goodbuddy-shareserver/docs/features/share-server/prd.md

# ShareServer PRD

## 文档信息

| 项目 | 内容 |
| --- | --- |
| 状态 | 设计中 |
| 版本 | 0.8 |
| 日期 | 2026-10-01 |
| 适用产品 | 独立部署的 ShareServer 与 Web 管理控制台 |
| 关联架构 | [共享网络总体设计](../../../../goodbuddy/docs/architecture/share-network-architecture.md) |
| 关联文档 | [功能逻辑](./logic-design.md)、[管理界面](./ui-design.md)、[技术设计](./technical-design.md) |

## 1. 背景

局域网配对适合附近设备，但不能统一解决跨网络访问、成员离职、组织策略、集中更新、审计和
跨组织协作。ShareServer 提供一个可自建的组织控制面，让设备通过主动出站连接注册能力并
接收任务，不要求为每台桌面设备开放公网端口。

## 2. 产品目标

1. 组织可在自有网络、私有云或公网独立部署 ShareServer。
2. 管理员可统一管理用户、组、设备、能力、权限、更新和审计。
3. 成员在 GoodBuddy 中完成日常操作；ShareServer 提供组织后台，无需日常进入管理控制台。
4. 设备离线、用户撤销或策略变化能准确影响新任务，不破坏历史证据。
5. 两个组织可经双边确认建立有限范围的联邦协作。
6. ShareServer 可以只运行控制面，也可按部署策略提供数据中继和包存储。
7. 成员可以显式开放自己的数字人，获准的组织成员可通过 `@数字人` 发起有界协作任务。
8. 部署方可以启用 ONLYOFFICE Docs，使 Desktop 在多个文档 Tab 中编辑 DOCX、XLSX 和 PPTX。
9. 用户的本地工作空间可开启组织共享，使用实时消息协作、按策略同步资料；明确的处理请求由本人或其授权分身处理。

## 3. 产品范围

### 本地首期交付

先验证 GoodBuddy 应用中心中的设备共享与 ShareServer 目录互通：用户保存本地服务地址、
注册本机，显式发布能力或知识的名称、描述、来源及权限声明，再撤销发布。Web 共享中心能查询
相同记录，服务重启后记录仍保留。此阶段不自动枚举本地能力或上传知识文件。

验收要求：注册不自动发布，撤销后刷新仍为已撤销，网络失败有可重试反馈，知识权限独立保存；
界面只展示真实目录，空目录不填充样例。API、状态和验证证据分别由技术设计、逻辑设计和实施进度维护。
身份认证、组织授权、内容同步与远程调用仍按以下完整产品范围继续实现。

### 本地模型网关技术预览

当前实现允许在可信本地环境保存上游、模型别名，发现上游模型并发送真实测试请求。网关向
其他模型服务转发 OpenAI 兼容 Chat Completions，支持 JSON、SSE、工具调用数据和上游用量，
提供模型列表；不运行模型或工具，不支持 Responses 或 Anthropic API。

此阶段已有按模型授权的 Bearer 访问 Key，尚无组织认证、组织隔离、用户组策略或配额控制。
服务从空配置开始，持久化配置、加密上游凭据、访问 Key 摘要和最近 200 条调用元数据，不保存
提示词、响应正文或明文秘密。页面接收上游密钥，编辑时留空保留、填写覆盖；旧环境引用保留存储
兼容，前缀导入界面和接口已移除。管理限直连回环，发现模型和请求测试才访问上游。
ShareServer 可独立构建和运行，不依赖 GoodBuddy 源码；个人既有配置仅用于明确授权的环境测试。

配置下发当前为占位，保存模型不会自动配置 GoodBuddy。生产访问策略和按用户组分配仍为目标
范围。接口与限制由技术设计第 4.2 节维护，实际测试结果由实施进度维护；本节不改写历史验收证据。

### 正常模型网关接入（B1 已实现，验收部分完成）

管理员填写上游名称、协议、API 地址和 API Key，保存后发现或手动添加模型，选择对 GoodBuddy
开放的模型 ID。界面不要求用户理解环境变量前缀。ShareServer 保管上游凭据，另外签发可撤销的
网关访问 Key；GoodBuddy 使用网关地址和该 Key，通过现有模型连接入口发起实际对话。

首期完成本地网关管理、真实转发与调用记录；不依赖组织数据库或自动配置下发。只将实际支持的
Chat Completions 协议提供给客户端。当前已完成部分真实 API 验证，GoodBuddy Desktop 连接测试、
对话、完整工具往返、取消及浏览器界面仍需验收，不能用自动化或脚本调用代替。
接口与凭据设计、后续组织及知识服务顺序见[后端基础设计](./backend-foundation-design.md)。

### Office 私有部署第一阶段（待实现）

在可信私有网络内，先验证浏览器上传 DOCX、打开、编辑、保存到 ShareServer、关闭后重新打开，
以及服务重启后仍能读取已保存内容。采用独立 ONLYOFFICE Document Server 容器，默认使用现有
数据目录下的本地文件存储；不要求先建设身份源、组织数据库、S3/MinIO 或独立 callback worker。
此阶段不提供用户授权或组织隔离，能访问服务的可信使用者可操作试验文档，不适合广泛暴露。
JWT 用于编辑器配置和服务回调校验，不代表浏览器用户已认证；文档与会话关联也不是访问授权。

第一阶段允许 Web 试验入口，完整产品的日常入口仍为 GoodBuddy。XLSX/PPTX、Desktop 文档 Tab、
本地／SSH 回写、Agent 实时编辑、个人／组织归属与权限在后续阶段实现。FR-14 中的多类短期
凭据、组织策略与插件要求属于这些后续能力，不作为本阶段的前置条件。存储和容器契约见
[技术设计第 10.1 节](./technical-design.md#101-私有部署第一阶段待实现)，状态规则见
[逻辑设计第 8.2 节](./logic-design.md#82-office-私有部署第一阶段待实现)。

### 3.1 包含

- 本地账号及可配置 OIDC 身份源。
- 组织、成员、角色、用户组、设备组和服务账号。
- 设备注册、状态、撤销和合规元数据。
- 能力目录、Publication、Grant、强制策略和审批。
- 设备出站控制通道、任务路由、取消和可选中继。
- 签名能力包仓库、发布通道、更新策略和撤销。
- ShareServer 间双边联邦。
- 组织数字人目录、数字人 Publication、授权发现和 `@数字人` 调用。
- 可选 Office 编辑服务、工作副本、保存检查点、编辑器启动和 ONLYOFFICE callback。
- 审计、用量、保留和导出。
- Web 管理控制台和成员自助页面。
- 工作空间的组织共享关联、成员访问、实时普通消息与线程、提及通知、处理请求和资料同步。
- 选定知识与监督回顾的共享授权，及数字分身对这些来源的复用。
- 模型网关接入其他模型服务，管理模型映射、访问策略和调用审计，以及按用户组分配网关模型配置。
- 以 ShareServer 为主存储的文档、个人与组织归属管理；本地来源导入／回写为显式选择的独立模式。

### 3.2 不包含

- 远程管理设备桌面、任意 Shell 或任意文件系统。
- 发现未注册的局域网设备。
- 自动收集或分发用户个人 API Key、Cookie 和桌面登录状态。管理员显式提供的网关上游凭据由服务端加密保管，不分发给客户端；客户端使用单独签发的访问 Key，见后端基础设计。
- 默认查看任务正文、附件和模型输出。
- 自动上传、同步或浏览数字人所有者的本地个人、项目、会话和原始 Agent 记忆；用户明确发布的知识与选定回顾按 FR-18 单独管理。
- 因为成员加入组织而自动开放其数字人、记忆、Runtime、工作区或工具。
- 未经提供者发布自动盘点设备能力。
- 自动信任同域邮箱、同一网络或其他 ShareServer。
- 公共开放市场、计费结算或匿名能力调用。
- 替代 GoodBuddy 官方客户端、模型和 Agent 发布源。
- 自行实现 Office 渲染器，或把 ONLYOFFICE Document Server 打进 Desktop 安装包。
- 模型托管与推理运行。
- 在普通日志或审计中保存文档正文、选区、提示词或模型输出；服务端主文档按归属、删除和保留规则管理。
- 首期不含私聊、语音视频、已读回执、正在输入及分身输出逐字广播；空间协作按轻量 IM 范围实现。

## 4. 功能需求

### FR-1 实例初始化

- 首次启动通过一次性引导创建实例标识和首个系统管理员。
- 引导完成后永久关闭初始化入口，后续管理员通过正常身份流程创建。
- 实例公开描述包含名称、协议版本、登录方式和联邦端点，不包含内部拓扑。

### FR-2 身份与组织

- 支持一个实例承载多个隔离组织，也支持部署为单组织模式。
- 支持本地账号和 OIDC；组织可限制允许的身份源。
- 成员可以属于多个组并拥有有界角色，角色不隐式跨组织。
- 停用用户立即停止签发新设备和任务凭据。

### FR-3 设备管理

- 桌面端经用户登录、一次性挑战和设备签名完成注册。
- 设备条目显示所有者、平台、客户端版本、最近在线、连接和撤销状态。
- 设备主动建立出站控制连接；服务端不能借此调用未发布能力。
- 管理员可撤销设备并终止其新任务资格。

### FR-4 能力目录

- 只接收已注册设备或服务节点提交的显式 Publication。
- 目录按调用者身份、设备状态、组织和策略过滤后返回。
- 支持同一能力多个版本和多个 provider，不掩盖来源。
- provider 离线时保留目录事实但显示不可用，不派发新任务。
- 数字人作为由具体设备或服务节点提供的复合 Agent 能力进入目录，持续显示所有者、提供者、
  运行位置和可调用状态，不伪装成 ShareServer 自身能力。

### FR-5 授权策略

- Grant 可绑定用户、组、设备、设备组和联邦组织。
- 可约束能力、版本、动作、输入类型、数据分类、提供者、时间、次数、并发和委托。
- 支持组织强制策略和用户可收紧偏好；拒绝优先。
- 每个决定返回稳定结果、命中策略和面向用户的原因。

### FR-6 审批

- 调用、能力发布、数字人上线或范围扩大、权限扩大更新和联邦关系可以要求审批。
- 审批项显示申请人、对象、影响范围、数据类别、期限和策略依据。
- 批准结果有明确范围和有效期，不提供无边界“永久允许”。
- 申请内容变化后旧审批失效。

### FR-7 任务路由

- 根据冻结 provider、在线连接和路由策略把任务声明发送给目标设备。
- 支持直连协商、网关中继和取消传播。
- 任务正文与控制元数据分离；默认审计不保存正文。
- 已接受任务断线后允许查询同一 task，不自动创建重复执行。

### FR-8 能力包与更新

- 保存不可变签名 Package 和发布目录。
- 支持组织、组、平台、架构和维护窗口的更新策略。
- 支持固定版本、允许版本范围、暂停发布和紧急撤销。
- 权限扩大必须触发新批准，不能被普通自动更新策略覆盖。
- 包来源、大小、摘要、签名和下载结果可审计。

### FR-9 联邦

- 两个 ShareServer 通过指纹交换和双方管理员确认建立关系。
- 双方分别配置公开能力、允许主体、数据范围、用量和期限。
- 最终权限取双方策略交集；任一端撤销后停止新任务。
- 不默认链式转发到第三个组织。

### FR-10 审计与用量

- 记录身份、设备、发布、授权、审批、任务、包和联邦管理事件。
- 默认仅记录共享架构定义的有界元数据。
- 支持按组织隔离查询、条件筛选、分页和流式导出。
- 审计员只读，不能因查看日志取得任务正文或管理权限。

### FR-11 管理控制台

- 提供概览、组织与成员、设备、能力目录、数字人、权限策略、审批、发布与更新、网关联邦、
  任务与中继、审计、系统设置。
- 普通成员只看到自己的设备、授权和待办；管理员栏目按权限隐藏并在 API 再次校验。
- 普通成员可以管理自己发布的数字人，并发现和 `@` 当前组织内获准调用的数字人。
- 所有高影响操作说明对象、范围和后果。
- 共享中心扩展既有共享能力入口，保留 `/capabilities`；提供能力目录、共享知识库、按用户查看、
  按设备查看四个页签。内容展示发布者、提供设备、版本、在线与发布状态、共享对象；用户和
  设备视图列出关联内容并可进入详情，既有设备详情提供对应共享视图入口。

当前“GoodBuddy 服务”提供 `/model-gateway` 本地技术预览；`/documents`、`/distribution`
及其他未实现模块显示待接入说明。网关和共享目录使用真实 API，界面已移除模拟角色、文档、
审批及配置发布操作。上述完整共享中心页签仍为目标范围。细节见 UI 设计第 16.1 节。

### FR-12 可部署性

- 支持容器部署，配置与持久数据分离。
- 支持外部 PostgreSQL；对象存储和中继按功能启用。
- 提供健康、就绪、指标、结构化日志、备份和恢复说明。
- 服务升级不能要求同时升级所有在线桌面端；按协议版本协商兼容集合。

### FR-13 数字人发布与组织内 `@` 调用

本节的 `@数字人` 指直接调用已发布能力。工作空间中的 `@成员` 按 FR-17 提及并通知真实成员，
不要求其发布数字人；只有显式处理请求且成员授权分身处理时才创建能力任务，两类选择器使用明确类型。

- “数字人”是运行在成员设备或组织服务节点上的可调用 Agent Publication。一个成员可以按
  不同用途发布零个或多个数字人，每个数字人独立配置 handle、能力、提供者和记忆来源；
  加入组织、注册设备或创建本地 Agent 都不会自动发布。
- 发布时必须明确数字人的组织内唯一 `@handle`、显示名、说明、版本、提供者、支持的输入/
  输出类型、可用时间、并发、有效期、目标用户或用户组，以及
  `discover/inspect/invoke` 动作。`@数字人` 是 `invoke` 的界面入口，不绕过 Grant 或审批。
- 数字人目录持续显示所有者、来源组织、执行设备或服务节点、Runtime 类型、版本、在线状态、
  数据策略和最近可用性；重名显示名不能掩盖唯一 handle 和实际提供者。
- 获准成员在组织会话或任务输入中通过显式选择器插入 `@数字人`。发送前必须显示实际接收者、
  执行位置、将发送的数据类别、附件、路由、中继可读性、有效授权和可能的下游委托。
- 一次 `@数字人` 创建绑定所选数字人 Publication、版本和 provider 的远程 Task。数字人离线
  或拒绝时不得改发给同名数字人或其他 provider；网络中断后的终态遵守 `FR-7`。
- 数字人默认无权读取所有者的其他本地记忆。发布时，所有者可以勾选该数字人的 Agent 分区、
  Global 分区、指定 Project 分区和指定 Automation 分区；首期不能开放短期的 Conversation
  和 Run 分区。一次调用只在 Publication 冻结的允许分区中读取当前有效、已确认且敏感度
  允许的记忆。
- 记忆检索和上下文组装始终在 Provider 本地完成。ShareServer 只保存 Publication 的分区
  种类、经过验证的本地关联 ID 摘要和是否使用专属记忆等策略元数据；原始记忆、分区内容、
  来源正文和检索结果不通过此记忆授权上传 ShareServer，也不向调用者展示。用户另行发布的
  知识或选定回顾按 FR-18 授权，不能据此浏览原始记忆库。
- 数字人输出可能受到其 Agent 记忆影响，因此发布页和调用确认必须显示“使用数字人专属记忆”
  这一事实及允许的数据敏感度。Restricted 记忆不得用于远端调用；暂停或撤销数字人后停止
  新调用，但保留历史任务和有界审计。
- Provider 在执行边界重新验证 Publication、Grant、输入 schema、数据类别、大小、期限和
  本地 Agent 记忆权限。ShareServer 的允许决定不能扩大数字人所在设备的本地权限。
- 所有者可以暂停、恢复、更新或撤销自己的数字人。handle 或能力、数据、工具、委托发生
  变化，或新增可读记忆分区时，旧批准失效并重新进入审批；移除可读分区可以立即收紧而不
  等待新批准，普通文案修改不得改变既有权限。
- 审计默认只记录调用方、数字人、Publication、provider、数据类别、路由、授权、状态、耗时
  和大小，不保存消息正文、附件内容、模型输出或记忆内容。

### FR-14 Office 编辑服务

以下为完整产品目标；私有部署第一阶段按第 3 节的限定范围单独验收，不据此宣称完整 Office 能力已交付。

- 日常文档使用在 GoodBuddy 中完成，ShareServer 主存文档与临时编辑会话分别管理。个人创建者
  可删除自己的文档或确认转移给组织；转移后按组织权限删除，原创建者的个人删除权失效。
  管理后台展示归属元数据不授予个人正文访问权。原型以显式“组织文档管理员”角色模拟组织
  文档删除／恢复，恢复保持归属，不提供永久删除。
- 本节既有工作副本上传、检查点下载和源文件回写流程适用于显式选择的本地来源导入／回写
  模式，保留 Desktop／SSH 源文件基准校验与冲突契约。服务端主存模式不以本地回写作为保存
  完成条件；关闭编辑会话不删除主文档，也不改变归属。
- Office 编辑是可选服务能力。未配置或健康检查失败时，ShareServer 仍可运行其他控制面功能，
  并向 Desktop 返回明确不可用原因。
- 首选 ONLYOFFICE Docs Developer Edition，目标支持 DOCX、XLSX 和 PPTX。正式采用前必须完成
  实时编辑接口验证，并确认许可证、桌面集成、并发连接、白标、私有部署和安全支持范围与报价。
  Automation API 为 Developer 版额外收费能力，不能从社区版容器部署成功推定已获授权；
  插件替代路径需单独验证功能与授权条件。
- 推荐部署方在服务器 Docker 中独立运行 Document Server，普通 Desktop 用户无需安装 Docker。
  启用前验证文件下载、保存回调及中文字体；工作副本进入所选服务处理范围，集中部署不提供完全离线编辑。
- Desktop 的右侧文档页签与 Agent 操作同一编辑会话，支持读取未保存的人工修改、原位应用、
  修改定位与高亮、撤销重做；源文件回写仍以检查点为依据。客户端需求与选型验证以
  [Office PRD](../../../../goodbuddy/docs/features/office-document-editing/prd.md) 的 `FR-6`、
  `FR-13`、`FR-14` 为准。
- 本地来源模式下，Desktop 使用设备身份创建 `DocumentEditSession`，上传经过大小、格式和 SHA-256 声明的工作
  副本。ShareServer 不接收本机或 SSH 绝对路径，也不允许文件名决定对象存储路径。
- ShareServer 为编辑器签发一次性启动授权，为 ONLYOFFICE 签发独立的短期文件和 callback
  凭据；设备、编辑器和 callback audience 不能互换。
- 本地来源模式下，ONLYOFFICE 保存先形成不可变 `DocumentCheckpoint`。ShareServer 只宣称检查点可用，不宣称
  Desktop 本地或 SSH 源文件已经回写成功。
- 服务端保存组织、主体、会话、文档类型、大小、策略、编辑器版本、checkpoint 和清理审计；
  默认不保存文档正文、选区正文、提示词或模型输出到普通日志和审计表。
- 管理员可以配置允许格式、文件大小、并发、会话期限、checkpoint 保留、只读策略和 AI 编辑
  开关。策略变化可以阻止新操作，不改写已经下载到 Desktop 的源文件。
- ShareServer 托管固定版本的 GoodBuddy ONLYOFFICE 插件，用于有界选区、revision、编辑事务和
  非正文状态事件。插件不能调用任意 ShareServer 管理 API、Electron IPC、宏或脚本执行入口。
- Ask 只能取得 AI 修改建议；只有 Desktop 确认的 Execute 请求可以取得绑定单会话、revision
  和选区的短期编辑授权。
- 会话关闭、撤销或到期后停止新读取、保存和 AI 操作，并按组织保留策略清理工作副本、
  checkpoint、Cookie 和对象令牌；服务端主文档不随临时会话清理。

### FR-15 工作空间与共享属性

- 本地工作空间由 Desktop 创建和管理，无需加入组织；可创建多个，默认共享关闭。
- 开启共享保留本地空间身份，建立与一个组织的共享关联。操作者必须是有效组织成员并具备
  空间管理权限；明确选择成员、资料与已有历史的共享范围，组织成员不默认取得空间权限。
- 成员读取、发送、同步、管理空间和分身处理分别授权，组织管理员不自动取得正文访问权限。
- 共享生效和关闭以服务端确认结果为准；关闭不删除本地空间。服务端撤销后拒绝新访问，
  对已下载副本不作远程擦除承诺。重新开启创建新共享关联，不自动重放旧关联的待发送内容。
- 成员被移除后停止其新访问和发布；所有者离开组织时关闭共享，首期不自动转移所有权。

### FR-16 实时消息与资料同步

- 共享开启且联网时，空间消息、公开回复和处理状态实时更新；支持断线补收和历史分页，
  不依赖资料同步周期。成员与权限变化在服务端立即生效，并及时通知在线客户端。
- 知识库、共享文件及资料索引按空间选择定期或按需同步，不等同于本地目录或全部历史镜像。
  提供立即同步资料、暂停资料自动同步、最近成功时间、待同步数量和失败原因。
- 暂停资料自动同步不影响消息收发、提及通知、状态更新和离线补收，也不撤销服务端已有访问。
- 离线消息保留“待发送”。只有服务端持久接收后显示“已发送”，不能据此推断已读、已执行或本人已确认。
  消息明确附带的资料需准备完成并通过授权检查后才能接受，不等待整库同步。
- 重试使用稳定操作身份；服务端重复接收不产生重复消息、回复或分身任务。部分成功逐项确认，
  冲突保留双方版本供处理，不以静默覆盖扩大权限或丢失修改。
- 离线关闭共享先停止本端普通上传，显示“待关闭共享”；恢复连接先处理撤销，再处理其他队列。
  服务端权限收紧即时生效，不等待客户端下一次定期同步。

### FR-17 成员消息与处理方式

- 每个共享空间对应一个群会话，允许不带提及的普通消息和回复线程。`@成员` 绑定组织、空间
  和稳定成员身份，只产生提及通知，不能因为接收者开了分身自动处理就触发执行。
- “请求处理”是独立的显式意图，首期每个请求选择一个处理人；提及列表不等同于处理人。
  自由文本姓名不能代替身份选择，也不因分身不可用而切换处理人。
- 发送前展示提及成员、处理人（如有）、所选上下文及线程受众。首期线程对获准空间成员可见，发送者必须具备
  向该受众共享附带资料的权限；上下文冻结发送时的版本与内容。
- 处理人按空间为显式处理请求选择本人处理、分身先回复或分身起草；默认本人处理。分身方式明确绑定一个
  已授权 Publication，其身份可复用，但空间授权与个人访客入口分别管理。
- “需要本人确认”优先进入本人待处理，不自动发出分身回复。普通偏好变更影响后续接受的
  处理请求；撤销和权限收紧在任务执行与结果发布时重新检查。普通消息没有处理状态。
- 草稿仅本人及获准执行该任务的分身可访问，本人可编辑并确认发送。AI 输出、本人直接回复和
  本人确认的草稿在作者标记中区分；政策审批不代替本人对草稿的确认。
- 草稿正文不进入空间广播、公开历史或普通成员的离线补收；本人确认后的最终回复才进入实时消息流。
- 本人可接手同一线程；保留已发布回复，接手生效后的迟到 AI 结果不得自动发布。重复确认只
  产生一条回复。分身离线或失败则保留给同一成员处理，并解释原因。

### FR-18 共享知识与个人分身来源

- 知识库明确区分服务器同步副本与远程设备取用，分别展示来源可用性。搜索、读取原文、下载
  独立授权；管理员的元数据可见性不产生内容权限。当前 Web 原型仅展示示例规则，不接入内容操作。
- 知识库可独立共享，也可被空间和分身引用。复用来源身份与版本，各入口按来源授权、受众、
  使用动作及组织策略求交集；关联资料不自动扩大权限。
- 用户可设置分身身份、表达提示词和选定知识来源。提示词不授予权限，开启分身不共享全部
  信息流；既有本地 Agent 记忆仍遵循 FR-13 的执行边界。
- 选定监督回顾以明确版本的共享内容管理，“用于回答”和“查看原文”分别授权，支持仅回答、
  仅阅读、两者均允许或均关闭。新回顾不自动加入已选范围。
- 明确授权共享的正文副本可进入共享内容存储；这不授予访问底层个人记忆库的能力。
  关闭某一分身入口不撤销知识库其他有效授权；撤销来源授权阻止依赖该授权的新读取和回答，
  已发出的内容按历史保留规则处理。
- 首期服务端范围为已登录组织成员。个人“持有链接”匿名访问仅为 demo 概念，真实匿名发布、
  身份及滥用控制需另行设计，不以该 demo 改变第 3.2 节的匿名能力调用排除项。

## 5. 产品验收

工作空间、同步、成员消息和资料共享按 [用户故事](./user-stories.md) 的 `US-WS-01` 至
`US-AV-01` 验收，覆盖正常、离线、撤销、重复提交、受众限制和接手竞争场景。

- 新实例可完成初始化、登录、创建组织、邀请成员和注册真实桌面设备。
- 两个不同组织不能通过 API、搜索、计数、错误或审计结果读取对方数据。
- 设备只有发布能力后才进入获准目录，撤销后不能接收新任务。
- 调用授权能同时处理用户、设备、组织、提供者、数据和联邦限制。
- 任务中继关闭时控制面仍可运行；中继开启时可取消并形成准确终态。
- 权限扩大的包更新不能自动部署。
- 两个独立 ShareServer 能建立、使用、暂停和撤销双边联邦。
- 成员可以显式发布一个数字人，获准的同组织成员能从选择器插入 `@handle` 并完成一次有界
  调用；未获准成员不能通过目录、搜索、补全或直接 API 枚举和调用该数字人。
- 暂停或撤销数字人后不能创建新调用，已完成任务与有界审计仍可追溯到原 Publication 和
  provider。
- 数字人调用可以使用所有者在发布时勾选的 Agent、Global、指定 Project 或指定 Automation
  分区，但不能开放 Conversation 和 Run；ShareServer 和调用者不能读取原始记忆、未选择的
  本地分区或通过该记忆权限读取来源正文。FR-18 另行发布的共享副本按自身授权读取，不能由
  此取得底层记忆分区的浏览权限。
- 启用 Office 服务后，Windows、macOS 和 Linux Desktop 可从同一 ShareServer 分别打开、编辑
  和保存 DOCX、XLSX、PPTX；多个会话不会串文件、选区、checkpoint 或权限。
- 文件 URL、callback token 和编辑器启动授权过期或撤销后不可重用；保存失败、源文件冲突或
  网络结果未知不会被 ShareServer 记录为源文件已保存。
- Office 服务停用或故障不影响身份、设备、能力目录和其他任务控制面。
- Agent 实时编辑按 [Office 用户故事](../../../../goodbuddy/docs/features/office-document-editing/user-stories.md)
  的 `US-C1` 至 `US-C7` 验证；集中部署和选型按 `US-F1`、`US-F2` 验证，不以部署成功代替产品验收。
- 备份恢复后组织、策略、发布和审计身份保持一致，短期连接和令牌不恢复。