商家能修改别的店铺商品，应该复核哪些权限？

发现商家能够修改其他店铺商品，应先停止未经允许的修改，保存最少必要的问题依据，再核对账号身份、授权商家与店铺、商品归属和实际操作。不要继续尝试更多店铺来证明范围，也不能只隐藏编辑按钮，就认定跨店权限问题已经解决。

先分清获准协作与意外越权

某个账号可能同时被授权管理多个店铺，也可能使用了平台运营账号、共享账号或历史临时权限。先查实际登录身份和已批准职责；如果确有授权，应核对授权是否仍必要。没有授权的访问与合法代运营不能混作同一种事件。

记录已观察到的账号、受影响店铺与商品索引、动作、时间和结果。商品名称相同不足以判断归属，需核对正式关联。涉及客户或经营资料时限制接触范围，不把完整数据复制到群里，也不要收集与问题无关的密码或凭据。

不能只检查正常网页编辑

批量导入、移动端、接口或旧链接可能经过不同处理。由具备授权的技术人员在限定环境和样例中核对，不向普通商家提供跨店探测或绕过验证的方法。OWASP授权指南强调每次请求的权限校验，不能把前端不展示当作决定性的访问控制。

统一目录也需划清权利。商家获准改本店库存，不代表能改所有店共用的规格说明；平台商品人员能维护公共描述，也不意味着可以任意调整各店库存和价格。应按资源与动作定位错配，而不只是降低一个笼统角色等级。

控制影响后核对真实改动

负责人按情况限制问题账号或操作入口，保全原记录，由授权人员复查已发生的商品变化及受影响交易。恢复前核对原值、合法后续改动和审批依据，不能批量回滚到更早版本，覆盖其他正常更新。涉及个人信息或网络安全事件时，继续按实际法规与应急程序处理，不能仅因一条提示就宣布发生数据泄露。

凡科杰建云多商户方案介绍商家后台与多角色权限，具体账号、跨店范围、操作记录及异常支持应走正式渠道核实。公开功能说明不是对某次事件成因的证明。

完成修复后，在获准范围复测应允许和应拒绝的操作，核对已有改动的处理结果，并撤销临时排查权限。保留问题依据和最终结论，避免把“现在不能点了”当作完整处理记录。