做过一次完整的权限委托，却发现被委托人根本看不到文件——这不是偶然现象，而是企业云盘权限体系设计中的结构性缺陷。这里我们聊三个典型场景，把这个问题说清楚。
项目PM把一份规格说明书发给工程师，让他帮忙review。PM在云盘里给工程师开了子文件夹的访问权限。工程师登录之后，发现文件夹是空的——这不是技术故障，而是权限委托模型和文件夹树结构之间的深层矛盾。
PM打开文件夹属性，点了"授权访问"，把子文件夹的读写权限给到了工程师的账号。工程师这边呢，他看到的文件夹确实是空的。规格说明书在里面，但他打开看到的是初始状态，文件夹里没有任何文件。问题出在"新建文件的时间差"上——PM赋予权限的那一刻，文件夹里已经存在的文件不会自动纳入权限继承链。新文件上传之后，如果没有触发权限同步事件，就仍然处于"未授权可见"状态。这在大多数企业云盘的权限体系里，是默认行为，而不是bug。
还有一层更难察觉的问题：PM委托的是子文件夹，但子文件夹里工程师自己创建的新子文件夹，不会自动继承PM的委托权限——委托范围只覆盖当时的文件夹树结构，不覆盖后续生长的节点。这叫做"单向继承"，不是什么特殊设计，几乎所有主流产品都是这样运转的。这个场景暴露的是：权限委托本质上是基于"某个时间点的文件夹快照"，而不是"文件夹随时间变化后的持续可见性"。做委托的人以为授权了一次就解决了问题，实际上系统处理的是"这一刻的目录结构"，后续的变化不在这个授权的覆盖范围内。
这个场景里，四个权限继承失效的节点值得单独列出来：向上继承（子文件夹权限不到父文件夹）、向下继承（新创建的子文件夹不在原始委托范围内）、新建文件继承（上传新文件不自动触发权限同步）、跨目录继承（不同目录间的引用关系不在权限模型内）。设计完善的权限体系应该把这四个方向都覆盖到，但市面上大多数产品只覆盖了其中一到两个方向，剩下的靠管理员手动维护。
跨部门协作是第二个典型场景。市场部要做季度方案，需要设计部提供一套视觉素材，双方用的是同一套企业云盘。市场部的人发现只能看到设计部的共享目录，但看不到具体项目文件夹的内容——权限在部门这一级做了隔离。安全部门给出的理由是：设计部目录里包含财务相关的子文件夹，默认不能让外部部门看到。市场部需要的是那套视觉素材的访问权，但系统给的是"整个设计部目录的可见性"。这是权限粒度的典型错位：协作的需求发生在"项目"这一级，但权限模型从"部门"这一级开始构建，两者根本不在同一个维度上。
市场部最后选择了最简单的方式：在聊天软件里找设计部的人要文件，设计部的人发过来，双方都认为这是"正常的协作方式"。安全部门事后查日志，根本查不到这次文件外发记录——因为根本没有经过系统。权限真空的结果不是"协作被阻止"，而是"协作绕过了系统"，后者比前者更危险，因为它把文件流动从可审计的通道转移到了完全不可见的通道。
这类问题的根源在于：RBAC模型擅长描述"一个人在某个角色下能做什么"，但跨部门协作的核心需求是"某人在某个具体任务上需要访问什么"。角色是固定的，任务是临时的。当任务涉及多个部门的资源时，RBAC模型要么创建一个庞大的临时角色（权限边界模糊），要么为每个任务单独建一个虚拟空间（管理成本极高）。中间没有好的解决方案，所以实践中就退化成了"用聊天工具发文件"这种绕过系统的做法。
第三个场景更隐蔽：员工要把一份合同文档发给外部律师审阅。云盘支持生成带过期时间的外部链接，对方无需登录即可查看。文档发出去之后，企业内部管理员把这篇文档的权限改成了"仅内部可见"。但是外部律师那边，只要在过期时间之前已经下载了文档，本地就有一份完整副本，过期链接对这个副本没有任何约束力。这暴露了一个根本矛盾：云端权限控制的是"访问行为"，但约束不了"访问之后的行为"。
外部链接的访问控制是云端行为，不是终端行为。只要对方在有效期内完成了访问，云端可以撤销权限，但对方终端上的那份文件不受影响。这不是权限模型设计的问题，而是"文件一旦离开系统就进入失控状态"这个技术事实。传统解法是限制"只读"和"禁止下载"，但只读只对在线预览有效，浏览器缓存、截图工具、OCR识别都可以绕过。禁止下载的实现方式是"不提供下载入口"，而不是"终端无法获取文件数据"——这是两回事。
防截屏水印的作用是在发生泄露时能够追溯来源，但做不到防止泄露本身。它是一种事后溯源手段，不是安全管控手段。日志记录了所有访问行为，但日志的完整性和文档实际流转路径之间没有必然对应关系——对方截图发给了同事，日志里只有对方一人的记录。这些手段各自解决了一个局部问题，但合在一起也不构成完整的答案。
三类场景的共同问题在于：权限体系默认"一次授权 = 持续有效"，但实际工作环境里，文件夹结构在变化，人员归属在调整，文件在不断外发。权限体系处理的是"某个时间点的状态快照"，而不是"这个状态随时间的持续有效性"。做权限设计时，首先要区分清楚"谁在什么场景下需要什么级别的访问"，而不是先划分部门再填充权限。其次，外部共享必须被当作正式的业务行为来对待，而不是一个方便工具。
落到具体的功能需求上：权限模型需要支持组织层级、属性标签、项目等多维度映射，确保跨部门协作时权限能精确到"这个项目需要的这批文件"而不是"整个部门的全部内容"。权限管理必须是持续性的，文件夹结构变化或人员调整时要能自动触发权限重算，而不是靠管理员手动维护。文件外发要能追踪到文档级别的访问记录，而不是链接级别的粗粒度控制。当这些能力真正落地可用的时候，权限分配和权限可用才能对上号，"最后一公里"的问题才算真正解决。
