goodbuddy-shareserver/docs/features/share-server/user-stories.md

工作空间共享与数字分身用户故事

日期：2026-09-28。状态：需求设计，尚未完成生产实现。

本文记录本轮客户端协作场景、验收用例和需求追踪。功能范围由 PRD 定义， 状态与优先级由 功能逻辑 定义；此前管理员、设备和联邦场景继续由 PRD 覆盖。 Office 服务需求见 PRD 的 FR-14；右侧 Agent 编辑、三类文件操作与选型验证由 Office 用户故事 的 US-C1 至 US-C7、US-F1 和 US-F2 定义。客户端 demo 的覆盖范围见 实施进度。

US-WS-01 创建本地工作空间

作为用户，我希望创建多个工作空间，按主题整理资料和消息，再决定哪些空间需要共享。

关联：FR-15。

• 未登录组织时仍可创建两个本地空间，默认关闭共享，不向 ShareServer 注册或上传内容。
• 两个空间拥有独立的消息、资料关联和共享设置；改名不改变空间身份。
• 对已有空间开启共享时保留本地空间身份，不要求复制为另一类工作空间。

US-WS-02 开启共享并选择成员

作为空间所有者，我希望把指定空间共享给组织内选定成员，明确共享范围。

关联：FR-15、FR-5。

• 未加入有效组织时，开启共享提示先加入组织，本地空间仍可使用。
• 选择一个组织、空间成员和共享内容后提交；服务端确认前显示“待开启共享”。组织成员不自动成为空间成员。
• 开启前可预览将共享的已有内容；未选择的本地历史、文件和个人记录不会被整体上传。
• 无权管理空间的成员不能修改成员名单或开启、关闭共享；组织管理员身份本身不授予正文读取权。
• 后续添加成员时重新检查历史正文、附件和上下文的受众授权。存在不兼容内容时拒绝扩大成员范围， 不让新成员通过历史同步或直接内容链接读取；管理者需先取得授权或移除相关共享内容再提交。
• 首期一个共享关联只属于一个组织；切换组织须关闭原关联后重新授权，不迁移原组织成员和协作内容。

US-WS-03 资料定期与按需同步

作为空间成员，我希望按需或定期同步资料，并查看服务端对本地修改的接收结果。

关联：FR-16。

• 每个共享空间独立选择资料按需或定期同步；提供“立即同步资料”，定期模式显示周期和最近成功时间。
• 两个在线客户端开启资料定期同步后，甲提交的获准资料修改在乙下一次成功周期内出现，无需发送消息。 暂停资料自动同步后不再周期拉取资料；恢复后从已确认进度继续，离线错过周期不重复应用变更。
• 资料按需模式或暂停自动同步期间，在线成员仍实时收到消息、公开回复和处理状态，不等待资料周期。
• 同步部分失败时，已确认条目保持成功，未确认条目可重试；权限冲突不能显示为全部同步成功。
• 离线时明确提交的资料同步在重连后恢复同一次请求；未提交的本地资料不因消息重连而自动上传。

US-WS-04 暂停资料同步与关闭共享

作为空间所有者，我希望控制更新频率，也能撤销空间访问，而不会误删本地空间。

关联：FR-15、FR-16。

• 暂停资料自动同步后，定期资料交换停止，服务端已有内容仍按原权限可访问；手动资料同步继续可用， 消息收发、通知、处理状态与离线补收不受影响。
• 关闭共享前显示对成员访问和未同步内容的影响。离线关闭显示“待关闭共享”，立即停止本端普通上传，但不宣称服务端已撤销。
• 联网后优先提交关闭请求；服务端确认后拒绝新读取、同步和回复发布。本地空间继续存在，未发送内容保留为本地内容。
• 关闭共享不会自动删除已下载副本；历史证据按保留策略处理。重新开启建立新共享关联，旧队列不能自动发送。
• 开启请求已被服务端接受但确认丢失时，用户仍可关闭。重连后用同一开启操作身份查明关联并撤销， 不能因本端还显示“待开启”就只删除本地开关，留下可访问的服务端空间。

US-WS-05 成员离开与访问撤销

作为空间成员，我希望成员离开组织或空间后，相关数据和消息不会继续向其同步。

关联：FR-15、FR-17。

• 成员被移除后，即使旧客户端仍显示其姓名，发送与同步也会被服务端拒绝，不能改发给同名成员。
• 被移除者的旧凭据不能拉取新内容、提交离线消息、确认草稿或发布回复；待处理消息保留“接收者不可用”的原因。
• 已发布内容保留作者归属；撤销不能保证擦除对方已经保存的副本。
• 空间所有者离开组织时，服务端关闭共享关联，保留本地空间；首期不自动转移所有权。

US-MSG-01 提及成员与请求处理

作为发起者，我希望提及成员参与讨论，需要他处理问题时再明确发起处理请求，并选择上下文。

关联：FR-17。

• 选择器只返回当前空间内获准联系的有效成员，重名时显示可区分身份。提及可用于通知，首期每个 明确的处理请求只有一个处理人；提及列表和处理人分别保存。
• 输入自由文本 @姓名 不能代替身份选择。“之前和 @张明 讨论过”只产生提及通知，即使张明 开启分身先处理，也不创建任务、调用模型或产生待处理事项。
• 开启“请求处理”并选择处理人后才进入本人／分身处理流程；未选择处理人时拒绝提交处理请求。 未发布数字分身的成员仍可接收本人处理请求。
• 发送前显示提及成员、处理人（如有）、正文、附带清单和线程可见范围；空间线程对获准空间成员可见。
• 选择某条消息或文档后可预览具体内容；发送保存版本与内容快照，原文变化不默默改写已发送上下文。
• 附件发送前校验整个线程可见范围的授权，不能借 @ 转发无权共享的资料；个人对话和监督记录不自动附带。
• 明确附带的资料版本须先上传完成并通过授权校验，服务端才确认消息已发送；准备失败时保留待发送内容， 不让处理人收到缺少必要附件的请求，也不连带触发整个知识库同步。

US-MSG-02 设置分身处理方式

作为处理人，我希望按空间设置处理请求的本人处理、分身先回复或分身起草方式，并保留回复控制权。

关联：FR-17、FR-13。

• 新空间默认本人处理。选择分身方式时明确关联本人一个已授权分身及其可用来源；个人访客入口开关与空间授权分别设置。
• 处理请求要求“本人确认”时进入本人待处理，不自动发布分身回复；修改普通偏好只影响后续被服务端接收的处理请求。
• 分身先回复的消息明确标记 AI 身份；分身起草的文本只对接收者本人及获准执行该任务的分身可见，不进入公开线程或普通审计正文。
• 其他成员的实时事件、消息历史和离线补收中都不含草稿正文；本人确认后仅广播获准发布的最终版本。
• 分身离线、未授权或执行失败时显示原因，保留给同一成员处理；不能悄悄改用其他分身或自动扩展资料范围。
• 接收者可暂停空间内分身处理；执行中权限收紧或撤销在下一执行、发布边界复核，不能依赖旧偏好继续发布。

US-MSG-03 确认草稿和本人接手

作为接收者，我希望编辑草稿后回复，或者接手分身正在处理的消息。

关联：FR-17。

• 本人编辑并确认后发布的是该次确认的文本版本，公开线程标记“本人确认发送”；授权审批通过不能代替此确认。
• 本人接手后保留已发布的分身回复，后续回复标记本人身份。
• 本人接手与分身完成同时发生时，以服务端处理状态版本决定先后；接手生效后的迟到结果不能自动发布。
• 多设备重复确认或重复同步同一回复只生成一条可见回复；权限已撤销时拒绝发布并说明原因。
• 两台设备提交同一草稿的不同编辑时，首个成功确认生效，另一个返回版本冲突并保留本地编辑； 本人接手后才到达的旧草稿确认被拒绝，不因使用不同回复 ID 而多发一条。

US-MSG-04 实时讨论与离线补收

作为空间成员，我希望直接发布普通消息、在线讨论，并在重连后补齐遗漏的消息与回复。

关联：FR-16、FR-17。

• 一个共享空间对应一个群会话，支持普通消息和回复线程。不提及任何人也可发送消息，不自动进入处理流程。
• 甲发送普通消息，在线的乙无需手动刷新或等待资料同步周期即可看到；同样验证公开回复和处理状态更新。
• 离线发送显示“待发送”，服务端持久接收后显示“已发送”。已发送不表示已读、已执行或本人确认。
• 服务端已接收但确认丢失时，重试保持同一消息身份；多个设备和推送重复不会产生重复消息或重复 AI 执行。
• 断线后补收消息、回复及处理状态；可分页查阅历史，实时事件与历史重叠时按稳定身份及版本合并， 不因乱序事件使“本人已接手”退回“分身处理中”。
• 实时组件短暂故障不丢弃已被服务端接收的消息，恢复后能继续投递；补收事件不能重新执行分身任务。
• 成员被移除后，旧实时连接不能继续取得新正文，历史与补收接口同时拒绝；已经取得的副本按既有规则处理。
• 首期验收限于空间群会话，不提供私聊、音视频、已读回执、正在输入或分身逐字广播；“已发送”不得呈现为“已读”。

US-KB-01 复用共享知识

作为资料所有者，我希望知识库既可独立共享，也可被数字分身或工作空间复用，不必重复维护。

关联：FR-18。

• 同一来源可以关联多个入口，各入口仍按自己的受众和动作授权；关联不自动扩大原资料范围。
• 团队知识库关联到公开入口时，未取得新增受众授权的资料不能被检索或返回。
• 停用某个分身入口不关闭知识库的独立共享；撤销来源授权后，依赖该授权的入口停止新的读取和引用。
• 来源更新记录版本及同步结果；未同步的最新修改不能被展示为服务端已有内容。缓存不能延长已撤销权限。

US-AV-01 配置个人分身及监督回顾

作为用户，我希望以明确的身份与提示词配置分身，并选择愿意授权使用的知识和监督回顾。

关联：FR-13、FR-18。

• 开启分身不自动共享全部信息流、记忆分区或回顾；提示词也不产生资料访问授权。
• 对选定回顾分别授予“用于回答”和“查看原文”；只允许回答时隐藏原文，只允许阅读时不能被分身检索用于回答。
• 授权给组织空间不自动授权给个人外部访客；新产生的回顾不自动加入已有选定范围。
• 发布回顾原文须明确选择共享内容与受众，不借此开放底层个人记忆库。两种授权均撤销后，新请求不能读取或使用该回顾。
• 从两种授权均允许改为仅阅读时，阅读继续可用，新的检索及尚未发布的相关回答被阻止；改为仅回答时， 新的原文请求被拒绝，但分身仍可按回答授权使用。阅读共享副本不授予浏览底层记忆分区的能力。
• 未知或资料不足的问题明确说明；AI 回复不能自动形成所有者的报价、交付或其他本人承诺。

逻辑审查记录

本轮发现并修正的设计问题：

问题	修订结论	权威位置
工作空间被建模为加入组织后才存在的对象	本地空间先存在，共享是可选属性	FR-15
@数字人 和 @成员 混用	成员提及与能力调用分开；显式处理请求在分身授权有效时才触发能力调用	FR-13、FR-17
提及被直接当成处理请求	提及只通知；显式请求才进入本人／分身处理	FR-17、逻辑 5.1
消息跟随资料周期延迟送达	消息与处理状态实时传递，资料按策略同步	FR-16、US-MSG-04
本地保存被当成送达和处理成功	同步、消息交付、处理结果分开记录	逻辑 2.8、2.9
暂停同步与撤销访问混用	暂停资料自动交换不影响消息，关闭共享等待服务端确认	逻辑 2.8
审批和本人确认混用	策略审批只授予动作资格，本人确认绑定回复版本	逻辑 5.1
关联知识库被理解为继承全部权限	按来源、入口受众与动作求交集	逻辑 5.2
原文禁止规则与显式回顾分享冲突	私有记忆继续本地检索，选定回顾另行发布共享副本	FR-18
本人接手后迟到 AI 回复仍可能发布	处理状态版本在发布前检查	逻辑 5.1

待定事项：资料同步默认周期、容量与保留期限、实时消息的目标延迟，以及匿名分享的真实身份和滥用控制方案。 首期组织协作按登录成员验收；持有链接的匿名阅读与对话仍为 demo 概念，不算已确定的服务端交付。 消息实时收发取代上一版“发送触发空间同步”的表述。“所有者离开即关闭共享”保留为设计默认值。