# 工作空间共享与数字分身用户故事 日期：2026-09-28。状态：需求设计，尚未完成生产实现。 本文记录本轮客户端协作场景、验收用例和需求追踪。功能范围由 [PRD](./prd.md) 定义， 状态与优先级由 [功能逻辑](./logic-design.md) 定义；此前管理员、设备和联邦场景继续由 PRD 覆盖。 Office 服务需求见 PRD 的 `FR-14`；右侧 Agent 编辑、三类文件操作与选型验证由 [Office 用户故事](../../../../goodbuddy/docs/features/office-document-editing/user-stories.md) 的 `US-C1` 至 `US-C7`、`US-F1` 和 `US-F2` 定义。客户端 demo 的覆盖范围见 [实施进度](./progress.md)。 ## US-WS-01 创建本地工作空间 作为用户，我希望创建多个工作空间，按主题整理资料和消息，再决定哪些空间需要共享。 关联：`FR-15`。 - 未登录组织时仍可创建两个本地空间，默认关闭共享，不向 ShareServer 注册或上传内容。 - 两个空间拥有独立的消息、资料关联和共享设置；改名不改变空间身份。 - 对已有空间开启共享时保留本地空间身份，不要求复制为另一类工作空间。 ## US-WS-02 开启共享并选择成员 作为空间所有者，我希望把指定空间共享给组织内选定成员，明确共享范围。 关联：`FR-15`、`FR-5`。 - 未加入有效组织时，开启共享提示先加入组织，本地空间仍可使用。 - 选择一个组织、空间成员和共享内容后提交；服务端确认前显示“待开启共享”。组织成员不自动成为空间成员。 - 开启前可预览将共享的已有内容；未选择的本地历史、文件和个人记录不会被整体上传。 - 无权管理空间的成员不能修改成员名单或开启、关闭共享；组织管理员身份本身不授予正文读取权。 - 后续添加成员时重新检查历史正文、附件和上下文的受众授权。存在不兼容内容时拒绝扩大成员范围， 不让新成员通过历史同步或直接内容链接读取；管理者需先取得授权或移除相关共享内容再提交。 - 首期一个共享关联只属于一个组织；切换组织须关闭原关联后重新授权，不迁移原组织成员和协作内容。 ## US-WS-03 资料定期与按需同步 作为空间成员，我希望按需或定期同步资料，并查看服务端对本地修改的接收结果。 关联：`FR-16`。 - 每个共享空间独立选择资料按需或定期同步；提供“立即同步资料”，定期模式显示周期和最近成功时间。 - 两个在线客户端开启资料定期同步后，甲提交的获准资料修改在乙下一次成功周期内出现，无需发送消息。 暂停资料自动同步后不再周期拉取资料；恢复后从已确认进度继续，离线错过周期不重复应用变更。 - 资料按需模式或暂停自动同步期间，在线成员仍实时收到消息、公开回复和处理状态，不等待资料周期。 - 同步部分失败时，已确认条目保持成功，未确认条目可重试；权限冲突不能显示为全部同步成功。 - 离线时明确提交的资料同步在重连后恢复同一次请求；未提交的本地资料不因消息重连而自动上传。 ## US-WS-04 暂停资料同步与关闭共享 作为空间所有者，我希望控制更新频率，也能撤销空间访问，而不会误删本地空间。 关联：`FR-15`、`FR-16`。 - 暂停资料自动同步后，定期资料交换停止，服务端已有内容仍按原权限可访问；手动资料同步继续可用， 消息收发、通知、处理状态与离线补收不受影响。 - 关闭共享前显示对成员访问和未同步内容的影响。离线关闭显示“待关闭共享”，立即停止本端普通上传，但不宣称服务端已撤销。 - 联网后优先提交关闭请求；服务端确认后拒绝新读取、同步和回复发布。本地空间继续存在，未发送内容保留为本地内容。 - 关闭共享不会自动删除已下载副本；历史证据按保留策略处理。重新开启建立新共享关联，旧队列不能自动发送。 - 开启请求已被服务端接受但确认丢失时，用户仍可关闭。重连后用同一开启操作身份查明关联并撤销， 不能因本端还显示“待开启”就只删除本地开关，留下可访问的服务端空间。 ## US-WS-05 成员离开与访问撤销 作为空间成员，我希望成员离开组织或空间后，相关数据和消息不会继续向其同步。 关联：`FR-15`、`FR-17`。 - 成员被移除后，即使旧客户端仍显示其姓名，发送与同步也会被服务端拒绝，不能改发给同名成员。 - 被移除者的旧凭据不能拉取新内容、提交离线消息、确认草稿或发布回复；待处理消息保留“接收者不可用”的原因。 - 已发布内容保留作者归属；撤销不能保证擦除对方已经保存的副本。 - 空间所有者离开组织时，服务端关闭共享关联，保留本地空间；首期不自动转移所有权。 ## US-MSG-01 提及成员与请求处理 作为发起者，我希望提及成员参与讨论，需要他处理问题时再明确发起处理请求，并选择上下文。 关联：`FR-17`。 - 选择器只返回当前空间内获准联系的有效成员，重名时显示可区分身份。提及可用于通知，首期每个 明确的处理请求只有一个处理人；提及列表和处理人分别保存。 - 输入自由文本 `@姓名` 不能代替身份选择。“之前和 @张明 讨论过”只产生提及通知，即使张明 开启分身先处理，也不创建任务、调用模型或产生待处理事项。 - 开启“请求处理”并选择处理人后才进入本人／分身处理流程；未选择处理人时拒绝提交处理请求。 未发布数字分身的成员仍可接收本人处理请求。 - 发送前显示提及成员、处理人（如有）、正文、附带清单和线程可见范围；空间线程对获准空间成员可见。 - 选择某条消息或文档后可预览具体内容；发送保存版本与内容快照，原文变化不默默改写已发送上下文。 - 附件发送前校验整个线程可见范围的授权，不能借 `@` 转发无权共享的资料；个人对话和监督记录不自动附带。 - 明确附带的资料版本须先上传完成并通过授权校验，服务端才确认消息已发送；准备失败时保留待发送内容， 不让处理人收到缺少必要附件的请求，也不连带触发整个知识库同步。 ## US-MSG-02 设置分身处理方式 作为处理人，我希望按空间设置处理请求的本人处理、分身先回复或分身起草方式，并保留回复控制权。 关联：`FR-17`、`FR-13`。 - 新空间默认本人处理。选择分身方式时明确关联本人一个已授权分身及其可用来源；个人访客入口开关与空间授权分别设置。 - 处理请求要求“本人确认”时进入本人待处理，不自动发布分身回复；修改普通偏好只影响后续被服务端接收的处理请求。 - 分身先回复的消息明确标记 AI 身份；分身起草的文本只对接收者本人及获准执行该任务的分身可见，不进入公开线程或普通审计正文。 - 其他成员的实时事件、消息历史和离线补收中都不含草稿正文；本人确认后仅广播获准发布的最终版本。 - 分身离线、未授权或执行失败时显示原因，保留给同一成员处理；不能悄悄改用其他分身或自动扩展资料范围。 - 接收者可暂停空间内分身处理；执行中权限收紧或撤销在下一执行、发布边界复核，不能依赖旧偏好继续发布。 ## US-MSG-03 确认草稿和本人接手 作为接收者，我希望编辑草稿后回复，或者接手分身正在处理的消息。 关联：`FR-17`。 - 本人编辑并确认后发布的是该次确认的文本版本，公开线程标记“本人确认发送”；授权审批通过不能代替此确认。 - 本人接手后保留已发布的分身回复，后续回复标记本人身份。 - 本人接手与分身完成同时发生时，以服务端处理状态版本决定先后；接手生效后的迟到结果不能自动发布。 - 多设备重复确认或重复同步同一回复只生成一条可见回复；权限已撤销时拒绝发布并说明原因。 - 两台设备提交同一草稿的不同编辑时，首个成功确认生效，另一个返回版本冲突并保留本地编辑； 本人接手后才到达的旧草稿确认被拒绝，不因使用不同回复 ID 而多发一条。 ## US-MSG-04 实时讨论与离线补收 作为空间成员，我希望直接发布普通消息、在线讨论，并在重连后补齐遗漏的消息与回复。 关联：`FR-16`、`FR-17`。 - 一个共享空间对应一个群会话，支持普通消息和回复线程。不提及任何人也可发送消息，不自动进入处理流程。 - 甲发送普通消息，在线的乙无需手动刷新或等待资料同步周期即可看到；同样验证公开回复和处理状态更新。 - 离线发送显示“待发送”，服务端持久接收后显示“已发送”。已发送不表示已读、已执行或本人确认。 - 服务端已接收但确认丢失时，重试保持同一消息身份；多个设备和推送重复不会产生重复消息或重复 AI 执行。 - 断线后补收消息、回复及处理状态；可分页查阅历史，实时事件与历史重叠时按稳定身份及版本合并， 不因乱序事件使“本人已接手”退回“分身处理中”。 - 实时组件短暂故障不丢弃已被服务端接收的消息，恢复后能继续投递；补收事件不能重新执行分身任务。 - 成员被移除后，旧实时连接不能继续取得新正文，历史与补收接口同时拒绝；已经取得的副本按既有规则处理。 - 首期验收限于空间群会话，不提供私聊、音视频、已读回执、正在输入或分身逐字广播；“已发送”不得呈现为“已读”。 ## US-KB-01 复用共享知识 作为资料所有者，我希望知识库既可独立共享，也可被数字分身或工作空间复用，不必重复维护。 关联：`FR-18`。 - 同一来源可以关联多个入口，各入口仍按自己的受众和动作授权；关联不自动扩大原资料范围。 - 团队知识库关联到公开入口时，未取得新增受众授权的资料不能被检索或返回。 - 停用某个分身入口不关闭知识库的独立共享；撤销来源授权后，依赖该授权的入口停止新的读取和引用。 - 来源更新记录版本及同步结果；未同步的最新修改不能被展示为服务端已有内容。缓存不能延长已撤销权限。 ## US-AV-01 配置个人分身及监督回顾 作为用户，我希望以明确的身份与提示词配置分身，并选择愿意授权使用的知识和监督回顾。 关联：`FR-13`、`FR-18`。 - 开启分身不自动共享全部信息流、记忆分区或回顾；提示词也不产生资料访问授权。 - 对选定回顾分别授予“用于回答”和“查看原文”；只允许回答时隐藏原文，只允许阅读时不能被分身检索用于回答。 - 授权给组织空间不自动授权给个人外部访客；新产生的回顾不自动加入已有选定范围。 - 发布回顾原文须明确选择共享内容与受众，不借此开放底层个人记忆库。两种授权均撤销后，新请求不能读取或使用该回顾。 - 从两种授权均允许改为仅阅读时，阅读继续可用，新的检索及尚未发布的相关回答被阻止；改为仅回答时， 新的原文请求被拒绝，但分身仍可按回答授权使用。阅读共享副本不授予浏览底层记忆分区的能力。 - 未知或资料不足的问题明确说明；AI 回复不能自动形成所有者的报价、交付或其他本人承诺。 ## 逻辑审查记录 本轮发现并修正的设计问题： | 问题 | 修订结论 | 权威位置 | | --- | --- | --- | | 工作空间被建模为加入组织后才存在的对象 | 本地空间先存在，共享是可选属性 | FR-15 | | `@数字人` 和 `@成员` 混用 | 成员提及与能力调用分开；显式处理请求在分身授权有效时才触发能力调用 | FR-13、FR-17 | | 提及被直接当成处理请求 | 提及只通知；显式请求才进入本人／分身处理 | FR-17、逻辑 5.1 | | 消息跟随资料周期延迟送达 | 消息与处理状态实时传递，资料按策略同步 | FR-16、US-MSG-04 | | 本地保存被当成送达和处理成功 | 同步、消息交付、处理结果分开记录 | 逻辑 2.8、2.9 | | 暂停同步与撤销访问混用 | 暂停资料自动交换不影响消息，关闭共享等待服务端确认 | 逻辑 2.8 | | 审批和本人确认混用 | 策略审批只授予动作资格，本人确认绑定回复版本 | 逻辑 5.1 | | 关联知识库被理解为继承全部权限 | 按来源、入口受众与动作求交集 | 逻辑 5.2 | | 原文禁止规则与显式回顾分享冲突 | 私有记忆继续本地检索，选定回顾另行发布共享副本 | FR-18 | | 本人接手后迟到 AI 回复仍可能发布 | 处理状态版本在发布前检查 | 逻辑 5.1 | 待定事项：资料同步默认周期、容量与保留期限、实时消息的目标延迟，以及匿名分享的真实身份和滥用控制方案。 首期组织协作按登录成员验收；持有链接的匿名阅读与对话仍为 demo 概念，不算已确定的服务端交付。 消息实时收发取代上一版“发送触发空间同步”的表述。“所有者离开即关闭共享”保留为设计默认值。