feat: harden tenant access and production operations

2026-08-24 22:02:22 +08:00
parent ffb27d845b
commit 9811469a64
18 changed files with 709 additions and 36 deletions
@@ -22,7 +22,7 @@
              └── 模型连接器、Runner、资产存储策略
 ```

-组织解决客户和计费隔离，工作区解决团队协作隔离，项目解决内容访问和交付隔离。一个用户可以加入多个组织，在同一组织中进入多个工作区；项目默认继承工作区成员，但敏感项目可以额外配置 project member。
+组织解决客户和计费隔离，工作区解决团队协作隔离，项目解决内容访问和交付隔离。一个用户可以加入多个组织，在同一组织中进入多个工作区；普通工作区成员默认可以访问工作区项目，项目级邀请则使用 `workspace_members.access_mode = project-only` 和 `project_guest` 角色，只能进入显式授权的项目。

 ## 角色模型

@@ -35,6 +35,7 @@
 | 工作区 | `art_director` | 角色/场景/道具锁、参考图、prompt、连续性 |
 | 工作区 | `voice_editor` | 声线锁、TTS、字幕、ASR 对齐 |
 | 工作区 | `reviewer` | QA、审片意见、通过/驳回 |
+| 工作区 | `project_guest` | 只进入被授权项目，不继承工作区其他项目和生成权限 |
 | 项目 | `project_editor` | 指定项目内容编辑 |
 | 项目 | `project_viewer` | 只读查看、下载被授权的交付物 |

@@ -48,7 +49,7 @@
 - `organizations`：租户、slug、部署模式、所有者。
 - `organization_members`：用户加入组织的角色、邀请状态。
 - `workspaces`：组织下的生产空间。
- `workspace_members`：工作区角色。
+- `workspace_members`：工作区角色和访问范围；`access_mode=project-only` 只允许显式 `project_members` 项目。
 - `projects`：工作区下的系列、模板或客户项目。
 - `project_members`：项目级额外授权。
 - `invitations`：待接受邀请，不把邀请误当作已加入成员。