空间权限设置可以按“空间默认权限—角色权限—单篇文档或目录权限”三层推进：先确定空间面向谁开放，再给成员分配角色，最后对敏感内容单独收紧或放开，并用共享链接控制对外扩散。本文给出可直接执行的配置步骤、角色分工、一个研发知识空间示例和完成检查清单，适用于企业知识库、项目文档库等以知识对象为管理单位的场景。
要点总览（TL;DR）
- 空间权限按三层配置：空间默认权限决定整体边界，角色决定成员能做什么，单篇文档或目录权限处理例外，三者叠加生效。
- 操作顺序为选定空间并确认类型、设置默认访问范围与成员角色、单独收紧敏感对象、配置共享链接有效期与范围、通知成员并登记变更。
- 默认值宜偏紧再对公开内容放开，例外只保留在敏感目录上，例外越多复核越难。
- 配置、审批、复核、回收四类责任要落到具体角色，变更记录至少包含时间、操作人、审批人、变更前后权限与原因。
- 配置完成后用不同角色账号做一次越权验证，并检查共享链接与离职成员权限回收情况。
先定权限模型：空间、角色与知识对象三层
权限配置容易出问题，通常是因为跳过模型直接进后台勾选。建议先把三层关系写清楚：空间决定默认边界，角色决定成员能做什么，单篇文档或目录决定例外。三层各管一段，配置时就不会反复推翻。
| 层级 | 控制对象 | 典型角色 | 覆盖关系 |
|---|---|---|---|
| 空间级 | 整个知识空间的访问范围与默认权限 | 空间管理员、空间成员、外部协作者 | 作为默认值向下继承，空间内未单独设置的对象都按此执行 |
| 角色级 | 成员在空间内可执行的动作 | 管理员、编辑者、阅读者、外部协作者 | 在空间默认范围内细化，同一成员在不同空间可拥有不同角色 |
| 对象级 | 单篇文档或目录 | 按需指定个人或角色 | 覆盖空间默认值，仅对设置对象生效，其子页面默认继承该设置 |
空间级默认权限的作用范围是整个空间。它适合承载“大多数内容给大多数成员看”的常态，例如团队规范、通用模板。把默认值设得偏紧，再对公开内容放开，比默认全开再逐篇收紧更安全，后者一旦漏配就会造成越权。
角色划分建议按动作而非按职级：管理员负责成员与权限配置，编辑者负责创建和修改内容，阅读者只能查看，外部协作者仅访问被明确共享的对象。角色数量控制在四到五类，过多会增加审批和复核成本。
对象级权限是对空间默认值的覆盖。判断是否需要设置例外，可以问两个问题：这篇内容是否包含仅限特定人群的信息；放开后是否会造成不可逆的扩散。两个问题任一为“是”，就单独设置权限，并在变更记录中写明原因。子页面默认继承上级目录的权限，需要打破继承时单独设置，并注明例外理由，方便后续复核时区分有意配置与误操作。
空间权限设置的操作步骤
以下步骤按顺序执行，每步都有明确的输入、动作、输出和完成标志。不同产品的菜单名称会有差异，操作逻辑一致，具体入口以实际界面为准。
| 步骤 | 输入 | 动作 | 输出 | 完成标志 |
|---|---|---|---|---|
| 1. 选定空间并确认类型 | 空间清单、用途说明 | 创建或选定空间，标记为内部空间或对外协作空间 | 空间基本信息与类型标签 | 空间类型在配置表中可查 |
| 2. 设置默认访问范围 | 空间类型、成员范围 | 设定空间默认可见范围，添加成员并分配角色 | 空间成员与角色清单 | 成员列表与角色分配一致 |
| 3. 设置敏感对象权限 | 内容分类清单 | 对敏感目录或文档单独设置访问人与权限级别 | 例外对象清单及原因 | 每个例外都有设置人和理由 |
| 4. 配置共享链接 | 外部协作需求 | 设置链接有效期、访问范围与是否允许编辑 | 共享链接配置记录 | 链接参数与协作范围匹配 |
| 5. 通知并记录变更 | 配置结果 | 通知相关成员，登记本次变更 | 变更记录条目 | 记录含时间、操作人、变更内容 |
第2步是工作量最大的一步。建议先按部门或项目建成员组，再给组分配角色，避免逐个添加成员。成员入组时即继承组角色，后续调整只需改组，减少遗漏。
第3步只处理例外。把空间内容先分成“公开规范、项目文档、敏感记录”三类，只有敏感记录需要单独收紧。例外数量控制在少数，例外越多，复核越难。
第4步的共享链接要同时设定有效期和访问范围。对外协作结束后及时失效链接，比事后追查访问记录更有效。链接默认设为只读，需要协作编辑时再单独放开。
在ONES知识库中，页面以页面树方式组织，目录与子页面的层级关系清晰，适合按目录批量设置权限；其权限管控覆盖从所有页面到单个页面、从内容编辑到内容导出等不同颗粒度，可在上述第2至第4步中按对象范围逐层配置。具体角色名称与配置入口以实际产品界面为准。
角色分工与交付物
权限配置如果只由一个人一次性完成，后续成员变动时很容易失效。建议明确四类责任：配置、审批、复核、回收。
| 角色 | 职责边界 | 交付物 |
|---|---|---|
| 空间管理员 | 执行空间默认权限与成员角色配置，处理日常权限申请 | 空间成员与角色清单 |
| 知识库负责人 | 判定内容分类与敏感级别，审批对象级例外 | 例外对象清单及审批意见 |
| IT/安全审核方 | 审核对外共享规则与高风险例外，参与定期复核 | 审核记录与复核结论 |
| 成员所在团队负责人 | 发起入组与转岗申请，触发权限回收 | 入组/离组申请单 |
权限申请走固定流转：申请人说明对象、角色和期限，空间管理员核对必要性，涉及敏感内容时由知识库负责人审批，对外共享再经安全审核方确认。审批通过后由管理员执行，并在记录中回填审批单号。
权限变更记录建议包含以下字段，可直接作为模板使用：变更时间、操作人、审批人、空间名称、对象名称、变更前权限、变更后权限、变更原因、有效期、复核日期。字段不必多，关键是每次变更都能追溯到人和理由。
定期复核建议按季度执行，由空间管理员导出成员与例外清单，知识库负责人确认例外是否仍需要，安全审核方抽查对外共享链接。新成员入组时由团队负责人提交申请，离职或转岗时由同一角色触发回收，回收动作包括移出成员组、失效其共享链接、检查其创建的对象是否需转交。
示例：一个研发知识空间的权限配置
假设某研发团队建立一个知识空间，内容分为三类：公开规范（编码规范、发布流程）、项目文档（需求说明、设计文档）、敏感评审记录（架构评审、故障复盘）。以下为演示情景，用于说明三层权限的组合方式。
| 知识对象 | 空间默认权限 | 对象级设置 | 访问范围 |
|---|---|---|---|
| 公开规范 | 空间成员可读 | 不单独设置，继承默认 | 全体研发成员可读，编辑者限规范维护组 |
| 项目文档 | 空间成员可读 | 按项目目录设置，仅项目成员可读可编辑 | 项目组内可编辑，其他成员不可见 |
| 敏感评审记录 | 空间成员可读 | 单独收紧，仅指定人员可读，禁止导出 | 评审参与人与技术负责人可读 |
这个配置的关键在于空间默认值设为“成员可读”，公开规范直接继承，不需要逐篇设置；项目文档和敏感记录通过目录级设置覆盖默认值。外部协作场景下，例如邀请外部顾问参与某次评审，单独生成一条只读共享链接，设定有效期与访问范围，评审结束后失效链接，不把外部人员加入空间成员。
配置完成后的实际效果是：新入职研发成员加入空间后即可看到公开规范；项目文档只在其所属项目目录内可见；敏感评审记录对未授权成员不可见，也无法通过导出获取。三类内容的访问边界与内容敏感度一致，例外数量控制在两个目录，便于复核。
完成检查：验证权限是否按预期生效
配置完成后不要只看设置页面，要用实际账号验证。以下清单可逐项核对，通过标准以“不同角色看到的内容与配置表一致”为准。
| 检查项 | 通过标准 | 负责人 |
|---|---|---|
| 不同角色账号验证可见范围 | 管理员、编辑者、阅读者、外部协作者分别登录，可见对象与配置表一致，无多余可见项 | 空间管理员 |
| 共享链接访问验证 | 未授权账号打开链接被拒绝；链接在有效期内可访问，过期后失效 | 空间管理员 |
| 敏感文档未被默认权限放开 | 非授权成员在空间内搜索或直接访问敏感文档均不可见 | 知识库负责人 |
| 权限变更留有记录 | 每条变更记录含时间、操作人、审批人、变更前后权限与原因 | 空间管理员 |
| 离职或转岗成员权限已回收 | 离组成员不在成员列表，其共享链接已失效，其创建对象已转交 | 团队负责人与空间管理员 |
验证时优先检查“过度放开”的情况：用阅读者账号尝试访问敏感目录，用未加入空间的账号打开共享链接。发现越权后先收紧对象级权限，再回溯是默认值设置过宽还是例外漏配，并把原因补进变更记录。过度收紧同样需要检查，例如公开规范对全体成员不可见，会影响新成员获取信息，发现后调整默认值或成员组即可。
检查通过后，把配置表、例外清单和变更记录归档，作为下一次复核的基线。成员规模或内容分类发生变化时，重新执行本清单中的可见范围验证，确认权限边界仍然有效。
常见问题
空间默认权限设成“成员可读”还是“仅指定人员可见”更合适？
取决于空间内容的整体敏感度。如果空间里大多数内容面向全体成员，例如团队规范、通用模板，可以把默认值设为成员可读，再对少数敏感目录单独收紧；如果空间本身承载评审记录、故障复盘等受限内容，默认值设为仅指定人员可见，再对公开内容放开更稳妥。
两种方式都能用，判断标准是漏配的后果：默认放开时漏配一处就会越权，默认收紧时漏配一处只是暂时看不到内容，后者更容易在复核中发现并修正。
成员同时属于多个成员组、角色不一致时以哪个为准？
建议在配置规则中提前约定：同一空间内取权限较高的角色，跨空间则各自独立计算。成员组用于批量管理，个人单独授权只用于临时或例外场景，并设定有效期。
出现角色冲突时，由空间管理员核对成员的实际工作需要，保留必要角色、移除多余授权，并把处理结果记入变更记录，避免同一人长期持有超出职责的权限。
共享链接发出去之后，怎么控制后续访问？
共享链接在创建时就设定有效期和访问范围，默认只读，需要协作编辑时再单独放开。对外协作结束后立即失效链接，不要依赖事后追查访问记录。
如果协作周期较长，可以按阶段重建链接，而不是延长同一条链接的有效期。链接失效后，已保存链接的外部人员将无法继续访问，这也是不把外部人员直接加入空间成员的原因。
权限配置完成后，多久复核一次比较合适？
常规空间按季度复核即可，涉及对外共享或敏感内容的空间可以缩短到每月。复核内容包括成员清单是否与在岗人员一致、例外对象是否仍有必要、共享链接是否已失效。
除定期复核外，成员规模变化、内容分类调整、组织架构变动时也应触发一次复核，重新执行可见范围验证，确认权限边界仍然有效。
ONES 知识库的权限能控制到什么颗粒度？
根据 ONES 官方资料，ONES 知识库支持从所有页面到单个页面、从内容编辑到内容导出的不同维度、不同颗粒度权限管控，页面以页面树方式组织，便于按目录层级设置权限。这与本文按空间、角色、对象三层配置的思路一致。
具体角色名称、配置入口与操作路径以实际产品界面为准，配置前建议先在测试空间验证一遍再推广到正式空间。
