莲信 · 产品白皮书

第1章 前言与执行摘要

1.1 白皮书背景与目的

企业协作的需求正在从消息沟通延伸到流程处理和知识复用。请假、报销、考勤、公告、文件和跨部门填报分散在不同入口时，员工需要反复切换，管理员需要维护多套身份与权限。协作平台需要将这些工作连接起来，同时保留各业务的规则、数据归属和责任边界。

政企组织在选择协作平台时，除功能与体验外，还需要明确数据存储位置、外部服务调用范围、密钥管理方式和审计责任。私有化交付提供对部署环境与数据流向的控制能力，其安全效果取决于网络隔离、访问控制、运维制度及持续验证。

莲信是河北雄安荷纵莲横科技有限公司自主研发的私有化企业级工作平台，以即时通讯、组织目录、开放平台和安全治理为底座，组织审批、云表单、投票、考勤打卡、公告、工作日志、云盘、云文档、快传、邮箱、翻译十一类工作台应用。应用通过统一身份与组织接口协作，业务数据由所属服务维护，按启用模块形成一体化工作入口。

本白皮书介绍莲信的产品定位、整体架构、应用组织方式、安全体系与部署方案，为政企客户的选型、实施和验收提供依据。文中架构与场景说明平台的设计及组合方式；具体功能、终端覆盖、组件版本和集成范围由交付版本及验收清单界定，性能、可用性与恢复指标由目标环境中的测试和服务协议确定。

1.2 品类跃迁：从私有化即时通讯到安全智能工作平台

1.2.1 协作平台的三类形态

从能力组织方式看，企业协作系统可分为通讯工具、协同套件和智能工作平台三类形态。这些形态可以长期并存，并不对应统一的行业分期。

通讯工具围绕消息、联系人与会话组织交互，重点解决人员之间的连接、消息送达和跨端同步。

协同套件在通讯之外增加文档、会议、审批等应用，重点解决业务覆盖；身份、组织和权限的一致性决定应用之间能否顺畅协作。

智能工作平台围绕任务组织入口，通过业务接口、事件与知识检索连接应用。AI 辅助查找、填单和生成内容，关键业务操作仍由权限规则、流程状态与人工确认约束。

莲信以统一工作入口连接通讯、办公应用和智能服务，通过明确的数据与权限契约减少重复录入、信息割裂和跨系统处理成本。

1.2.2 工作台的一体化特征

工作台的一体化程度可以从三个方面评估：

• 数据同源：账号、组织和人员信息具有明确的权威来源；应用通过授权接口引用公共数据，减少重复维护，同时保留独立的业务数据与一致性边界。
• 权限协同：平台身份、组织可见性、应用发布范围与业务对象权限分层校验。人员转岗或离职后，各应用依据组织变化和凭据撤销规则调整访问资格。
• 审计关联：消息、文件与流程操作携带可关联的用户、对象、请求与事件标识，授权人员可以沿同一业务链路追溯操作及结果。

莲信以这三项契约组织工作台。统一底座负责公共身份与服务能力，应用负责自身规则与对象授权，集成系统按相同契约接入。

1.3 产品定位与核心价值

1.3.1 一句话定位

莲信 = 私有化交付 · 新一代安全智能工作平台。

这一定位由三个关键词构成：

• 私有化交付：平台运行于企业自有机房、受控私有云或专属云环境，企业管理数据、网络与运维授权。技术服务访问按审批、最小权限及审计规则执行。
• 新一代：采用分层架构、领域服务协作与事件驱动，按负载组织接入、业务、异步任务、文件和媒体部署单元，以统一入口连接通讯、工作台与智能能力。
• 安全智能：身份、授权、加密和审计贯穿应用调用，AI 在获准的数据与工具范围内辅助工作，重要结果由业务规则和人工复核确认。

1.3.2 一个底座、两个引擎、三个自主

莲信的价值结构可概括为"一个底座、两个引擎、三个自主"：

一个底座——私有化数字底座。提供部署、身份、组织、权限、安全与审计等公共能力。自研和集成应用通过接口接入，组织变化、授权撤销和关键操作记录采用一致的契约。

两个引擎——协同能力与智能能力。消息、待办和应用事件连接业务流程；知识检索、内容生成与 Agent 工具调用辅助处理任务。二者使用同一身份上下文，分别在数据读取与业务执行时检查授权。

三个自主——数据自主、密钥自主、合规自主。

• 数据自主：企业管理业务库、文件、审计及备份的位置与访问权限。封闭网络采用域内依赖；启用外部短信、推送、翻译、邮件或模型服务时，单独控制发送的数据类别与网络出口。
• 密钥自主：按数据类型配置加密与密钥生命周期管理，通过受控配置或密钥管理系统分发密钥；高安全部署可对接硬件密码设备，明确业务进程与硬件之间的密钥使用边界。
• 合规自主：平台提供身份鉴别、访问控制、审计和备份等技术支撑，企业结合部署环境、管理制度与适用要求开展定级、测评和密码应用评估。

1.3.3 四层能力栈

从产品能力视角看，莲信按通讯、工作台、智能与治理四个层次组织能力，汇聚为统一工作入口。治理能力贯穿其他层次，并非仅在顶层执行。

上述四层描述产品能力，第 4 章的五层描述技术职责，两者从不同视角说明同一平台。各类能力共享身份与组织契约，应用按业务边界维护数据，通过接口、持久事件和关联审计记录协作。

1.4 目标读者

本白皮书的目标读者包括：

• 企业决策者与信息化负责人：包括董事长、总经理、首席信息官（CIO）及分管数字化的负责人，重点关注数据安全合规、数字化战略与信息技术自主可控。建议重点阅读第 1—3 章，以及第 12 章中与本行业相关的内容。
• 信息化建设与运维管理人员：负责平台选型、实施、集成和运维的管理人员。建议通读全书，重点关注第 4、8、9、11 章。
• 技术选型人员：从事协作平台技术评估、架构设计与方案编制的技术架构师、安全工程师与项目经理。建议重点研读第 4—8 章与第 11 章。
• 业务部门负责人：关注审批、表单、考勤、知识管理等具体办公场景落地效果的行政、人事、运营管理者。建议重点阅读第 6 章与第 12 章。

1.5 白皮书结构概览

本白皮书共 13 章，分为"基础篇"（第 1—4 章）、"能力篇"（第 5—10 章）与"价值篇"（第 11—13 章）三个篇章。

基础篇

• 第 1 章 前言与执行摘要：阐述白皮书背景、品类跃迁逻辑、产品定位与阅读指南。
• 第 2 章 行业背景与市场趋势：分析数字化协作需求、应用整合、数据治理与私有化平台的技术方向。
• 第 3 章 产品概述：介绍莲信产品定义、核心定位、产品形态、产品矩阵与能力全景。
• 第 4 章 技术架构：阐述整体架构、服务边界、应用协作、通信协议、分布式一致性与高可用设计。

能力篇

• 第 5 章 核心通讯能力：详述消息通讯、会话管理、群组协作与通讯录能力。
• 第 6 章 自研工作台：系统阐述工作台设计理念、统一能力与十一类工作台应用，以及跨应用数据联动。
• 第 7 章 协作与智能能力：介绍音视频、待办与业务通知、AI 智能助手、Agent 编排及系统集成。
• 第 8 章 安全体系：阐述私有化安全架构、分层加密、访问控制、终端安全与内容安全。
• 第 9 章 合规与信创：解读等保 2.0、数据安全法、个保法、网络数据安全管理条例、信创适配与国密算法。
• 第 10 章 管理后台体系：介绍管理员职责分离、组织与权限管理、工作台应用治理及审计记录。

价值篇

• 第 11 章 部署方案：阐述部署模式、系统要求、容灾备份与运维监控。
• 第 12 章 行业应用场景：说明金融、制造、政府非涉密办公及集团多组织的方案组合与适用条件。
• 第 13 章 服务交付与平台协作：介绍实施、运维、培训、智能质量治理与开放协作。

附录 A 为术语与缩写表，附录 B 为规范引用清单。

1.6 阅读指南

• 快速了解平台定位与价值的读者：优先阅读 1.2（平台形态）、1.3（定位与价值）、3.3（私有化与公有云的差异），并结合第 12 章中的相关行业场景，了解选型时需要评估的价值与条件。
• 正在选型的信息化负责人：重点阅读第 3.6 节能力全景、第 3.7 节验收参数、第 4 章架构、第 6 章工作台与第 11 章部署；安全与合规要求结合第 8—9 章及附录 B 核对。
• 关注业务落地的负责人：阅读第 6 章中对应的应用说明及第 6.7 节联动场景，并结合第 12 章核对行业边界；消息、业务完成与归档分别确认。
• 安全与合规岗：重点阅读第 8、9 章与第 10.8 节，并结合附录 B 核对规范版本、适用范围及项目测评要求。

第2章 行业背景与市场趋势

2.1 数字化转型与协作基础

企业数字化协作需要同时解决人员连接、业务流转和数据治理。统一身份、组织目录与工作入口可以降低重复维护成本，版本化接口和事件机制则使业务系统之间的协作具有可追踪的边界。

2.1.1 数字经济与企业协同

《“十四五”数字经济发展规划》将企业数字化转型作为重要方向。对协作平台而言，建设重点是把组织、流程和知识连接起来，同时保持数据质量、权限与运行责任的一致性。

2.1.2 数字化与安全治理并重

《数字中国建设整体布局规划》强调数字基础设施、数据资源与安全屏障协同建设。平台选型需要同时考察业务价值、安全治理和运行韧性，将可用性、恢复能力及数据退出纳入验收。

2.2 协同办公的应用整合

2.2.1 从应用覆盖到流程连接

通讯、审批、文件和会议覆盖不同工作环节。应用数量增加后，选型重点转向跨应用身份一致、任务状态准确、对象权限可复用，以及重复事件和失败流程能否恢复。

2.2.2 从入口聚合到服务契约

统一门户降低入口切换，服务契约减少数据与权限割裂。有效集成需要明确数据来源、同步规则、授权和审计，界面聚合本身不能保证业务数据一致。

2.2.3 场景与实施范围

总部办公、分支协作、生产现场与外部伙伴具有不同的网络、终端和权限条件。实施宜按高频任务确定首批应用，再依据接口与治理规则组合，避免仅用功能数量评价平台完整性。

2.3 即时通讯与工作平台

2.3.1 消息作为业务入口

消息连接人员与业务对象，卡片展示摘要和动作入口，待办描述责任和进度。消息送达、用户已读与业务完成是不同状态，需要独立确认和追溯。

2.3.2 规模与容量评价

平台注册人数不能直接推导系统承载能力。即时通讯应测量在线连接、重连峰值、会话写入、群分发和历史补拉；文件与音视频分别测量对象吞吐、存储增长及媒体带宽。

2.4 企业选型的主要需求

2.4.1 安全与数据控制

企业需要掌握数据存放位置、访问与导出权限、密钥管理及运维授权。私有化部署提供控制条件，实际防护仍依赖隔离、认证、应用授权、审计与人员制度，不能仅凭部署位置推定安全。

2.4.2 体验与治理一致性

员工关注能否快速找到入口和完成任务，管理员关注账号、组织和权限是否可统一治理。平台应让用户减少重复填写，同时让后台能够核验每次授权、变更与跨应用处理结果。

2.4.3 全生命周期成本

采购与实施成本之外，还需评价数据迁移、身份适配、终端管理、组件许可、容量增长和故障恢复成本。可导出、可恢复和可维护的方案更适合长期运行。

2.5 数据安全与合规要求

2.5.1 数据安全

《数据安全法》建立分类分级保护制度。企业应识别所处理数据，配置访问控制、备份与事件处置，涉及重要数据及出境活动时履行相应义务，私有化不免除这些责任。

2.5.2 个人信息保护

账号、通讯录、考勤和日志可能涉及个人信息。企业需明确处理基础、告知、必要范围和保留期限，对敏感信息加强保护，不能将取得同意视为所有处理活动的唯一依据。

2.5.3 网络数据与网络安全

《网络数据安全管理条例》自2025年1月1日起施行；本白皮书的网络安全要求采用2026年1月1日起施行的修正后《网络安全法》。平台需配合分类分级、访问控制、日志与事件响应，相关条文与项目适用范围见第9章及附录B。

2.5.4 信创与密码应用

国产环境适配需要覆盖处理器、操作系统、数据库、缓存、事件、检索及媒体组件的完整组合。密码应用按算法、协议、密钥和运行管理协同设计，兼容性证明、产品资质与系统测评分别核验。

2.6 私有化与平台化的技术方向

平台建设集中于受控部署、领域服务协作、持久事件和可恢复流程；智能能力通过授权知识与工具连接业务。技术先进性体现为边界清晰、失败可处理、指标可验证，以及在不扩大数据暴露面的前提下提高协作效率。

第3章 产品概述

3.1 莲信产品定义

莲信面向对数据控制、组织协作与安全治理有较高要求的政企客户，提供运行于企业受控环境的工作平台。部署、加密、权限、应用集成和外部调用范围均纳入交付方案，形成可管理、可扩展、可审计的协作环境。

V3.0 白皮书以即时通讯、组织目录、工作台和智能协作为统一产品框架。账号与组织信息通过平台接口复用，业务数据按应用归属管理，消息与事件连接流程，具体启用范围与交付清单保持一致。

3.2 核心定位：私有化交付 · 新一代安全智能工作平台

这一定位包含四层含义，逐层递进：

3.2.1 私有化交付：交付方式决定数据主权

莲信以私有化交付为主要部署方式，可运行于企业自有服务器、专有机房或受控云环境。物理隔离、专线接入及网络逻辑隔离按项目安全要求选择，专属云部署不直接等同于物理隔离。

• 数据责任由业务主体、部署方式和处理活动共同确定。企业管理处理目的与授权规则；技术服务方涉及运维或受托处理时，通过合同明确范围、保密、安全和退出责任。
• 交付范围明确：程序、配置、依赖组件、证书、许可及补丁组成可核验的交付基线。离线环境提前准备域内依赖和升级介质，按模块验证可用功能。
• 可迁移性：按授权范围提供业务数据、文件对象及必要元数据的导出与迁移方式，验证数据完整性、格式、对象引用和恢复结果，降低长期使用中的退出成本。

3.2.2 新一代：形态新、架构新、交互新

• 形态新：以工作台为统一交付面。员工打开的是一个工作入口，看到的是"我的待办、我的审批、我的文档、我的考勤、公司公告"，而不是一排需要自己判断该用哪个的图标。
• 架构设计：接入与网关、应用运行、业务服务、数据与事件、基础设施五层分工明确，部署单元按负载组合或拆分，通过共享状态、持久事件和故障接管支撑水平扩展。
• 交互设计：消息卡片连接审批、待办、文件和会议入口。简短动作可在卡片中提交，复杂表单与编辑进入对应应用页面；所有动作在服务端重新检查身份、权限和当前状态。

3.2.3 安全：底座而非功能

莲信的安全能力不是叠加在应用之上的"安全模块"，而是所有应用共用的基础设施：

• 加密分层：传输加密保护通信链路，存储加密保护数据库、文件及备份等静态数据。密码组件、密钥管理和访问授权协同配置，按安全方案明确保护范围。
• 权限分层：角色权限控制功能操作，组织与应用范围控制可见性，业务对象和字段权限由所属服务执行；高风险访问结合设备、来源和会话状态校验。
• 审计关联：关键业务、访问和管理操作采用一致的标识与记录结构，配置访问隔离、完整性校验和独立归档，支撑跨应用追溯。

3.2.4 智能：在权限边界内使用企业自己的数据

• 数据流向受控：模型服务可在企业域内部署，也可按策略接入外部服务。外部调用前明确数据范围、脱敏、保留及授权要求，封闭网络仅使用域内能力。
• 授权约束：知识检索、原文读取和工具执行分别检查用户与应用权限；模型不能自行扩大访问范围，组织变化和授权撤销传递到索引、会话及工具调用。
• 回答可核查：采用检索增强、来源引用与证据不足时拒答，降低无依据生成的风险。模型输出仍需复核，涉及金额、合同和审批等结果由业务规则校验。

3.3 与公有云协作平台的本质区别

莲信与公有云协作平台的本质区别体现在六个维度：

办公数据与沟通内容共同构成组织的重要信息资产。私有化交付的价值在于明确存储位置、处理范围与运维责任；云端或本地方案均需评价实际隔离、密钥管理、审计和退出能力。

典型应用包括内部办公、金融机构协作、能源制造组织管理、医疗行政协同及集团多组织协作。涉及国家秘密、诊疗数据或特定监管业务时，按相应资质、环境和业务要求单独评估，普通私有化部署不直接代表具备处理资格。

3.4 产品形态

莲信提供 onLine 与 box 两种交付形态。交付形态描述资源承载方式，单机、单站点集群和跨站点部署描述运行拓扑，二者按第 11 章组合选择。

3.4.1 onLine：受控环境部署

onLine 将平台交付到企业批准的专属云、私有云或自有机房，按接入、业务、异步任务、文件、媒体和共享基础设施组织资源。

• 适用场景：已有云或机房基础设施、需要统一运维与按负载扩展的组织；节点规模和容灾拓扑由容量及连续性要求确定。
• 核心优势：复用企业计算与网络资源，按部署单元配置容量、副本和运维策略，依照验证结果扩展集群。
• 部署特点：业务数据置于企业批准的环境，短信、推送、邮件、翻译和模型等域外调用按出口及数据范围策略管理；封闭网络采用域内依赖。

3.4.2 box：一体机盒子

box 将选定的平台模块与依赖组件组合交付到专用硬件，适合资源范围明确的小规模组织、分支机构或试点。设备安装完成后，仍须完成网络、安全、备份及业务验收。

• 适用场景：资源条件明确的小规模组织、分支机构和独立项目单元，承载规模由启用模块和目标环境压测确定。
• 核心优势：软硬件组合交付，简化安装过程；上线仍需完成网络、证书、身份、备份及访问策略配置。
• 部署特点：按设备资源组合核心服务与共享组件，持久数据独立管理并备份到设备之外；迁移集群时核验身份、对象引用与任务状态。

3.5 产品矩阵协同

莲信、莲会、莲播和莲视分别承担工作入口、视频会议、互动直播与视频指挥等职责，通过身份授权、会议入口和业务事件组织协作，具体互通范围由产品组合和接口契约确定。

• 莲信（工作平台）：提供即时通讯、工作台、文件与知识入口及安全治理，连接日常协作任务和业务系统。
• 莲会（视频会议）：面向会议组织、共享与录制等协作场景，媒体资源按并发房间、互动人数、编码参数和网络条件核算。
• 莲播（互动直播）：面向全员大会、培训与宣讲，直播观看与互动会议采用不同分发及容量设计。
• 莲视（视频指挥系统）：面向跨区域指挥与调度，依据网络可达性、媒体质量、安全域及终端能力配置连接方案。

产品协作通过明确的账号映射、授权与事件契约连接：会议邀请进入莲信会话，录制、回放和纪要通过受控对象链接共享。数据处理遵守各产品的权限及保留策略，跨域调用检查传输边界。

例如集团工作会可将直播入口、意见收集、会议纪要与待办关联起来。表单提交、纪要审核和任务分派分别记录业务状态，失败事件可重试，重要内容经负责人确认后发布。

3.6 能力全景

平台能力按通讯、工作台、协作、智能、安全和管理六个领域组织。以下为应用设计范围，具体终端与模块的可用功能按交付清单启用。

3.6.1 通讯域

• 即时通讯：文本、图片、语音、文件和结构化卡片等消息表达，配合消息回执、引用、转发、撤回、收藏与置顶组织沟通；具体操作受会话类型和策略约束。
• 群组协作：普通讨论群、组织关联群和大规模群协作，群容量与投递预算结合消息频率、在线人数及同步负载配置。
• 通讯录：租户组织树、人员与多任职、可见范围管理；外部目录按明确的数据来源、身份映射和同步规则接入。

3.6.2 工作台域

• 审批：预置模板 + 可视化流程设计，条件分支、会签或签、加签转办、限时审批。
• 云表单：通过字段、验证规则、显隐条件与填报范围组织结构化采集和统计。
• 投票：按规则配置实名、展示匿名、选择与权重，明确结果可见范围和归档；身份隔离按专门方案实现。
• 考勤打卡：按终端和合规要求选择定位、网络或授权设备验证，配置班次、补卡、异常处理及报表联动。
• 公告：分级发布、定时置顶、已读统计与催办、审批发布、归档检索。
• 工作日志：日报周报月报模板、结构化字段、自动汇总、AI 摘要、点评互动。
• 云盘：个人、部门与企业空间，结合对象授权、版本保留、预览组件和外链策略管理文件。
• 云文档：按所选编辑组件提供文档、表格、演示或思维导图等类型，配置多人协同、评论、版本与知识检索。
• 快传：大文件、文件夹与跨端交换，配置断点续传、接收范围及临时区清理；文件大小按资源和策略确定。
• 邮箱：企业邮集成、即时通讯内收发、邮件转待办/审批/文档、归档审计。
• 翻译：文本语言转换和应用翻译入口，语言、长度及文档处理范围由所选引擎与适配器确定。

3.6.3 协作域

• 音视频：一对一及多方通话、会议入口与屏幕共享；会议规模、录制和媒体能力依照所选组件及容量配置。
• 待办中心：跨应用待办聚合、消息转待办、到期提醒、多渠道推送。

3.6.4 智能域

• AI 助手：多模型接入、本地大模型部署、企业知识库问答、消息与文档摘要。
• AI Agent：自定义智能体、工具调用、业务系统打通、自动化流程编排。
• 会议 AI：通过转写、翻译与模型组件提供字幕、纪要、发言人标注和建议待办，分别核验语言、授权及质量。

3.6.5 安全域

• 加密体系：分层配置传输与存储加密，密码组件和密钥管理按安全方案适配。
• 访问控制：基于角色与属性的授权（RBAC、ABAC）、按零信任原则持续校验身份与访问条件，以及管理员职责分离。
• 终端安全：设备会话、凭据撤销、本地数据保护与水印；截屏限制和受管擦除依赖终端系统及管理能力。
• 内容安全：敏感词审核、共享与导出策略、文件访问授权及审计，按通信模式区分服务端可处理范围。

3.6.6 管理域

• 组织与账号：多级组织、账号全生命周期、异动权限回收。
• 权限治理：角色管理、策略包、管理组、权限变更记录。
• 应用治理：应用上架、模板管理、表单字段级权限、应用使用分析。
• 审计合规：关键操作留痕、授权查询、独立归档与完整性保护，为管理及测评提供证据。

3.7 关键技术参数

第4章 技术架构

4.1 整体架构与设计原则

莲信以私有化数字底座为基础，围绕账号与身份、组织与关系、消息与会话、开放平台与工作台、音视频协作以及安全运营划分服务职责。整体架构采用分层设计、领域服务协作和共享基础设施，按接入连接量、消息吞吐、应用负载与数据规模配置部署单元，形成面向分布式部署的协作平台。

服务边界与部署边界分别管理：服务边界定义业务规则、数据归属和接口契约，部署边界决定实例数量、资源配额与故障隔离。小规模环境可组合部署相关能力，集群环境按负载拆分接入、业务处理、异步任务、文件和媒体资源，保持接口语义与权限规则一致。

架构遵循五项原则：业务数据可靠保存、必要状态跨节点共享、连接中断可恢复、跨服务流程可补偿、关键操作可审计。核心业务保障状态一致性，事件驱动连接通知、检索和应用协作，水平扩展兼顾共享数据与故障接管。

4.2 整体架构设计

整体架构由接入与网关层、应用运行层、业务服务层、数据与事件层、基础设施层构成。业务服务按领域职责组织，支持组合部署与独立扩展；安全、权限、配置和可观测能力贯穿各层。请求经接入入口路由至业务服务，业务结果写入权威存储，再通过持久事件驱动通知、检索更新与应用联动。

4.2.1 接入与网关层

接入层提供 gRPC、HTTP Protobuf 和 WebSocket 入口，管理后台与开放平台分别设置 HTTP 接口及授权边界。网关统一承担协议适配、身份验证、访问控制、流量治理和请求路由，业务权限由所属服务进一步校验。

普通请求通过负载均衡分配至健康实例，实时连接由接入节点承载。集群统一管理用户、设备与连接归属，通知据此送达目标节点；节点故障后客户端重新连接并补齐数据，连接恢复与业务数据恢复分别处理。

后台管理入口与客户端入口分别配置认证、限流和访问网络；开放接口校验应用身份、授权范围与调用预算。TLS 在受控入口终止，内部通信按部署安全域配置加密和访问控制，管理及诊断端口限定在运维网络。

4.2.2 应用运行层

应用运行层围绕开放平台、服务号、机器人与工作台组织应用入口，统一管理应用身份、发布范围、订阅关系、授权和消息卡片。自研办公应用、企业集成系统与智能助手通过明确的接口契约接入底座，应用页面与业务处理可以分别部署。

应用按需使用账号、组织目录、消息、文件和审计能力。同步接口处理需要即时确认的业务，持久事件传递已经完成的业务变化；跨应用协作统一执行租户隔离、授权、重复处理保护及异常恢复，不直接共享业务数据的修改权限。

应用配置、入口和发布范围统一治理，变更按受控流程传播到相关服务。应用停用、人员停用及授权撤销同时作用于入口和实际业务访问，并提供生效结果与审计记录。

4.2.3 业务服务层

账号与身份服务管理登录、扫码授权、用户资料、验证码和身份核验，统一控制身份凭据、设备会话及其生命周期，支持跨节点身份验证与授权撤销。

组织与关系服务管理租户组织树、人员任职、通讯录可见性、好友、黑名单、群成员和邀请审批。组织人员与通讯账号通过明确的身份映射关联，目录、部门群和应用范围随组织变更协同更新。

消息与通信服务分别承担会话消息、在线通知、离线设备通知及通话控制。RTC 业务服务校验呼叫权限并管理业务状态，LiveKit 提供媒体房间及其连接信令和转发能力；两者通过授权接口协作，媒体资源按房间、带宽和故障域独立配置。

平台与应用服务管理服务号、机器人、工作台、首页、素材、运行设置、检索和翻译适配。办公应用与AI接入复用平台契约，保留自身的数据归属、对象授权及资源预算。

安全与运营服务管理安全策略、内容审核、后台授权、审计、统计、许可配额和订单权益。支付、配额及审批等关键业务由所属服务负责状态一致性和重复操作保护，安全策略贯穿各服务。

4.2.4 数据与事件层

MySQL 保存用户、组织关系、消息、应用授权、订单及审计等主要业务数据。各领域明确数据归属和一致性责任，高增长数据按容量采用分区、归档或分片；跨领域访问通过服务接口完成，避免多方直接修改同一业务事实。

Redis 提供共享缓存、认证临时状态、连接路由、限流及协调能力，权威业务数据保存在持久存储。部署按容量和连续性要求选择 Redis Cluster 或主从加 Sentinel，并验证与依赖组件的兼容性；认证和权限状态不可确认时，受保护操作不予放行。

NATS JetStream 提供持久事件传递，可靠衔接业务提交与后续通知、检索更新和应用联动。跨服务协作采用至少一次投递及幂等处理，结合重试、失败隔离和业务补偿支持恢复；广播通知与任务分发按不同消费模式组织。

Meilisearch 提供业务对象检索，索引通过事件更新并可由权威数据重建。查询结果、摘要和聚合统计均校验租户与当前授权，原文读取再次鉴权。分片、复制及向量检索按所选版本、许可和适配能力配置，不把检索实例数量直接等同于可用性或容量。

文件服务通过存储适配接口访问共享对象存储，业务库保存对象标识、版本、归属与权限，访问凭据限定对象和有效期。录制、预览和文档协同分别管理处理状态与临时数据。审计记录与运行日志分开采集和授权，备份覆盖业务库、文件及恢复所需的配置与密钥材料。

4.2.5 基础设施层

基础设施覆盖计算、网络、存储、负载均衡、配置与密钥管理、监控和备份，可采用物理机、虚拟机或容器。业务、数据库、缓存、事件、检索、文件和媒体分别核算资源；启用在线编辑、预览、录制、OCR 或 AI 时，对应服务与依赖一并纳入部署和故障隔离。

部署单元具备健康检查、资源控制、平滑上线和有序退出能力。扩容先完成依赖与配置验证，缩容先停止接收新流量并完成连接及任务交接；配置、证书和密钥受控发布，节点身份统一管理。

4.3 工作台应用协作机制

工作台以平台应用身份、组织目录和服务号消息为连接点，统一呈现办公应用与集成系统。应用接入遵循身份、组织、权限、消息、检索和审计六项契约，具体业务规则由所属应用维护。

4.3.1 统一身份

平台统一管理用户身份与设备会话，应用在授权范围和有效期内访问服务。外部身份源通过标准化适配接入，人员停用与授权撤销在相关服务间同步生效。

4.3.2 统一组织

组织服务维护租户、部门、人员与多任职关系，提供统一目录和变更通知。应用同步目录并核对结果，人员调整涉及的待办、群成员和应用范围由各业务按规则更新，异常同步可恢复和补偿。

4.3.3 统一权限

平台分别管理管理员权限、组织可见范围、应用发布范围和业务对象权限。服务在实际访问时校验身份及资源授权，单据、文件和字段的规则由所属应用执行；敏感操作核验当前授权，变更与撤销全程留痕。

4.3.4 统一消息与待办

应用通过服务号、机器人和消息接口发布通知及业务卡片，消息中枢负责持久化、接收范围与投递协作。待办状态由业务应用维护，消息携带对象引用与动作入口；用户点击后重新校验权限和业务状态，消息已读与待办完成分别记录。

4.3.5 统一检索接入

检索按应用声明的对象类型、索引字段和访问规则接入。不同业务索引以统一入口聚合展示，删除、权限变化和组织调整触发索引更新；查询与原文读取均执行授权校验，避免索引更新延迟导致越权展示。

4.3.6 统一审计

关键操作采用统一审计规范，关联操作者、应用、业务对象、时间、来源和处理结果，支持跨应用追溯。审计查询与导出独立授权，敏感内容脱敏；完整性保护及保留期限按安全策略配置。

4.4 通信协议与调用链路

平台采用 gRPC、HTTP Protobuf、WebSocket 与 HTTP API 协同接入。HTTP Protobuf 指通过 HTTP 传输 Protobuf 编码的数据；Protobuf 本身负责接口描述与序列化。gRPC 承载类型明确的调用，WebSocket 维护长连接及实时通知，管理和开放接口采用各自的 HTTP 契约，通信保护按第 8.2 节配置。

消息发送依次完成身份与会话资格校验、发送权限和内容安全检查、可靠保存及后续通知。系统区分业务提交、在线投递、设备确认和用户已读，避免将通知发出等同于对方阅读。

服务调用统一管理时限、容量、失败处理和重复操作保护，业务变化可沿调用链路追溯。接口保持版本兼容，升级和灰度发布期间维持不同版本间的协作能力，避免局部变更中断整体流程。

4.5 分布式集群架构

4.5.1 部署单元与服务寻址

集群按接入网关、核心业务、异步工作节点、文件服务、媒体服务和共享基础设施划分部署单元。组织、消息、平台和安全等领域按依赖关系组合或拆分；服务通过稳定地址和健康实例列表寻址，由部署环境提供服务发现与负载均衡。

接入副本按连接数和网络吞吐扩展，业务副本按请求量和处理时延扩展，异步工作节点按积压量扩展。共享数据库连接、缓存访问、外部接口调用和媒体带宽设置集群容量预算，避免只增加应用副本而耗尽下游资源。

4.5.2 会话与连接路由

认证会话、授权撤销和设备归属跨节点共享，业务副本依据一致的身份状态提供服务。实时连接按当前接入节点路由，故障后重新建立连接并更新归属，防止旧连接继续接收已失效授权下的通知。

在线通知送往当前接入节点，离线设备通知通过独立推送能力发送。平台控制投递积压与下游压力，设备重连后从持久消息补齐遗漏；临时通知链路不作为业务数据的唯一保存位置。

4.5.3 消息顺序与数据一致性

消息以会话为单位保持可确定的顺序，多端同步区分消息历史、阅读状态与设备送达状态。并发写入、重复通知及断线补拉保持一致的业务结果，避免重复展示、状态倒退或历史遗漏。

跨服务协作明确业务数据的权威来源，并以幂等、重试和补偿处理重复或延迟事件。缓存更新与授权变更协同管理，支付、权益、配额和审批等关键状态始终由所属业务服务确认。

4.5.4 任务调度与故障接管

定时发布、群发、导入导出、索引更新和外部通知采用可恢复的任务管理。任务进度可靠保存，故障后有序接管并防止重复执行或冲突结果；异常任务进入告警、补偿或人工处置，关键业务结果由所属服务确认。

大群消息按会话有序写入，投递按接收节点或接收范围分批处理。在线状态和回执可合并更新，发送、分发与补拉设置独立流量预算；群规模、并发连接、发送频率及历史消息容量共同构成压测与容量设计依据。

4.6 高可用与容灾设计

4.6.1 分层冗余与故障隔离

接入与业务层采用多副本和健康检查，实例故障后新请求转向健康节点，原有长连接通过重连恢复。按账号、租户、应用及外部依赖设置限流、超时与隔离预算；翻译、统计和检索等辅助链路异常时，核心认证与消息链路保持明确的降级行为。

数据库采用受控写入、复制监控和防双写切换，关键授权依据当前权威数据。Redis 按所选模式配置冗余，NATS JetStream 按故障域设置持久化与副本；检索、文件和媒体分别定义恢复方式。LiveKit 多节点通过兼容的 Redis 配置协同，房间恢复单独验证。

4.6.2 部署模式与恢复边界

部署模式包括单站点集群、主备站点及同城多故障域配合异地灾备。单站点优先隔离主机和存储故障，跨站点方案明确数据写入归属、复制延迟、仲裁机制与切换流程，防止网络分区时出现双写。

可用性、数据恢复点目标（RPO）和恢复时间目标（RTO）按业务等级、依赖能力及演练结果确定。故障处理覆盖检测、隔离、接管、路由切换和业务校验，恢复后核对身份授权、消息、待办、支付及文件数据的一致性。

4.6.3 备份与恢复验证

备份遵循三份副本、两种介质、一份异地保存的原则，覆盖数据库全量与增量记录、文件对象、审计记录及必要的配置和密钥材料。消息系统持久化与在线副本不能替代独立备份，密钥备份单独加密并控制访问。

恢复演练在隔离环境验证数据完整性、对象引用一致性、密钥可用性和业务补偿。备份频率、保留周期与演练周期纳入交付策略，发布前验证升级兼容性与回滚路径，滚动升级执行摘流和任务交接。

4.7 多端接入与同步架构

移动端、桌面端与 Web 应用共享身份、组织和业务接口契约，按终端环境选择 gRPC、HTTP Protobuf 或 WebSocket 接入。设备会话、通知与授权撤销统一管理，扫码登录采用受控授权，避免将不同设备的访问资格混为一体。

多端同步以服务端持久数据为依据，支持断网恢复、增量补拉和重复通知处理。用户阅读状态与设备送达状态分别管理，文件和业务动作在访问时重新授权，客户端缓存按数据敏感级别保护。

工作台通过统一应用入口和消息卡片连接业务页面，终端按屏幕和系统能力呈现交互。离线操作明确可用范围、重试和冲突规则，网络恢复后依照服务端版本合并，关键审批与授权以服务端确认结果为准。

4.8 私有化与信创适配架构

平台通过协议、数据访问、存储及外部能力适配降低环境耦合。服务与基础组件按目标运行环境交付，启用的编辑、预览、录制和智能能力纳入同一兼容清单，以完整部署组合的业务及恢复验证确定适用范围。

关系型存储以 MySQL 为基础，国产数据库适配保持业务查询、数据一致性及迁移恢复能力。短信、身份核验、离线推送、翻译和模型服务通过适配接口接入；封闭网络选择域内服务或按策略关闭相应外部能力。

密码能力按传输、存储、签名和密钥管理分别设计，通过密码适配接口对接企业证书、密钥管理系统或硬件密码设备。国密组件纳入协议互通、密钥生命周期及性能验证，算法支持范围与合规要求依据交付方案和测评结果确定。

4.9 架构设计小结

整体架构以账号与组织为身份基础，以会话消息与开放平台连接工作台和企业系统。业务服务协同使用 MySQL、Redis、NATS JetStream、Meilisearch、文件服务及 LiveKit，在线编辑、录制与智能处理按模块接入配套组件，选型和部署要求与第 11.3 节一致。

分布式部署围绕统一身份、连接路由、可靠消息、可恢复任务和故障接管组织，按负载扩展各部署单元。安全授权、数据归属、配置治理与审计贯穿服务协作，形成可组合部署、可独立扩展和可验证恢复的私有化底座。

第5章 核心通讯能力

消息通讯、会话管理、群组协作与通讯录构成平台的基础通讯能力。会话通过卡片与对象链接连接审批、文件、公告和会议入口；消息传输、持久化、通知和业务动作分别确认，通讯数据与应用数据遵循统一的授权及保留策略。

5.1 消息通讯

5.1.1 消息类型

平台围绕常用内容与业务动作组织消息，消息类型与生命周期策略分开定义：

卡片承载业务摘要与动作入口。简单动作可在会话内提交，复杂表单、文档编辑和详情进入应用页面；点击时重新校验对象权限和状态，卡片已读不代表业务动作已完成。

5.1.2 消息状态与回执

• 已读与未读回执：单聊展示阅读状态，群聊按成员权限与统计策略展示已读人数及必要明细；设备确认表示约定的接收事件，用户已读表示约定的阅读操作，两者分别记录。
• 在线状态：以设备连接与心跳状态判断可达性；忙碌、勿扰和会议中属于用户偏好或业务状态，分别更新与展示。
• 加急通知：按消息策略升级提醒，短信、邮件或电话需要对应通道与授权；通知发送、设备送达和实际阅读分别记录，不能保证接收方必然响应。
• 回执统计：通知卡片分别统计发送、设备确认、已读和业务完成。统计标明分母、时间窗口与更新延迟，业务完成状态从来源应用取得，不能仅凭通知回执评价实际履职。

5.1.3 消息操作

• 消息转发：按权限支持单条或批量转发，单次接收范围与频率由系统策略限制，转发记录关联原始对象并检查敏感内容规则。
• 消息撤回：时限与操作角色由后台策略配置，服务端记录撤回事件并通知客户端更新。撤回不删除应保留的审计记录，也不能保证收回已截屏、导出或另存的副本。
• @提及：根据会话类型与权限选择个人或群体提醒，控制批量提醒范围，避免绕过成员可见性和通知预算。
• 消息引用与收藏：引用特定消息回复形成上下文；收藏重要消息并按类型管理。
• Pin 消息：重要消息固定置顶，可查看原文上下文。

5.1.4 智能消息处理

• 智能翻译：通过配置的翻译引擎处理授权文本，语言范围、输入长度与调用预算由引擎配置决定；域外调用遵守数据发送策略。
• AI 消息摘要：仅处理当前用户有权读取且服务端可获准处理的内容，按选定模型生成摘要并关联来源。
• AI 智能回复：基于获准上下文生成候选回复，用户核对后发送，外部模型调用遵守数据流向策略。
• AI 内容创作：通过助手入口辅助起草消息与公文，交互形式按终端能力配置；草稿由用户复核，正式发布遵循业务审批规则。

5.2 会话管理

会话管理提供列表、筛选、提醒和检索入口。消息内容、网络日志与审计记录分别设置保留期限，满足适用留存与个人信息保护要求；内容预览按权限脱敏。

• 会话列表与分组：按时间排序展示，显示最新消息预览、未读数与在线状态；按"全部/未读/@我"分组筛选；低优先级会话自动折叠；重要会话置顶排序。
• 提醒与免打扰：会话级提醒按策略配置，支持"全部消息/仅 @提醒/完全静音"三档；可设置固定免打扰时段；升级提醒按已启用通道和授权规则执行；未发送内容自动保存草稿。
• 统一搜索入口：聚合已建立索引的联系人和业务对象，按类型展示；未接入索引的对象通过所属应用查询，检索及原文读取均执行授权。
• 会话安全与存档：消息保留期限、预览脱敏、内容检索和审计范围按策略配置，访问、调阅和导出分别授权并留痕。

5.3 群组协作

群组用于团队沟通和组织协作。大规模群按消息频率、活跃成员、分发与补拉负载配置容量，通过会话顺序、批量投递和背压控制保障处理稳定性。

群管理包括成员维护、加入审核、管理员分工和发言控制。群体提醒、转发及内容处置受权限和流量策略约束，组织群成员随目录变化同步调整，关键变更记录结果并支持核对。

组织群将部门人员变化与讨论范围关联起来；部门应用入口、共享目录和公告通过独立对象授权连接。组织调整后分别更新成员、应用范围与文件权限，避免以加入群组替代业务授权。

5.4 通讯录与组织架构

通讯录与组织架构连接人员、任职和访问范围，提供多级组织树、人员信息卡片、智能搜索与权限分级控制。私有化部署下通讯录数据按企业批准的受控环境存放。

5.4.1 组织架构同步

• 外部目录接入：通过 AD/LDAP 或企业目录适配器同步组织与人员，明确权威来源、字段映射、账号绑定、冲突及删除规则，结合增量同步与对账校验传播变更。
• HR 系统对接：对接企业 HR 系统，按 HR 数据驱动组织架构变更，实现入职/转岗/离职联动。
• 国产目录接入：核验目录产品支持的协议、字段和认证方式，操作系统品牌不能直接代表目录协议兼容性。
• 多目录协作：集团多身份域接入时明确租户映射、身份唯一性和组织归属，防止账号重名及人员重复绑定。

5.4.2 通讯录权限管理

通讯录权限管理：按组织范围与策略控制节点、人员和字段可见性，敏感成员单独授权；外部安全组与平台角色通过明确映射生效，不能直接互相替代。

5.4.3 外部联系人管理

外部协作：外部身份与内部员工采用不同授权范围，明确可见目录、可加入会话及可访问文件；标签用于分类，访问限制由服务端规则执行，跨组织共享单独留痕。

第6章 自研工作台

工作台围绕审批、云表单、投票、考勤、公告、工作日志、云盘、云文档、快传、邮箱和翻译十一类应用组织工作入口。统一底座管理身份、组织、授权与消息契约，各应用维护业务规则、状态和数据归属；自研与集成组件按同一安全边界接入。

6.1 设计理念：一个入口、一套身份、一条数据链

6.1.1 为什么自研

当通讯、流程、文件与邮箱之间缺少稳定的接口和治理规则时，集成容易产生以下问题：

• 账号割裂：多个系统独立认证，密码和会话策略不同，离职撤销难以同步。
• 组织失真：权威来源和同步规则不明确，人员调整可能导致处理人错误或历史授权残留。
• 体验断裂：跨系统操作重复登录、失去任务上下文，移动端操作尤其繁琐。
• 审计碎片：记录缺少统一时间与关联标识，跨应用调查需要人工拼接。

工作台通过统一身份、组织同步、对象授权和关联审计连接这些环节。自研应用便于统一契约，第三方系统也可通过标准接口参与协作，一体化效果取决于规则与接口的落实。

6.1.2 三个设计原则

原则一：围绕工作组织入口。例如请假场景可由消息或待办进入表单，调用组织与假期数据，经用户确认后提交审批；审批通过后通过持久事件更新考勤和相关通知，失败操作可追踪与补偿。

原则二：权威数据统一维护，业务数据按域归属。人员与组织由公共服务提供，项目和供应商等数据由所属业务系统负责；应用通过标识、版本及授权接口引用，避免跨应用直接改表。

原则三：公共安全能力统一接入，业务权限由应用执行。新应用声明访问范围并接受认证与审计要求，文件外发、数据导出和高风险操作单独授权。

6.2 工作台的六项统一能力

平台提供统一接入契约，应用完成接口、权限和事件适配后使用公共能力；不能仅因应用入口出现在工作台就视为已完成治理。

6.2.1 统一门户

工作台首页是可配置的卡片式门户，汇集我的待办、我的审批、今日考勤、未读公告、最近文档、常用应用与数据看板。门户按岗位需求配置展示内容，并按用户权限和数据范围控制访问；经营指标、审批事项与部门公告均须经过对应业务服务的权限校验。卡片支持排序，也可由管理员统一下发模板。

6.2.2 统一待办

待办通过来源应用、对象标识、责任人、截止时间和状态版本聚合。列表展示与业务执行分离，简单动作可直接提交，复杂操作进入对应页面；完成与撤回结果由来源应用确认，超时提醒按授权范围执行。

6.2.3 统一搜索

统一入口聚合已接入检索契约的消息或应用对象，查询与原文访问同时校验权限。索引记录来源、对象版本及授权信息，更新延迟通过重放、对账和读取时校验处理。

6.2.4 统一消息触达

业务事件经持久事件系统分发，消息中枢依据接收范围与偏好生成会话通知或工作台提示。短信、邮件和电话通过单独适配器启用；业务待办状态仍由来源应用维护，不能以通知已发代替任务完成。

6.2.5 统一权限与字段级控制

角色权限控制操作资格，业务属性和对象规则控制数据范围。字段权限同时约束接口返回、写入和导出，前端隐藏只用于交互呈现，不能作为唯一的访问控制。

6.2.6 统一水印与审计

应用按数据类型配置页面与导出水印，关键操作记录用户、对象和关联请求。水印便于辅助追溯，审计记录通过集中采集、访问隔离与完整性保护形成证据链。

6.3 流程与协同应用

6.3.1 审批：把制度变成可执行的流程

定位： 审批是企业制度的线上化载体。它的价值不在于"能提交表单"，而在于让制度从纸面走向可执行、可统计、可优化。

核心能力

• 预置模板：按企业制度配置请假、报销、采购、用印、合同、出差、加班及资产领用等常见流程，模板范围和字段随交付方案确定。
• 可视化流程设计：拖拽式编排审批节点，支持条件分支（按金额、部门、类型自动路由）、会签（全部通过）、或签（任一人通过）、加签（临时增加审批人）、转办、退回、撤回。
• 字段级权限：按节点定义可见与可编辑字段，并在读取、提交、附件访问和导出接口执行；节点配置同时受流程版本与对象授权约束。
• 限时审批与催办：为节点配置提醒、升级和例外处置。超时自动流转需由制度明确授权，重要审批不能把未响应默认为同意。
• OCR 与辅助填单：通过授权的识别组件提取票据信息，字段校验与重复报销检查在业务服务执行，识别结果由提交人核对。
• 审批数据分析：统计各流程平均耗时、驳回率、节点瓶颈、审批人负载，为流程优化提供依据。

应用联动

• 与考勤联动：审批通过后按规则触发考勤重算，保留审批关联和规则依据；系统跟踪更新结果，异常可重试和补偿，不以通知发送代替业务完成。
• 与云盘联动：附件按规则归档到指定目录，保留对象版本、来源与权限；以归档任务结果确认完成，不因目录关联而扩大访问范围。
• 与公告联动：涉及全员的制度类审批通过后，可一键转为公告发布。
• 与邮箱联动：对外合同审批通过后，自动生成邮件草稿附合同文件，由发起人确认发送。
• 与工作日志联动：本周审批处理量自动计入周报"工作完成"字段。

安全特性：审批状态由流程规则统一控制，重复提交不产生重复审批结果，意见及变更可追溯。流程配置、审批、单据查看与导出分别授权，敏感操作留痕。

6.3.2 云表单：零代码的数据采集与轻应用搭建

定位： 云表单解决的是"结构化数据怎么收上来"的问题。在传统模式下，这类需求靠 Excel 加邮件，数据回收后还要人工汇总——费时且易错。

核心能力

• 字段与结构：提供文本、数值、金额、日期、选择、附件、成员、部门、明细和关联记录等字段，字段清单与公式能力由表单组件定义。
• 逻辑编排：字段显隐规则、跳转逻辑、必填校验、数值范围校验、正则校验，让一张表单适配多种填报场景。
• 数据看板：按字段和统计配置生成图表及明细，展示更新时间；异步汇总与索引更新允许有界延迟，导出与汇总执行相应的数据范围授权。
• 分发与回收：内网链接、二维码、会话卡片、工作台入口四种分发方式；支持限定填报人范围、限填一次、限时截止、未填催办。
• 数据联动：通过授权动作和业务事件创建审批、投票或归档任务，并连接外部系统。各目标应用独立确认处理结果，系统防止重复操作，并对失败环节提供重试和补偿。

典型场景：

• 安全巡检：巡检员扫码填写巡检表，含定位、拍照、设备编号，异常项自动生成整改审批单派给责任人。
• 资产盘点：按部门下发盘点表，扫码录入资产状态，系统自动比对台账差异并生成盘盈盘亏报表。
• 需求收集：面向全员收集信息化需求，按部门、类型自动分类汇总，支持投票排序优先级。
• 客户登记：销售提交客户信息，自动查重、自动分配给对应区域负责人。

安全特性：表单存储于获准环境，敏感字段按策略保护与脱敏；导出需授权并记录字段、条数和操作者，在支持的格式中施加水印。表单结构及规则保留版本，历史记录按对应版本解释。

6.3.3 投票：组织决策的轻量工具

定位：投票用于方案比选、意见征集和满意度测评，将分散意见组织为可统计的结果；正式选举与法定表决需另行核验程序及系统适用性。

核心能力

• 投票形式：按活动规则配置单选、多选、评分、排序或权重；权重由经授权发布的规则确定，不默认以职级代替合法的表决规则。
• 匿名策略：实名、展示匿名与身份隔离分别定义。展示匿名仅隐藏界面中的投票人；要求身份不可关联的场景需独立设计身份与选票隔离、密钥分权和统计阈值。
• 防重复机制：依据参与资格与活动规则限制重复投票，记录提交结果；设备与 IP 仅作辅助风控信号，不能替代身份及参与范围校验。
• 实时结果：投票过程中实时展示参与率与结果分布（可配置是否对投票人可见）。
• 结果归档：投票结果自动生成报告，可转为公告发布、存入云盘留档、作为审批附件。

典型场景： 干部民主评议、供应商比选打分、年度优秀员工评选、办公场地选址方案选择、职工代表大会表决、培训课程满意度测评。

安全特性：明确匿名级别、结果可见时间及管理员权限，投票提交和统计采用可审计规则。加密本身不能证明投票不可关联，封存与解封需对应的密钥和授权机制。

6.3.4 工作日志：工作过程的结构化沉淀

定位：工作日志指员工提交的日报、周报或月报，与安全审计记录和服务运行日志分别管理。应用按人员、组织与用途授权查看、汇总和引用。

核心能力

• 结构化模板：日报、周报、月报模板，字段含"今日完成""明日计划""风险与求助""需协调事项"；支持自定义模板与字段。
• 自动引用：一键引用本周的审批单、云文档、会议纪要、待办完成记录，减少重复录入。
• AI 生成：从用户有权引用的消息、审批、文档和会议记录生成周报初稿，保留来源；未接入或不可解密内容不纳入，用户核对后提交。
• 汇总与洞察：团队工作日志自动聚合，生成部门周报；风险与求助项自动汇总为管理者视图；提交率、及时率可统计。
• 互动点评：获授权主管可对工作日志点评、点赞、转化为待办；跨部门求助项可一键转给对应负责人。

典型场景： 项目周报、销售日报、运维值班日志、驻场人员工作记录、部门月度总结、年度述职素材沉淀。

安全特性：工作日志按人员与组织授权查看，用于绩效参考时明确用途和范围；修改、删除及调阅保留记录，保留期限与个人信息处理规则一致。

6.4 组织与运营应用

6.4.1 公告：组织权威信息的单向通道

定位：公告用于正式信息发布、阅读确认与后续催办。系统记录发布、送达与回执，回执能证明约定的操作事件，不能单独证明接收方理解或履行了通知内容。

核心能力

• 分级发布：全员、指定部门、指定角色、指定人群；支持跨组织发布（集团—分子公司）。
• 富文本编辑：图文混排、附件、表格、编号列表，支持从 Word 粘贴保留格式。
• 定时与置顶：按发布时间、可见范围和有效期管理公告，支持定时发布、置顶及撤回。发布任务可恢复，重复触发不形成重复公告，管理操作保留记录。
• 已读回执与催办：按授权范围统计阅读确认，未读提醒可经会话、短信或电话发送；域外通道须单独启用并配置发送预算、回执和失败处理。
• 审批发布：重要公告需经审批后发布，审批记录与公告绑定。
• 归档与检索：按年度、类别归档，支持全文检索，形成企业"制度库"。

典型场景：制度、人事、放假安排、安全通报与应急通知。应急提醒按启用通道、重试和人工升级规则执行，不能保证电话接通或实际响应。

安全特性：内容变更、发布范围和回执受权限控制并留痕；公告保留与删除遵循制度。需要留存的正式公告不采用到期无法审查的销毁策略。

6.4.2 考勤打卡：纪律、工时与合规的平衡

定位：考勤记录班次、出勤与异常处理，在工时管理、申诉核验和个人信息保护之间保持明确规则。

核心能力

• 打卡验证：根据终端与集成能力配置定位、网络或受管设备验证，人脸方式单独评估必要性及合法处理基础，并保留适当替代方式。
• 多班次与排班：固定班、弹性班、综合工时、跨天班次；支持批量排班与个人排班调整。
• 外勤与补卡：外勤按必要范围配置位置验证及事由；补卡审批通过后，由考勤服务按规则版本重算并保留修订记录。
• 异常处理：按班次、工作日历、请假及已确认记录识别迟到、早退、缺卡等异常，申诉复核后修正；缺卡不直接等同于旷工。
• 报表与联动：按授权生成个人、部门和组织报表，审批事件触发考勤重算；对接 HR 系统时明确字段、权威来源、同步方向和失败补偿，避免相互覆盖。

合规设计（重点）。 考勤是《个人信息保护法》适用的典型场景，莲信在设计上做了四点约束：

• 采集最小化：定位仅在打卡请求时用于范围校验，明确是否保存坐标、精度与必要期限，不默认持续采集轨迹。
• 合法处理：依据具体用途确定处理基础，依法完成告知；依赖同意处理敏感个人信息时取得单独同意，并提供相应的管理与撤回流程。
• 权限隔离：本人及获授权的主管、人力资源人员按职责范围查看考勤；跨部门调阅、批量导出和管理员访问另行授权并留痕，不默认赋予所有上级明细访问权。
• 生命周期：原始记录、申诉材料及汇总数据分别设置保留期限，满足法定或争议处理需要后再归档、删除或匿名化；归档不等于删除。

典型场景： 总部与分支机构统一考勤、外勤销售打卡、驻场运维人员考勤、轮班制生产岗位排班、受控区域门禁联动打卡。

6.5 内容与资产应用

6.5.1 云盘：企业知识资产的统一存储

定位：云盘统一管理业务文件，按空间与对象配置权限、版本、共享及审计。

核心能力

• 三级空间：个人、部门与企业空间分别配置归属和权限，采用文件服务及共享对象存储；离职或组织调整触发交接任务，完成后复核对象引用与共享范围。
• 精细权限：查看、预览、上传、下载、编辑、分享、删除、管理八种权限，可按人员、部门、角色、标签授权；支持权限继承与例外覆盖。
• 版本管理：按文件类型、配额和保留策略保存历史版本，支持差异查看及恢复；同名文件是否升版由空间策略决定。
• 在线预览：由预览组件处理常见办公、图片与音视频格式，CAD、压缩包等扩展格式依据组件能力及授权启用。
• 传输能力：分片上传与断点续传依据文件服务接口配置，文件大小和并发受存储、配额及网络预算约束；去重处理不得绕过对象访问授权。
• 外链管控：外链可设置有效期、访问密码、下载次数、是否允许下载；外链访问记录可查。
• 回收与恢复：删除保留期和对象版本按策略配置，恢复依据可用版本、快照或备份执行，核对目录引用与权限，不承诺恢复任意时间点。

应用联动：消息和业务附件通过对象引用、版本与授权链接关联文件。归档记录保留来源和访问规则，共享存储对象不直接继承所有引用方的访问权限。

安全特性：文件按安全方案实施存储加密、密钥管理与授权访问，预览、下载、分享和交接操作留痕。水印、禁止复制及截屏限制结合终端能力使用，不能防止全部形式的内容外泄。

6.5.2 云文档：在线协同与知识共创

定位：云文档提供多人编辑、评论与版本管理，将工作内容沉淀为有归属、有权限的组织知识。

核心能力

• 文档类型：按所选在线编辑组件启用文档、表格、演示或思维导图，分别验收格式导入导出、并发编辑、权限及终端支持范围。
• 实时协同：由文档协同组件管理编辑会话、操作合并、冲突与持久版本，重连后补齐变更。协同网关、编辑状态与文件版本纳入跨实例部署；具体算法由所选组件确定，不以普通消息总线替代编辑一致性。
• 评论与指派：按文档权限添加评论、提及成员或关联待办，任务状态由来源应用确认；评论删除与任务完成分别管理，不以标记已读代替处理完成。
• 版本与对比：按文档组件和保留策略保存版本、比较差异并恢复；恢复创建可追溯的版本，不直接覆盖并发编辑或绕过对象权限。
• 模板中心：内置公文、合同、周报、方案、会议纪要等模板，支持企业自定义模板库。
• 知识库：目录树 + 标签 + 全文检索，支持将文档归入知识库形成企业知识体系；知识库支持按部门、角色设置可见范围。
• 内容嵌入：按编辑组件支持范围展示审批、表单、投票或图表等对象引用；嵌入时仍检查原对象权限，无法安全呈现时使用受控链接。

安全特性：减少主动下载与本地明文留存，受控终端按策略保护缓存；在线浏览仍可能产生浏览器缓存或系统临时数据。外发、复制、下载与打印分别授权，关键操作审计，文档所有权交接后复核共享范围。

6.5.3 快传：大文件与跨端高速通道

定位：快传管理有时限的文件交换，云盘管理长期文件资产，二者分别定义留存、接收和访问规则。

核心能力

• 文件传输：经授权文件服务上传下载，按网络与存储预算配置大文件处理；启用端间直传时单独校验身份、对象授权、网络边界和审计要求。
• 文件夹打包：整个文件夹打包传输，保留目录结构；接收方可选择全部或部分下载。
• 断点续传：基于分片及校验信息恢复中断传输，服务端核验上传归属和文件完整性，减少重复发送。
• 跨端互传：移动、桌面与 Web 按交付能力共享受控文件入口；扫码兑换短期访问凭据，并校验接收身份、对象范围和有效期。
• 提取码与有效期：凭据限定文件、接收范围、访问次数和期限。到期停止新访问，并按策略清理临时文件；必要留存与独立备份分别管理。
• 传输记录：发送与接收记录可查，含文件名、大小、时间、接收状态。

典型场景： 设计图纸交付、视频素材回传、安装包分发、招投标文件递交、庭审材料传输、跨单位大文件交换。

安全特性：传输链路加密，临时区对象设有效期并定期清理，限制接收范围与访问次数。对象过期同时处理访问凭据及缓存，独立备份按保留策略清理；受控内网场景使用域内中转。

6.6 连接与沟通应用

6.6.1 邮箱：对内协同与对外正式沟通的桥梁

定位：邮箱连接正式对外沟通与内部协作，将邮件入口、附件和任务关联起来。邮件接收、投递及阅读分别确认，普通邮件回执不能单独证明法律意义上的送达。

核心能力

• 邮箱接入：通过所选邮件服务的 IMAP、SMTP 或厂商接口连接收发和目录能力，核验认证方式、协议版本及授权范围；邮件服务独立配置域名、存储与运维责任。
• 即时通讯内收发：通过工作台邮件入口查看与回复邮件，新邮件到达以卡片形式提醒。
• 邮件转工作：邮件一键转为待办、转为审批、转为云文档、存入云盘；附件一键归档。
• 通讯录关联：在获准目录范围内补全收件人；外部联系人保存与复用按个人信息和外部协作策略管理，不默认自动向全部用户公开。
• 邮件归档与审计：按合法处理基础和授权范围归档邮件，按参与方、主题与时间检索；外发审批、加密邮件检索及附件处理分别配置。
• 安全防护：邮件安全组件承担反垃圾、反钓鱼和附件检测，证书与签名加密按收发双方能力配置。邮件链路加密与 S/MIME 内容加密具有不同边界。

典型场景： 对外合同往来、招投标函件、监管报送、涉外沟通、离职员工邮件交接。

安全特性：域内邮件数据由企业控制，外发邮件正文与附件会按收件地址传出部署边界。企业明确外发规则、附件保护、内容审核与审计，不能同时承诺所有邮件均不出域。

6.6.2 翻译：跨语言协作的基础设施

定位：翻译为涉外沟通和跨语言材料提供辅助，专业术语及关键条款经人工审校。

核心能力

• 应用入口：文本翻译通过服务适配器调用所选引擎；文档、邮件及图片翻译需要对应解析、OCR 与格式还原组件，逐项定义支持范围。
• 多语种：支持语言及语言变体由引擎和接口白名单确定；翻译质量结合专业领域、文本长度和人工评审验证。
• 术语管理：需要统一专业译法时，按引擎能力配置术语或提示模板，单独验证术语覆盖与译文一致性。
• 引擎部署：翻译通过配置的服务端点调用。域内引擎与外部 API 按数据策略选择，封闭网络仅启用经过适配和验证的域内服务。
• 结果复用：短期缓存与同请求合并减少重复调用；长期翻译记忆与术语库分别管理，缓存不能替代正式译文记录。
• 文档输出：文档译文或双语对照依赖格式解析与生成组件，复杂排版及关键内容由人工审校。

典型场景： 外贸客户往来、涉外工程技术文档、跨国集团内部通报、进口设备说明书、涉外政务服务。

安全特性：外部引擎调用前限定文本范围和敏感信息规则；域内部署检查模型、日志与缓存的存储位置。临时结果按策略到期清理，审计保留必要元数据。

6.7 跨应用联动场景

以下场景说明应用的组合方式，分别定义触发条件、身份授权、执行结果和异常处理。实施时以启用模块及已配置规则为基础，逐项验证联动。

6.7.1 请假与考勤联动

员工从消息或助手进入请假表单，业务服务读取组织与假期余额，用户确认后提交。审批卡推送给获授权主管，审批通过后更新考勤并生成必要通知；公开状态仅展示工作安排所需信息，不默认暴露请假事由。

流程入口与数据引用减少重复填写，审批、考勤和通知各自确认执行结果；跨应用处理失败进入重试或人工处置。

6.7.2 报销：票据识别到档案归档

发票经 OCR 提取字段，由申请人核对后提交报销；重复报销检查与差旅标准校验由业务服务执行。主管审批、财务复核及附件归档分别确认，归档保留审批来源和对象版本，再按启用通道发送受控链接。各环节按持久任务重试，不以识别或通知成功代替业务完成。

票据与审批记录关联归档，原始材料、电子凭证及纸质材料的保留要求按业务制度执行，不能以线上流转直接替代全部法定留存。

6.7.3 项目立项：从意见收集到立项书

部门用云表单收集立项需求（含预算、周期、预期收益）→ 汇总后在管理层会议中发起投票比选 → 排名第一的方案转为立项审批 → 审批通过后按已配置规则创建项目群、开通授权目录并生成文档草稿 → 项目周报通过工作日志按周提交，自动汇总至部门负责人。

6.7.4 安全巡检：异常闭环

巡检员在厂区扫码填写巡检表（定位 + 拍照 + 设备编号 + 检查项）→ 发现隐患，表单规则自动生成整改审批单派给责任班组 → 责任班组整改后上传照片，审批闭环 → 若为重大隐患，按规则提交公告预警，经授权发布→ 月度巡检数据汇总为报表，纳入安全生产日志。

6.7.5 比选材料与评审协作

内部比选方案通过公告和受控文件入口收集材料，按截止时间、密钥与评审权限配置封存；授权评审组查看、批注和评分，经复核发布结果并归档。法定招投标还需核验电子签名、时间可信性、封存和适用资质，普通文件加密区不直接构成完整的电子招投标系统。

6.7.6 涉外项目的语言协作

涉外邮件与文档在授权范围内调用所选翻译组件，按引擎能力应用术语规则；双语文档输出需对应解析与生成组件。关键条款经审校及审批，交付文件通过受控链接交换，并明确跨域接收方、有效期和译文保留规则。

6.8 开放与扩展

工作台不是封闭的。企业可以用三种方式扩展自己的能力边界。

6.8.1 低代码扩展

配置扩展：以字段、流程节点、看板与事件规则组织部门轻应用。模板预览、测试发布与版本回退纳入管理，复杂业务通过受控接口开发，不以搭建速度替代业务验证。

6.8.2 开放 API 与 SDK

6.8.3 应用目录与第三方集成

企业应用通过注册、发布范围和授权接入工作台，复用身份、组织、消息和审计契约。业务系统通过 API 与 Webhook 交换数据，简单动作在卡片中执行，复杂操作进入业务页面，来源系统保留状态归属。

第三方应用经过注册、安全评审与逐项授权，通过受控接口访问数据，调用记录关联应用身份。授权撤销后同步处理凭据、订阅与任务；依赖该应用的流程明确失败或替代路径，避免静默丢失业务处理。

第7章 协作与智能能力

协作与智能层在通讯与工作台之上提供跨应用协同和智能辅助。本章按音视频协作、待办与业务通知、AI 智能助手、Agent 编排及系统集成五部分展开，均遵循第 4 章的数据归属、持久事件和授权契约。

7.1 音视频协作

RTC 业务服务管理呼叫权限与业务状态，LiveKit 提供媒体房间及连接信令，两者通过授权接口关联会议入口。LiveKit 多节点使用经验证的 Redis 协调配置；录制、字幕、翻译和会议扩展功能分别配置组件，不因接入媒体服务即默认具备。

7.1.1 语音与视频通话

• 语音通话：支持一对一及多方语音通话，通话记录可查询。
• 视频通话：支持一对一及多方视频通话，支持前后摄像头切换。
• 后台通话：按终端系统、权限与资源策略提供悬浮窗或后台音视频；操作系统限制可能影响持续采集与播放，终端矩阵分别验收。
• 通话留痕：记录呼叫参与人、时间、状态和结果；音视频内容录制是独立能力，需相应授权、告知、存储和保留策略。

7.1.2 视频会议

• 会议入口：按所选会议产品提供预约、立即发起和加入入口，邀请卡片关联会议对象及参会权限；创建、接受邀请与实际入会分别记录。
• 会议容量：按互动参会、屏幕共享和观看人数分别配置，结合编码参数、媒体节点与带宽压测；大规模观看采用直播分发，不能用观看人数替代互动容量。
• 屏幕共享：按终端权限共享屏幕或窗口；标注与协同注释依赖所选客户端及会议组件，分别验证权限和兼容性。
• 会议控制：参会资格、静音和主持权限由会议服务管理；等候室、分组讨论等扩展功能依赖具体会议产品，按启用范围验收。
• 会议录制：本地录制依赖客户端，服务端录制依赖独立录制服务；自建 LiveKit 采用 Egress 等经验证的配套组件。录制任务、文件对象和访问权限分别管理，按策略加密、归档和保留。
• 私有化媒体：在企业受控网络配置媒体节点及所需 STUN/TURN 等网络穿透能力。跨网络参会核验中继、路由与带宽，媒体实际流向由部署拓扑决定。

7.1.3 会议与工作台的联动

会议不再是一次性的通话，而是工作流中的一个节点：

• 会议预约：按所选日程与会议接口创建关联对象，邀请卡片记录接受或拒绝；日程订阅和实际入会状态分别确认。
• 会议材料：按文档对象权限向参会人提供链接，邀请参会不自动授予所有会议材料访问权；会前通知按任务与重试规则发送。
• 会议中通过云表单收集意见、通过投票表决方案。
• 会后纪要与待办：经授权转写与模型服务提取摘要和建议任务，负责人复核后发布纪要、确认责任人并创建待办。
• 会议纪要可关联到对应的审批单或项目文档，形成完整项目档案。

7.2 待办与业务通知

7.2.1 待办中心

待办中心聚合各应用提供的任务摘要与状态引用，业务状态以来源应用为准：

• 多来源汇聚：审批待办、表单待填、公告待阅、文档待看、邮件待回、考勤异常待处理、工作日志待提交、会议待参加。
• 多视图切换：按来源分类、按优先级、按截止时间、按发起人四种视图。
• 消息转待办：在消息可见和引用权限范围内创建个人待办并关联来源；业务审批状态仍由来源应用维护，个人标记完成不改变原流程。
• 任务处理：根据动作复杂度在列表内提交或进入应用页面，执行时复核权限、版本与流程状态，防止重复处理。
• 到期提醒：按规则和授权范围生成应用通知；短信、邮件或电话需启用相应通道，并配置发送预算与失败处理。

7.2.2 统一业务通知

统一业务通知提供面向应用的接入、分发与状态关联能力。企业系统通过 API 或 Webhook 接入，平台使用持久事件服务连接业务变化、消息卡片及待办；通知投递与业务完成分别确认。

• 消息统一汇聚：将 OA 审批、公文待办、ERP 业务消息、HR 提醒、MES 告警、监控告警统一汇聚。
• 通知分发：按租户、接收范围和应用权限投递给用户或群组，分别记录提交、设备确认和已读；实时提醒是持久状态的通知入口，断线后通过增量补拉恢复。
• 待办同步：按来源系统、对象标识和状态版本更新待办投影，业务状态与动作权限由来源系统确认；重复、乱序及撤回事件按规则处理，并通过对账修复遗漏。
• 自研系统接入：通过版本化 API 或 Webhook 交换业务事件与任务，统一管理身份验证、授权、重复处理保护、重试和异常恢复；业务数据仍由来源系统维护。

7.3 AI 智能助手

AI 助手连接授权知识与业务工具，通过检索增强、受控调用和结果复核辅助工作。域内部署保障模型服务的可控边界，外部模型接入则单独约束发送范围、保留策略及调用预算。

7.3.1 大模型对话

• AI 对话助手：提供自然语言多轮对话，上下文按租户、用户和用途隔离，设置保留期限及撤销清理规则，不能将记忆能力视为永久保留全部聊天。
• 模型接入：通过适配器连接企业选择的模型端点，明确接口、上下文长度、数据处理条款及资源预算；模型名称不直接代表已完成部署兼容验证。
• 域内部署：按模型许可、算力和运行环境配置本地推理，核验推理、向量化、转写、日志及备份等全部相关链路的数据流向。
• 知识检索：按文档解析、分块、检索与来源引用组织知识问答，索引与原文均校验授权。全文检索与向量检索按需求组合，向量化服务及索引单独纳入部署清单。

7.3.2 智能摘要与内容生成

• 群聊摘要：对获准的协作内容生成摘要并关联来源，按权限变化处理引用和缓存。
• 文档摘要：对获准文档生成摘要与关键信息，保留来源版本，分享摘要时重新核验原对象授权范围。
• 项目进展报告：按项目授权整合已接入的群聊、文档与会议材料，区分原始事实和模型归纳，负责人复核后发布。
• 周报生成：引用已接入且用户有权使用的审批、文档、会议和待办记录生成草稿，结果由用户核对提交；与第 6.3.4 节的工作日志应用使用同一权限及来源规则。

7.3.3 会议 AI

• 字幕与转写：通过所选转写组件生成字幕，翻译依赖对应语言与引擎适配；分别验证时延、语言覆盖及识别质量，转写结果允许校对。
• 智能会议纪要：按获准转写内容生成总结与建议待办，负责人核对后发布并确认责任人；模型提取不直接形成已经承诺的任务。
• 发言人标注：优先依据参会账号或音轨区分发言者，无法确认时标注待核对；声纹身份识别属于单独的生物识别处理，启用前评估必要性与授权要求。
• 纪要生成：录制与语音转写分别配置。无持久录制时仍需处理音频及转写数据，明确采集告知、临时缓存、校对和保留范围。

7.3.4 AI 与工作台的融合

AI 通过授权接口辅助应用操作，模型生成与业务提交分开执行：

• AI 填单：根据获准上下文生成字段建议，组织、预算及额度从业务服务读取，提交前校验数据类型、权限和当前状态。
• AI 查数：自然语言先转换为受控查询参数，经权限和查询预算校验后访问业务接口；不向模型开放任意数据库查询或修改能力。
• AI 找文件：用自然语言描述找文件（"去年和某客户签的那份框架协议"），AI 在权限范围内检索云盘与云文档并给出候选。
• AI 提醒：AI 识别会话中的承诺事项（"我周五给你"），主动建议创建待办并设置提醒。
• AI 写材料：基于历史文档与模板生成公文、方案、总结初稿，用户修改后走审批发布。

7.4 Agent 编排与权限治理

7.4.1 AI Agent 构建

• 自定义智能体：按业务场景创建专属 Agent（如"制度问答员""报销审核助手""合同审阅助手"）。
• 工具调用：Agent 以用户委托或经授权的服务身份访问通讯录、审批和文档等接口，校验租户、对象范围及调用预算；企业系统保留自身授权与业务规则。
• 流程编排：将提取、比对、草稿和审批等步骤连接为可追踪流程。工具按最小权限执行，系统校验输入与业务条件、控制重复操作并记录结果；外发、付款或权限变更等高风险动作需明确授权或人工确认。

7.4.2 权限约束下的个性化

• 按权限提供问答：结合用户身份、组织与角色限定可检索的知识范围；检索、答案引用和后续业务操作分别执行权限校验，避免通过问答绕过原系统的数据访问控制。
• 知识权限：检索、原文读取和工具调用分别校验租户、用户与对象范围，撤销授权后清理相关缓存和上下文；提示词不能替代访问控制。
• 生成质量控制：通过检索增强、来源引用、证据不足时拒答及任务评测降低错误率。检索内容视为不可信输入，防范提示注入，重要结论由人员核查，不承诺模型完全无幻觉。
• 数据边界：域内模型与外部模型配置分别管理，向量化、转写、工具调用和日志遵守同一出域策略。会话上下文与缓存按用户和租户隔离，不因复用模型而共享业务数据。

7.5 系统集成能力

系统集成采用 API、Webhook、服务号与机器人连接企业业务系统。身份、组织、消息与业务对象通过明确契约协作，跨服务事件使用持久化、幂等及补偿机制，网络通道按部署边界配置。

集成安全：跨安全域使用经批准的代理、专线或安全隧道，统一管理应用身份、授权范围、调用容量与异常恢复，防止伪造和重复触发。目录同步与单点登录分别核验，数据流向依据完整业务链路确认。

第8章 安全体系

安全体系围绕身份、授权、通信、数据、终端与审计构建分层防护。企业受控部署提供基础边界，服务端执行对象授权，密码与密钥管理保护数据，日志与恢复机制支撑追溯；不同数据模式和终端能力分别确定防护范围。

8.1 私有化部署安全架构

8.1.1 数据驻留与出域控制

业务数据、文件、配置、审计和备份按企业批准的位置存放。域外推送、短信、邮件、核验、翻译及模型调用实行出口与字段控制；封闭网络仅使用域内依赖，访问与运维活动保持审计。

8.1.2 网络隔离

• 网络隔离：根据业务等级选择物理隔离、专网或逻辑分区。专属云属于受控部署方式，是否物理隔离由网络与硬件方案决定。
• 逻辑隔离：使用租户、组织、应用与业务对象的授权边界限制访问，服务端在读取、写入、检索及导出路径一致执行。
• 安全域互通：通过受控网关、专线或隧道连接必要服务，限制方向、端点、证书及调用权限；网络可达不代表业务授权。

8.1.3 密钥自主管理

• 全生命周期管理：密钥管理覆盖生成、存储、分发、导入导出、使用、备份恢复、归档与销毁全生命周期。
• 密钥保护：按等级采用受控密钥库、密钥管理系统或硬件密码设备。信封加密场景中主密钥与数据密钥分层管理，明确数据密钥在业务进程内的使用及清理规则，不能笼统承诺所有密钥均不出硬件。
• 密码适配：按场景对接经选型验证的算法、证书与密码设备，分别核验传输、签名、完整性与存储保护，不以算法名称代替完整的密码应用方案。

8.2 数据加密的保护边界

8.2.1 传输层加密

优先采用 TLS 1.3，在兼容要求下配置安全的 TLS 1.2 套件并禁用旧协议。证书校验、密钥交换与内部链路保护分别配置；国密传输按对应协议和网关验证，不能将普通 TLS 直接等同于国密链路。

8.2.2 存储加密

• 存储保护：按敏感级别对字段、文件对象或存储卷加密，认证加密同时保护机密性与完整性，密钥、数据与备份分别授权。
• 算法选择：AES 或 SM4 按密码应用方案使用，明确模式、随机数、完整性校验和轮换策略；叠加两种算法不自动提升合规等级。
• 文件保护：文件传输、存储及完整性校验协同配置，上传中断恢复和内容加密分别定义保护范围，访问时仍校验对象权限。
• 密钥治理：数据密钥、主密钥和版本信息形成可恢复的映射，轮换、备份、吊销与销毁均记录操作，并验证历史数据可用性。

8.3 访问控制

访问控制以 RBAC 管理角色与操作资格，以 ABAC 校验对象及环境属性，并按零信任原则持续验证身份和访问条件。三者职责互补，具体校验点与第 4.3 节的分层授权契约一致。

8.3.1 RBAC 基于角色的访问控制

• 角色链路：用户 → 角色 → 权限 → 资源的访问控制链路。
• 角色与范围：角色定义操作权限，管理范围约束可操作对象。角色继承应核验组合后的有效权限，避免多角色叠加扩大授权。
• 预设权限组：提供部门主管、HR、财务、审计等预设权限组，支持批量分配。
• 敏感权限隔离：密钥管理、数据导出、权限分配等敏感权限与常规权限隔离，需单独授权。
• 管理范围限定：限定管理员的管理范围为"特定部门"或"所在部门及下级"，实现分权管理。

8.3.2 ABAC 基于属性的访问控制

• 动态权限调整：结合用户属性、环境属性动态调整权限。
• 上下文感知：根据访问时间、地点、设备状态等环境因素，动态决定访问权限。
• 对象与字段控制：文件、单据、字段和导出均执行所属应用的授权规则，底层数据库账户另按最小权限管理，不向普通用户直接暴露表级访问。

8.3.3 零信任架构

访问持续校验：不因处于内网或曾经登录就永久信任，每次请求检查凭据与资源权限，高风险动作结合来源、设备和风险信号追加验证。会话和授权撤销通过共享状态传播，网络、身份及对象控制共同形成纵深防护。

8.4 终端安全

终端安全通过设备会话、本地缓存保护和受管策略降低泄露风险。移动、桌面与 Web 的能力范围按系统限制和管理权限分别验收。

8.4.1 设备管理

设备与会话：以账号、设备标识、会话与撤销版本管理登录，展示近期活动并支持远程退出。IP 作为来源信号，MAC 在跨网及移动端环境不可作为通用身份依据；擦除指令仅作用于获授权且能够接收指令的受管终端。

8.4.2 MDM 移动设备管理

受管终端：通过终端系统或 MDM 接口配置应用隔离、缓存加密和共享限制，策略覆盖范围按终端与管理权限核验。离线、未受管或被攻破设备不能承诺实时策略执行。

8.4.3 终端防护

终端防护：按系统能力配置截图限制、录屏检测、水印、剪贴板和文件访问规则。不同终端覆盖有差异，无法完全阻止外部拍摄或已获明文人员另行复制。

8.5 内容安全

内容安全覆盖 DLP 数据防泄漏、敏感词过滤、数字水印溯源与消息审计存档。

8.5.1 DLP 数据防泄漏

• 防扩散策略：按终端与组件能力配置下载、复制、转发和截图限制及水印，结合对象敏感级别与角色授权执行；这些措施不能保证阻止所有明文复制。
• 加密与授权协作：文件服务在授权后处理必要的加解密，传输链路及临时明文分别保护，认证失败时停止访问并记录结果。
• 离线保护：离线访问需要本地缓存，按终端能力加密保存并限制期限及离线授权；需要实时撤销的数据应限制离线使用，不能同时承诺离线可读与数据完全不落地。
• 外发管控：受控链接配置接收范围、密码、有效期及下载授权；下载后加密取决于文件格式和接收端能力，不把链接失效等同于已下载副本失效。
• 访问撤销：关闭对象链接或撤销授权可阻止后续在线访问；已经下载、截屏或另存的内容不能保证远程收回。
• 共享行为审核：记录并审核文件共享行为，异常共享触发预警。

8.5.2 敏感词过滤

敏感词过滤：对获准处理的消息或文件配置词库、策略版本及告警或拦截动作。异常发送、共享和删除行为依据元数据与规则检测，分别定义处置范围。

8.5.3 数字水印溯源

水印追溯：在适用页面、预览与导出中嵌入用户及时间信息，关联访问日志辅助调查。水印可能被裁剪或遮挡，归责需结合完整证据，不能仅凭水印保证准确定位责任人。

8.5.4 消息审计存档

• 存档范围：根据合法处理基础、企业制度及应用配置保存指定消息与必要元数据。语音转写、媒体录制和撤回内容留存分别授权，并明确保留期限及调阅范围。
• 多维检索：对策略范围内、服务端可获准处理的存档内容按时间、关键词、发送人和会话查询，结果与摘要检查当前调阅权限。
• 撤回内容留存：仅在事先明确的存档范围内保留原始内容及撤回事件；其他消息按会话生命周期处理，存档访问与导出独立授权。
• 授权调阅：日常管理权限与内容调阅权限分离，敏感调阅按对象、时间及用途审批并留痕；数据库、存储和备份的运维权限同时约束，避免只限制后台页面。
• 完整性保护：审计记录采用职责分离、独立归档和完整性校验，必要时配置对象锁定或 WORM 存储。高权限账户、备份与归档访问一并治理，支持发现异常并追溯处理。
• 保留期限：相关网络日志按现行《网络安全法》第二十三条保留不少于六个月；业务内容、审计及个人信息按适用规则分别设置期限。

8.6 应用与数据安全

工作台上线后，企业的敏感数据形态发生了变化：不再只是"聊天内容"，而是"审批单据、表单记录、考勤数据、工作日志内容、文档正文"。莲信针对办公应用数据补充了专项防护。

8.6.1 单据与记录安全

• 字段保护：按敏感级别对字段实施存储加密与密钥管理，展示时依据角色和用途脱敏；脱敏不替代访问控制，也不等同于匿名化。
• 记录完整性：重要业务变更保留历史、操作人和处理结果，配合独立归档及完整性校验发现异常；业务只读权限与存储层保护共同治理。
• 导出管控：导出权限与查看权限分开，记录字段、条数、操作者和时间；在支持的格式中施加水印，机器接口和结构化导出以鉴权及审计为主。
• 跨应用引用鉴权：审批单引用云文档、表单引用通讯录成员时，实时校验引用方对被引用对象的访问权限，避免"通过单据看到无权文档"的越权。

8.6.2 考勤与工作日志的隐私保护

考勤与工作日志是员工个人信息最集中的两个场景，莲信按《个人信息保护法》最小必要原则设计：

• 采集最小化：考勤位置只在必要的打卡请求中使用，是否保存坐标及期限与第 6.4.2 节一致，不默认持续采集轨迹；工作日志不以键盘记录或后台截屏监测员工行为。
• 用途限定：考勤与工作日志按已明确的管理目的使用，新增分析用途重新核验必要性、处理基础和访问范围，避免默认扩大到员工画像或情绪监控。
• 访问留痕：查看他人考勤明细或工作日志时记录操作者、时间与范围，批量导出实施单独授权；查看权限与导出权限分别管理。
• 期限可控：原始、汇总和审计数据分别配置期限，到期处置核验法定留存与争议保全要求，归档、删除和匿名化分别记录。

8.6.3 应用权限治理

• 权限点注册制：每个应用上架时必须声明所需权限点，管理员逐项授权，未授权的能力不可用。
• 最小授权：应用只使用注册及授权范围内的能力；租户和对象访问仍由业务接口检查，不因应用自有数据或入口可见就默认放行。
• 权限复核：按企业制度定期检查高权限、闲置授权和外部应用，记录复核与回收结果；需要自动任务时配置对应调度与通知规则。
• 第三方应用边界：按注册身份和授权接口访问数据，不直接使用平台业务库账号。嵌入页面单独设置来源、内容安全策略和凭据传递规则，页面沙箱不等同于独立的服务端计算隔离。

第9章 合规与信创

合规由系统技术、部署环境、管理制度和实际处理活动共同决定。莲信提供身份、授权、审计、密码及恢复能力的设计与实施支撑，系统定级、测评和资质结论以具体项目和有效证明为准。

9.1 等级保护建设支撑

9.1.1 定级与实施范围

等级保护依据业务与系统影响确定保护等级。GB/T 22239-2019 提供基本要求，项目需结合网络、主机、应用、数据与管理流程落实控制，不能将某项产品能力等同于整个系统通过三级测评。

9.1.2 技术与管理控制

身份鉴别明确账号、认证因素与失败处理；访问控制明确角色、范围和职责分离；审计记录关键操作并保护留存；数据保护包括完整性、加密、备份和恢复验证。云、移动等部署情形核对相应扩展要求，控制项、配置及测试证据形成可检查的对应关系。

9.1.3 职责分离与运维授权

系统运维、安全管理和审计监督分别授权，敏感变更可配置双人复核或审批。应用角色、操作系统账号、数据库和备份权限统一考虑，职责分离不能代替对高权限访问的监测与约束。

9.2 数据安全治理

9.2.1 分类分级与处理责任

依据《数据安全法》第二十一条建立分类分级保护。企业内部的公开、内部和敏感等标签用于管理，不直接等同于国家秘密密级；重要数据识别与保护按适用目录和主管要求执行。

9.2.2 保护措施与出境管理

配置访问、导出、共享、备份和异常处置，保留必要操作证据。向境外提供数据时，按数据类别与处理活动评估适用程序，不能以服务器位于境内推定不存在出境。私有化部署有助于控制流向，但不自动完成法律义务。

9.3 个人信息保护

9.3.1 处理基础与最小必要

依据《个人信息保护法》确定处理基础，依法制定的劳动规章制度和集体合同所必需的人力资源管理与同意是不同的处理基础。对需取得同意的敏感信息处理，履行单独同意等要求，并评估用途、必要性、保存期限及相关影响。

9.3.2 考勤与生物识别

打卡时点的位置与人脸信息均需结合可识别性和风险评估，不能仅因不连续采集就认定不涉及敏感信息。人脸识别按2025年6月1日起施行的专项管理办法配置必要性评估、告知与保护措施，存在其他方式实现同等要求时不将人脸识别作为唯一验证方式。特征向量仍可能属于生物识别信息，加密不等于匿名化或不可逆。

9.3.3 个人权利与数据处置

提供查阅、复制、更正、删除及请求处理渠道；限制处理、撤回同意、转移和自动化决策相关请求按适用条件办理。法定保存或技术上难以删除时，依规则限制其他处理，不能承诺所有数据无条件即时删除。

9.3.4 自动化决策与事件响应

使用员工信息开展自动化分析时明确目的、透明度和人工复核机制，避免不合理差别待遇。个人信息安全事件依《个人信息保护法》第五十七条采取补救及相应通知，配合现行《网络安全法》第二十七条的应急处置要求，保留处置过程与责任记录。

9.4 网络数据与日志管理

《网络数据安全管理条例》要求分类分级保护。企业与受托技术服务方按实际处理关系确定责任、合同和安全措施；处理1000万人以上个人信息时，按条例第二十八条及其援引条款落实负责人、管理机构及相关管理要求，设置一个应用管理员角色不能替代组织义务。

现行《网络安全法》第二十三条规定相关网络日志保留不少于六个月。业务消息内容、财务记录、个人信息和审计材料分别依据适用规则确定期限，六个月不直接换算为固定180天，更不能据此推导所有聊天内容永久保存。

9.5 信创适配与证明

9.5.1 完整环境验证

信创适配覆盖处理器、操作系统、数据库和中间件的完整组合。迁移保持业务规则及授权语义一致，以并发、升级、故障和恢复测试判断是否适用，兼容范围与交付清单相对应。

9.5.2 适配范围与交付清单

业务服务、MySQL 及适配的国产数据库、Redis、NATS JetStream、Meilisearch、对象存储和 LiveKit 统一纳入目标环境验证；编辑、录制及 AI 组件按启用范围核验版本、许可和兼容性，组件组合与第 4 章、第 11.3 节保持一致。

9.5.3 兼容与资质边界

兼容测试记录、厂商互认证明、密码产品资质和系统测评结论分别管理，标明产品版本、环境及有效范围。没有对应证明的组合不宣称已获认证，普通私有化与信创适配也不等同于涉密系统资质。

9.6 密码应用体系

9.6.1 算法与协议分工

SM2 用于相应的公钥密码协议，SM3 用于杂凑与完整性相关机制，SM4 用于对称加密，SM9 属于标识密码体系。用途不同的算法不能简单互换或按单一名称划定安全等级；SM9 不是所有部署的默认组成。

9.6.2 正确使用与密钥治理

密码方案统筹算法、协议、身份认证、密钥生命周期和运行管理。链路、存储及审计分别配置相应保护，并验证组件互通、历史数据恢复及运维授权；单一算法能力不能代替整体密码应用评价。

9.6.3 适用标准与评估

GB/T 39786-2021 是密码应用设计的重要依据；历史行业标准 GM/T 0054-2018 与适用国家标准分别核对版本和效力。依《商用密码管理条例》及相关规定确定是否开展密码应用安全性评估、实施主体和频次，不能把所有三级系统概括为由同一条文统一要求每年密评。技术、管理和实施证据共同支撑评估。

第10章 管理后台体系

管理后台采用独立的管理入口和认证授权边界，覆盖组织、账号、应用、安全及运营管理。管理网络与业务网络按部署方案隔离，敏感配置与数据访问单独授权，关键操作可审计。

10.1 管理后台概述

10.1.1 架构

管理操作经过身份和权限校验后，由所属业务服务执行。配置与安全策略统一发布，相关服务同步生效并记录结果；敏感操作核验当前授权，生效范围及时间要求按策略类型明确。

10.1.2 管理员职责分离

管理原则：运维、安全与审计职责分离，敏感权限设置互斥或双人审批。人员授权、基础设施账户和应急访问一并治理，职责分离降低单人滥权风险，但不保证任何单一人员都不可能造成破坏。

10.1.3 功能模块总览

10.2 组织架构管理

• 部门管理：维护租户组织树、部门信息与人员任职关系，支持批量导入导出。组织调整保持结构有效及人员归属准确，管理范围、层级规则和变更权限按制度配置。
• 通讯录管理：维护成员姓名、工号、职务、手机号、邮箱、办公地点等字段，支持自定义扩展字段；标签管理支持分组、群发与权限批量分配；按部门设置通讯录管理员。
• 组织同步：通过 AD/LDAP、HR 或目录适配器对接，定义同步频率、增量标识、字段映射、账号绑定、冲突处理与离职策略，通过对账处理事件缺失。
• 多级组织分权：集团—分子公司分层管理，集团统一管理全局架构与核心策略，分子公司维护本单位部门与人员；支持跨组织通讯录与矩阵式汇报关系；内外部身份隔离管理。

10.3 用户与账号管理

• 生命周期管理：通过组织事件或导入维护入职、转岗与离职状态，执行账号启停、会话撤销、应用授权调整及数据交接；受管终端清理与服务端撤销分别确认。
• 设备管理：查询设备与会话活动，执行远程退出、凭据撤销和来源审查；终端数据清理依赖受管客户端接收与执行，离线设备按策略限制访问。
• 异动管理：按组织变更复核和回收权限，记录结果并转移获授权的业务对象；变更记录按审计与个人信息策略保留。

10.4 角色与权限管理

• 职责分离：系统运维、安全策略与审计查询分别授权，关键权限及密钥操作配置审批或复核，避免通过角色叠加绕过互斥要求。
• 角色管理：自定义角色、操作权限与管理范围，配置必要的继承和互斥规则；权限组合在服务端核验，敏感能力单独授权。
• 授权管理：按用户或组织范围分配角色与策略，组织变化后重新计算有效授权；批量分配、权限继承及例外规则均保留变更记录。
• 权限查询：展示用户、角色、应用与对象的有效权限及来源，按服务边界汇总业务授权；查询、变更和复核记录按统一保留策略管理。

10.5 认证与安全策略

• 密码策略：配置密码强度、失败处理及重置流程，依据风险和适用制度确定有效期与历史限制；密码与其他认证凭据分别安全存储。
• 登录控制：共享失败预算、锁定和会话状态，结合来源与设备风险检查；管理端与客户端采用独立预算和封禁策略。
• 多因素认证：按角色和风险配置 TOTP 或其他独立认证因素，并管理恢复、停用及重复使用风险。终端生物识别通常用于解锁本地凭据，不直接等同于服务端身份认证已增加独立因素。
• 身份集成：通过经验证的身份适配连接企业身份源，明确登录协议、信任关系与账号映射。OAuth 2.0 用于授权，登录身份由相应身份认证协议或受验证的业务会话确认。
• 数据保护策略：内部敏感级别标签、水印、敏感字段识别与外部协作规则按模块配置；识别结果复核并记录策略版本，内部标签不等同于国家秘密密级。

10.6 工作台应用治理

应用治理统一管理注册、发布范围、授权、配置版本及运行记录，保证应用入口与实际数据访问规则一致。

10.6.1 应用上架与授权

• 应用注册：新应用（自研或第三方）需注册应用信息、能力清单与权限点，经安全评审后上架。
• 发布范围：按部门、角色与标签控制入口可见性，同时校验应用使用资格；业务对象仍按所属服务授权，入口可见与数据可访问分别管理。
• 权限逐项授权：应用申请的通讯录、文件、消息、组织等权限逐项授权，未授权能力不可用。
• 使用统计：统计各应用的活跃人数、使用频次、功能使用分布，为应用治理提供依据。

10.6.2 模板与规则配置

• 审批模板管理：创建、修改、停用审批模板与流程；流程版本管理，历史单据按原版本流转，不被新流程影响。
• 表单模板管理：管理表单结构、字段权限、数据看板；表单结构变更留痕，可回滚。
• 考勤规则：配置班次、打卡范围、异常和申诉流程，规则带版本及生效时间；历史记录采用对应版本处理，变更通知与重算分别确认。
• 公告与工作日志模板：公告分类与审批规则、工作日志模板与字段、可见范围配置。

10.6.3 数据治理

• 数据保留策略：审批、表单、考勤和工作日志分别设置期限，到期核验法定留存及争议保全要求，再执行归档、删除或匿名化；备份按独立周期处置。
• 数据导出审批：批量导出需审批，导出行为记录导出人、时间、条数、字段范围。
• 数据归档：归档对象按业务制度限制修改并保留来源、版本与权限；恢复前校验数据结构和访问范围，业务只读状态不替代存储层的完整性保护。

10.7 消息与内容管理

• 消息存档：按合法处理基础和制度配置消息范围、内容类型及保留期限。离职与群解散不直接删除应留存记录，语音转写、通话录制和内容调阅分别管理及授权。
• 检索与漫游：在权限和保留期限内查询历史内容，支持跨端同步、断线补拉及重复内容处理。历史消息同步与内容审计采用不同的授权范围。
• 敏感词管理：维护词库、版本及预警或拦截规则，作用于获准处理的协作内容；异常行为按元数据规则识别，处置结果保留记录。
• 消息撤回与管控：按策略配置撤回时限、事件同步和留存范围；转发、复制及截图限制按终端能力执行，已下载或另存的副本不能保证收回。
• 内容调阅：按用途、范围和时限申请调阅权限，审批、访问与导出关联记录；运维账户和备份访问采用相同的职责分离要求。

10.8 安全审计与合规

• 审计管理：记录时间、操作者、来源、对象、动作与结果，对日志采集、访问和导出实施保护。相关网络日志不少于六个月，业务内容和个人信息按不同规则确定期限。
• 完整性治理：结合独立采集、访问隔离、签名或校验及受保护归档发现和限制篡改。数据库审计及 WORM 等能力按组件选型启用，不把加密或哈希链写成高权限人员绝对无法删除。
• 评估材料：汇总控制项配置、访问记录、变更和恢复证据，为企业自查与测评提供材料；报表不替代测评机构结论、备案或认证。
• 审计场景：支持"以人为线索"（某人某月所有敏感操作）、"以对象为线索"（某份文件的完整流转）、"以事件为线索"（某次异常登录的关联行为）三种追溯路径。

10.9 统计与报表

• 数据概览：员工/消息/云文档/审批/表单/考勤/会议等模块的使用数据概览；按日/周/月/自定义时间段查看趋势；企业概况含成员总数、活跃度、存储使用等核心指标。
• 成员活跃分析：按授权范围统计新增、停用和活跃趋势，组织维度跟随目录模型；时间窗口与指标定义统一，避免跨实例重复计数。
• 功能使用统计：按应用聚合使用量、流程耗时及失败率，区分业务指标与服务运行指标；员工相关分析遵循目的限定、最小必要和访问授权。
• 报表导出：按组织与时间范围授权导出，记录字段、条数和操作者；通过受控接口对接 BI，避免直接开放生产数据库。

第11章 部署方案

莲信部署方案以第4章整体架构为基础，围绕接入网关、核心业务、异步工作节点、文件服务、媒体服务和共享基础设施组织资源。onLine 与 box 是不同交付形态，单机、单站点集群和跨站点容灾是不同部署拓扑，实际组合由业务负载、网络边界和连续性要求确定。

部署以共享状态、可靠消息、可恢复任务及故障接管为基本约束。各节点遵循统一服务契约、配置与权限规则，权威数据由所属服务管理；容量、可用性和恢复目标通过目标环境验证确定。

11.1 部署模式总览

onLine 将平台交付到企业受控的云或机房环境，box 将核心能力组合交付到专用硬件。两种形态采用同一套服务与数据契约，按资源条件选择组件部署位置，并统一纳入认证、安全、审计和备份管理。

交付形态不直接决定高可用等级。单机和单台 box 需要明确设备故障后的恢复流程；采用集群时，应同时配置应用副本、共享基础设施冗余、独立备份和故障切换机制。

11.2 部署架构

11.2.1 单机组合部署

单机方案在一台主机或专用设备上组合接入、业务和异步处理，按资源配置 MySQL、Redis、NATS JetStream、Meilisearch 及文件服务。事件仍可靠保存，但单节点不提供主机故障冗余；媒体按房间和带宽负载选择同机或独立部署。

单机适用于验证、试点及经容量测试满足要求的小规模使用场景。人数仅作为需求输入，资源配置还需覆盖峰值连接、消息发送频率、群规模、文件增长、任务负载和会议并发，避免仅以注册人数判断承载能力。

持久数据独立于服务程序管理，数据库、文件和密钥另设主机之外的备份。设备故障通过更换和数据恢复处理，单机方案不具备主机级故障下的连续服务能力。

11.2.2 单站点分布式集群

入口负载均衡将请求分配至健康节点，集群共享身份、设备和连接归属，实时通知按当前接入位置路由。节点故障后客户端重新连接，从持久消息补齐遗漏；连接重建与服务恢复分别验收。

核心业务按领域组合或拆分，认证、授权撤销、连接和流量控制采用跨节点共享状态。异步任务支持进度保存、故障接管与重复执行保护；认证或权限状态不可确认时不放行受保护操作，与第 4 章保持一致。

MySQL 按业务领域明确写入归属，配置副本、复制监控和防双写切换。Redis 选择 Cluster 或主从加 Sentinel，两种拓扑分别设计并核验与应用及 LiveKit 的兼容性；业务状态、缓存与临时协调分别定义恢复责任。

NATS JetStream 按故障域配置持久存储、集群仲裁及事件副本，常规多副本部署按三个独立故障域组织并预留接管余量。事件分发与业务提交可靠衔接，广播与任务分发分别管理，结合重试、幂等和补偿支持恢复，与第 4 章的事件架构一致。

文件服务通过共享对象存储提供统一文件访问，处理产物不依赖单台业务主机。Meilisearch 按版本及许可配置检索拓扑和恢复方案；LiveKit 多节点通过兼容的 Redis 配置协同。录制独立配置，单房间容量和媒体故障恢复分别验收。

接入实例、业务实例和工作节点分别扩容，共享数据库连接、缓存请求、外部调用和媒体带宽设置总预算。故障演练覆盖应用退出、存储切换、事件积压、网络中断与恢复后的补偿，不以增加副本替代一致性验证。

11.2.3 跨站点部署与异地灾备

跨站点方案包括主备站点，以及同城多故障域承载业务并配置异地灾备。入口可多点接入，数据按明确的写入归属和一致性规则管理；复制、仲裁与访问路由统一设计，网络分区时防止双写和业务状态分叉。

延迟敏感的业务与存储优先部署在满足时延要求的同城网络中。数据库、Redis、NATS JetStream、文件存储和媒体组件分别评估跨站点延迟、带宽及仲裁所需的副本数量，不能把所有组件直接拉伸到异地网络，也不能将应用多点接入等同于数据多主写入。

异地站点保存受控的数据副本、备份和必要配置，明确接管顺序、流量切换、旧站点隔离与回切流程。RPO 和 RTO 由复制方式、数据规模、故障检测及业务校验耗时共同决定，通过演练记录确认，不统一承诺零数据损失或固定秒级恢复。

11.3 系统要求

11.3.1 资源与容量配置

计算、存储与网络资源按部署单元分别核算，下表列出容量配置依据。交付清单应写明节点数量、CPU 与内存、磁盘性能与冗余、网络带宽、副本配置及故障承接余量，并通过目标环境的容量测试确定最终规格。

容量测试覆盖峰值连接、集中重连、会话写入、大群分发、补拉、目录、应用事件及文件传输。会议单独测试房间、带宽和故障恢复，启用编辑、录制、OCR 或 AI 时增加相应负载测试；备份、重建与故障接管期间预留业务余量。

11.3.2 运行环境与组件选型

各部署环境统一采用第4章的数据、事件与通信选型。组件版本、驱动、证书及配置纳入交付基线，国产环境按完整软硬件组合验证，不以单一组件能够启动替代整套业务兼容性验证。

11.3.3 网络与安全边界

客户端接入区、业务服务区、数据区和运维管理区分别设置访问规则。公网或跨域入口采用受控 TLS 终止与证书管理，内部链路按安全域配置加密和访问控制；数据库、Redis、NATS、检索管理与诊断端口仅开放给授权服务及运维网络。

部署清单分别列出 HTTP、gRPC、WebSocket、文件、回调及媒体所需端口与证书。媒体 NAT、中继和带宽单独验收，编辑、录制与模型端点限定访问范围；推送、短信、核验、翻译、邮件及模型的域外调用按策略启用，封闭网络采用域内依赖或关闭入口。

各部署单元遵循统一配置基线，按职责分配证书、密钥和访问权限，配置变更及轮换经过受控发布。节点保持时间同步，凭据通过安全渠道管理，避免在交付镜像或运行记录中暴露；变更结果可核验和追溯。

11.4 容灾备份方案

11.4.1 故障切换与恢复目标

单站点集群优先处理实例、主机与存储故障，跨站点方案额外处理机房中断及站点间网络分区。部署方案分别定义各类故障的检测依据、自动或人工切换条件、决策权限及业务恢复校验，避免健康检查异常直接触发不受控的数据主节点切换。

切换依次完成故障隔离、数据恢复确认、基础设施接管、业务启用、入口切换和链路校验。客户端重连并补齐数据，未完成任务有序接管；重试和补偿遵循重复操作保护规则，防止恢复过程产生重复业务结果。

恢复检查覆盖身份与授权、消息顺序和跨端状态、组织及应用范围、待办、配额、订单和文件关联。可用性、RPO 与 RTO 明确度量范围、恢复条件和演练证据；媒体会话恢复与普通业务恢复分别评估。

11.4.2 备份原则与保留策略

备份遵循三份副本、两种介质、一份异地保存的原则。在线副本、数据库复制及消息流持久化用于运行冗余，独立备份用于误删除、逻辑损坏和整站恢复，两类机制分别配置和验证。

全量、增量及对象备份按一致的恢复窗口组织，记录数据库恢复位置和对应文件版本。备份频率及保留周期依据业务恢复点、审计留存和数据增长确定；备份介质设置访问隔离与加密，密钥材料独立保护，并验证恢复时可取得所需版本。

11.4.3 备份范围与恢复验证

恢复演练在隔离环境核对业务数据、文件、配置、密钥与授权，再恢复事件处理、缓存及检索。恢复前与外部系统核对已完成业务，避免重复付款、发信或通知；过期认证与连接状态按生命周期重新建立。

11.5 升级与扩容

11.5.1 灰度发布与滚动升级

发布前核对组件版本、协议兼容、数据库迁移、配置差异和备份恢复路径。先发布兼容性变更，再按测试用户、试点范围与全量分批启用；数据库结构优先采用兼容扩展，破坏性清理在旧版本退出并完成验证后执行。

实例升级前先从负载均衡摘流，停止领取新任务并排空在途请求；长连接按策略释放并由客户端重连，异步任务持久交接。新实例完成依赖、配置和就绪检查后接流，观察错误率、消息积压及状态一致性，再继续下一批。

回滚依据已验证的版本与数据兼容关系执行。应用回滚、配置回退和数据恢复分别制定步骤，数据库不可逆迁移或已产生的新业务状态不得仅靠替换程序回退；回滚耗时及服务影响由演练结果确定。

11.5.2 按部署单元扩容

接入、业务与异步工作节点分别按连接量、时延及积压扩容，数据库和对象存储按数据增长扩展。Meilisearch 分片或复制核验版本、许可和查询路由；LiveKit 按房间调度扩展，单房间容量受承载节点与媒体模式约束。编辑、录制及模型服务按启用负载独立扩展。

新增副本先验证共享身份、消息顺序、多端同步、任务接管及业务一致性；缩容先停止新流量，再完成连接恢复和任务交接。扩缩容全过程保持权限、数据归属与异常恢复规则一致。

数据库、缓存、持久事件及检索分别制定扩容、数据迁移和回退方案。Redis Cluster 关注分片容量，Sentinel 模式关注主从承载与切换；NATS JetStream 调整保持事件可靠性和仲裁能力，检索扩展保持授权及恢复能力，扩容前后按同一业务指标验收。

11.6 运维监控与部署验收

基础监控覆盖计算、存储、网络、时间同步和证书有效期。各部署单元统一报告健康、容量、时延和依赖状态，运行记录关联业务过程，敏感信息按策略保护。

数据监控覆盖数据库复制、缓存容量与共享状态、NATS JetStream 事件积压和副本健康。应用监控关注任务进度、通知失败、重复处理、索引延迟及异常恢复，指标与第 4 章的服务边界相对应。

通信监控区分消息提交、在线投递、设备确认与已读，观察重连和补拉。文件与检索监控对象引用、授权及重建进度，媒体监控房间、带宽和质量；按启用模块补充编辑会话、录制任务、模型请求及配套服务指标，外部调用统一设置超时与总预算。

运维平台统一展示指标、汇总日志并分级告警，可按企业环境对接监控与日志系统。管理操作、配置发布、故障切换和数据恢复纳入审计，告警通道在隔离网络中保持可达，处理流程明确责任人、升级条件和人工处置入口。

部署验收同时覆盖功能、权限、并发、故障和恢复：验证跨实例登录与撤销、消息顺序及去重、组织与应用授权、任务接管、事件补偿、文件访问、媒体恢复、备份还原和滚动升级。以实际部署组合记录容量与恢复结果，作为运行基线和后续扩容依据。

第12章 行业应用场景

本章以金融、制造、政府非涉密办公与大型集团为例说明方案组合方式。各场景采用第4章的统一服务与安全边界，部署按第11章选择，具体监管要求、应用模块和验收范围由项目确定。

12.1 金融行业

12.1.1 行业挑战

• 合规要求：按机构业务、系统定级与监管制度确定身份、日志及业务记录留存范围，不能将所有金融业务统一等同于三级系统或全部会话强制存档。
• 数据泄露风险：客户资料与协作内容可能涉及敏感信息，需要明确最小访问范围、外发与调阅规则，并配置事件处置和责任记录。
• 多层级管理复杂：总行—分行—支行、前台—中后台的分级分权管理要求高，权限边界必须清晰。
• 跨区域协作：大型机构的分支和岗位分工复杂，需要保持任务状态、授权与记录一致，减少跨系统重复处理。

12.1.2 莲信解决方案

• 受控部署：在机构批准的机房或云环境部署，按网络分区、出口规则和运维授权限定数据流向。
• 等级保护支撑：按系统定级配置身份、访问控制、安全审计、备份与管理流程，结合部署环境完成建设和测评。
• 密码应用：按安全方案配置链路、数据及密钥保护，国密组件依照适用协议和测评要求验证；内容留存及调阅根据监管要求、业务制度和授权范围管理。
• 职责分离与精细化权限：系统运维、安全管理和审计监督分别授权；总行、分支机构及前中后台按业务对象和管理范围分权，与第 10 章的职责体系一致。
• 终端防护：结合终端系统与管理能力启用水印、截图限制及本地缓存保护，配合访问日志辅助追溯。
• 过程留痕：按制度配置消息、审批和授权记录，明确内容调阅范围，结合敏感词和异常访问记录开展审查。
• 流程协作：审批应用连接用印、报销及业务会签，金融核心交易的规则与记账仍由原业务系统负责，平台记录任务和处理结果。

12.2 制造业

12.2.1 行业需求

• 跨厂区协同：多厂区、多基地的跨地域沟通，需要统一平台消除信息壁垒。
• 生产调度通讯：生产计划、物料调度、质量异常的实时沟通与快速响应。
• 供应链伙伴协作：与供应商、物流伙伴的跨企业协作，需在安全可控前提下实现信息共享。
• 现场作业数字化：巡检、点检、报工等现场作业仍依赖纸质表单，数据回收慢、难统计。

12.2.2 莲信解决方案

• 多组织架构管理：集团—分子公司分层管理与矩阵式汇报关系，满足复杂组织结构需求。
• 生产管理系统集成：通过第 7.2 节的业务通知接口接入 MES 告警和任务引用，持久事件与重试机制支撑恢复；生产控制和设备联锁仍由原系统负责。
• 现场作业数字化：云表单按规则采集巡检、点检和报工信息，异常经校验创建整改流程；统计展示更新时间与失败状态，不以卡片送达代替整改完成。
• 供应链外部联系人管理：外部联系人标签化，按客户、供应商、合作伙伴分类，以对象授权和操作记录约束共享。
• 上下游协作：通过受控接口关联供应链任务和通知；内部比选按材料授权、评审规则与归档组织协作。
• 图纸与工艺文件：根据预览组件配置 CAD 等格式处理，配合版本、共享范围和操作记录减少误用旧版本。
• 排班与工时：考勤应用支持多班次、跨天班次与批量排班，适配生产岗位轮班制。

12.3 政府机构

12.3.1 行业需求

• 政务办公网络：按非涉密办公要求配置专网、逻辑分区或离线交付，明确域内依赖和运维路径。
• 保密边界：涉及国家秘密的系统须另行满足涉密信息系统要求和相应资质审查，不能由普通私有化部署、国密算法或等级保护建设直接推定适用。
• 跨层级跨地域协同：对接各机构批准的目录或身份源，分别核验目录同步、账号映射及单点登录协议，不假定均已使用 AD 或 LDAP。
• 公文与流程规范：公文流转、请示批复、会议通知有严格的格式与流程规范。

12.3.2 莲信解决方案

• 离线交付：准备程序、依赖、许可与补丁介质，按封闭网络配置域内存储、媒体和身份服务，外部调用按策略关闭。
• 组织同步：通过经验证的目录或HR适配器连接人员来源，按账号绑定、增量和对账规则传播入职与异动。
• 公文与流程集成：通过第 7.2 节的业务通知与待办接口连接 OA，公文编号、电子签章与正式流转由原系统负责；工作台文档模板按业务规范配置并验收。
• 通知与回执：关联公告发布、送达、阅读确认和未响应提醒，电话或短信催办依赖相应通道，不以已读回执保证实际履职。
• 分级授权：以部门、角色及业务对象限制通讯录和应用访问，敏感操作独立授权并留痕。
• 审计留痕：根据业务制度确定消息与操作记录范围、调阅权限及保留期限，提供自查和事件追溯材料。

12.4 大型集团与多组织

12.4.1 行业需求

• 法人多、架构复杂：集团总部与数十家分子公司，组织架构多层嵌套，人员跨法人调动频繁。
• 管控与授权平衡：集团需要统一管控核心策略，又要给分子公司足够的自主空间。
• 跨组织协作：跨法人项目组、临时机构需要快速组建协作空间，项目结束后回收。
• 数据分级与组织隔离：按敏感级别、法人和租户边界设置存储及访问范围；跨法人共享明确处理目的与授权，集团管理身份不默认具有全部下属数据访问权。

12.4.2 莲信解决方案

• 多级分权管理：集团在约定租户及法人范围内管理公共目录与策略，分子公司维护本单位人员；跨租户采用明确的身份映射和共享契约，不直接继承对方全部权限。
• 矩阵式组织：支持成员同时归属多个部门或项目组，满足矩阵式管理需求。
• 跨组织通讯录：在目录可见范围内提供检索和协作入口，跨租户及外部身份单独映射授权，不能以通讯录互通替代文件或业务对象授权。
• 项目空间：立项通过后按规则创建群与授权目录，关联文档和任务；项目结束时分别归档数据、回收权限并检查未完成事项。
• 集团级数据看板：按法人、地域、部门多维度统计活跃度、应用使用、流程效率，支撑集团数字化管理决策。

12.5 行业应用共性价值

第13章 服务交付与平台协作

服务交付围绕需求、架构、应用启用和持续运维组织，实施与验收使用同一套功能、接口、安全及容量清单。支持范围、响应与恢复目标通过服务协议明确，配置和运行记录随交付基线管理。

13.1 实施服务体系

实施依次完成需求调研、方案设计、环境准备、数据迁移、验证测试、用户培训和上线验收。需求阶段识别组织、应用、数据和网络边界，方案阶段明确组件、资源、依赖及安全责任。

迁移先完成源数据、字段与身份映射验证，保留可回退的恢复点；上线测试覆盖功能、权限、跨实例一致性、故障接管及备份还原。工作台按高频场景分批启用，跨应用联动逐条验收。

13.2 运维支持体系

13.2.1 支持与服务等级

服务协议约定支持时段、故障分级、响应、处置和升级通道。可用性、数据恢复点和恢复时间分别定义统计范围、维护窗口及依赖条件，以部署拓扑和验证结果为基础。

版本维护执行兼容检查、灰度、摘流、任务交接和回滚验证。涉及不可逆数据变更时，明确维护影响、恢复路径和确认条件，发布与故障处理均保留记录。

13.2.2 监控与运行复核

沿用第 11 章的组件与业务指标，持续复核运行质量、复制、事件积压、任务接管、备份和媒体质量。巡检覆盖配置、权限、版本、证书及容量趋势，复核结果更新到运行基线。

13.3 培训与资料

管理员培训覆盖组织、账号、权限、安全策略、应用治理、审计和恢复；用户培训围绕消息、文件、待办、会议及启用应用展开。培训同时说明授权边界、数据共享和异常处理路径。

交付资料包括安装与运维说明、接口契约、配置清单、操作指引、测试及恢复记录。版本变更同步更新资料，企业管理员可以据此核验系统状态和完成交接。

13.4 智能能力的质量治理

13.4.1 应用评价维度

知识问答评价检索命中、引用有效性及权限过滤；内容生成评价事实正确性、格式与人工修改量；Agent评价任务完成、工具权限、重试与补偿。不同模型、数据集和场景分别建立基线，不以单一效率百分比概括效果。

13.4.2 授权与人工确认

模型通过受控检索和工具接口参与工作，来源内容按不可信输入处理，防范提示注入和凭据泄露。数据读取与业务执行分别授权，高风险动作设置人工确认，错误与拒答进入持续评估。

模型、向量化、转写、索引及日志纳入同一数据策略，组件版本、许可和资源与第 11.3 节交付清单一致。域内方案验证完整链路，外部能力限定发送范围及保留规则，算力、上下文长度和调用预算独立管理。

13.5 平台能力协作

通讯、会议、直播和指挥产品通过身份、入口与事件协作；工作台应用围绕业务对象和任务状态连接。接口版本、授权撤销和对象生命周期共同管理，避免入口统一但数据状态割裂。

跨应用流程通过持久事件、重复操作保护及业务补偿连接，业务来源、流程规则和执行结果可追溯。项目、合同和资产等由专业系统维护，平台聚合不替代其业务责任。

13.6 开放接口与应用治理

开放平台按启用模块提供版本化 API、Webhook 和机器人能力，接口说明覆盖认证、授权、容量及异常处理。集成测试使用受控环境与测试数据，发布前核验兼容性和安全。

应用注册、发布范围、权限申请、凭据轮换和退出分别管理。外部系统保留业务事实归属，平台管理消息与任务关联；退出时回收授权并处理订阅、未完成任务及数据保留。

13.7 结语

莲信以私有化底座、通讯与工作台组织企业日常协作，以授权知识和工具调用引入智能能力。技术价值体现在业务连接、权限一致、状态可恢复及运行可度量，而非功能或组件数量的堆叠。

平台、实施和运维围绕同一交付基线协作，产品能力按版本及模块验收，性能和连续性在目标环境验证，为企业提供可组合、可扩展、可持续维护的工作环境。

附录A 术语与缩写表

附录B 规范引用清单

B.1 国家标准

B.2 行业标准

B.3 法律法规

B.4 政策文件

B.5 国密算法体系

B.6 规范来源

法律法规、标准及政策文件的官方来源列示如下，适用版本和范围按项目实施时的现行规定核对。

现行网络安全法及2025年修正官方原文

数据安全法官方原文

个人信息保护法官方原文

网络数据安全管理条例官方原文

商用密码管理条例官方原文

人脸识别技术应用安全管理办法官方原文

GB/T 22239-2019 标准信息官方原文

GB/T 39786-2021 发布信息官方原文

数字中国建设整体布局规划官方原文

“十四五”数字经济发展规划官方原文