用户与权限管理 PRD

1. 背景与目标

ALLinONE OS 面向家庭和小型团队，需要支持多用户、角色分配、多管理员、个人目录隔离和共享空间授权。权限模型必须足够清晰，避免用户误访问他人数据或误操作系统级配置。

本模块目标是建立统一用户体系和权限规则，为桌面、文件、存储、路由等模块提供一致的身份与授权基础。

2. 目标用户与核心场景

用户类型	核心场景	关键诉求
设备 Owner	管理设备、用户、系统和数据	最高控制权明确
管理员	分担日常运维和用户管理	权限足够但不越权
普通用户	使用个人空间和共享空间	数据隔离、安全简单
家庭/SOHO 团队	多人共用一台设备	成员边界清楚

3. 功能范围

3.1 范围内

• 多用户体系。
• 三类角色：设备 Owner、管理员、普通用户。
• 支持多个管理员。
• 用户创建、编辑、禁用和删除。
• 用户个人目录创建与隔离。
• 共享空间授权规则。
• 登录状态和基础账号安全规则。

3.2 范围外

• 账号密码登录、扫码登录入口由《系统安装与初始化 PRD》定义。
• 共享空间文件操作由《文件服务与文件管理 PRD》定义。
• 企业级组织架构、LDAP/AD、SSO 暂不纳入 MVP。
• 细粒度 RBAC 权限模板可作为后续增强。

4. 用户流程

4.1 创建 Owner

text
首次初始化 -> 输入 Owner 用户名和密码 -> 完成创建 -> Owner 获得设备最高权限

4.2 管理用户

text
Owner/管理员进入用户管理 -> 新建用户 -> 设置角色 -> 创建个人目录 -> 保存 -> 用户可登录使用

4.3 授权共享空间

text
管理员进入共享空间设置 -> 选择用户 -> 设置只读或读写权限 -> 保存 -> 用户在文件管理中看到共享空间

5. 功能需求

5.1 用户体系

• 系统支持多用户。
• 每个用户至少包含用户名、密码、角色、状态、创建时间。
• 用户状态至少包括正常、禁用。
• 禁用用户不能登录，但历史数据不应自动删除。
• 删除用户前必须提示其个人空间和授权关系的处理影响。

5.2 角色权限

角色	权限说明
设备 Owner	设备最高权限拥有者，可管理所有设置、用户和数据
管理员	可管理大部分系统配置、用户和共享空间，但不能移除 Owner 的最高权限
普通用户	可使用个人空间和被授权的共享空间

• 系统必须至少保留一个 Owner。
• 支持多个管理员。
• 管理员可以创建普通用户。
• 管理员权限边界需明确，MVP 阶段至少不能删除或降级 Owner。

5.3 个人目录隔离

• 每个用户创建后自动拥有个人目录。
• 个人目录默认仅用户本人可见和访问。
• Owner 可访问所有用户目录。
• 管理员访问普通用户个人目录的策略需产品明确；MVP 默认管理员可管理用户但不直接浏览个人目录，除非 Owner 授权或系统策略开启。
• 文件服务协议访问也必须遵守个人目录隔离规则。

5.4 共享空间授权

• 共享空间必须由 Owner 或管理员创建和授权。
• 用户未被授权时，不应在文件管理中看到该共享空间。
• 授权级别至少包括只读、读写。
• 权限变更应即时影响 Web 文件管理和协议访问。

5.5 账号安全

• 密码必须以不可逆方式存储，具体实现由技术方案确定。
• 登录失败次数限制、二次验证、扫码登录安全策略可在 P1/P2 设计。
• 保持登录状态需要可撤销。
• 用户修改密码后，应允许选择是否退出其他已登录会话。

6. 权限与状态规则

• 未登录用户无业务功能访问权限。
• Owner 不能被普通管理员删除、禁用或降级。
• 普通用户不能访问存储池管理、路由管理、系统安装配置等管理功能。
• 管理员可以进入存储、文件服务、路由等管理模块，具体危险操作可能需要 Owner 确认。
• 用户被禁用后，其已登录会话应失效。

7. 异常与边界场景

场景	产品处理
尝试删除唯一 Owner	阻止操作
管理员尝试降级 Owner	阻止操作
用户名重复	阻止创建并提示
用户被禁用后仍有会话	强制会话失效
删除用户时存在个人文件	提示数据处理策略
共享空间权限被移除	用户下次刷新后不可见，协议访问同步失效
普通用户访问管理 URL	返回无权限提示

8. MVP / P1 / P2 分期

阶段	范围
MVP	Owner 创建、多用户、管理员/普通用户角色、个人目录隔离、共享空间只读/读写授权
P1	用户禁用、会话管理、管理员权限边界完善、密码修改和登录状态撤销
P2	扫码登录安全策略、细粒度 RBAC、LDAP/AD/SSO 预研、审计日志

9. 验收标准

• 首次初始化必须创建 Owner。
• 系统至少保留一个 Owner，且管理员不能删除或降级 Owner。
• 管理员可以创建普通用户和其他管理员。
• 普通用户只能访问个人空间和被授权共享空间。
• 权限变更后，Web 文件管理和文件服务协议访问结果一致。
• 禁用用户不能登录。