角色与权限

一套部署，一个组织

一套部署中恰好一个组织。它不提供多组织的创建、切换或归档语义。

成员是唯一组织内具有稳定身份的人类账户。一个成员不能加入或切换到另一个组织。

组织层角色有三种：管理员、运维、成员。管理员与运维拥有完全相同的平台运维能力；管理员只额外治理组织团队成员、平台角色和工作范围分配。

工作范围

工作范围是组织内承载成员授权和共享能力的逻辑协作范围。它不与代码仓库绑定，可以包含多个仓库。

工作范围角色有三种：管理员、成员、查看者。

系统管理权不自动获得工作范围数据权。 平台运维角色在未加入某个工作范围时，看不到该工作范围内的任务、知识或产物。

四个视角

界面中的四个视角必须来自真实的持久化授权，不是演示参数。

成员是所有已授权工作范围成员的日常工作视角。可以使用对话、开发环境、任务、自动化、知识、记忆、市场与个人连接器。

工作范围管理员来自当前工作范围成员关系，只管理该工作范围。在成员能力之上增加团队总览、成员管理、成员用量、成本分析与模型配额。

运维是唯一组织内的正式平台角色，拥有全部平台运维能力。在成员能力之上增加资源大盘、提供方集群与沙箱、工作范围生命周期、沙箱策略、企业即时消息、模型网关、Git 服务、知识与市场管理与连接器暴露策略。

管理员拥有与运维完全相同的平台运维能力，只额外治理团队成员、平台角色与工作范围分配。

切换视角只重组导航，不扩大权限。 每次读取和写入仍由控制面根据登录主体、组织与工作范围成员关系鉴权。非管理员即使构造深链也必须得到授权拒绝，而不是只靠隐藏导航。

成员的账号边界

账户禁用保留成员关系，可恢复。

账户删除撤销所有成员关系及登录访问，保留带删除时间和操作者的永久墓碑与历史业务引用，不能通过启用恢复。旧邮箱继续保留以阻止自动开户复活。

移出工作范围仅撤销当前工作范围成员关系，不影响平台账户。

创建成员账户时，管理员填写登录邮箱、显示名称和目标工作范围角色，服务端创建可登录的人类账户并立即加入目标工作范围。服务端随机生成初始密码，用户、组织成员与工作范围成员关系在同一事务写入。

任何已存在邮箱均拒绝重复开户，绝不覆盖已有密码或隐式修改既有账户授权。

初始密码只保留在当前抽屉内存，不进入缓存、浏览器持久存储或日志；关闭或管理目标变化即清空。

认证模式

本地账户以唯一邮箱登录。企业登录身份通过身份绑定关联到组织内的成员。

活跃绑定在成员侧与外部身份侧均唯一。切换提供方保留非活跃历史并要求显式重绑。外部身份不按邮箱自动合并——自动合并会让一个邮箱的归属变化静默改变权限。

管理目标与当前工作范围

工作范围目录中的配置页必须显式区分当前会话工作范围与管理目标工作范围。

从工作范围列表进入成员、模型密钥、沙箱或提供方管理只改变管理目标，不会切换产品外壳的当前工作范围。

这个区分容易被忽略，但它的后果很实际：如果两者混同，管理员在配置工作范围 B 时可能在不自觉中把自己的上下文切到 B。