给外部伙伴共享文档，授权约束要同时管住四件事：文档能不能外发、伙伴能看到多大范围、以什么身份在多长时间内访问、能执行哪些操作。本文给出一套可直接套用的分级判断表、授权约束清单、角色分工和完整流程示例，适用于与供应商、渠道商、外包团队等外部合作方共享交付物和说明类文档的场景。
要点总览（TL;DR）
- 先判断文档能否外发：对外交付物、产品说明、已定稿方案可共享；含合作方信息或部分内部数据的文档需脱敏审批；客户隐私、合同价格、未公开技术方案、内部评审记录和个人信息应拒绝外发。
- 授权约束从四个维度设置：可见范围取满足合作需要的最小一档，访问身份优先可识别方式，每份共享设定有效期，操作权限默认只读、按需开放评论与下载、关闭再分享。
- 角色分工要明确到人：文档所有者负责分级与申请，部门负责人或合规角色审批，知识库管理员维护权限模板与伙伴名单，项目对接人告知使用范围，回收责任在申请时即指定。
- 完整流程为分级脱敏、提交申请、审批开通、访问跟踪、到期回收归档五步，每步都有输入、输出和完成标志。
- 共享前中后逐项核对，重点检查脱敏与审批记录、范围是否最小、到期是否回收，并预设伙伴转发和权限滞留的补救动作。
先判断文档能不能外发：可共享与应拒绝的边界
授权约束的第一道关口是文档本身。文档一旦离开组织边界，后续的权限设置只能控制访问方式，无法收回已经泄露的内容。因此共享前先按文档性质分三档处理：可直接共享、审批后共享、拒绝外发。
判断依据集中在四个问题上：文档是否承载对外保密义务；内容的数据归属方是谁；是否已完成脱敏；是否处于定稿状态。四个问题中任一答案不利，就应上调一档处理。
| 分级 | 典型文档 | 判断依据 | 处理方式 |
|---|---|---|---|
| 可共享 | 对外交付物、产品说明、已定稿方案、公开资料 | 无保密义务、数据归属清晰、已定稿、不含内部信息 | 按标准权限模板共享，登记共享记录 |
| 需审批后共享 | 含合作方信息的文档、含部分内部数据的文档 | 存在保密义务但可脱敏，或数据涉及第三方 | 脱敏后提交审批，审批通过再共享 |
| 应拒绝外发 | 客户隐私、合同价格、未公开技术方案、内部评审记录、个人信息 | 保密义务明确、数据归属受限、脱敏后仍无法消除风险 | 拒绝外发；确需共享时改为提供摘要或结论 |
需要说明的是，定稿状态是常被忽略的一项。草稿中的方案往往夹带内部讨论、备选路径和未确认数据，即使主题本身可以对外，草稿也不宜直接外发。对外共享应以定稿版本为准，草稿留在内部流转。
授权约束怎么设：范围、身份、时效与操作权限
文档通过分级判断后，授权约束从四个维度配置。四个维度共同决定“谁能看到什么、看多久、能做什么”，缺一项就可能出现范围过大或权限滞留。
可见范围
可见范围分三档：单篇文档、目录、项目空间。单篇文档适合一次性交付物，伙伴只需看一份接口说明或验收报告；目录适合需要多份关联文档的场景，如一套产品资料；项目空间范围最大，仅在长期合作、伙伴需要持续跟进多个文档时使用。选择原则是取满足合作需要的最小一档，能用单篇就不用目录。
访问身份
访问身份决定伙伴以什么方式进入。伙伴账号适合长期合作、需要稳定识别访问者的场景；受限访客适合临时参与、只需查看少量文档的人员；带口令的分享链接适合无法开通账号的外部对象，口令应通过另一渠道单独告知。身份越可识别，后续追溯越容易，因此优先选择可识别身份的方式。
时效
每份共享都应设定有效期，到期自动失效，避免合作结束后权限长期滞留。有效期按合作阶段设定：交付验收期可设数周，长期合作可按季度复核续期。合作提前结束时，应主动回收而非等待到期。
操作权限
操作权限逐项开关：只读、评论、下载、再分享。对外部伙伴的默认配置是只读；需要收集反馈时开放评论；下载权限仅在对方确需离线使用时开放；再分享原则上关闭，防止文档经伙伴二次扩散。敏感文档在此基础上附加水印、禁止下载和访问日志，使每次访问可追溯到具体身份与时间。
| 约束维度 | 可选项 | 选择依据 | 默认建议 |
|---|---|---|---|
| 可见范围 | 单篇文档 / 目录 / 项目空间 | 合作所需文档数量与持续时间 | 单篇文档 |
| 访问身份 | 伙伴账号 / 受限访客 / 带口令链接 | 合作周期与访问者是否可识别 | 可识别的伙伴账号或受限访客 |
| 时效 | 固定有效期 / 按阶段续期 | 合作阶段与交付节点 | 设定明确到期日 |
| 操作权限 | 只读 / 评论 / 下载 / 再分享 | 伙伴是否需要反馈或离线使用 | 只读，其余按需开放 |
角色分工与交付物：谁审批、谁共享、谁回收
授权约束能否落地，取决于每个环节是否有人负责、有产出可查。外部共享涉及五类角色，各自的动作和交付物如下。
| 角色 | 主要动作 | 交付物 |
|---|---|---|
| 文档所有者 | 按分级表判断文档等级，完成脱敏，发起共享申请 | 分级判断结论、脱敏后的定稿文档、共享申请单 |
| 部门负责人或合规角色 | 审批需审批类文档，核对脱敏是否充分 | 审批记录（同意/驳回及理由） |
| 知识库管理员 | 配置共享策略，维护伙伴名单与权限模板 | 权限模板、伙伴名单、策略配置记录 |
| 项目对接人 | 向伙伴说明使用范围与保密要求，确认对方知悉 | 告知记录或确认回执 |
| 文档所有者与管理员 | 合作结束或到期后回收权限，归档共享记录 | 权限撤销记录、归档的共享台账 |
分工中有两个容易失守的点。一是审批与共享分离：审批人只对文档能否外发负责，共享动作由所有者执行，避免审批人顺手扩大共享范围。二是回收责任明确到人：每份共享在申请时就登记到期日和回收责任人，到期未回收的进入异常清单。
在工具层面，这类分工需要文档系统提供按角色区分的读写权限，以及从整库到单篇、从查看到导出的不同颗粒度管控。ONES Wiki 支持为多种角色配置不同的读写权限，其权限管理覆盖从所有页面到单个页面、从内容编辑到内容导出的多个维度，可作为承载上述分级与授权规则的文档底座；具体的共享对象范围与时效配置，以实际部署时的产品能力为准。
操作示例：一次外部伙伴文档共享的完整流程
以下为演示情景：某团队需向外部合作方共享一份已定稿的接口说明文档，合作期为三个月。流程分五步，每步说明输入、动作、输出与完成标志。
步骤一：分级判断与脱敏
输入为待共享的接口说明文档。文档所有者对照分级表判断：该文档属于对外交付物，已定稿，但正文中夹带了一段内部环境地址。动作是删除内部地址、替换为示例值，并确认无客户信息与个人信息。输出为脱敏后的定稿版本和分级判断结论。完成标志是文档所有者签字确认“可共享”，且脱敏版本与内部版本分开存放。
步骤二：提交共享申请
输入为脱敏版本和分级结论。动作是填写共享申请，注明伙伴名称、共享范围（单篇）、访问身份（伙伴账号）、有效期（三个月）、操作权限（只读，开放评论）。输出为共享申请单。完成标志是申请单信息完整、到期日明确、回收责任人已指定。
步骤三：审批与创建访问
输入为共享申请单。若文档属于可共享档，由部门负责人做简要确认；若属于需审批档，由合规角色核对脱敏是否充分。审批通过后，知识库管理员按权限模板为伙伴账号开通该单篇文档的只读与评论权限。输出为审批记录和权限配置结果。完成标志是伙伴账号可访问且仅能访问该文档，其他内容不可见。
步骤四：访问跟踪
输入为已开通的共享。项目对接人向伙伴说明使用范围与保密要求并取得确认；文档所有者定期查看访问记录，关注是否有异常下载或超出范围的访问请求。输出为告知确认记录和访问跟踪记录。完成标志是合作期内无越权访问，或异常已及时处理。
步骤五：回收与归档
输入为到期或合作结束的共享。动作是撤销伙伴账号对该文档的权限，确认无法再访问，并将申请单、审批记录、告知确认和访问记录一并归档。输出为权限撤销记录和归档台账。完成标志是伙伴侧访问失效，台账可查。
完成检查：共享前后的核对项
流程执行后，用以下清单逐项核对，确认授权约束真正落实。
共享前
- 分级判断结论是否形成书面记录，是否与文档实际内容一致；
- 脱敏是否完成，内部地址、客户信息、个人信息是否已清除；
- 需审批类文档的审批记录是否齐全，审批人是否有对应权限；
- 共享申请是否注明伙伴、范围、有效期和回收责任人。
共享中
- 可见范围是否取到满足需要的最小一档；
- 访问身份是否可识别，带口令链接的口令是否经另一渠道告知；
- 有效期是否已设置，到期日是否与合作阶段匹配；
- 下载与再分享是否按需开放，敏感文档是否附加水印或禁止下载；
- 伙伴是否已确认知悉使用范围与保密要求。
共享后
- 到期或合作结束时权限是否已撤销，伙伴侧是否确认无法访问；
- 访问记录是否留存，是否发现异常访问；
- 共享台账是否归档，回收责任人是否完成签字确认。
异常处理
发现伙伴转发文档时，先确认转发范围与接收方，评估是否超出原授权；同时立即收紧该文档的再分享与下载权限，必要时更换访问口令或撤销账号，并补充告知保密要求。发现权限未及时回收时，立即撤销权限，核查滞留期间的访问记录，并在台账中记录原因与补救措施，避免同类问题重复发生。
常见问题
合作方临时要求增加几份关联文档，原来的单篇共享范围不够用，应该怎么处理？
按新增共享重新走一次判断，不直接把范围从单篇扩大到目录或项目空间。先确认新增文档各自的分级结论，需要审批的先审批；再为这几份文档单独设置共享，访问身份和有效期沿用原合作约定。若合作期内确实需要持续访问多份文档，可评估改为目录范围，同时复核有效期是否需要按合作阶段续期，并在共享台账中记录范围变更的原因和责任人。
伙伴方没有企业账号，只能用带口令的分享链接访问，这种方式要注意什么？
带口令链接适合无法开通账号的外部对象，但访问者身份不可识别，追溯能力弱于伙伴账号。使用时注意三点：口令通过另一渠道单独告知，不与链接放在同一条消息里；有效期设得短一些，按交付节点设定并到期失效；关闭下载与再分享，敏感文档附加水印。合作结束后立即更换口令或使链接失效，并核查该期间的访问记录。
文档已经共享出去，后来发现里面还有未清除的内部信息，应该怎么补救？
先立即收紧该文档的访问权限，暂停下载与再分享，必要时撤销当前共享；再评估已访问方和访问时间，判断信息暴露范围。随后完成脱敏，重新走分级判断和审批，用新版本重新共享，并在告知中说明版本变更。最后在共享台账中记录事件原因与补救措施，检查同类文档是否存在相同的脱敏遗漏。
合作提前结束，但共享有效期还没到，权限要不要马上回收？
要马上回收。有效期是兜底机制，合作结束才是回收的触发条件。由申请时登记的回收责任人撤销伙伴访问权限，确认对方侧已无法访问，并把申请单、审批记录、告知确认和访问记录一并归档。若合作只是阶段性暂停、后续可能恢复，可在台账中注明暂停原因和预计恢复时间，恢复时重新确认分级与授权范围，不沿用原权限直接放开。
用文档系统承载外部共享时，应该重点确认哪些权限能力？
重点确认四类能力：能否按角色配置不同的读写权限，权限颗粒度是否细到单个页面和内容导出；能否把共享对象限定到具体人员或访客；能否设置访问有效期并在到期后失效；能否对敏感文档附加下载限制、水印和访问记录。ONES Wiki 支持为多种角色配置不同的读写权限，权限管理覆盖从所有页面到单个页面、从内容编辑到内容导出的多个维度，可作为承载分级与授权规则的文档底座；外部伙伴共享、有效期、水印与访问日志等具体配置，以实际部署时的产品能力为准。
