如何配置权限限制外部用户仅修改工作项指定字段

• 方案1：自定义角色+字段级权限规则配置
  先为外部用户创建专属自定义角色，基础权限设置为仅允许查看工作项，不开放全局编辑权限。之后在工作项的字段权限配置模块，单独给该角色开放两个目标字段的编辑权限：Approvals自定义字段、讨论字段，其余字段全部设置为仅可读/不可编辑。如果所用的工作项管理系统原生不支持单字段权限配置，可以通过系统内置的规则引擎配置触发逻辑：当编辑人为外部用户时，仅允许提交的修改内容包含指定两个字段，其余字段的修改请求直接拦截驳回。
• 方案2：前端定制+后端接口校验联动
  针对外部用户访问的工作项编辑页做定制化渲染，除Approvals字段和讨论字段外，其余字段全部渲染为只读状态。同时在后端接口层增加参数校验逻辑，对外部用户发起的工作项更新请求做字段白名单校验，仅允许请求携带白名单内的字段参数，携带其余字段参数的请求直接返回权限不足错误，避免前端绕权的漏洞。
• 方案3：工作流节点权限限制
  如果工作项配置了标准化的流转流程，可以将外部用户的操作权限限定在指定的工作流节点内，仅在该节点开放两个目标字段的编辑入口，外部用户仅能在对应节点触发时提交这两个字段的修改，其余状态下完全没有工作项编辑权限。
• 方案4：中间代理层请求过滤
  如果现有系统没有原生支持的细粒度配置能力，可以在前端和原工作项系统之间新增一层代理服务，所有外部用户的操作请求都先走代理层，代理层对更新请求的内容做过滤，自动剥离掉两个目标字段之外的修改内容之后，再转发给原系统执行更新，无需改动原系统的原有逻辑。

内容的提问来源于stack exchange，提问作者Jill