工作空间边界审阅（2026-10-18）

状态：文档走查已完成；据此提出的修订细则为建议、可调整，产品测试全部未执行。用户随后确认“工作空间的权限范围明确且稳定，跨范围能力单独定义”（见第 3.1 节），但这不批准跨范围批量执行，也不是产品实现验收；其余范围映射与跨范围能力仍待决定。第 4 节是当时条款的历史快照，现行规范以各专题主档为准。 更新：2026-10-18 所属章节：信息架构与工作空间

本次审阅以第 03 章 信息架构与工作空间 为起点，交叉检查第 06 章 复杂数据工作模式、第 08 章 表单与业务流程、第 09 章 系统状态、权限与恢复、第 10 章 页面与端到端模板 和第 11 章 跨平台与智能交互。基线为审阅当时知识库中的 48 篇 YUDS 正文及维护约定。审阅只针对文档：没有访问 demo、修改代码、设计工具、网站或用户设备。

1. 结论与优先级

未发现需要推翻已确认导航和流程方向的硬性矛盾。主要问题是范围变化后的契约没有在相关章节完整衔接；这不能作为产品存在安全漏洞或实现失败的证据。

P1 · 后台任务与当前浏览范围的衔接遗漏

证据：信息架构与工作空间 §3.3 要求不能把旧范围结果当成新范围；查询、选择范围与批量执行 §7 要求离开后仍能查任务；异步执行、结果核查与恢复 §3 允许后台继续。基线未明确跨组织切换后，原任务回执如何归属及受何种展示权限约束。

风险例：组织 A 批次执行中切到组织 B，A 的晚到结果被写进 B 的统计，或重新执行时使用 B 的当前选择。已补原任务绑定、读写响应区别和受权限约束的核查入口；未指定必须建设全局任务中心，也未批准跨组织批量执行。

P1 · 保存视图没有明确固定范围还是随当前范围解析

证据：查询、选择范围与批量执行 §3 列出保存查询、排序和列配置，并要求按当前权限重新查询；信息架构与工作空间 §3.2 要求入口声明范围；导航、深链接与上下文保留 §3 要求跨工作区链接不得混用范围。按权限查询正确，不等于视图的业务范围就清楚。

风险例：名为“本月待审批”的组织 A 视图在 B 打开，合法地查询了 B，却让用户误以为仍在看 A。已补固定范围／使用时解析的契约、实际范围提示和失效条件处理。具体采用哪种、是否支持跨域共享仍由产品决定。

P2 · 批量恢复的能力前提与异步章不齐

证据：查询、选择范围与批量执行 §8 原句“断网后继续查询原任务；刷新后通过任务记录恢复”；异步执行、结果核查与恢复 §3、§9 要求按真实能力声明恢复范围。前者的无条件措辞可能使不支持跨刷新恢复的产品被误认为必须已有能力。

已将该句修正为以原任务查询、任务记录和恢复协议实际支持为前提；不支持或记录过期时说明限制，不能编造成功或直接重发。这是措辞与能力前提修正，不是宣布后台恢复服务已经实现。

P2 · 工作空间、独立视图和写入目标需要分开

证据：信息架构与工作空间 §4 将工作空间定义为任务协作区域，§3.3 讨论组织／项目范围；对象、任务与流程的衔接 §1 已经区分业务阶段、查看步骤和可执行任务。基线未将同样边界落实到多窗口、版本切换及 AI 面板。

已补语义拆分和窗口独立查看位置；版本切换保护未保存及结果待确认工作；比较两侧继续各自绑定身份；可选 AI 范围切换隔离。原比较章（版本、比较与并发差异）已经逐侧鉴权、解析动态最新版本，本次审阅没有把这些已覆盖能力重复报告为缺陷。

2. 三条场景走查

以下是沿文档契约作的纸面走查，不是对产品执行操作。新增执行用例集中在 端到端任务旅程与验收案例“工作空间边界补充用例（跨旅程）”（W1–W6）。

A. AMKit 资产版本切换

依据：AMKit 演示业务流程审阅与 YUDS 落地建议 ↗ 的“深层模型与数据关系”“业务对象与关系”记录 SIM-BASE 与 BASE 可进入、具有版本摘要；同文明确实际编辑、版本比较及审批未验证。

走查：资产 A／物业 P／SIM-BASE → 有未保存输入（假设夹具）→ 打开 BASE 参照 → 返回 SIM-BASE。原文能保护一般对象切换，但缺少版本切换遇到在途保存回执的串联说明。修订后：输入与回执绑定原对象及版本基准，BASE 可用于查看但不接收旧写入；返回核验权限和基准。BASE 是否可写、版本冻结及生效模型仍待产品确认，不据已有“Owned”标签推定权限。

B. 审核附件回原任务

依据：对象、任务与流程的衔接 §5、§7 和 端到端任务旅程与验收案例 旅程 A 已经覆盖有效输入保留、数据变化、任务被完成及权限撤回。

走查：任务 T 审核中填写意见 → 打开附件 → 另一窗口完成 T → 返回。既有规则足以阻止重复审核，无需新造审批制度；此次只明确多窗口查看位置独立而业务状态共享权威来源。预期保留允许保留的意见供参考，停止旧提交，不自动改投新任务。附件是否属于当前审核依据仍需产品提供可靠版本关联。

C. 跨组织后台批处理

依据：查询、选择范围与批量执行 §5、§7 及 异步执行、结果核查与恢复 §3、§7；权限变化、并发修改与保存冲突 §4、§8 已要求已发动作核查及逐项权限处理。

走查：在组织 A 对已确认范围发起批次 K → 切到 B 工作 → K 回执到达 → A 权限撤回 → 尝试查看或重试 K。修订后：K 不改投 B、不因切换自动取消；B 的数据不被回执污染；查看名称、数量、结果前按当前授权核查。权限撤回不证明任务失败；重试只在原任务关联下经当前校验发起。是否存在跨组织任务入口、可显示的最小状态由产品决定。

3. 审阅时的待决项与建议（历史记录）

以下保留审阅当时的未定状态；后续确认与当前剩余问题见第 3.1 节。

• 工作空间与租户／组织的关系：单一安全域内任务上下文，或多个获准范围的聚合入口；两者均需明确实际数据域。
• 聚合入口中的跨范围搜索、比较、批量写入分别是否开放。不能把只读聚合等同于跨域执行许可。
• 保存视图固定来源范围还是使用时解析，能否提供两种明确类型。
• AMKit 对象和版本生命周期、具体组织关系、首个验证角色与环境。

下一项最关键问题

第一版是否先按“一个工作空间固定在一个安全域内，跨范围能力逐项明确”的候选方案继续？优点是目标与授权更容易解释；代价是跨组织分析需要额外入口。若日常任务必须同时处理多个组织，则应先定义聚合范围，而不是事后用全局选择器补救。这是待讨论建议，不是已确认架构。

3.1 后续确认与当前剩余问题 · 2026-10-18

用户已确认“工作空间的权限范围明确且稳定，跨范围能力单独定义”。第 3 节当时提出的范围边界问题现已收敛为：工作空间有清楚声明的稳定数据权限范围，不随普通导航隐式扩大；范围可覆盖单一组织或明确定义且获准共同访问的数据组，当前授权变化仍立即约束访问和操作。最新规范见 信息架构与工作空间 第 3.5 节。

当前仍待决定：工作空间与租户／具体组织层级的映射；跨范围搜索、比较、汇总、写入等能力是否分别提供及其授权与作用对象；保存视图的范围绑定类型；AMKit 对象、版本与验证环境。此次确认不批准跨范围批量执行，也不是产品实现验收。第 4 节继续保留审阅时实际条款的历史快照，不将其中当时未定的说法追改为已确认。

4. 实际新增／替换条款全文（历史快照）

以下是此次变更的历史快照，供先写后展示核对；今后有效规范仍以各专题主档为准，本报告不另维护第二套最新版。入口、目录和决策页仅新增本报告链接及此次状态说明。

主档：信息架构与工作空间

3.4 工作空间与安全范围不是同一概念

本章“工作空间”指围绕工作组织的交互上下文，不据此断言它等于租户、组织、项目或资产。租户在本文指系统隔离域；AMKit 中物业的租户／承租人属于业务对象，两者不能因同名混用。组织与租户是否一一对应、项目与资产如何归属，均由产品定义，当前未定。

建议把以下语义分别说明，而非强制排成一棵菜单树：身份与安全范围；业务对象及其归属；对象版本或数据基准；当前任务与执行目标；本窗口或面板的查看位置。版本与任务可以关联对象，但不自动构成对象的下级导航；查看位置也不是权威业务状态。

每个工作入口应声明哪些范围固定、哪些继承当前选择、哪些必须显式选择，以及范围变化使哪些查询、输入、预览或授权失效。切换只改变声明的范围，不把参照对象、另一窗口的浏览位置或新组织的当前选择自动变成本任务的写入目标。

仍待产品决定：工作空间是单一安全域内的任务上下文，还是可聚合多个获准范围的入口。两者都必须保留实际授权边界；跨组织比较、聚合搜索与批量执行是否允许须分别定义，不能从“可以看到两个组织”推导“可以跨组织处理”。

主档：导航、深链接与上下文保留

6.1 范围切换的完整检查

组织、对象、版本或任务切换前，先识别尚未保存的输入、保存结果待确认的请求和已发起的后台动作。输入绑定原对象、原版本／基准及原任务；不能把旧输入直接装入新上下文。确有安全暂存能力时可保留并明确其归属；否则提供实际可用的保存、放弃或取消切换。保存结果待确认时先核查原请求，不把它当成未保存并重发，也不能因新范围已打开就显示保存成功。

切换后的读取结果只更新匹配的范围与查看意图；原范围晚到的写入回执仍归属原动作，按当前权限保留核查入口，不能用丢弃过期读取响应的方式丢掉写入结果。后台任务的范围不随导航变化，详见 异步执行、结果核查与恢复 第 3.1 节。

6.2 多窗口、面板与独立浏览位置

若产品支持同时打开多个窗口、标签或面板，每个视图保有明确的查看对象、版本与位置，不因另一视图切换而静默换目标。业务状态、权限和提交结果仍以权威来源为准；“浏览位置独立”不意味着各窗口可以维护互相矛盾的业务事实。另一窗口完成任务或撤回权限后，本窗口不得继续使用旧操作条件。跨端接力重新核验相同边界，不能把接收端当前组织自动套给原任务。

主档：查询、选择范围与批量执行

该主档有两处条款：新增的保存视图与搜索范围绑定（对应第 1 节第二项 P1），以及替换 §8 原句的恢复措辞（对应第 1 节第一项 P2）。

保存视图与搜索还应声明范围绑定：固定于指定安全域／组织／项目，还是使用时显式解析当前范围；具体选哪种由产品决定。作用域和共享对象不是同一件事：有权使用视图不等于有权读取其数据，数据也不能因视图可分享而被跨域传递。打开前显示本次实际范围；固定范围不可访问时停止应用或提供明确的修复入口，不静默换成当前组织。可复用条件若引用不适用于目标范围的字段或对象，先解释并修复，不以同名项目／人员替换。所谓“全局搜索”也须说明全局指当前安全域、当前组织还是明确获准的跨范围搜索。

恢复：产品支持原任务查询时，断网后继续查询原任务；只有任务记录及恢复协议支持时，刷新后才通过任务记录恢复。能力不足或记录已过保留期时说明证据限制并提供获准的核查路径，不能凭本地缓存宣布成功或直接重发。自动重试和重试频率由执行协议明确，不是所有错误都重试。

主档：版本、比较与并发差异

6.1 跨范围比较不继承单一全局目标

跨组织、项目或资产比较是否开放由产品决定。若允许，双方分别绑定各自获准的安全范围、对象、版本／期间和来源，并持续可辨；不能因切换页面顶部组织就把其中一侧替换为同名对象。可读双方只是必要条件，不自动允许合并、复制、导出或写回另一范围。

比较中的处理动作应单独说明实际写入目标和依据；从比较切换到编辑前，按目标重新核验权限与基准。任一侧失效时停止依赖它的差异计算，按披露政策更新；不能把受限侧当零、删除或用其旧差额继续展示。

主档：异步执行、结果核查与恢复

3.1 跨组织切换后的任务归属

已提交任务绑定发起时的实际安全范围、对象集合、版本／快照语义、动作与操作者上下文。用户切换到另一组织或工作区只改变查看位置，不迁移任务，不自动取消或扩大它的范围，也不让后续重试改投新范围。取消、继续与重试分别遵守真实执行协议和当前授权。

原范围的进度或写入回执到达时，不写进新范围的列表、总数或操作反馈。产品若提供跨范围任务入口，应明确来源并在展示名称、数量和结果前检查当前披露权限；否则提供回到获准原范围的核查路径。权限撤回后不得继续泄露原范围内容，能显示何种最小状态由安全政策决定；不能把“目前无权查看结果”伪报成任务失败、已取消或从未发生。

主档：AI 辅助与用户控制

2.1 切换范围时的 AI 上下文

若采用本章可选 AI 能力，会话、检索结果、引用、草稿建议和执行任务均应有明确的对象与安全范围。切换组织、对象或版本时，不把旧会话中的内容自动作为新任务的材料；保留旧工作也必须隔离并按当前权限重新核查。面板跟随导航还是固定于原任务由产品明确表达，不能只改标题却继续使用旧上下文。

已获授权的后台动作按原任务核查，不因切换面板改投新对象；尚未执行的建议若目标、依据或授权条件变化，需重新审阅。跨范围检索、比较或材料传递须有产品明确支持与授权，不能由模型自行跨越。

主档：端到端任务旅程与验收案例

7.1 工作空间边界补充用例

以下为文档走查后新增的测试设计，全部未执行。AMKit 版本场景只参考已归档观察，不假设其编辑、审批或跨组织能力已实现。

完整走查、证据和待决问题见 工作空间边界审阅（2026-10-18）。