空间权限和文档级权限解决的是两个不同层面的问题：空间权限决定“谁可以进入这个空间、以什么角色参与”，文档级权限决定“这一篇文档给谁看、谁可以编辑或分享”。两者是层级关系，先由空间权限划定人员与内容的大边界，再由文档级权限在大边界内做精细授权。理解这一层关系，才能判断哪些内容靠空间管理就够，哪些需要逐篇设置。
要点总览（TL;DR）
- 空间权限管成员准入和内容分区，文档级权限管单篇文档给谁看、谁可编辑或分享，两者是层级关系，先空间后文档。
- 空间权限集中设置、维护点少，适合按团队或项目划分内容；代价是粒度粗，空间内敏感文档可能被不该看的人看到。
- 文档级权限适合敏感文档、跨团队临时协作和单篇共享，精度高但逐篇维护成本大，人员变动后容易留下未回收的授权。
- 组合原则：默认用空间权限，出现“只给少数人看”“只看这一篇”“结束后要收回”三类需求时再叠加文档级权限。
- 某类文档反复需要单独授权，说明空间划分需要调整，应考虑为这类内容建立独立空间，从源头减少例外。
空间权限与文档级权限的核心区别
空间权限的授权对象是空间成员及其角色，作用范围覆盖该空间内的内容类别。管理员把一个人加入空间并赋予角色，这个人就能按角色看到空间内的相应内容，无需对每篇文档单独操作。文档级权限的授权对象是单篇文档及其协作者，作用范围限于这一篇文档，可以单独指定谁查看、谁编辑、谁分享。
两者的关系是包含而非替代：空间权限先回答“这个人能不能进入这个内容区域”，文档级权限再回答“进入之后，这一篇具体能做什么”。只做空间权限，粒度偏粗；只做文档级权限，文档一多就难以维护。下表按同一口径对照六个维度。
| 对比维度 | 空间权限 | 文档级权限 |
|---|---|---|
| 授权对象 | 空间成员及成员角色 | 单篇文档及其协作者 |
| 作用范围 | 整个空间内的内容 | 指定的某一篇或某一组文档 |
| 权限粒度 | 较粗，按角色划分读写等权限 | 较细，可到单篇、单人、单个动作 |
| 典型场景 | 按团队、项目或业务线划分内容分区，控制成员准入 | 敏感文档、跨团队临时协作、单篇对外或跨部门共享 |
| 管理成本 | 集中设置、可复用，成员变动时维护点少 | 逐篇维护，文档多、人员流动频繁时成本明显上升 |
| 主要风险 | 粒度过粗，空间内敏感文档可能被不该看的人看到 | 授权分散易遗漏回收，形成长期残留的“孤儿权限” |
从表中可以看出，两者的成本与风险正好互补：空间权限用集中管理换取效率，代价是精度；文档级权限用精度换取控制力，代价是维护量。选择的关键在于判断某类内容需要多细的控制，以及组织是否有人力持续维护这些细粒度授权。
空间权限的适用范围、管理成本与风险
空间权限适合按团队、项目或业务线划分内容分区的组织。例如研发团队一个空间、市场团队一个空间、某个重点项目一个空间，成员按所属团队加入对应空间，空间内的常规文档、会议记录、项目资料按角色开放读写。这种划分方式让成员准入和内容分区一次完成，日常新增文档自动落在既有边界内，不需要每篇重新授权。
配置时以成员和角色为单位：先确定空间需要哪几类角色，再明确每类角色能读、能写、能管理哪些内容，最后把成员归入角色。角色划分宜少而清晰，角色越多，成员归属越容易混乱，权限实际效果越难预期。成员入职、转岗、离职时，只需在空间层调整其角色或移除成员，影响范围覆盖空间内全部内容，维护点集中。
空间权限的风险主要来自粒度。空间内一旦放入敏感文档，所有具备该空间查看权限的成员都能看到，即使这份文档只应给少数人。另一类风险是角色划分不清：为了省事给成员过高角色，或长期保留已不合适的角色，都会让权限范围超出实际需要。控制方法是定期复核空间成员清单与角色分配，并把明显敏感的内容从通用空间中分离出去。
文档级权限的适用范围、管理成本与风险
文档级权限适合处理例外和敏感场景：薪酬方案、合同草案、尚未公开的战略材料，只应给少数人查看；跨团队临时协作中，外部成员只需要看某一篇文档而不应进入整个空间；单篇文档需要对外或跨部门共享时，也适合在文档上单独授权。这些场景的共同点是“范围小、要求细”，用空间权限处理会牵连过多内容。
配置时针对单篇文档设置协作者及其权限，区分查看、编辑、分享等动作，按实际需要逐项授予。授权前先明确这份文档的读者是谁、需要他们做什么、协作结束后是否收回，再决定授予范围。对于临时协作，宜在协作开始时记录授权对象和预期结束时间，避免文档长期处于开放状态。
文档级权限的成本随文档数量和人员变动上升。文档越多，逐篇检查越难覆盖；人员转岗或离开后，散落在各篇文档上的授权容易遗漏回收，形成无人察觉却仍然生效的“孤儿权限”。当文档级权限与空间权限叠加时，还需要明确两者的生效关系：空间成员是否自动获得空间内文档的访问权、单篇限制能否收紧空间授予的权限。这一规则因产品实现而异，配置前应向产品方确认继承与优先级的具体处理方式，再决定敏感文档放在哪个空间、是否需要额外限制。
组合使用原则与选择建议
组合的基本顺序是先空间后文档：先用空间权限划定人员与内容的大边界，让常规内容在空间内按角色自然流转；再对敏感或跨边界的内容叠加文档级权限。这样大部分文档不需要单独设置，管理成本集中在少数真正需要精细控制的文档上。
可按内容敏感度分层处理：常规项目资料、团队日常文档依靠空间权限；涉及人事、合同、未公开决策的材料，放入受限空间或单独设置文档级权限；跨团队、跨部门的临时协作，优先用文档级授权，避免把外部人员加入整个空间。文档级授权的数量应有意识控制，授权时记录对象与用途，并按固定周期复核，协作结束或人员变动后及时回收。
成员或组织调整时，优先在空间层处理：转岗人员调整空间角色，离职人员从空间移除，一次操作覆盖空间内全部内容，减少逐篇改动带来的遗漏。只有在空间层无法表达例外需求时，才追加文档级设置。
可以用一条简单判断路径做决策：默认使用空间权限；当出现“这份文档只给少数人看”“这个人只需要看这一篇”“协作结束后要收回”三类需求时，再叠加文档级权限。若某类文档反复需要单独授权，说明空间划分本身需要调整，应考虑为这类内容建立独立空间，从源头减少例外。
在ONES中，这一组合有对应的承载方式。ONES Wiki支持为多种角色配置不同的读写权限，适合在空间层完成成员准入与角色划分；ONES企业知识库管理解决方案提供从所有页面到单个页面、从内容编辑到内容导出的不同维度、不同颗粒度权限管控，可用于在空间边界内对单篇页面做更细的授权。协同编辑与页面共享能力支持成员协作，权限系统用于保障内容安全。需要说明的是，空间与单页权限叠加时的继承与优先级规则，官方资料未作说明，落地前应向产品方确认；各版本在权限能力上的差异同样需要按实际版本核验。
落到执行上，可以先做三件事：梳理现有空间划分，确认每个空间的成员与角色是否与业务边界一致；标记出空间内不应广泛可见的敏感文档，评估是移入受限空间还是加文档级权限；建立文档级授权的登记与定期复核机制，让精细授权始终处于可控数量。这样空间权限承担日常管理，文档级权限只处理真正的例外，两者配合才能兼顾安全与维护成本。
常见问题
空间权限和文档级权限同时设置时，以哪个为准？
这取决于产品对继承与优先级的实现方式，没有统一答案。配置前需要确认两点：空间成员是否自动获得空间内文档的访问权，以及单篇文档上的限制能否收紧空间授予的权限。在规则明确之前，敏感文档宜放入成员范围本身就受限的空间，减少对叠加规则的依赖。
团队规模不大，是否只用空间权限就够了？
如果内容敏感度差异小、成员流动不频繁，空间权限通常足以覆盖日常管理，逐篇授权反而增加维护负担。出现人事材料、合同草案这类只应少数人查看的内容时，再对这部分文档单独设置权限。判断依据是内容敏感度分布，而非团队人数。
文档级权限设置多了以后，怎么避免遗漏回收？
授权时记录对象、用途和预期结束时间，按固定周期复核清单，协作结束或人员变动后逐项回收。若某类文档反复出现在授权清单里，说明它不适合放在当前空间，应考虑移入独立空间，用空间边界替代逐篇设置。
成员转岗或离职时，应该先改空间还是先改文档？
优先在空间层处理：调整空间角色或移除成员，一次操作覆盖空间内全部内容。完成后再检查该成员是否在个别文档上留有单独授权，这类授权不会随空间调整自动消失，需要单独回收。
ONES 中空间权限和页面级权限如何配合使用？
ONES Wiki 支持为多种角色配置不同的读写权限，适合在空间层完成成员准入与角色划分；ONES 企业知识库管理解决方案提供从所有页面到单个页面、从内容编辑到内容导出的不同颗粒度权限管控，可用于在空间边界内对单篇页面做更细的授权。空间与单页权限叠加时的继承与优先级规则，官方资料未作说明，落地前应向产品方确认，各版本在权限能力上的差异也需按实际版本核验。
