Permissão não é esconder botão
Tirar o botão da tela não tira o acesso. O que decide é o servidor — e é por isso que a contagem cega funciona mesmo com o gerente logado.
Muito sistema trata permissão como formatação de tela: quem não pode, não vê o botão. Funciona até alguém abrir o endereço direto, ou o aplicativo do celular, ou a mesma tela num navegador que guardou o menu antigo.
Aqui a regra está do lado do servidor. Se o operador não tem a permissão, a resposta não traz o dado — não é a tela que esconde.
O exemplo que prova
No inventário, quem só conta não recebe o saldo esperado do servidor. O campo volta vazio, não escondido. Isso é o que torna a contagem cega real: mesmo que alguém abra a resposta do sistema, o número não está lá.
A diferença fica clara quando o gerente confere. Ele tem a permissão de aprovar, então para ele o número vem — e vem porque é o trabalho dele.
Como montar os perfis
- Comece pelo que a pessoa precisa fazer, não pelo que ela é. "Conferente" faz contagem; não precisa ver custo.
- Separe ver de aprovar. Muita gente precisa consultar o financeiro; pouca gente precisa dar baixa.
- Perfil de administrador não é perfil de trabalho. Ninguém opera o dia inteiro como administrador.
- Toda alteração de perfil fica na auditoria, com quem mudou e quando. Isso protege quem mudou também.