Чтобы человек или программа увидели значение поля в записи, нужно пройти четыре двери, и каждая может быть закрыта отдельно. Когда что-то не видно, первым делом спроси: какая дверь закрыта?
Двери 2 и 3 задаются правами пользователя (permission sets), дверь 4 задаётся sharing. Это два разных механизма, и их часто путают.
2. Откуда у пользователя права
Права пользователя складываются из нескольких источников. Важно: они только добавляются. Ни один permission set не может отнять право, которое дал другой источник.
Правило профессии: права выдаём только через permission sets и группы, профили не правим. Профиль общий для многих людей, и правка в нём задевает всех сразу.
3. Доступ к записям: открываем снизу вверх
Org-wide defaults задают самый строгий базовый уровень для объекта. Всё, что выше, только открывает доступ дополнительным людям. Закрыть сверху нельзя: если OWD стоит Public Read/Write, никакое правило не спрячет запись.
Пирамида: чем выше слой, тем уже круг людей, которым он открывает доступ.
4. Где смотреть, когда что-то не видно
Симптом
Дверь
Где смотреть
Нет вкладки или приложения, Insufficient Privileges при открытии объекта
2 Объект
Permission sets пользователя: Object Settings, права на объект
Поля нет на экране, но на странице layout оно есть
3 Поле
FLS в permission sets. Проверка: Setup, Object Manager, поле, Set Field-Level Security
Flow или Apex не пишет поле, ошибка или тишина
3 Поле
FLS у пользователя, под которым идёт код. В Revenue Cloud поле без FLS иногда просто не сохраняется, без ошибки
Коллега видит запись, а ты нет
4 Запись
Кнопка Sharing на записи, роль, sharing rules, OWD объекта
Нужное право нельзя выдать, его нет в списке
1 Вход
Лицензия пользователя и Permission Set Licenses: выдана ли PSL функции
Интеграция получает 401 или 403
1 Вход, 2 Объект
Токен, external client app или connected app, права integration user
Самый быстрый способ проверить: войти под пользователем (Login As, кнопка на карточке User при включённой настройке) и повторить его шаги. На странице пользователя в Setup видны все его permission sets и группы, а сводка доступа (View Summary) показывает, откуда пришло каждое право.
5. Правила, которые стоят дороже знаний
Production только чтение. Ни одной правки руками, ни одного деплоя без согласования. Даже если видишь очевидный баг.
Профили не трогаем. Все права через permission sets и группы. В названии permission set функция, а не номер задачи.
Минимум прав для интеграций. Отдельный integration user, только нужные объекты и поля, никогда не логин человека.
Секреты не в файлах. Пароли, токены, ключи не пишем в код, в CSV, в journal, в чат. Для кода есть Named Credentials, для людей менеджер паролей.
Проверяй под пользователем. Под администратором видно всё, поэтому проверка под ним ничего не доказывает.
Данные клиента не уходят наружу. Не вставляй реальные записи клиента в публичные сервисы, онлайн-валидаторы и чужие чаты.
Итог одной фразой. Увидеть значение можно, только пройдя четыре двери: вход, объект, поле, запись; первые три открывают права из permission sets поверх лицензии, четвёртую открывает sharing поверх самого строгого OWD.