空间权限检查的目标，是在知识对象被访问之前发现越权、泄露和权限残留。检查范围包括空间边界与成员范围、角色与权限项、继承与共享、外部分享、敏感内容隔离、离职转岗回收和审计留痕。清单按阶段使用，每项写明通过标准、证据和负责人；涉及未授权公开、敏感空间全员开放、离职权限未回收的，列为阻断项。ONES 在页面权限管控和空间成员管理上可作为承载工具，具体配置以实际产品为准。
要点总览（TL;DR）
- 空间权限检查围绕知识对象展开，覆盖空间边界与成员范围、角色与权限项、继承与共享、外部分享、敏感内容隔离、离职转岗回收六个环节。
- 检查在四个时点使用：新建空间上线前、成员或角色调整后、外部分享开启前、季度例行复核，不同时点跑不同阶段。
- 每项检查写明可判断的通过标准、可留存的证据和具体负责人，通过标准要能用是或否回答。
- 未授权外部公开链接、敏感空间对全员开放、离职人员权限未回收属于阻断项，全部关闭并留存证据后方可放行。
- 一般项可限期整改，但要有整改计划和责任人；阻断项超时未关闭应升级并暂停相关空间的外部分享。
谁在什么时点做这次空间权限检查
这份清单的检查对象是知识库空间及其中的页面、附件等知识对象，不涉及全平台账号体系、单点登录配置或研发平台整体安全制度。检查发生在四个时点：新建空间上线前、成员或角色调整后、外部分享开启前、季度例行复核。不同时点关注的阶段不同，上线前侧重边界与角色配置，成员调整后侧重回收与继承变化，外部分享开启前侧重链接与匿名访问，季度复核则覆盖全部阶段。
参与角色按职责分工，避免检查由一个人完成又由同一个人判定通过。空间负责人对空间用途和成员名单负责；知识库管理员对角色配置和共享设置负责；内容所有者对敏感内容的隔离方式负责；安全或合规复核人对阻断项判定和放行签字负责。下表给出角色与时点的对应关系，可据此安排检查任务。
| 检查时点 | 主责角色 | 配合角色 | 重点阶段 |
|---|---|---|---|
| 新建空间上线前 | 空间负责人 | 知识库管理员、安全复核人 | 空间边界、角色权限、敏感隔离 |
| 成员或角色调整后 | 知识库管理员 | 空间负责人 | 成员范围、权限回收、继承变化 |
| 外部分享开启前 | 内容所有者 | 安全复核人 | 外部分享、公开链接、敏感内容 |
| 季度例行复核 | 安全复核人 | 空间负责人、知识库管理员 | 全部阶段，重点核查历史链接与残留权限 |
第一阶段：空间边界与成员范围检查
进入权限项细节之前，先确认空间本身的范围是否清楚。空间用途和可见范围应有书面确认，明确它是私有、团队可见还是全员可见，并说明理由。成员名单要与当前项目或团队的实际人员一致，长期不活跃成员应移出或降级，避免账号闲置期间仍保留访问能力。空间层级和父子关系要能说清楚，哪些子空间继承父级权限、哪些单独设权，需要有记录。
这一阶段的检查表按四列组织：检查项、通过标准、证据、负责人。通过标准写成可判断的陈述，例如“空间可见范围在空间说明中有明确记录，且与成员名单一致”，而不是“注意范围合理”。证据可以是空间设置页截图、成员名单导出文件或空间说明文档。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 空间用途与可见范围 | 空间说明中写明用途和可见范围（私有/团队/全员），与当前配置一致 | 空间设置截图、空间说明文档 | 空间负责人 |
| 成员名单与实际人员一致 | 名单中无已离职、已转岗或连续90天未活跃且无业务需要的成员 | 成员名单导出、人员变动记录 | 知识库管理员 |
| 空间层级与继承关系 | 每个子空间的权限来源有记录，单独设权的子空间已标注 | 空间结构图、权限来源说明 | 知识库管理员 |
| 空间负责人明确 | 每个空间有且仅有一名现任负责人，负责人知晓自身职责 | 空间负责人名单、确认记录 | 安全复核人 |
第二阶段：角色与权限项逐项核对
角色配置的风险在于权限过宽和隐性扩权。检查时把角色落到具体动作上：查看、编辑、评论、下载、分享、删除分别授予了哪些角色，是否按最小化原则配置。普通成员拥有管理或删除权限、访客角色能下载附件、默认角色自带分享能力，都属于需要整改的情况。批量授权和模板继承容易带来隐性扩权，检查时要确认批量操作的范围和模板的默认权限项。
每项给出可判断的通过标准，例如“编辑权限仅授予内容维护角色，普通成员为查看或评论”。核对结果标注越权项和整改责任人，整改完成后由知识库管理员复核。ONES 支持从所有页面到单个页面、从内容编辑到内容导出的不同颗粒度权限管控，可作为承载这类核对的工具；具体角色和权限项以实际产品配置为准。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 查看权限范围 | 查看权限仅授予需要阅读该空间内容的成员或角色 | 角色权限配置截图 | 知识库管理员 |
| 编辑与删除权限 | 编辑、删除权限仅授予内容维护角色，普通成员不具备 | 角色权限配置截图、成员角色清单 | 知识库管理员 |
| 下载与导出权限 | 下载、导出权限按内容敏感度分级授予，敏感空间限制导出 | 权限配置截图、敏感空间清单 | 内容所有者 |
| 分享权限 | 分享权限仅授予指定角色，普通成员无法生成对外链接 | 角色权限配置截图 | 知识库管理员 |
| 批量授权与默认角色 | 批量授权范围有记录，默认角色不含管理、删除、分享权限 | 批量操作记录、默认角色配置截图 | 知识库管理员 |
第三阶段：继承、共享与外部分享风险检查
权限传递和对外暴露是最容易失控的两类风险。父级空间权限向下继承时，要确认继承结果符合预期，没有因为父级调整而意外放大子空间权限。单页共享要检查共享对象、有效期和访问范围，链接分享要确认是否设置了有效期和密码保护。公开链接和匿名访问应默认关闭，确需开启的要有审批记录和对象清单。
外部分享的对象清单与审批记录要可查，包括分享给了谁、分享的是哪个页面或附件、审批人是谁、有效期到何时。检查时逐条核对清单，发现无审批记录或已过期的链接，立即关闭并记录。ONES 的页面共享能力在权限系统下运行，页面树结构让父子关系清晰可见，便于核对继承结果；外部分享和公开链接的具体设置以实际产品配置为准。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 父级权限继承结果 | 子空间实际权限与预期一致，无因父级调整产生的意外放大 | 继承关系说明、子空间权限截图 | 知识库管理员 |
| 单页共享设置 | 每个共享页面有明确共享对象、访问范围和有效期 | 共享设置截图、共享清单 | 内容所有者 |
| 链接分享控制 | 链接分享设置有效期，敏感内容链接加密码保护 | 链接设置截图 | 内容所有者 |
| 公开链接与匿名访问 | 默认关闭；开启的有审批记录和对象清单，无未授权公开链接 | 公开链接清单、审批记录 | 安全复核人 |
| 外部分享审批记录 | 每条外部分享可追溯到审批人和审批时间 | 审批记录、分享对象清单 | 安全复核人 |
第四阶段：敏感内容隔离与权限回收检查
高敏感知识对象需要单独设权，限制下载和导出，并与普通空间隔离。检查时确认敏感空间清单是否完整、每个敏感空间是否单独配置权限、是否有成员通过父级继承或共享链接绕过隔离。人员变动场景重点检查离职、转岗、外包到期后的权限回收：是否有触发机制、回收时限是多少、回收后历史分享链接是否失效、回收记录和操作人是否留痕。
回收不能只看成员是否被移出空间，还要核验其此前生成的分享链接是否失效、其下载的文件是否在可控范围内。回收记录应包含回收时间、操作人和被回收的权限项。ONES 的企业级账号目录可与空间成员管理配合，成员变动后由管理员在空间内调整成员和角色；操作记录的具体范围和保留周期以实际产品为准。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 敏感空间清单 | 敏感空间有完整清单，每个空间标注敏感级别和负责人 | 敏感空间清单 | 内容所有者 |
| 敏感空间单独设权 | 敏感空间权限独立配置，不依赖父级继承获得访问 | 权限配置截图 | 知识库管理员 |
| 下载与导出限制 | 敏感空间限制下载和导出，仅指定角色可操作 | 权限配置截图 | 内容所有者 |
| 离职转岗回收触发 | 人员变动后规定时限内完成权限回收，有触发记录 | 人员变动记录、回收记录 | 知识库管理员 |
| 历史分享链接失效核验 | 被回收人员此前生成的分享链接已失效或已关闭 | 链接清单、失效核验截图 | 安全复核人 |
| 回收留痕 | 每次回收记录回收时间、操作人和回收的权限项 | 回收记录 | 知识库管理员 |
通过标准、证据与负责人如何落到每一项
检查流于形式，通常是因为通过标准写得无法判断。统一口径是：每条通过标准都能用“是/否”回答，或者能用具体数量、范围描述。例如“成员名单中无离职人员”可以判断，“成员管理规范”无法判断。证据要求与通过标准对应，标准说名单一致，证据就是名单导出和人员变动记录；标准说链接受控，证据就是链接清单和设置截图。
负责人按检查项指派到具体角色，不写“相关部门”。空间边界类由空间负责人签字，角色权限类由知识库管理员签字，敏感内容和外部分享类由内容所有者签字，阻断项判定和放行由安全复核人签字。检查时点与复核周期写进总表，季度复核覆盖全部检查项，成员调整和外部分享开启时只跑相关阶段。
| 要素 | 写法要求 | 反例 |
|---|---|---|
| 通过标准 | 可判断的陈述，含对象、范围和条件 | “注意权限安全” |
| 证据 | 可留存、可复查的文件或截图，注明导出时间 | “口头确认” |
| 负责人 | 具体角色或岗位名称 | “相关部门” |
| 检查时点 | 触发事件或固定周期 | “有空时检查” |
阻断项与放行条件
阻断项是未关闭就不得放行的风险，包括：存在未授权的外部公开链接、敏感空间对全员开放、离职或转岗人员权限未回收。这三类问题直接对应泄露和越权访问，发现后应立即处置，关闭后留存证据，由安全复核人确认。一般项包括命名不规范、成员名单待更新、空间说明缺失等，可限期整改，但要有整改计划和责任人。
放行条件是阻断项全部关闭并留存证据，一般项有明确的整改计划和完成时限。复核不通过时，由安全复核人将问题升级给空间负责人和知识库管理员，阻断项在约定时限内未关闭的，升级至上级管理或安全负责人，并暂停相关空间的外部分享能力直至关闭。
| 类别 | 典型问题 | 处置要求 | 放行判断 |
|---|---|---|---|
| 阻断项 | 未授权外部公开链接、敏感空间对全员开放、离职人员权限未回收 | 立即关闭，留存证据，安全复核人确认 | 全部关闭方可放行 |
| 一般项 | 命名不规范、成员名单待更新、空间说明缺失 | 限期整改，指定责任人 | 有整改计划和时限即可放行 |
| 升级路径 | 阻断项超时未关闭 | 升级至上级管理或安全负责人，暂停外部分享 | 关闭后重新复核 |
常见问题
空间权限检查多久做一次比较合适？
固定周期建议按季度做一次全量复核，覆盖清单全部阶段，重点核查历史分享链接和残留权限。除固定周期外，事件触发时只跑相关阶段：新建空间上线前查边界、角色和敏感隔离；成员或角色调整后查成员范围、权限回收和继承变化；外部分享开启前查链接、匿名访问和敏感内容。事件触发的检查不必等季度节点，否则风险会在两次复核之间持续存在。
检查由一个人完成可以吗？
不建议由同一人既执行检查又判定放行。空间负责人、知识库管理员、内容所有者分别对边界、角色配置、敏感内容负责，安全或合规复核人负责阻断项判定和放行签字。角色分开的价值在于配置者和判定者视角不同，能发现配置者习以为常的越权设置。团队规模较小时可以由一人兼任多个执行角色，但放行判定仍应由未参与该项配置的人签字。
成员被移出空间后，还需要检查什么？
移出空间只解决了直接访问，还要核验三件事：该成员此前生成的分享链接是否已失效或关闭；其下载或导出的文件是否在可控范围内；回收记录是否包含回收时间、操作人和被回收的权限项。如果该成员通过父级空间继承获得访问，还要确认继承路径上的权限是否一并调整。这些核验结果作为回收留痕的一部分保存，供下次复核复查。
外部分享已经开了，检查时怎么处理？
先逐条核对分享对象清单与审批记录，确认每条分享可追溯到审批人和审批时间、有效期是否明确。发现无审批记录、已过期或对象不明的链接，立即关闭并记录处置结果。属于未授权外部公开链接的，按阻断项处理，关闭并留存证据后由安全复核人确认。确有业务需要保留的外部分享，补齐审批记录、设置有效期和访问范围，敏感内容加密码保护。
阻断项和一般项怎么区分？
区分依据是问题是否直接导致泄露或越权访问。存在未授权的外部公开链接、敏感空间对全员开放、离职或转岗人员权限未回收，这三类直接对应数据外泄和越权，属于阻断项，未关闭不得放行。命名不规范、成员名单待更新、空间说明缺失等影响管理质量但不直接造成暴露的，属于一般项，可限期整改。判定有争议时由安全复核人裁定，并按阻断项从严处理。
