root/goodbuddy-shareserver
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
ec2c90d2086b8f379733f0fa597f405641b5e434
goodbuddy-shareserver/docs/features/share-server/prd.md
T

28 KiB
Raw Blame History

ShareServer PRD

文档信息

项目 内容
状态 设计中
版本 0.8
日期 2026-10-01
适用产品 独立部署的 ShareServer 与 Web 管理控制台
关联架构 共享网络总体设计
关联文档 功能逻辑、管理界面、技术设计

1. 背景

局域网配对适合附近设备，但不能统一解决跨网络访问、成员离职、组织策略、集中更新、审计和 跨组织协作。ShareServer 提供一个可自建的组织控制面，让设备通过主动出站连接注册能力并 接收任务，不要求为每台桌面设备开放公网端口。

2. 产品目标

  1. 组织可在自有网络、私有云或公网独立部署 ShareServer。
  2. 管理员可统一管理用户、组、设备、能力、权限、更新和审计。
  3. 成员在 GoodBuddy 中完成日常操作；ShareServer 提供组织后台，无需日常进入管理控制台。
  4. 设备离线、用户撤销或策略变化能准确影响新任务，不破坏历史证据。
  5. 两个组织可经双边确认建立有限范围的联邦协作。
  6. ShareServer 可以只运行控制面，也可按部署策略提供数据中继和包存储。
  7. 成员可以显式开放自己的数字人，获准的组织成员可通过 @数字人 发起有界协作任务。
  8. 部署方可以启用 ONLYOFFICE Docs，使 Desktop 在多个文档 Tab 中编辑 DOCX、XLSX 和 PPTX。
  9. 用户的本地工作空间可开启组织共享，使用实时消息协作、按策略同步资料；明确的处理请求由本人或其授权分身处理。

3. 产品范围

本地首期交付

先验证 GoodBuddy 应用中心中的设备共享与 ShareServer 目录互通：用户保存本地服务地址、 注册本机，显式发布能力或知识的名称、描述、来源及权限声明，再撤销发布。Web 共享中心能查询 相同记录，服务重启后记录仍保留。此阶段不自动枚举本地能力或上传知识文件。

验收要求：注册不自动发布，撤销后刷新仍为已撤销，网络失败有可重试反馈，知识权限独立保存； 界面只展示真实目录，空目录不填充样例。API、状态和验证证据分别由技术设计、逻辑设计和实施进度维护。 身份认证、组织授权、内容同步与远程调用仍按以下完整产品范围继续实现。

本地模型网关技术预览

当前实现允许在可信本地环境保存上游、模型别名，发现上游模型并发送真实测试请求。网关向 其他模型服务转发 OpenAI 兼容 Chat Completions，支持 JSON、SSE、工具调用数据和上游用量， 提供模型列表；不运行模型或工具，不支持 Responses 或 Anthropic API。

此阶段已有按模型授权的 Bearer 访问 Key，尚无组织认证、组织隔离、用户组策略或配额控制。 服务从空配置开始，持久化配置、加密上游凭据、访问 Key 摘要和最近 200 条调用元数据，不保存 提示词、响应正文或明文秘密。页面接收上游密钥，编辑时留空保留、填写覆盖；旧环境引用保留存储 兼容，前缀导入界面和接口已移除。管理限直连回环，发现模型和请求测试才访问上游。 ShareServer 可独立构建和运行，不依赖 GoodBuddy 源码；个人既有配置仅用于明确授权的环境测试。

配置下发当前为占位，保存模型不会自动配置 GoodBuddy。生产访问策略和按用户组分配仍为目标 范围。接口与限制由技术设计第 4.2 节维护，实际测试结果由实施进度维护；本节不改写历史验收证据。

正常模型网关接入（B1 已实现，验收部分完成）

管理员填写上游名称、协议、API 地址和 API Key，保存后发现或手动添加模型，选择对 GoodBuddy 开放的模型 ID。界面不要求用户理解环境变量前缀。ShareServer 保管上游凭据，另外签发可撤销的 网关访问 Key；GoodBuddy 使用网关地址和该 Key，通过现有模型连接入口发起实际对话。

首期完成本地网关管理、真实转发与调用记录；不依赖组织数据库或自动配置下发。只将实际支持的 Chat Completions 协议提供给客户端。当前已完成部分真实 API 验证，GoodBuddy Desktop 连接测试、 对话、完整工具往返、取消及浏览器界面仍需验收，不能用自动化或脚本调用代替。 接口与凭据设计、后续组织及知识服务顺序见后端基础设计。

Office 私有部署第一阶段（待实现）

在可信私有网络内，先验证浏览器上传 DOCX、打开、编辑、保存到 ShareServer、关闭后重新打开， 以及服务重启后仍能读取已保存内容。采用独立 ONLYOFFICE Document Server 容器，默认使用现有 数据目录下的本地文件存储；不要求先建设身份源、组织数据库、S3/MinIO 或独立 callback worker。 此阶段不提供用户授权或组织隔离，能访问服务的可信使用者可操作试验文档，不适合广泛暴露。 JWT 用于编辑器配置和服务回调校验，不代表浏览器用户已认证；文档与会话关联也不是访问授权。

第一阶段允许 Web 试验入口，完整产品的日常入口仍为 GoodBuddy。XLSX/PPTX、Desktop 文档 Tab、 本地／SSH 回写、Agent 实时编辑、个人／组织归属与权限在后续阶段实现。FR-14 中的多类短期 凭据、组织策略与插件要求属于这些后续能力，不作为本阶段的前置条件。存储和容器契约见 技术设计第 10.1 节，状态规则见 逻辑设计第 8.2 节。

3.1 包含

  • 本地账号及可配置 OIDC 身份源。
  • 组织、成员、角色、用户组、设备组和服务账号。
  • 设备注册、状态、撤销和合规元数据。
  • 能力目录、Publication、Grant、强制策略和审批。
  • 设备出站控制通道、任务路由、取消和可选中继。
  • 签名能力包仓库、发布通道、更新策略和撤销。
  • ShareServer 间双边联邦。
  • 组织数字人目录、数字人 Publication、授权发现和 @数字人 调用。
  • 可选 Office 编辑服务、工作副本、保存检查点、编辑器启动和 ONLYOFFICE callback。
  • 审计、用量、保留和导出。
  • Web 管理控制台和成员自助页面。
  • 工作空间的组织共享关联、成员访问、实时普通消息与线程、提及通知、处理请求和资料同步。
  • 选定知识与监督回顾的共享授权，及数字分身对这些来源的复用。
  • 模型网关接入其他模型服务，管理模型映射、访问策略和调用审计，以及按用户组分配网关模型配置。
  • 以 ShareServer 为主存储的文档、个人与组织归属管理；本地来源导入／回写为显式选择的独立模式。

3.2 不包含

  • 远程管理设备桌面、任意 Shell 或任意文件系统。
  • 发现未注册的局域网设备。
  • 自动收集或分发用户个人 API Key、Cookie 和桌面登录状态。管理员显式提供的网关上游凭据由服务端加密保管，不分发给客户端；客户端使用单独签发的访问 Key，见后端基础设计。
  • 默认查看任务正文、附件和模型输出。
  • 自动上传、同步或浏览数字人所有者的本地个人、项目、会话和原始 Agent 记忆；用户明确发布的知识与选定回顾按 FR-18 单独管理。
  • 因为成员加入组织而自动开放其数字人、记忆、Runtime、工作区或工具。
  • 未经提供者发布自动盘点设备能力。
  • 自动信任同域邮箱、同一网络或其他 ShareServer。
  • 公共开放市场、计费结算或匿名能力调用。
  • 替代 GoodBuddy 官方客户端、模型和 Agent 发布源。
  • 自行实现 Office 渲染器，或把 ONLYOFFICE Document Server 打进 Desktop 安装包。
  • 模型托管与推理运行。
  • 在普通日志或审计中保存文档正文、选区、提示词或模型输出；服务端主文档按归属、删除和保留规则管理。
  • 首期不含私聊、语音视频、已读回执、正在输入及分身输出逐字广播；空间协作按轻量 IM 范围实现。

4. 功能需求

FR-1 实例初始化

  • 首次启动通过一次性引导创建实例标识和首个系统管理员。
  • 引导完成后永久关闭初始化入口，后续管理员通过正常身份流程创建。
  • 实例公开描述包含名称、协议版本、登录方式和联邦端点，不包含内部拓扑。

FR-2 身份与组织

  • 支持一个实例承载多个隔离组织，也支持部署为单组织模式。
  • 支持本地账号和 OIDC；组织可限制允许的身份源。
  • 成员可以属于多个组并拥有有界角色，角色不隐式跨组织。
  • 停用用户立即停止签发新设备和任务凭据。

FR-3 设备管理

  • 桌面端经用户登录、一次性挑战和设备签名完成注册。
  • 设备条目显示所有者、平台、客户端版本、最近在线、连接和撤销状态。
  • 设备主动建立出站控制连接；服务端不能借此调用未发布能力。
  • 管理员可撤销设备并终止其新任务资格。

FR-4 能力目录

  • 只接收已注册设备或服务节点提交的显式 Publication。
  • 目录按调用者身份、设备状态、组织和策略过滤后返回。
  • 支持同一能力多个版本和多个 provider，不掩盖来源。
  • provider 离线时保留目录事实但显示不可用，不派发新任务。
  • 数字人作为由具体设备或服务节点提供的复合 Agent 能力进入目录，持续显示所有者、提供者、 运行位置和可调用状态，不伪装成 ShareServer 自身能力。

FR-5 授权策略

  • Grant 可绑定用户、组、设备、设备组和联邦组织。
  • 可约束能力、版本、动作、输入类型、数据分类、提供者、时间、次数、并发和委托。
  • 支持组织强制策略和用户可收紧偏好；拒绝优先。
  • 每个决定返回稳定结果、命中策略和面向用户的原因。

FR-6 审批

  • 调用、能力发布、数字人上线或范围扩大、权限扩大更新和联邦关系可以要求审批。
  • 审批项显示申请人、对象、影响范围、数据类别、期限和策略依据。
  • 批准结果有明确范围和有效期，不提供无边界“永久允许”。
  • 申请内容变化后旧审批失效。

FR-7 任务路由

  • 根据冻结 provider、在线连接和路由策略把任务声明发送给目标设备。
  • 支持直连协商、网关中继和取消传播。
  • 任务正文与控制元数据分离；默认审计不保存正文。
  • 已接受任务断线后允许查询同一 task，不自动创建重复执行。

FR-8 能力包与更新

  • 保存不可变签名 Package 和发布目录。
  • 支持组织、组、平台、架构和维护窗口的更新策略。
  • 支持固定版本、允许版本范围、暂停发布和紧急撤销。
  • 权限扩大必须触发新批准，不能被普通自动更新策略覆盖。
  • 包来源、大小、摘要、签名和下载结果可审计。

FR-9 联邦

  • 两个 ShareServer 通过指纹交换和双方管理员确认建立关系。
  • 双方分别配置公开能力、允许主体、数据范围、用量和期限。
  • 最终权限取双方策略交集；任一端撤销后停止新任务。
  • 不默认链式转发到第三个组织。

FR-10 审计与用量

  • 记录身份、设备、发布、授权、审批、任务、包和联邦管理事件。
  • 默认仅记录共享架构定义的有界元数据。
  • 支持按组织隔离查询、条件筛选、分页和流式导出。
  • 审计员只读，不能因查看日志取得任务正文或管理权限。

FR-11 管理控制台

  • 提供概览、组织与成员、设备、能力目录、数字人、权限策略、审批、发布与更新、网关联邦、 任务与中继、审计、系统设置。
  • 普通成员只看到自己的设备、授权和待办；管理员栏目按权限隐藏并在 API 再次校验。
  • 普通成员可以管理自己发布的数字人，并发现和 @ 当前组织内获准调用的数字人。
  • 所有高影响操作说明对象、范围和后果。
  • 共享中心扩展既有共享能力入口，保留 /capabilities；提供能力目录、共享知识库、按用户查看、 按设备查看四个页签。内容展示发布者、提供设备、版本、在线与发布状态、共享对象；用户和 设备视图列出关联内容并可进入详情，既有设备详情提供对应共享视图入口。

当前“GoodBuddy 服务”提供 /model-gateway 本地技术预览；/documents、/distribution 及其他未实现模块显示待接入说明。网关和共享目录使用真实 API，界面已移除模拟角色、文档、 审批及配置发布操作。上述完整共享中心页签仍为目标范围。细节见 UI 设计第 16.1 节。

FR-12 可部署性

  • 支持容器部署，配置与持久数据分离。
  • 支持外部 PostgreSQL；对象存储和中继按功能启用。
  • 提供健康、就绪、指标、结构化日志、备份和恢复说明。
  • 服务升级不能要求同时升级所有在线桌面端；按协议版本协商兼容集合。

FR-13 数字人发布与组织内 @ 调用

本节的 @数字人 指直接调用已发布能力。工作空间中的 @成员 按 FR-17 提及并通知真实成员， 不要求其发布数字人；只有显式处理请求且成员授权分身处理时才创建能力任务，两类选择器使用明确类型。

  • “数字人”是运行在成员设备或组织服务节点上的可调用 Agent Publication。一个成员可以按 不同用途发布零个或多个数字人，每个数字人独立配置 handle、能力、提供者和记忆来源； 加入组织、注册设备或创建本地 Agent 都不会自动发布。
  • 发布时必须明确数字人的组织内唯一 @handle、显示名、说明、版本、提供者、支持的输入/ 输出类型、可用时间、并发、有效期、目标用户或用户组，以及 discover/inspect/invoke 动作。@数字人 是 invoke 的界面入口，不绕过 Grant 或审批。
  • 数字人目录持续显示所有者、来源组织、执行设备或服务节点、Runtime 类型、版本、在线状态、 数据策略和最近可用性；重名显示名不能掩盖唯一 handle 和实际提供者。
  • 获准成员在组织会话或任务输入中通过显式选择器插入 @数字人。发送前必须显示实际接收者、 执行位置、将发送的数据类别、附件、路由、中继可读性、有效授权和可能的下游委托。
  • 一次 @数字人 创建绑定所选数字人 Publication、版本和 provider 的远程 Task。数字人离线 或拒绝时不得改发给同名数字人或其他 provider；网络中断后的终态遵守 FR-7。
  • 数字人默认无权读取所有者的其他本地记忆。发布时，所有者可以勾选该数字人的 Agent 分区、 Global 分区、指定 Project 分区和指定 Automation 分区；首期不能开放短期的 Conversation 和 Run 分区。一次调用只在 Publication 冻结的允许分区中读取当前有效、已确认且敏感度 允许的记忆。
  • 记忆检索和上下文组装始终在 Provider 本地完成。ShareServer 只保存 Publication 的分区 种类、经过验证的本地关联 ID 摘要和是否使用专属记忆等策略元数据；原始记忆、分区内容、 来源正文和检索结果不通过此记忆授权上传 ShareServer，也不向调用者展示。用户另行发布的 知识或选定回顾按 FR-18 授权，不能据此浏览原始记忆库。
  • 数字人输出可能受到其 Agent 记忆影响，因此发布页和调用确认必须显示“使用数字人专属记忆” 这一事实及允许的数据敏感度。Restricted 记忆不得用于远端调用；暂停或撤销数字人后停止 新调用，但保留历史任务和有界审计。
  • Provider 在执行边界重新验证 Publication、Grant、输入 schema、数据类别、大小、期限和 本地 Agent 记忆权限。ShareServer 的允许决定不能扩大数字人所在设备的本地权限。
  • 所有者可以暂停、恢复、更新或撤销自己的数字人。handle 或能力、数据、工具、委托发生 变化，或新增可读记忆分区时，旧批准失效并重新进入审批；移除可读分区可以立即收紧而不 等待新批准，普通文案修改不得改变既有权限。
  • 审计默认只记录调用方、数字人、Publication、provider、数据类别、路由、授权、状态、耗时 和大小，不保存消息正文、附件内容、模型输出或记忆内容。

FR-14 Office 编辑服务

以下为完整产品目标；私有部署第一阶段按第 3 节的限定范围单独验收，不据此宣称完整 Office 能力已交付。

  • 日常文档使用在 GoodBuddy 中完成，ShareServer 主存文档与临时编辑会话分别管理。个人创建者 可删除自己的文档或确认转移给组织；转移后按组织权限删除，原创建者的个人删除权失效。 管理后台展示归属元数据不授予个人正文访问权。原型以显式“组织文档管理员”角色模拟组织 文档删除／恢复，恢复保持归属，不提供永久删除。
  • 本节既有工作副本上传、检查点下载和源文件回写流程适用于显式选择的本地来源导入／回写 模式，保留 Desktop／SSH 源文件基准校验与冲突契约。服务端主存模式不以本地回写作为保存 完成条件；关闭编辑会话不删除主文档，也不改变归属。
  • Office 编辑是可选服务能力。未配置或健康检查失败时，ShareServer 仍可运行其他控制面功能， 并向 Desktop 返回明确不可用原因。
  • 首选 ONLYOFFICE Docs Developer Edition，目标支持 DOCX、XLSX 和 PPTX。正式采用前必须完成 实时编辑接口验证，并确认许可证、桌面集成、并发连接、白标、私有部署和安全支持范围与报价。 Automation API 为 Developer 版额外收费能力，不能从社区版容器部署成功推定已获授权； 插件替代路径需单独验证功能与授权条件。
  • 推荐部署方在服务器 Docker 中独立运行 Document Server，普通 Desktop 用户无需安装 Docker。 启用前验证文件下载、保存回调及中文字体；工作副本进入所选服务处理范围，集中部署不提供完全离线编辑。
  • Desktop 的右侧文档页签与 Agent 操作同一编辑会话，支持读取未保存的人工修改、原位应用、 修改定位与高亮、撤销重做；源文件回写仍以检查点为依据。客户端需求与选型验证以 Office PRD 的 FR-6、 FR-13、FR-14 为准。
  • 本地来源模式下，Desktop 使用设备身份创建 DocumentEditSession，上传经过大小、格式和 SHA-256 声明的工作 副本。ShareServer 不接收本机或 SSH 绝对路径，也不允许文件名决定对象存储路径。
  • ShareServer 为编辑器签发一次性启动授权，为 ONLYOFFICE 签发独立的短期文件和 callback 凭据；设备、编辑器和 callback audience 不能互换。
  • 本地来源模式下，ONLYOFFICE 保存先形成不可变 DocumentCheckpoint。ShareServer 只宣称检查点可用，不宣称 Desktop 本地或 SSH 源文件已经回写成功。
  • 服务端保存组织、主体、会话、文档类型、大小、策略、编辑器版本、checkpoint 和清理审计； 默认不保存文档正文、选区正文、提示词或模型输出到普通日志和审计表。
  • 管理员可以配置允许格式、文件大小、并发、会话期限、checkpoint 保留、只读策略和 AI 编辑 开关。策略变化可以阻止新操作，不改写已经下载到 Desktop 的源文件。
  • ShareServer 托管固定版本的 GoodBuddy ONLYOFFICE 插件，用于有界选区、revision、编辑事务和 非正文状态事件。插件不能调用任意 ShareServer 管理 API、Electron IPC、宏或脚本执行入口。
  • Ask 只能取得 AI 修改建议；只有 Desktop 确认的 Execute 请求可以取得绑定单会话、revision 和选区的短期编辑授权。
  • 会话关闭、撤销或到期后停止新读取、保存和 AI 操作，并按组织保留策略清理工作副本、 checkpoint、Cookie 和对象令牌；服务端主文档不随临时会话清理。

FR-15 工作空间与共享属性

  • 本地工作空间由 Desktop 创建和管理，无需加入组织；可创建多个，默认共享关闭。
  • 开启共享保留本地空间身份，建立与一个组织的共享关联。操作者必须是有效组织成员并具备 空间管理权限；明确选择成员、资料与已有历史的共享范围，组织成员不默认取得空间权限。
  • 成员读取、发送、同步、管理空间和分身处理分别授权，组织管理员不自动取得正文访问权限。
  • 共享生效和关闭以服务端确认结果为准；关闭不删除本地空间。服务端撤销后拒绝新访问， 对已下载副本不作远程擦除承诺。重新开启创建新共享关联，不自动重放旧关联的待发送内容。
  • 成员被移除后停止其新访问和发布；所有者离开组织时关闭共享，首期不自动转移所有权。

FR-16 实时消息与资料同步

  • 共享开启且联网时，空间消息、公开回复和处理状态实时更新；支持断线补收和历史分页， 不依赖资料同步周期。成员与权限变化在服务端立即生效，并及时通知在线客户端。
  • 知识库、共享文件及资料索引按空间选择定期或按需同步，不等同于本地目录或全部历史镜像。 提供立即同步资料、暂停资料自动同步、最近成功时间、待同步数量和失败原因。
  • 暂停资料自动同步不影响消息收发、提及通知、状态更新和离线补收，也不撤销服务端已有访问。
  • 离线消息保留“待发送”。只有服务端持久接收后显示“已发送”，不能据此推断已读、已执行或本人已确认。 消息明确附带的资料需准备完成并通过授权检查后才能接受，不等待整库同步。
  • 重试使用稳定操作身份；服务端重复接收不产生重复消息、回复或分身任务。部分成功逐项确认， 冲突保留双方版本供处理，不以静默覆盖扩大权限或丢失修改。
  • 离线关闭共享先停止本端普通上传，显示“待关闭共享”；恢复连接先处理撤销，再处理其他队列。 服务端权限收紧即时生效，不等待客户端下一次定期同步。

FR-17 成员消息与处理方式

  • 每个共享空间对应一个群会话，允许不带提及的普通消息和回复线程。@成员 绑定组织、空间 和稳定成员身份，只产生提及通知，不能因为接收者开了分身自动处理就触发执行。
  • “请求处理”是独立的显式意图，首期每个请求选择一个处理人；提及列表不等同于处理人。 自由文本姓名不能代替身份选择，也不因分身不可用而切换处理人。
  • 发送前展示提及成员、处理人（如有）、所选上下文及线程受众。首期线程对获准空间成员可见，发送者必须具备 向该受众共享附带资料的权限；上下文冻结发送时的版本与内容。
  • 处理人按空间为显式处理请求选择本人处理、分身先回复或分身起草；默认本人处理。分身方式明确绑定一个 已授权 Publication，其身份可复用，但空间授权与个人访客入口分别管理。
  • “需要本人确认”优先进入本人待处理，不自动发出分身回复。普通偏好变更影响后续接受的 处理请求；撤销和权限收紧在任务执行与结果发布时重新检查。普通消息没有处理状态。
  • 草稿仅本人及获准执行该任务的分身可访问，本人可编辑并确认发送。AI 输出、本人直接回复和 本人确认的草稿在作者标记中区分；政策审批不代替本人对草稿的确认。
  • 草稿正文不进入空间广播、公开历史或普通成员的离线补收；本人确认后的最终回复才进入实时消息流。
  • 本人可接手同一线程；保留已发布回复，接手生效后的迟到 AI 结果不得自动发布。重复确认只 产生一条回复。分身离线或失败则保留给同一成员处理，并解释原因。

FR-18 共享知识与个人分身来源

  • 知识库明确区分服务器同步副本与远程设备取用，分别展示来源可用性。搜索、读取原文、下载 独立授权；管理员的元数据可见性不产生内容权限。当前 Web 原型仅展示示例规则，不接入内容操作。
  • 知识库可独立共享，也可被空间和分身引用。复用来源身份与版本，各入口按来源授权、受众、 使用动作及组织策略求交集；关联资料不自动扩大权限。
  • 用户可设置分身身份、表达提示词和选定知识来源。提示词不授予权限，开启分身不共享全部 信息流；既有本地 Agent 记忆仍遵循 FR-13 的执行边界。
  • 选定监督回顾以明确版本的共享内容管理，“用于回答”和“查看原文”分别授权，支持仅回答、 仅阅读、两者均允许或均关闭。新回顾不自动加入已选范围。
  • 明确授权共享的正文副本可进入共享内容存储；这不授予访问底层个人记忆库的能力。 关闭某一分身入口不撤销知识库其他有效授权；撤销来源授权阻止依赖该授权的新读取和回答， 已发出的内容按历史保留规则处理。
  • 首期服务端范围为已登录组织成员。个人“持有链接”匿名访问仅为 demo 概念，真实匿名发布、 身份及滥用控制需另行设计，不以该 demo 改变第 3.2 节的匿名能力调用排除项。

5. 产品验收

工作空间、同步、成员消息和资料共享按 用户故事 的 US-WS-01 至 US-AV-01 验收，覆盖正常、离线、撤销、重复提交、受众限制和接手竞争场景。

  • 新实例可完成初始化、登录、创建组织、邀请成员和注册真实桌面设备。
  • 两个不同组织不能通过 API、搜索、计数、错误或审计结果读取对方数据。
  • 设备只有发布能力后才进入获准目录，撤销后不能接收新任务。
  • 调用授权能同时处理用户、设备、组织、提供者、数据和联邦限制。
  • 任务中继关闭时控制面仍可运行；中继开启时可取消并形成准确终态。
  • 权限扩大的包更新不能自动部署。
  • 两个独立 ShareServer 能建立、使用、暂停和撤销双边联邦。
  • 成员可以显式发布一个数字人，获准的同组织成员能从选择器插入 @handle 并完成一次有界 调用；未获准成员不能通过目录、搜索、补全或直接 API 枚举和调用该数字人。
  • 暂停或撤销数字人后不能创建新调用，已完成任务与有界审计仍可追溯到原 Publication 和 provider。
  • 数字人调用可以使用所有者在发布时勾选的 Agent、Global、指定 Project 或指定 Automation 分区，但不能开放 Conversation 和 Run；ShareServer 和调用者不能读取原始记忆、未选择的 本地分区或通过该记忆权限读取来源正文。FR-18 另行发布的共享副本按自身授权读取，不能由 此取得底层记忆分区的浏览权限。
  • 启用 Office 服务后，Windows、macOS 和 Linux Desktop 可从同一 ShareServer 分别打开、编辑 和保存 DOCX、XLSX、PPTX；多个会话不会串文件、选区、checkpoint 或权限。
  • 文件 URL、callback token 和编辑器启动授权过期或撤销后不可重用；保存失败、源文件冲突或 网络结果未知不会被 ShareServer 记录为源文件已保存。
  • Office 服务停用或故障不影响身份、设备、能力目录和其他任务控制面。
  • Agent 实时编辑按 Office 用户故事 的 US-C1 至 US-C7 验证；集中部署和选型按 US-F1、US-F2 验证，不以部署成功代替产品验收。
  • 备份恢复后组织、策略、发布和审计身份保持一致，短期连接和令牌不恢复。
Reference in New Issue View Git Blame Copy Permalink