在分析 Salesforce 权限集/权限集组层级…

当需要分析 Salesforce 权限集/权限集组层级、追查用户或对象/字段/Apex/Flow/Tab/自定义权限访问来源并导出/审计权限配置时使用。

适用场景

解决思路

1. 先询问或推断目标 org alias。
2. 询问或推断问题针对的是 object、field、Apex class、flow、tab、custom permission，还是 specific user。
3. 询问或推断目标是 hierarchy visualization、access detection、export，还是 metadata generation。
4. 询问或推断输出应面向 terminal，还是 documentation-friendly。
5. 将请求分类为权限检测器：当请求形如「who has access to X?」时。
6. 将请求分类为用户分析器：当请求形如「what does this user have?」时。
7. 将请求分类为层级查看器：当请求形如「show me the hierarchy」时。
8. 将请求分类为导出器：当请求形如「export this permset」时。
9. 将请求分类为生成器或交接：当请求形如「generate metadata from analysis」时。
10. 连接正确的 org：在运行权限分析前验证 sf auth。
11. 使用最窄的有用查询：优先做聚焦分析，而不是全 org 扫描，除非用户明确要求完整审计。
12. 选择标识符时优先使用稳定元数据名称：PermissionSet.Name、PermissionSetGroup.DeveloperName、CustomPermission.DeveloperName、对象和字段 API 名称（如 Account 或 Account.AnnualRevenue）、以及用户中心检查用的 Assignee.Username / email。
13. 仅在这些情况下使用 Salesforce record IDs：底层对象模型要求 ParentId 或 SetupEntityId，或在同一调查中深入查看先前只读查询返回的记录。
14. 清晰呈现发现：终端工作使用 ASCII 树或表格输出。
15. 仅在文档收益明确时使用 Mermaid。
16. 提供简洁摘要，说明哪个权限来源授予了访问权。
17. 将创建或部署工作交接出去：更丰富的元数据生成交给 sf-metadata。
18. 将部署工作交给 sf-deploy。
19. 区分直接 Permission Set 授予与通过 Permission Set Groups 的授予。
20. 首次调查查询优先使用 Name / DeveloperName / API 名称，而不是 org-specific record IDs。
21. 明确说明访问是对象级、字段级、类级、Flow 级，还是自定义权限级。
22. 在需要 setup entities 和高级可见性问题时使用 Tooling API。
23. 对于 agent access 问题，在 permission metadata 中验证精确的 agent-name matching。
24. 当后续 child query 需要 ParentId 或 SetupEntityId 时，从先前结果解析 ID，而不是从复制的 ID 开始。
25. 完成时按以下顺序报告：1) 分析了什么；2) Org / subject scope；3) 哪些权限授予访问；4) 访问是直接还是继承；5) 推荐的后续步骤。
26. 使用建议输出形状：权限分析: <hierarchy / detect / user / export>；范围: <org, user, permission target>；发现: <permsets / groups / access level>；来源: <direct assignment or via group>；下一步: <export, generate metadata, or deploy changes>。
27. 跨技能集成：生成或修改权限元数据时委托给 sf-metadata，因为它是 metadata authoring。
28. 跨技能集成：部署权限变更时委托给 sf-deploy，因为它是 rollout。
29. 跨技能集成：识别需要授权的 Apex classes 时委托给 sf-apex，因为它提供 implementation context。
30. 跨技能集成：批量用户分配分析时委托给 sf-data，因为它是 larger data operations。
31. 先从此处开始查阅参考：references/permission-model.md、references/soql-reference.md、references/workflow-examples.md。
32. 专项分析查阅：references/agent-access-guide.md、references/usage-examples.md。
33. 按评分标准自评：90+ 表示 strong permission analysis with clear access sourcing。
34. 按评分标准自评：75–89 表示 useful audit with minor gaps。
35. 按评分标准自评：60–74 表示 partial visibility only。
36. 按评分标准自评：< 60 表示 insufficient evidence；应 expand analysis。

适用边界 · 注意事项

• 不适用于创建新的元数据定义；应使用 sf-metadata。
• 不适用于部署权限集；应使用 sf-deploy。
• 不适用于分析 Apex 管理的共享逻辑；应使用 sf-apex。