发关联逻辑会直接报错

基础主数据权限 #

这类权限缺了会导致单据保存时维度校验失败：

• Items：View级别，读取TO行上的物料信息
• Locations：View级别，读取调拨的出入库地点
• Subsidiaries：View级别，多子公司账号下必开，校验调拨单所属子公司权限
• Departments、Classes：View级别，如果账号开启了部门、分类核算维度必开
• Employees：View级别，TO上带申请人、审批人等员工字段时需要

场景化补充权限 #

• 如果M/R脚本中调用了保存搜索、自定义记录：给对应保存搜索的运行权限、自定义记录的View/Edit权限
• 如果脚本涉及文件柜读写操作：给Documents and Files对应级别的权限

验证步骤 #

1. 先确认Restlet部署配置：进入对应Restlet的脚本部署页，将「执行角色」固定为你配置了上述权限的自定义角色，不要选「当前用户」——第三方调用时没有前端登录用户上下文，选「当前用户」会走低权限的匿名上下文，必然报错
2. 权限配置完成后，用Postman等工具完全模拟第三方的认证信息、请求参数调用接口，不要在系统内部浏览器环境直接测试，内部测试会携带你当前登录账号的权限，无法验证第三方调用场景的权限问题
3. 若仍返回通用错误，直接去脚本执行日志、系统审计日志里查对应报错条目，具体缺哪个权限会在服务端日志里明确记录，接口返回的通用提示只是对外的脱敏信息。

注意：第三方接口调用的角色不要直接给管理员权限，遵循最小权限原则配置即可，避免权限溢出风险。

内容的提问来源于stack exchange，提问作者Ba.Lal