Confluence 权限映射要解决的是把源端的空间、页面、附件等对象上的用户、用户组和匿名访问权限，逐项翻译成目标平台的权限主体与动作，并保留一份可核验的对照表。本文按“界定范围—准备输入—逐条映射—试迁移核验—分批切换与回退”的顺序展开，适用于已经确定目标平台、正在执行迁移的阶段。
要点总览（TL;DR）
- 权限映射的交付物是一张可核验的对照表：每行写清源对象、源主体、源权限与目标对象、目标主体、目标权限，并标注差异类型和处理方式。
- 映射前先划定范围并备齐输入：空间清单、页面树、用户组快照、源端权限导出、目标端账号目录，以及敏感空间的业务确认人。
- 源端与目标端权限模型不一致时，按“先防越权、再谈便利”处理：粒度不同可合并或拆分，缺少等价权限可降级为只读或单独建组，并记录影响范围。
- 对照表完成后用小范围试迁移验证：用管理员、编辑者、查看者、无权限用户四类账号核对可见性与操作权，同时检查搜索、通知等入口是否泄露受限内容。
- 正式切换按空间或部门分批，设置编辑冻结窗口和源端只读期；出现敏感内容越权可见等问题时暂停当前批次，回退前确认源端数据未被修改。
权限映射要覆盖哪些来源对象与目标范围
权限映射的第一步是划定边界：哪些 Confluence 空间、哪些人群、哪些权限动作进入本次迁移范围。边界不清会导致两类问题，一是漏掉深层子页面或附件的限制，二是把不在迁移范围内的空间权限错误地搬到目标平台。建议在动手导出前，先产出一份“来源对象与目标范围清单”，逐项标明纳入或排除，并由业务方确认。
源端需要盘点的对象
Confluence 的权限分布在多个层级，盘点时要按对象类型逐类登记，避免只看到空间级设置：
- 空间：空间权限是权限体系的顶层，包含空间管理员、空间内用户组的默认权限。
- 页面树：父页面与子页面可能各自设置限制，页面树结构决定了继承关系。
- 页面：单个页面可以设置“仅特定用户可查看/编辑”的页面限制，覆盖空间默认权限。
- 附件：附件通常跟随所在页面的权限，但需要确认是否存在单独的限制设置。
- 博客：博客文章有自己的空间归属与可见范围，不能默认与页面同等处理。
- 评论：评论依附于页面，其可见性由页面权限决定，盘点时记录其归属页面即可。
权限主体与权限动作
主体侧要区分三类：单个用户、用户组、匿名访问。用户组是映射中最容易出问题的部分，因为源端组名与目标端组名往往不一致，成员关系也可能在迁移期间发生变化。动作侧至少覆盖查看、编辑、评论、删除、管理空间五项，其中“管理空间”属于管理类权限，通常只授予少数人，需要单独确认接收人。
目标端的对应层级与继承方式
目标平台的权限模型未必与 Confluence 一一对应。有的平台以“知识库/空间—文档—文件夹”分层授权，有的以角色（管理员、编辑者、查看者）加成员组的方式授权，继承规则也不相同。映射前要拿到目标平台的权限层级说明，明确每一层支持哪些动作、子对象默认继承父对象还是独立设置。这一步决定了后续对照表里“目标对象”一列怎么填。
明确纳入与排除项
范围清单应写清：本次迁移覆盖哪些空间（可按部门、项目或业务线列举）、覆盖哪些用户群体（如全员、某部门、外部协作者）、排除哪些内容（如已归档空间、测试空间、个人空间）。排除项要写明原因和后续处理方式，例如归档空间保留在源端只读，不进入目标平台。
映射前需要准备哪些输入与依赖
权限映射的质量取决于输入数据是否完整、责任人是否明确。准备工作可以按“数据—账号—确认人”三条线并行推进，缺少任何一条都会在映射或核验阶段返工。
数据类输入
- 空间清单与页面树导出：列出全部空间名称、空间标识、负责人，以及页面树的层级结构。页面树可以用 Confluence 的导出功能或管理接口获取，导出后核对页面数量是否与后台统计一致。
- 用户与用户组清单：包括全部用户组名称、组成员列表、组的管理员。成员关系要取映射基准日的快照，避免迁移期间人员变动造成口径不一。
- 源端权限设置导出：Confluence 的空间权限可以在空间管理界面查看，页面限制需要逐页或通过接口读取。部分限制信息在界面中分散展示，导出后要人工抽查若干页面，确认导出结果与实际设置一致。若某些权限只能人工查看，应在清单中标注“人工核对”，不要假设导出完整。
账号体系对应关系
目标平台的账号体系可能与源端不同：用户名规则、邮箱作为唯一标识、组织架构同步方式都会影响主体映射。需要提前拿到目标平台的用户目录，与源端用户清单做一次比对，标记出“源端有、目标端无”“目标端有、源端无”“同名但可能不是同一人”三类情况。外部协作者的账号往往不在企业目录内，要单独列出并确认是否继续授予访问权。
角色与确认人分工
建议明确四类角色：迁移负责人统筹进度；平台管理员负责目标端账号与权限配置；各空间负责人确认本空间的敏感程度和接收人；安全或合规人员确认匿名访问、外部访问的处理口径。敏感空间（如人事、财务、战略规划）必须由业务方书面确认可见范围，确认记录随映射表一并归档。
| 输入项 | 来源 | 责任人 | 完成标志 |
|---|---|---|---|
| 空间清单与页面树 | Confluence 后台导出 | 迁移负责人 | 页面数量与后台统计一致 |
| 用户组与成员快照 | Confluence 用户管理 | 平台管理员 | 快照日期确定并归档 |
| 权限设置导出 | 空间管理界面/接口 | 平台管理员 | 抽查页面与导出一致 |
| 目标端账号目录 | 目标平台用户管理 | 平台管理员 | 差异清单完成 |
| 敏感空间确认 | 业务方 | 空间负责人 | 书面确认记录 |
权限项如何逐条映射：对照表与差异处理
映射的核心交付物是一张对照表，每一行代表一个“源权限项到目标权限项”的翻译结果。表格的价值在于可核验：任何人拿到表，都能判断某个用户在目标平台应该看到什么、能做什么。建议字段如下：源对象、源主体、源权限、目标对象、目标主体、目标权限、差异类型、处理方式、确认人。
映射表的填写规则
- 源对象写到可定位的粒度，例如“空间 XX / 页面 A / 子页面 A-1”，不要只写空间名。
- 源主体区分用户、用户组、匿名，用户组要写明组名而非成员列表。
- 源权限使用源端动作名称，如“可查看”“可编辑”“可评论”。
- 目标对象与目标主体按目标平台的层级和命名填写，组名不一致时在差异说明中注明对应关系。
- 差异类型建议分为：完全对应、粒度不同、目标端无等价权限、需合并、需拆分、需人工确认。
- 处理方式写明具体动作，例如“映射为目标端编辑者角色”“降级为只读并通知空间负责人”。
一对多与多对一的处理
源端一个用户组可能同时拥有多个空间的查看权，目标端若按空间分别建组，就需要把一个源组拆成多个目标组，这属于一对多拆分；反之，源端多个细粒度组在目标端可以合并为一个角色组，属于多对一合并。拆分时保留原组名作为目标组命名的一部分，便于追溯；合并时要在对照表中列出被合并的全部源组，避免遗漏成员。合并后要复核成员并集是否等于各源组成员之和，防止权限扩大。
继承权限与显式权限的转换
Confluence 中页面默认继承空间权限，页面限制则是在继承基础上叠加的显式限制。目标平台若采用“父级授权、子级可覆盖”的模型，转换时按以下顺序处理：先映射空间级默认权限，再逐条处理页面级显式限制，最后检查子页面是否因父页面限制变化而意外获得或失去访问权。对于源端“仅限制查看”的页面，目标端若只有“限制查看和编辑”一个开关，应选择更严格的一侧，并在差异说明中记录这一取舍。
目标端缺少等价权限时
常见情况包括：源端支持“可评论但不可编辑”，目标端只有查看和编辑两档；源端支持按用户单独授权，目标端只支持按组授权。处理原则是先保证敏感内容不越权，再考虑便利性。可选方案有：降级为只读、为该用户单独建组、改为通过审批流程申请临时权限。每种方案都要在对照表中写明影响范围和通知对象，不能默认用户会自行发现权限变化。
匿名访问与外部协作者
匿名访问要单独成行处理：确认源端哪些空间开启了匿名查看，目标端是否允许匿名访问，若不允许则改为登录可见并通知相关方。外部协作者通常使用独立账号域，映射时要确认目标端是否支持外部成员、其可见范围是否被限制在指定空间，避免外部账号获得超出原范围的访问权。
试迁移与核验：怎么确认权限映射正确
对照表完成不等于映射正确，必须通过小范围试迁移验证。试迁移的目标是用真实数据检验“表上的映射”在目标平台是否产生预期的可见性和操作权，并留下可复查的证据。
选取代表性空间
试迁移空间应覆盖几种典型结构：一个全员可见的公共空间、一个部门内受限空间、一个含深层子页面和页面级限制的空间、一个含附件的空间。若存在匿名访问或外部协作者场景，也应纳入试迁移范围。试迁移空间的数量不必多，但要能暴露继承和显式限制的转换问题。
用不同角色账号验证
准备至少四类测试账号：空间管理员、普通编辑者、仅查看者、无权限用户。逐项核对：管理员能否进入空间管理；编辑者能否编辑页面和上传附件；查看者能否看到页面但无法编辑；无权限用户是否完全看不到该空间及其搜索结果。匿名场景用未登录浏览器验证。核验时同时检查搜索、最近更新、通知等入口是否会泄露受限内容，这些入口常被忽略。
抽查深层子页面与附件
从页面树中抽取若干深层子页面，确认其继承结果与源端一致；对设置了页面限制的页面，确认限制在迁移后仍然生效；下载或预览附件，确认附件权限跟随页面。抽查比例可按空间规模确定，但每个试迁移空间至少覆盖一条完整路径从根到叶。
记录核验结果与偏差修正
核验记录建议包含：测试账号、测试对象、预期结果、实际结果、是否通过、偏差描述、修正动作、复验结果。发现偏差后回到对照表修改映射规则，重新执行该空间的迁移或调整目标端权限配置，然后复验并更新记录。只有偏差全部关闭或经确认接受，试迁移才算完成。
分批切换与回退条件
试迁移通过后进入正式切换。切换的核心是控制影响面：按空间或部门分批，每批完成核验后再进入下一批，同时为异常情况预留停止和回退的判定条件。
分批顺序与冻结安排
建议先切换影响面小、权限结构简单的空间，再处理敏感空间和结构复杂的空间。每批切换前设置短暂的编辑冻结窗口，通知空间成员停止在源端新增或修改内容，冻结期间完成最后一次权限快照和增量内容迁移。切换完成后发出启用通知，说明新入口和权限变化。
停止条件
出现以下情况应暂停当前批次并排查：敏感内容被无权限用户看到；外部协作者获得超出原范围的访问权；空间管理员无法进入管理界面；搜索结果泄露受限页面。暂停期间保持源端可读，未切换批次不启动。
源端只读窗口与回退
切换后建议将源端保留为只读一段时间，具体时长按业务节奏确定，期间不允许在源端继续编辑，避免双端内容分叉。回退的触发条件包括：目标端权限问题在约定时间内无法修复、关键用户群体大面积无法访问、内容缺失影响业务运转。回退操作的前提是源端数据在只读期间未被修改，且目标端新增内容已记录，回退后需要把这些内容补回源端或单独保存。回退决定由迁移负责人与业务方共同确认，并记录触发原因和后续计划。
在整个映射与核验过程中，对照表、确认记录和偏差清单需要有一个稳定的协作位置来维护版本和责任人。ONES 的文档与工作项可以承接这类协作：把权限映射对照表作为文档维护，把每条偏差登记为工作项并指派确认人，核验结果和回退判定作为工作项状态流转，使权限确认和问题关闭都有记录可查。
常见问题
Confluence 页面限制和空间权限在映射时先处理哪个？
先映射空间级默认权限，再逐条处理页面级显式限制。Confluence 的页面默认继承空间权限，页面限制是在继承基础上叠加的约束，顺序颠倒会导致子页面继承结果算错。处理完页面限制后，还要回头检查子页面是否因父页面限制变化而意外获得或失去访问权。
源端用户组和目标端组名对不上，映射表里怎么记？
在对照表中保留源组名，同时在目标主体一列填写目标组名，并在差异说明中写明两者的对应关系。若一个源组被拆成多个目标组，或多个源组合并为一个目标组，要把被拆分或合并的全部组名列出。合并后复核成员并集是否等于各源组成员之和，防止权限扩大。
目标平台没有“可评论但不可编辑”这一档权限怎么办？
优先保证敏感内容不越权，再考虑使用便利。可选做法包括：降级为只读、为该用户或用户组单独建一个只读组、改为通过审批流程申请临时编辑权。无论选哪种，都要在对照表中写明影响范围和通知对象，并主动告知受影响的用户，避免他们到新平台后才发现权限变化。
试迁移要准备多少测试账号，核验哪些入口？
至少准备四类账号：空间管理员、普通编辑者、仅查看者、无权限用户；存在匿名访问场景时，再用未登录浏览器验证一次。核验时除了空间和页面本身，还要检查搜索、最近更新、通知等入口是否会带出受限内容。这些入口常被忽略，却是权限泄露的高发位置。
什么情况下应该暂停切换甚至回退到 Confluence？
出现敏感内容被无权限用户看到、外部协作者获得超出原范围的访问权、空间管理员无法进入管理界面、搜索结果泄露受限页面等情况时，应暂停当前批次并排查。若目标端权限问题在约定时间内无法修复，或关键用户群体大面积无法访问、内容缺失影响业务运转，可启动回退。回退的前提是源端在只读期间未被修改，且目标端新增内容已记录并安排补回。
