【安全与管控篇】协同不代表权限开放：深度定制协同环境下的权限与版本追踪

实时协同为团队带来了前所未有的效率提升，但对于企业管理者和架构师而言，硬币的另一面是深深的焦虑：“如果每个人都能实时修改，数据被误删了怎么办？”“如何确保敏感数据不被未授权的用户触碰？”“当一份报表由于多人编辑出现逻辑错误时，谁来负责？如何还原？”

在企业级应用中，没有管控的协同是混乱的源头。SpreadJS 协同插件深谙此理。它不仅提供了极致的同步性能，更构建了一套严密的安全管控体系。

作为系列文章的第五篇，我们将深入探讨 SpreadJS 如何通过精细化的权限模型、服务端中间件校验以及完善的操作审计机制，让协作在“安全”的轨道上高速运行。

一、 身份定义：谁在参与协作？

安全的第一步是识别身份。在 SpreadJS 的协同世界中，每一个连接都被赋予了明确的“用户（User）”画像。

通过 IUser 接口，开发者可以定义丰富的用户信息：

• id：用户的唯一标识符，是所有审计追踪的核心。
• name：用于在 Presence 视觉效果中显示的名称。
• permission：这是核心，它直接决定了用户进入协同房间后的“能力边界”。

// 定义一个具有特定权限的用户
const user = {
    id: "finance_manager_001",
    name: "王经理",
    permission: {
        mode: GC.Spread.Sheets.Collaboration.BrowsingMode.edit // 编辑模式
    }
};

二、 浏览模式（BrowsingMode）：平衡个人分析与团队协作

在传统的协作软件中，“只读”往往意味着用户什么都动不了。但在 Excel 场景下，这非常不方便——我可能只是想临时排个序、加个筛选来观察数据，但我并不想影响别人的视图。

SpreadJS 提出了精妙的浏览模式设计：

1. 编辑模式 (Edit Mode)

用户拥有完整权限，所有的修改（Op）都会通过协同服务器广播给所有人。这是团队共同创作的舞台。

2. 查看模式 (View Mode)

这是 SpreadJS 权限设计的点睛之笔。在查看模式下，默认禁用所有会改变数据一致性的命令。但通过 PermissionTypes，开发者可以赋予“查看者”特定的本地操作权限：

• allowFilter / allowSort：允许用户在本地进行筛选和排序，方便数据分析。
• allowResizeRowsOrColumns：允许用户调整列宽以看清内容。
• 核心策略：这些操作产生的变更仅在本地生效，不会生成协同消息发送给他人。这完美解决了“我想看我的，但不想乱了大家的”这一典型痛点。

三、 服务端中间件：协作环境的“安检员”

前端的权限控制是为了优化用户体验，而服务端的校验则是为了兜底安全。SpreadJS 协同服务器允许开发者通过“中间件（Middleware）”逻辑，在操作到达核心引擎之前进行拦截。

1. 连接认证 (Connect Middleware)

当客户端尝试连接协同房间时，服务器会拦截 connect 操作。在这里，你可以接入企业现有的单点登录（SSO）或 JWT 认证系统。

server.use('connect', async (context, next) => {
    const token = context.connection.auth?.token;
    if (!verifyToken(token)) {
        return await next(new Error("身份验证失败")); 
    }
    // 将解析出的用户信息存入 Tags，供后续权限检查使用
    context.connection.tags.set("userRole", "viewer");
    await next();
});

2. 操作权限校验 (Message Middleware)

即使用户已经进入了房间，他的每一条“修改指令”依然要经过审核。例如，你可以规定“只有 Role 为 Editor 的用户能提交 submit 操作”。

如果一个“查看模式”的用户通过非法手段发送了修改指令，服务端中间件会直接驳回并返回“无编辑权限”的错误。

四、 版本追踪与回溯：协作的“后悔药”

在多人高频协作中，最怕的是“改错了却找不回原版”。SpreadJS 协同插件利用 js-collaboration-ot 的底层能力，提供了完善的版本管理机制。

1. 操作历史（getOps）

服务器持续存储所有的操作（Op）。通过 getOps(roomId, fromVersion) 接口，开发者可以像翻阅流水账一样，看到在某个时间段内，谁在哪个位置做了什么修改。这为企业审计提供了最直接的证据。

2. 历史快照预览（fetchHistorySnapshot）

如果文档状态变得混乱，你可以调用该 API 获取特定版本号（Version）的完整快照。

• 应用场景：在侧边栏展示一个“历史版本”列表，点击某一项，利用 SpreadJS 的预览功能加载该版本的快照。用户可以清晰地看到“三小时前”的文档长什么样。

3. 强制回滚（hardRollback）

当确定需要放弃当前所有的混乱修改时，可以通过 hardRollback() 将文档强制同步到某个已知的正确版本。这是企业数据治理的最后一道防线。

五、 核心价值：为什么企业需要这种级别的管控？

1. 合规性与审计（Compliance）：金融和医疗行业对数据变更有严格的审计要求。SpreadJS 提供的 Op 级追踪确保了每一笔账目的改动都有据可查。
2. 降低误操作风险：通过查看模式下的本地分析功能，减少了用户因误点导致的意外同步，保护了核心生产数据的稳定性。
3. 业务系统的灵活性：开发者可以根据业务状态动态调整权限。例如：当流程进入“审批中”状态，通过中间件将所有协同用户的权限瞬间锁定为“查看模式”。

六、 结语：让协作更自由，让管理更从容

安全与协同并不是一对矛盾。SpreadJS 通过身份标识、多级权限和版本追踪，为企业构建了一个“既开放又受控”的数字化空间。在这里，团队可以尽情释放创造力，而管理者始终掌控着数据的全局。

至此，我们已经深入探讨了 SpreadJS 协同功能的全部核心技术细节。那么，如何将这些散落的“珍珠”串成一条完美的“项链”呢？

在系列的最后一篇文章中，我们将回归实战。【实践篇】从零到一：手把手教你搭建一套企业级 SpreadJS 协同设计器，带你从第一行代码开始，构建出属于你自己的高效协作平台。敬请期待。

安全配置清单：

• 前端：配置 IUser.permission 设置本地行为。
• 后端：实现 server.use('connect') 拦截非法进入。
• 后端：实现 server.use('message') 拦截非法修改。
• 存储：配置持久化适配器（PostgreSQL/SQLite）以保存历史操作流。