知识访问控制围绕知识对象决定“谁能以什么方式看到、编辑、转发或导出”。其中，内部分享管组织内部成员之间的可见范围与协作权限，外部分享管知识对象离开组织边界后的开放对象、入口与时效，授权边界管权限从哪里继承、在何处截断、由谁审批和回收。三者共同约束空间、文档、附件和分享链接的访问规则。下文按概念、边界、机制和场景逐层说明，并在权限继承与回收的管理动作处自然提及ONES知识库的相关能力。
要点总览（TL;DR）
- 内部分享管组织成员之间的可见范围与协作角色，回答“组织内哪些人能看到、以什么身份参与”。
- 外部分享管知识对象离开组织边界后的开放对象、访问入口和有效期，回答“外部访客以什么身份、在多长时间内访问”。
- 授权边界管权限的继承来源、截断位置、审批与回收责任，约束内部分享和外部分享能在什么范围内发生。
- 空间权限是容器级基线，文档权限在基线之上细化或收紧，四者叠加冲突时以更严格的边界和显式收紧为准。
- 身份认证确认“你是谁”，访问控制决定“你能做什么”；账号体系与平台安全治理不属于知识访问控制的范围。
一句话说清：三者分别控制什么
知识访问控制是一套围绕知识对象建立的规则集合，回答的核心问题是：某个空间、某篇文档、某个附件或某条分享链接，允许谁以查看、评论、编辑、转发或导出等方式使用。内部分享、外部分享和授权边界是这套规则中三个不同层面的控制动作，判断对象和判断问题各不相同。
内部分享控制的是组织成员之间的可见范围与协作权限。它回答“这份知识在组织内部对哪些人开放、以什么角色参与”。典型动作包括把文档分享给跨部门同事、把某个页面开放给项目组、为特定成员调整评论或编辑权限。内部分享的前提是访问者已经在组织成员范围内，控制重点在于范围大小和角色高低。
外部分享控制的是知识对象离开组织边界之后的开放程度。它回答“组织外的人以什么身份、通过什么入口、在多长时间内可以访问”。外部分享通常涉及分享链接、访客身份、访问口令、有效期和可执行动作的限制。它与内部分享的关键区别在于访问者不再受组织成员体系约束，因此需要额外的入口控制和时效控制。
授权边界控制的是权限的来源与上下限。它回答“这项权限从哪里继承、在哪个层级被截断、由谁审批、何时回收”。授权边界本身不直接决定某个人能不能看某篇文档，而是约束内部分享和外部分享可以在什么范围内发生：哪些角色有权对外分享，哪些层级的文档禁止突破空间基线，分享到期后由谁负责收回。
| 控制层面 | 控制对象 | 核心判断问题 | 典型动作 |
|---|---|---|---|
| 内部分享 | 组织内部成员 | 组织内哪些人可以看到、以什么角色协作 | 分享给跨部门成员、调整评论或编辑角色 |
| 外部分享 | 组织外部访客、合作方、公开链接 | 组织外的人以什么身份、通过什么入口、在多长时间内访问 | 生成分享链接、设置访客权限、设定有效期 |
| 授权边界 | 权限的继承、截断、审批与回收 | 权限从哪来、在哪停、谁批准、谁收回 | 设定继承规则、收紧单篇文档、审批对外分享、到期回收 |
定义与边界：知识访问控制管什么、不管什么
知识访问控制的作用范围是知识对象权限，具体包括知识空间、文档页面、附件以及分享链接四类对象。它决定这些对象对谁可见、可见到什么程度、可以执行哪些操作，以及这些授权在什么条件下失效。把范围限定在知识对象上，可以避免把账号体系、网络防护和平台安全政策混入讨论。
它不包括全平台身份认证与账号体系。确认“你是谁”、管理账号生命周期、对接企业目录和单点登录，属于企业身份与账号集成的工作。知识访问控制接收身份认证的结果，并在此基础上判断权限，但不负责认证本身。认证确认身份，访问控制决定这个身份能做什么，两者的衔接点就是登录后携带的身份信息。
它也不包括平台级安全政策与基础设施防护。网络隔离、数据加密、审计日志的底层存储、终端安全策略等，属于研发平台权限与安全治理的范畴。知识访问控制产生的是业务侧的授权规则，这些规则需要平台安全能力托底，但规则设计本身与基础设施防护是两个层面的工作。
明确这条边界有实际意义。当出现“某员工看到了不该看的文档”时，排查方向可能是身份被冒用（认证问题）、账号权限配置错误（访问控制问题）或平台漏洞（安全治理问题）。把三类问题分开定位，才能找到正确的责任方和修复动作。知识访问控制负责其中的授权规则设计与执行，不承担另外两类职责。
机制与组成：权限从空间到文档再到链接如何生效
知识访问控制通常按层级组织权限，从容器到内容逐级细化。空间权限是容器级基线，决定哪些成员可以进入这个知识空间，以及在空间内以什么角色参与，例如只读成员、编辑成员或空间管理员。基线的作用是让大部分日常访问有默认规则可循，减少逐篇配置的成本。
文档权限在空间基线之上做细化或收紧。同一空间内的文档，可以单独调整某篇页面的可见范围或协作角色，也可以对敏感文档收紧到仅特定成员可见。细化意味着在基线之上增加限制或做局部放开，收紧意味着覆盖基线、采用更严格的范围。无论哪种，文档权限都应当有明确的继承来源，避免出现无法解释的访问结果。
内部分享在组织成员范围内调整可见范围与协作角色。它通常表现为一个分享动作：文档所有者或具备分享权限的成员，把知识对象分享给原本不在可见范围内的同事，并指定对方以查看、评论或编辑身份参与。内部分享的结果仍然落在组织成员体系内，受空间和文档的授权边界约束。
外部分享在组织边界之外生成受控入口。常见形态包括分享链接、访客账号和带口令的访问地址，控制要素通常涉及开放对象、可执行动作和有效期。外部分享的关键在于入口受控：链接是否可以转发、访客能否下载或导出、到期后是否自动失效，这些都需要在分享时明确设定。
授权边界通过继承、截断、审批和回收约束上述动作的上下限。继承规定下级对象默认沿用上级权限；截断规定在某个层级停止继承、改用独立规则；审批规定对外分享等高风险动作需要谁确认；回收规定分享到期、人员调岗或项目结束后由谁负责收回权限。四类机制共同构成权限链条的约束框架。
在工具承载层面，ONES知识库以页面树组织内容，权限管理可从所有页面到单个页面、从内容编辑到内容导出提供不同颗粒度的管控，页面共享与协同编辑支撑成员在授权范围内协作。这些能力对应的是空间与文档层级的权限配置和分享动作；至于对外访客分享的具体形态与时效控制，需以实际产品配置为准。
容易混淆的相邻概念：空间权限、文档权限与分享的关系
空间权限、文档权限、内部分享和外部分享经常被混用，原因是它们都表现为“给某人开放某个知识对象”。区分它们的方法是看各自回答的问题不同：空间权限回答空间对哪些成员开放，文档权限回答单篇文档是否在基线之上单独调整，内部分享回答组织内哪些人通过分享动作获得访问，外部分享回答组织外的人以什么身份和入口访问。
| 概念 | 回答的问题 | 作用范围 | 与授权边界的关系 |
|---|---|---|---|
| 空间权限 | 这个知识空间对哪些成员开放、以什么角色参与 | 容器级基线 | 构成继承起点，受组织级授权策略约束 |
| 文档权限 | 这一篇文档在空间基线之上是否单独调整 | 单篇页面或子页面 | 可细化或收紧，不能突破空间设定的上限 |
| 内部分享 | 组织内哪些人可以通过分享动作获得访问 | 组织成员范围 | 分享权限本身受角色和审批规则限制 |
| 外部分享 | 组织外的人以什么身份、通过什么入口、在多长时间内访问 | 组织边界之外 | 通常需要更严格的审批与到期回收 |
四者可以叠加。一篇文档可能同时受空间基线、文档级收紧、内部分享记录和外部分享链接的影响。叠加时出现冲突，处理原则是以更严格的边界和显式收紧为准：空间基线允许编辑，但文档级设置收紧为只读，则以只读为准；内部分享允许查看，但外部分享链接设定了有效期，则到期后链接失效。显式收紧优先，是为了让敏感内容的保护动作能够覆盖默认开放规则。
需要区分“分享”和“授权完成”。分享只是建立访问入口的动作，授权完成还包括权限范围确认、有效期设定和后续回收责任落实。只做了分享动作而没有明确边界，权限就会处于无人管理的状态，这正是许多知识泄露问题的来源。
具体例子与常见误解
以一份产品需求文档为例，可以看清三者如何共同作用。这份文档放在产品知识空间中，空间基线设定为产品团队成员可编辑、其他成员可查看，这是空间权限。文档写完后，负责人通过内部分享把页面分享给市场部同事，角色设为评论，这是内部分享在组织成员范围内调整协作角色。随后需要与外部合作方对齐需求，负责人通过外部分享生成一条受控链接，限定对方以访客身份查看、不可下载、有效期两周，这是外部分享在组织边界之外建立受控入口。整个过程中，谁能发起对外分享、链接到期后由谁确认收回，由授权边界规定。
误解一：把外部分享等同于公开。外部分享的开放对象可以是特定访客、特定合作方或持有链接的人，并不等于对互联网公开。是否公开取决于分享时选择的入口类型和访问条件，忽略访客身份与有效期，就会把受控分享误当成公开发布，导致权限范围被放大。
误解二：认为文档权限可以突破空间授权边界。文档级设置的作用是在空间基线之上细化或收紧，它不能把文档开放给空间基线之外、且未被显式授权的人群。如果出现单篇文档的可见范围超出空间设定，通常说明授权边界配置存在缺口，需要回到继承和截断规则上检查。
误解三：认为分享出去就等于授权完成。分享动作建立了入口，但授权完成还包括范围确认、时效设定和回收安排。外部分享尤其需要明确到期时间和收回责任人，否则合作结束后链接仍然有效，权限就处于失控状态。
误解四：把身份认证当成访问控制。用户能够登录系统，只说明身份被确认，不代表他有权访问某个知识空间或某篇文档。认证通过后被拒绝访问，是访问控制在正常工作；认证通过后看到全部内容，才需要检查授权规则是否过宽。
把这三个层面分开管理，可以让知识共享保持开放的同时守住边界：内部分享解决协作效率，外部分享解决跨边界协作的受控开放，授权边界解决权限的来源、审批与回收。三者各司其职，知识访问控制才能既支撑日常协作，又在敏感内容上形成可解释、可追溯的约束。
常见问题
外部分享设置了有效期，到期后还需要人工回收吗？
取决于分享入口的形态。带有效期的分享链接到期后通常自动失效，但仍有几件事需要人工确认：链接是否被转发到有效期之外的范围、访客是否已下载或导出内容、合作结束后是否需要主动关闭入口。把到期时间与回收责任人一并记录，可以让自动失效和人工确认形成衔接，避免出现“链接已过期但内容已流出”的情况。
文档权限收紧为只读后，之前通过内部分享获得编辑权限的同事会怎样？
通常以更严格的显式收紧为准，编辑权限会被覆盖为只读。实际操作中需要留意两点：一是确认收紧动作是否覆盖了已有的分享记录，二是通知受影响的同事，避免其在不知情的情况下继续尝试编辑。如果只是临时收紧，建议同时约定恢复时间和恢复后的角色，减少反复调整带来的沟通成本。
跨部门协作时，用内部分享逐个加人，还是直接调整空间权限更合适？
看协作的持续时间和范围。短期、少量、围绕单篇文档的协作，用内部分享逐个授权更可控，协作结束后容易收回；长期、稳定、涉及多篇文档的协作，调整空间成员角色可以减少重复配置。两种方式都受授权边界约束，关键是把授权范围、角色和回收时间写清楚，避免分享记录长期堆积无人清理。
员工调岗或离职后，其发起的外部分享链接由谁负责处理？
这属于授权边界中的回收责任问题。常见做法是在权限规则中约定：分享发起人所在团队的负责人或知识空间管理员承担回收责任，人员变动时触发一次分享记录核查。工具层面可以借助权限管理能力查看和调整页面级授权，但具体由谁核查、多久核查一次，需要组织在流程中明确。
知识访问控制和单点登录是什么关系，配置了单点登录是否就不用管权限了？
两者分工不同。单点登录解决身份确认和登录体验，属于企业身份与账号集成；知识访问控制解决登录之后能访问哪些空间、文档和链接。配置单点登录后，权限规则仍需单独设计和维护，否则所有通过认证的成员都可能获得过宽的默认访问范围。
