AirApp 里设置“只看我的客户”，是不是也限制了 API 访问？

如果用户或应用使用的凭据有权读取整个 Base，改变查询条件或直接请求记录接口，仍可能访问其他记录。要真正隔离，应在服务端授权层限制访问范围，或把需要隔离的数据放进具有独立权限的节点／Base。

补一个具体例子：销售小王在 AirApp 里只看到“负责人是小王”的客户，这是列表怎么显示；如果小王所用的账号或密钥仍有权读取整张客户 Base，他可能通过其他视图、记录链接或接口读到小李负责的客户。隐藏在 App 里，不等于权限被收回。

如果只是减少日常列表干扰，按当前用户筛选很合适；如果要求客户资料彼此保密，就不要把筛选当作安全边界。请让空间管理员检查这张 Base 的实际访问授权和各 Agent/API 密钥权限。现阶段需要严格隔离时，可以把不同团队或客户群的数据放进权限独立的 Base 或空间；若必须共用一张表，也要由受控服务端对每次读取执行并测试记录级授权，不能只在 AirApp 前端过滤。

上线前用两名测试成员和两条脱敏客户记录验证：小王在页面看不到小李的客户之后，再用小王自己的权限尝试打开那条记录的链接或读取它；如果仍能读到，就说明还没有真正隔离，不宜往这张共享 Base 放需保密的客户资料。Busabase API 密钥说明也解释了密钥权限会与账号在空间里的权限一起生效。