題幹與適用場景
這是 B2B SaaS 產品判斷題。代入功能讓獲授權的支援人員以客戶使用者視角查看或執行有限操作，但可能暴露個人資料、繞過租戶權限，或製造「誰做了什麼」的稽核爭議。回答需要在支援效率、客戶信任與最小權限之間取捨。
面試官考察什麼
- 能否把「客服想更快排障」拆成可驗證的客戶問題，而非直接承諾高風險開關。
- 能否定義唯讀、敏感欄位遮蔽、明確授權、短時權限與完整稽核等護欄。
- 能否用分階段實驗驗證解決時間、升級率、客戶安全接受度與濫用訊號。
- 能否在價值不足或風險不可接受時提出診斷包或客戶端協作會話等替代方案。
回答前需要釐清的問題
先問：哪些客戶和問題需要代入；是否涉及支付、健康或個人資料；客戶管理員能否逐次批准；功能唯讀還是允許寫入；支援人員是否需要跨租戶；合規、存放地與保留期限是什麼。答案會決定是否只做診斷視圖、是否需要雙人審批，以及哪些欄位必須遮蔽。
30 秒回答框架
我不會把代入功能當成預設管理員權限。先用工單資料確認重現困難是否是主要瓶頸，再從唯讀、客戶逐次授權和短時會話開始。所有視圖和操作都標記真實支援人員與被代入使用者，敏感欄位預設遮蔽，寫入另行審批並可回滾。以首次解決時間、升級率、授權接受率和異常存取率設門檻；若唯讀診斷已解決問題，就不擴大權限。
分步驟深入解答
1. 驗證問題與目標使用者
訪談支援、管理員與安全負責人，按問題類型統計「無法重現」工單、重開率與人工耗時。若主要問題是日誌缺失，代入並非首選；先做診斷包可能更便宜。Amazon 的 PM 面試指引強調客戶導向與按能力評估，因此回答應把使用者問題與可觀察證據放在功能之前。
2. 畫出風險邊界
把權限拆成查看頁面、查看敏感欄位、執行讀取與執行寫入四級。預設唯讀且最小範圍；涉及個人、支付或金鑰的欄位遮蔽或去識別化。NIST 要求特權活動記錄身分、時間、事件與觸發的存取規則，並建議執行特權功能時重新驗證；這些要求可直接轉成產品護欄。
3. 設計授權與會話
客戶管理員發起一次性授權，指定使用者、租戶、目的、範圍與過期時間；支援人員必須以自己的身分登入，系統保存「操作者」與「被代入主體」兩條主體鏈。高風險寫入要求客戶再次確認或雙人審批，會話自動過期且不能複製成長期權杖。NIST 零信任資料把 just-enough、just-in-time 權限列為原則，適合約束這個流程。
4. 設計稽核與撤銷
稽核事件至少包括工單號、授權人、支援人員、被代入使用者、開始結束時間、欄位範圍、動作結果和關聯請求 ID。客戶管理員應能即時撤銷並匯出記錄；稽核資料要防竄改、限權存取並按合約保留。任何繞過授權的內部工具都應被阻擋，不應只依賴員工自律。
5. 分階段上線與替代方案
第一階段只提供脫敏唯讀視圖給少數內部隊伍；第二階段讓客戶管理員逐次批准並開放可回滾寫入；第三階段才評估受限自動修復。同時提供客戶端診斷包、螢幕共享或臨時協作會話，比較它們的解決時間與風險。若客戶拒絕授權率高或異常存取無法解釋，應停止擴展而不是降低護欄。
6. 指標與決策門檻
核心指標是首次解決時間、工單重開率、升級率和客戶授權完成率；護欄指標是越權嘗試、敏感欄位命中、撤銷延遲、稽核缺失與客戶投訴。按客戶規模、區域和資料敏感度分層，避免平均值掩蓋高風險租戶。先設定停用門檻，再決定擴大範圍或回滾。
高品質示範回答
我會先驗證重現困難是否真的造成工單延遲，再決定是否做代入。首版限定為脫敏唯讀：客戶管理員逐次授權指定租戶、使用者與目的，授權短時有效；支援人員始終使用自己的身分，介面與日誌同時展示操作者和被代入主體。支付、健康、金鑰等敏感欄位預設隱藏，任何寫入另需確認、審批與回滾。稽核記錄授權鏈、欄位範圍、請求 ID 與撤銷時間，並允許客戶匯出。用首次解決時間與重開率衡量價值，用越權、敏感存取和投訴作停止門檻；若診斷包已能解決問題，我會選擇更低風險的替代方案。
常見錯誤
- 直接給客服全域管理員 → 擴大洩露與誤操作半徑 → 從唯讀、短時、租戶級授權開始。
- 只記錄「使用者 ID」 → 無法區分真實使用者與支援人員 → 記錄操作者、被代入主體與授權人三條鏈。
- 把客戶同意當永久許可 → 離職和工單結束後權限仍存在 → 設定過期、撤銷和重新驗證。
- 只看解決時間 → 可能用高風險操作換短期速度 → 同時設定越權、投訴和稽核完整性護欄。
- 先做功能再找合規 → 後期無法補齊資料範圍與保留規則 → 在需求階段鎖定敏感欄位、區域與合約約束。
追問及應對
客戶管理員不在線，緊急事故怎麼辦？
提供預先配置的 break-glass 流程，但仍限定租戶、唯讀範圍和極短時限；要求值班負責人雙人批准、強制錄影或命令稽核，並在事後通知客戶。緊急不等於跳過主體鏈。
支援人員需要執行修復寫入怎麼辦？
把修復動作建模成帶參數的受控命令，先展示差異與影響範圍，再由客戶確認或雙人審批。寫入必須有冪等鍵、回滾路徑與結果稽核，不能開放任意腳本。
如何證明功能沒有跨租戶？
在服務層以租戶範圍作為不可繞過的授權條件，並用自動化測試覆蓋切換租戶、授權過期、撤銷競態與快取命中。日誌和告警按租戶聚合，發現主體或範圍不匹配就拒絕。
客戶擔心支援人員看到個人資料怎麼辦？
預設欄位級遮蔽，只在明確授權且業務必要時短暫解鎖；記錄欄位存取並限制匯出。若仍無法接受，提供客戶端診斷包或螢幕共享，讓資料留在客戶控制域內。