1 用户、权限与账号安全

多人共用一份文件空间，靠的是账号与权限，而不是“大家都用管理员”。这一章说明权限模型、账号的建立与维护、以及几条能显著降低事故率的纪律。

权限模型

账号分两类：管理员拥有全部权限，可管理用户与系统设置；普通用户的权限逐项配置，包括上传、下载、删除、重命名、分享等。逐项授权的意义在于组合出真实的岗位需要：财务目录只读、项目目录可读写、公共素材目录可自由上传但不可删除。权限只增不减，账号能做的事只会越来越多，所以授权时宁紧勿松。

新建账号

管理员登录后进入用户管理，填写用户名与初始口令，勾选该账号可用的权限项；运维人员也可以用一条命令完成，例如 lynxdrive-ctl user add 张三 初始口令，需要管理员权限时追加 --admin。新建后把口令线下告知本人，并提醒首次登录修改。

修改与重置口令

本人在账号设置中修改口令；忘记口令只能由管理员重置，命令是 lynxdrive-ctl user passwd 用户名 新口令。因此系统里必须始终保留至少一个可用的管理员账号，且这个账号不要外借。

权限分配建议

按岗位给最小权限：只需要看资料的岗位给只读；需要交付成果的岗位给上传与下载；需要整理目录的岗位再加删除与重命名；分享权限单独考虑，只给确实需要对外交付的人。权限越多，误删与资料外流的概率越高，定位问题也越难。

账号的全生命周期

入职建号、转岗调权、离职停用，三步都要有人负责。人员变动是权限失控的主要来源——上一个项目的临时账号没人回收，半年后就变成谁都能登录的“后门”。建议每季度核对一次账号清单，对长期未登录的账号做出清理决定。

管理员账号的保管

管理员账号只在运维场景登录，不要用来日常浏览文件。口令使用足够长度并与其他系统不同，交接时当面重置。管理员账号一旦失控，等同整个文件空间失控，这是最需要守住的一条线。