RFC：Account 范围的 Global 身份与用户授权协议

[MaojiaSheng]

RFC：Account 范围的 Global 身份与用户授权协议

• Author: OpenViking Team
• Status: Draft
• Date: 2026-10-16

本文档处于讨论阶段，仅描述候选设计，不代表已经实现或承诺兼容。

---

1. 摘要

本文提议在 OpenViking 的 ROOT、ADMIN、USER 之外增加一种 account 范围的 GLOBAL 身份。GLOBAL 通常由 agent 使用，可以读写当前 account 的共享空间，并在用户明确授权后，只读访问该用户空间中的部分内容。

用户通过放置在自己 viking://user/{user_id}/GLOBAL_POLICY.md 的 OKF 协议文件声明授权范围，并可在 OKF Markdown 正文中向 GLOBAL agent 留言。协议的 YAML frontmatter 是服务端强制执行的权限上限；建议 GLOBAL agent 阅读并遵守 Markdown 正文中的用户说明，但显式读取完整协议不是访问前提，正文也不能扩大 frontmatter 授予的权限。

本提案以隐私保护为首要原则：

• GLOBAL 永远不能跨 account 访问数据。
• GLOBAL 永远不能读取其他用户的 privacy/**。
• GLOBAL 永远不能读取其他用户的 sessions/**。
• GLOBAL 不能写入、移动或删除其他用户的数据。
• GLOBAL 不能在 viking://user 容器上进行跨用户检索，只允许枚举用户列表。
• GLOBAL 身份只能由 ROOT 创建、销毁和修改；ADMIN 只能看到其存在。
• 协议缺失、无效或含义不明确时，一律拒绝访问。

2. 状态与决策分类

本文使用以下标记区分已确认结论与仍需讨论的设计：

• 已确认：本轮 RFC 的稳定约束，后续设计不能静默改变。
• 建议：当前推荐方案，仍可在评审中调整。
• 待定：需要后续讨论后才能进入实现。

3. 背景与现状

OpenViking 当前通过 account_id 和 user_id 建立两级租户边界：

• account 是最外层租户边界，不同 account 的数据相互隔离。
• viking://resources 和 viking://agent 是 account 内共享空间。
• viking://user/{user_id} 是用户私有空间。
• USER 和 ADMIN 的数据访问身份都绑定到一个具体 account 和 user。
• API Key 模式下，ROOT 负责管理 account 和 user，不用于普通租户数据 API。

当前实现已经具备部分基础能力，但不能直接满足本提案：

1. Role 支持注册自定义角色和 privilege rank，但 rank 只用于 OAuth 等路径的降权判断，不会自动继承 ADMIN 权限。
2. API Key 账号用户当前只允许 user 或 admin。
3. namespace 与 VikingFS 会拒绝非 ROOT 访问其他用户空间。
4. 向量检索还会独立按 account、当前用户根和共享根过滤。
5. 现有 ACL 只覆盖 viking://resources，不能描述用户根下的授权。
6. 现有 privacy 子系统负责敏感配置的存储和恢复，不是跨用户授权协议。
7. 当前请求审计不足以表达 target user、目标 URI、协议版本与授权决策。

相关现有文档：

• 多租户
• 认证
• Privacy
• ACL
• OKF sidecar 格式

4. 目标

4.1 功能目标

1. 支持一个 account 内存在多个 GLOBAL identity。
2. GLOBAL 可以读写 account 共享空间。
3. GLOBAL 可以在用户协议明确允许时，只读访问该用户的普通数据。
4. 用户可以完全禁止、完全允许或按目录部分允许 GLOBAL 读取。
5. 用户可以在协议中给 GLOBAL agent 留下自然语言说明。
6. 服务端、CLI、SDK、MCP、WebDAV 与语义检索对同一访问产生一致决策。
7. 系统能够审计具体哪个 GLOBAL identity 访问了哪些授权范围，先确认 logging.info 的日志打印标准；审计结果向哪些角色开放另行确定。

4.2 安全目标

1. 默认拒绝，而不是默认共享。
2. 协议只能缩小系统硬边界，不能扩大系统硬边界。
3. 文件读取与语义检索具有相同可见范围。
4. 禁止通过摘要、索引、下载链接、快照等旁路泄露受保护数据。
5. 用户更新协议后，旧授权最多只在有界的分钟级缓存窗口内继续生效；具体上限在实现评审时确定。
6. ADMIN 不能通过创建、改角色、轮换 key、删用户或改 group 等旁路控制 GLOBAL。
7. 只有 owner user 能决定自己的用户空间向 GLOBAL 开放哪些内容；ROOT、ADMIN 和 GLOBAL 都不能代替用户修改该决定。

5. 保持不变的问题

以下问题保持不变：

1. 不允许 GLOBAL 跨 account 工作。
2. 不把 GLOBAL 设计为 ADMIN 的上级或子级。
3. 不允许用户按单个 GLOBAL identity 分别授权；协议对 account 内所有 GLOBAL 统一生效。
4. 不允许 GLOBAL 写入其他用户空间。
5. 不允许协议授权其他用户的 privacy 或 session 数据。
6. 不试图从自然语言留言中推导服务端权限。
7. 不引入协议阅读握手、签名 Policy Ack 或其他客户端持有的授权凭据；服务端始终根据当前协议直接执行权限校验。

6. 术语

6.1 GLOBAL identity

由 ROOT 在某个 account 内创建的专用身份，通常由 agent 使用。一个 account 可以存在多个 GLOBAL identity。

6.2 Owner user

跨用户访问中，viking://user/{user_id}/... 所指向的目标用户。

6.3 GLOBAL access policy

Owner user 放在自己用户根目录下的 GLOBAL_POLICY.md。该文件的 OKF type 为 global-access-policy；frontmatter 声明可访问范围，Markdown 正文包含给 GLOBAL agent 的留言。

6.4 共享空间

当前 account 内的 viking://resources 与 viking://agent。

6.5 永久禁区

不允许任何用户协议解除的跨用户访问边界。v1 至少包括其他用户的 privacy/** 和 sessions/**。

7. 设计原则

7.1 GLOBAL 是正交角色

已确认。 GLOBAL 不是 USER < ADMIN < ROOT 线性层级中的一个新等级：

• ADMIN 可以管理普通用户，但不能读取其他用户数据。
• GLOBAL 可以按协议读取其他用户数据，但不能管理用户。
• 二者的能力互不包含。

因此实现不应仅依赖数值 rank 判断权限，而应使用显式 capability 或集中式授权决策。

7.2 Account 是不可跨越的边界

已确认。 GLOBAL 只能访问其身份所属 account。即使目标 URI 的文本相同，底层 account 不同也必须拒绝。

7.3 机器权限与用户留言分离

已确认。 OKF frontmatter 决定服务端可强制执行的最大权限；Markdown 正文表达用户对 agent 的补充要求。

正文可以要求 agent 比机器权限更加克制，但不能扩大机器权限，也不能覆盖系统、部署方或服务端安全规则。

7.4 Fail closed

已确认。 以下情况均按未授权处理：

• 协议不存在。
• 协议不是合法 UTF-8。
• YAML frontmatter 未闭合或解析失败。
• frontmatter 不是对象。
• schema 版本不受支持。
• 存在未知字段、错误类型或非法路径。
• 协议读取、验证或缓存刷新失败。
• 请求包含多个 owner，无法绑定到唯一协议。

7.5 控制面与数据面分离

已确认。 OpenViking 将角色分成控制面与数据面两类：

平面	角色	权限边界
控制面	ROOT	创建 account、分配和回收身份及权限；ROOT credential 不能调用任何租户数据 API
数据面	ADMIN、USER、GLOBAL	所有数据访问都限制在身份绑定的 account_id 数据空间内

ROOT 不属于某个 account 的数据面角色，不能通过指定 account/user header、URI 或查询参数获得数据访问权。控制面能够创建或回收数据面身份，但这种管理能力不能被实现为 ROOT 对租户数据的隐式 bypass。

本 RFC 当前把持有 ROOT credential 的控制面视为可信边界。ROOT 创建或重置数据面 credential 可能使控制面获得可用于模拟数据面身份的 secret；如果未来要求 ROOT 主体也无法间接获得数据，则需要改用用户自行生成 secret、一次性 enrollment token 或公钥注册等更强的凭据签发模型。

本地 dev 模式可以继续使用默认 ROOT 身份便利开发，但它不是生产安全模型，也不能作为 ROOT 具有数据权限的依据。

7.6 用户是公开范围的唯一决定者

已确认。 GLOBAL 跨用户读取采用以下组合保证：

• 没有 GLOBAL_POLICY.md 时默认拒绝。
• 只有 owner user 可以创建或修改自己的 GLOBAL_POLICY.md。
• ADMIN 不能替用户创建、修改或删除该协议。
• GLOBAL 不能写入任何其他用户目录，因此也不能修改协议或扩大自身权限。
• ROOT credential 没有用户目录数据权限，不能通过数据 API 修改协议。

因此，除协议定义的系统永久禁区外，只有用户本人能够决定自己的哪些普通数据可被 GLOBAL 读取。

7.7 GLOBAL 是 account 内可信的数据面身份

已确认。 GLOBAL 被视为 account 内的可信数据面身份，可以完整管理共享空间。这里的“可信”表示 GLOBAL 被允许维护 account 共享内容和访问控制，不表示它可以越过 account 边界、用户 policy 或永久禁区。

• GLOBAL 对共享空间拥有 shared.manage，包含读取、创建、更新、移动、删除和 ACL manage，但每个资源上的实际操作仍受 effective ACL 约束。
• GLOBAL 不需要额外的 delete 或 ACL manage capability。
• GLOBAL 仍不能写入、移动或删除其他用户目录中的任何内容。
• GLOBAL 仍不能读取其他用户的 privacy/**、sessions/** 或 policy 未允许的数据。
• GLOBAL credential 被盗用或实现出现错误时，服务端硬边界仍必须限制其影响范围。

8. 角色权限模型

8.1 数据权限矩阵

目标	GLOBAL 权限
当前 account 的 viking://resources	shared.manage：读、创建、更新、移动、删除和 ACL manage；与其他数据面身份一样受 effective ACL 约束
当前 account 的 viking://agent	shared.manage：读、创建、更新、移动和删除；skill 必须走正规 skill 管理入口
GLOBAL 自己的用户空间	按其自身用户身份访问
其他用户的协议 OKF	始终允许直接读取
其他用户协议允许的普通内容	只读
其他用户未允许的内容	拒绝
其他用户的 privacy/**	永久拒绝
其他用户的 sessions/**	永久拒绝
其他用户空间的写入、移动、删除、ACL 管理	永久拒绝
非递归 ls viking://user	允许，仅返回当前 account 的最小用户目录列表
viking://user 上的检索、递归枚举或统计	永久拒绝
其他 account	永久拒绝
Admin/System/用户和密钥管理 API	拒绝

8.2 GLOBAL 自己的 sessions

本 RFC 中 sessions/** 永久禁区是指 GLOBAL 对其他用户 session 数据的跨用户读取。GLOBAL 自己的 session 仍按自身用户身份正常使用。

8.3 协议对所有 GLOBAL 统一生效

已确认。 一个用户的协议对同一 account 内所有 active GLOBAL identity 生效：

• 协议不包含 principals 或 GLOBAL user ID 白名单。
• 新增 GLOBAL identity 后，不需要修改用户协议。
• 删除 GLOBAL identity 后，不改变协议内容。
• 授权决策按 GLOBAL 角色统一执行。
• 审计仍记录实际调用的 GLOBAL user_id 和 credential fingerprint。

8.4 复用 account user 记录

已确认。 GLOBAL identity 复用现有 account user 记录、credential registry 和 API Key 解析链路，通过 role=global 与 USER/ADMIN 区分，不引入独立的 service identity 存储类型。

• GLOBAL 记录仍具有明确的 account_id 和自身 user_id。
• credential 始终绑定 GLOBAL 自身记录，不能绑定或切换到目标 USER credential。
• ROOT-only 生命周期保护在 account user 管理层按 role=global 执行。
• account store、API Key manager、Trusted/OIDC/LDAP registry 和 Studio identity model 都使用同一条 GLOBAL 记录。

8.5 Actor 与 effective user 双身份上下文

GLOBAL 访问某个明确用户的数据时，可以派生该用户的 effective identity discriminator，以复用现有 user-scoped URI、存储路径、向量 owner filter 和内容组织代码，但必须同时保留真实 actor：

字段	含义
actor_user	真实发起请求的 GLOBAL user，来自 credential，整个请求生命周期不可变
effective_user / target_user	当前被访问数据的 owner user，仅用于已授权的数据定位和过滤
role	始终为 GLOBAL，不能降格或伪装成 USER
delegation_mode	global_read，表示跨用户只读派生上下文
policy_decision	当前 policy hash/schema、允许 scope 和决策原因

建议的处理顺序：

1. 认证层先解析 GLOBAL actor，构造原始 request context。
2. URI 层解析唯一 target user。
3. 集中式授权层以 actor、target、operation 和 policy 做决策。
4. 只有授权成功后，才构造携带 effective user 的 global_read 派生上下文。
5. 兼容代码可以使用 effective user 定位 user-scoped 数据；审计、credential、任务归属和删除状态仍使用 actor。

effective user 只是数据 owner 判别，不授予目标 USER 的身份能力：

• 不继承目标用户的 role、group membership、API Key、OAuth scope 或 actor peer。
• 不把访问视为目标用户的 self access。
• 不允许读取目标用户的 privacy、sessions 或 policy 未允许的内容。
• 不允许写入、移动、删除目标用户数据或代表目标用户创建后台任务。
• 不允许在派生上下文中调用用户自助、credential、Admin/System 或其他身份敏感 API。

实现可以提供面向既有存储代码的 effective-user compatibility view，但原始 GLOBAL actor 必须始终可用且不可覆盖。任何只保留 target user、丢失 actor 的上下文转换都属于安全错误。

9. GLOBAL 身份生命周期

9.1 ROOT-only 管理

已确认。 GLOBAL identity 只能由 ROOT 管理。

操作	ROOT	ADMIN	GLOBAL
创建 GLOBAL	允许	禁止	禁止
销毁 GLOBAL	允许	禁止	禁止
轮换或 revoke GLOBAL credential	允许	禁止	禁止
普通用户改为 GLOBAL	建议禁止，改为单独创建	禁止	禁止
GLOBAL 改为 USER/ADMIN	建议禁止，销毁后重建	禁止	禁止
修改 GLOBAL group membership	允许	禁止	禁止
查看 GLOBAL 的存在和基础状态	允许	允许	查看自身

9.2 ADMIN 可见性

已确认。 ADMIN 可以在当前 account 的用户/身份列表中看到 GLOBAL 的存在。

建议向 ADMIN 暴露：

• account_id
• user_id
• role: global
• active/deleting 等状态
• 创建时间
• 是否存在有效 credential

不向 ADMIN 暴露：

• API Key、OAuth token 或其他可冒充凭据
• GLOBAL 的私有用户空间内容
• 修改、销毁、轮换或 group membership 控件

9.3 所有修改入口都必须保护

不能只在“创建 GLOBAL”接口上检查 ROOT。任何以 GLOBAL 为目标的管理操作都必须经过统一 object-level guard，包括：

• 删除用户/身份
• 角色变更
• API Key 轮换或 revoke
• group membership 变更
• 批量导入、迁移或后台清理接口
• Trusted/OIDC/LDAP 身份同步

10. 跨用户访问范围

10.1 数据访问必须绑定唯一 owner

已确认。 除非是非递归枚举 viking://user，每次跨用户数据访问都必须解析出唯一 owner user：

• 合法目标：viking://user/alice/resources/project-a
• 合法枚举：非递归 ls viking://user
• 非法数据目标：将 viking://user 用作 read、tree、find、search、grep、glob、递归 ls 或统计范围
• 非法批量请求：同时包含 viking://user/alice/... 和 viking://user/bob/...

v1 建议直接拒绝混合 owner 的批量请求，而不是在服务端静默拆分。

10.2 禁止跨用户大范围检索

已确认。 GLOBAL 不得以包含多个用户的目录为目标执行：

• find
• search
• tree
• grep
• glob
• recursive ls
• 其他递归遍历或统计操作

GLOBAL 只允许通过非递归 ls viking://user 枚举当前 account 的用户目录。返回项只包含用户目录名或 user_id，不包含 role、abstract、overview、count、size、mtime、credential 状态以及任何用户空间内容。

viking://user 不得成为 GLOBAL 的检索、递归遍历或统计目标。GLOBAL 的默认检索范围也不得自动包含全部用户，只能包含共享空间和 GLOBAL 自己的用户空间。

10.3 通用前置检查

已确认。 无论后续采用前置校验、后置过滤还是混合模式，所有跨用户操作都必须在访问数据前完成以下通用检查：

• actor 是目标 account 内已注册的 GLOBAL identity。
• 请求只涉及一个明确的 owner user，用户目录枚举除外。
• 目标 account 与 GLOBAL identity 的 account_id 一致。
• 目标不位于 privacy/**、sessions/** 或其他系统永久禁区。
• 操作没有请求写入、移动、删除或管理其他用户的数据。

上述检查失败时直接拒绝，不能进入查询、遍历、读取或后台任务阶段。

10.4 按操作返回形态选择权限时机

已确认的基础分类： read / get 使用前置校验；find / search / tree / glob 使用服务端后置过滤。

在此基础上，v1 建议采用以下完整操作矩阵：

操作或表面	建议模式	行为
read、get、原始字节读取	前置校验	校验精确 URI；未授权时不读取目标内容
stat、attrs、raw vector ID	前置校验	先解析 canonical URI，再校验精确目标；未授权时不返回存在性或 metadata
abstract、overview	前置校验 + 派生来源检查	精确目标必须允许；无法证明摘要未混入 deny 子树或永久禁区时拒绝返回
download、WebDAV GET / HEAD	双重前置校验	签发下载凭据时校验一次，真正取用字节时按当前协议再次校验
非递归 ls	混合模式	前置校验被列举目录，再对每个直接子项做后置过滤
recursive ls	混合模式	前置校验根目录，对所有返回节点做后置过滤；分页基于过滤后的可见节点
find、search、deprecated recall	后置过滤	对存储检索候选按当前协议过滤，只把允许候选交给后续处理和响应层
tree、glob	后置过滤	对遍历得到的每个节点按当前协议过滤，只返回允许节点
grep	范围约束 + 后置过滤	扫描范围限制在单 owner/account 内；对命中 URI 做后置过滤，只返回允许文件中的命中
WebDAV PROPFIND Depth: 0	前置校验	等同目标 stat
WebDAV PROPFIND Depth: 1/infinity	混合模式	前置校验根目录，再对返回成员做后置过滤
其他用户数据的 pack/export/backup	前置拒绝	不允许 GLOBAL 将其他用户目录打包、导出或备份
其他用户数据的 snapshot log / show / diff	前置拒绝	不允许 GLOBAL 读取其他用户目录的历史版本、历史内容或差异
write、batch-write、mkdir、rm、set-tags、reindex	前置拒绝	任何其他用户目录写入或 metadata 变更均拒绝
cp、mv、import、restore、snapshot commit/restore	普通复合读写检查	对每个 source 执行 read/delete 校验，对每个 destination 执行 write/manage 校验；全部动作允许时执行
watch、后台任务和持续订阅	持续校验	创建时检查 scope，执行每批任务时按当前 policy 重新校验；v1 未实现持续校验时默认拒绝跨用户使用

表中的 get 指获取一个明确文件或对象内容的语义操作，不表示所有 HTTP GET 路由。授权分类必须基于操作语义，而不是 HTTP method 或 CLI 命令拼写。

整体流程如下：

flowchart TD
    A[规范化请求与识别唯一 owner] --> B{操作类型}
    B -- 单目标读取 --> C[加载并校验当前协议]
    C --> D{目标允许?}
    D -- 否 --> X[拒绝且不读取目标内容]
    D -- 是 --> E[执行读取并返回]
    B -- 集合查询或遍历 --> F[执行 account 范围内的查询或遍历]
    F --> G[按当前协议后置过滤候选]
    G --> H[只返回允许结果]
    B -- 派生 / 历史 / 复合 / 持续操作 --> I{操作矩阵允许且检查完整?}
    I -- 否 --> X
    I -- 是 --> J[按操作矩阵检查全部来源与目标]
    J --> H

Loading

后置过滤必须发生在结果离开可信存储/授权边界之前。特别是 find 和 search，未授权候选不得进入外部 reranker、LLM、preview/context assembly 或面向调用者的结果统计；否则即使最终响应删除了对应条目，内容也已经发生泄露。

集合操作的 offset、limit、count、has_more、排序和排名必须基于过滤后的可见结果。后置过滤不能导致 deny 结果占用用户可见分页额度，也不能通过聚合字段泄露被过滤节点的数量。

find、search、tree、glob 的范围级结果语义固定如下：

• 请求目标范围与 policy 允许范围完全没有交集，或目标根被显式 deny 时，返回权限错误 GLOBAL_ACCESS_DENIED，不能伪装成空结果。
• 请求目标范围合法，但其中部分节点被 deny 时，正常执行并后置过滤，只返回允许结果。
• 请求目标范围合法且过滤后确实没有匹配内容时，返回成功的空结果。
• 是否“完全越界”根据请求 target scope 与 effective policy scope 判断，不根据底层查询是否碰巧返回候选判断。

目录 stat、ls、tree 返回的 count、abstract、overview 等字段可能聚合 deny 子树。无法按 policy 安全重算时，应省略相应字段或拒绝该派生字段，而不能返回原始聚合值。

复合操作按普通读写语义逐动作判定：

• cp 从 policy 允许的用户路径复制到 GLOBAL 可写的共享路径时，可以执行。
• cp 的 destination 位于其他用户目录时，因为 GLOBAL 无写权限而拒绝。
• mv 还需要删除 source；因此 GLOBAL 不能把其他用户目录内容 move 出去。
• shared-space 内的 cp/mv/import/restore/snapshot commit/restore 按 shared.manage 执行。
• 任何复合操作都不能只检查顶层参数或 destination，必须覆盖展开后的全部 source、destination 和隐含删除动作。

非递归 ls viking://user 仍是单独定义的用户目录枚举能力，不读取各用户数据，也不受单个用户协议控制。

10.5 未登记操作默认拒绝

实现应维护显式的 GLOBAL 跨用户操作注册表。只有在注册表中声明了授权模式、目标解析方式和过滤阶段的操作才能跨用户运行。

新增 REST API、MCP tool、SDK 聚合操作或后台任务如果没有登记，必须默认拒绝跨用户访问。默认拒绝是完整操作推断后的最后兜底，不代替对已知表面的逐项设计。

11. OKF 授权协议

11.1 文件位置与 OKF 类型

已确认。 协议文件使用保留名称 GLOBAL_POLICY.md，OKF type 使用 global-access-policy：

viking://user/{user_id}/GLOBAL_POLICY.md
viking://~/GLOBAL_POLICY.md

协议文件需要使用保留名称，避免被普通资源导入、语义处理或用户目录整理误操作。

11.2 文档结构

协议采用 OKF Markdown：严格 YAML frontmatter 加 Markdown 正文。

协议的最小结构如下；规则字段的扩展仍可继续讨论：

---
type: global-access-policy
schema_version: 1
default: deny
rules:
  - effect: allow
    path: resources/public
    recursive: true
  - effect: allow
    path: memories/projects/openviking
    recursive: true
  - effect: deny
    path: memories/projects/openviking/private
    recursive: true
---

# 给 Global Agent 的留言

这些资料可以用于回答项目问题，但请不要复制到 account 外部。
引用个人内容时，请说明内容来自我的用户空间。

11.3 Frontmatter 语义

建议的最小模型：

字段	类型	含义
type	global-access-policy	OKF 文档类型
schema_version	integer	协议 schema 版本，v1 固定为 1
default	allow / deny	未命中普通内容规则时的默认结果
rules	list	路径授权规则
rules[].effect	allow / deny	允许或拒绝
rules[].path	string	相对用户根目录的规范路径
rules[].recursive	boolean	是否覆盖后代节点

第一版建议只支持精确路径和递归前缀，不支持 glob、正则表达式、否定模式或规则顺序覆盖。

11.4 规则优先级

已确认的原则： 系统永久禁区不能被协议覆盖。

建议使用固定优先级，而不是“最后一条规则获胜”：

1. 系统永久禁区
2. 显式 deny
3. 显式 allow
4. default
5. 协议缺失或无效时 deny

default: allow 的含义是允许所有可共享内容，不包括 privacy/**、sessions/**、系统内部路径以及其他不可共享数据。

11.5 严格解析

安全策略不能复用现有 OKF sidecar 的“忽略未知字段”行为。建议：

• 仅接受 UTF-8。
• 使用安全 YAML loader，禁止自定义 tag。
• frontmatter 必须闭合且为对象。
• schema 使用 closed-world 校验，未知字段直接失败。
• 严格校验枚举与布尔类型，不做宽松字符串转换。
• 路径必须是规范化相对路径。
• 拒绝空段、.、..、反斜线、盘符、重复编码和 URI 逃逸。
• 指向永久禁区的 allow 规则应在保存时失败，而不是静默接受。

v1 不为 GLOBAL_POLICY.md 额外定义专属的文件大小、frontmatter 大小、规则数量或 Markdown 正文长度限制。它仍受底层文件系统、请求体、内存保护和服务通用安全上限约束；触发通用上限、解析失败、type/schema 不受支持或内容无法识别时，整份 policy 按无效处理，并回退到默认拒绝，而不是尝试截断或宽松解释。

11.6 Markdown 正文

已确认。 Markdown 正文用于用户给 GLOBAL agent 留言。建议 GLOBAL 阅读并遵守，但显式读取正文不是服务端授权的前置条件。

正文具有以下边界：

• 可以要求 agent 对已授权内容采用更克制的用途。
• 可以解释目录含义、引用要求和用户偏好。
• 不能扩大 frontmatter 的服务端权限。
• 不能解除永久禁区。
• 不能覆盖系统指令、部署策略或 OpenViking 安全规则。
• 不应包含凭据或秘密；用户应被明确提示正文会暴露给当前 account 的全部 GLOBAL identity。

协议正文建议经过 owner 的 privacy sanitizer。GLOBAL 读取时只能看到持久化占位符，绝不能恢复 owner 的 privacy 值。

Privacy sanitizer 的职责边界建议如下：

• OKF 解析器先严格分离 YAML frontmatter 与 Markdown body。
• frontmatter 是权限数据，不能参与 privacy 替换，避免 sanitizer 改写路径、effect 或 default。
• Markdown body 的匹配、扫描和 placeholder 替换放在 RAGFS/Rust 侧实现，复用高效 matcher；上层服务负责加载 owner privacy catalog、构造 matcher 和编排调用。
• sanitizer 失败时不得把未脱敏 body 暴露给 GLOBAL；写入应失败，或读取时将 policy 视为无效并执行默认拒绝。
• GLOBAL 读取 body 时只返回持久化 placeholder，不执行 owner privacy restore。
• owner 如何编辑或预览 placeholder 可以由客户端体验决定，但不能改变持久化与 GLOBAL 读取的隐私边界。

读取和渲染行为建议保持简单：

• REST/SDK/MCP direct read 返回完整 OKF 文本，包括原始 frontmatter 和已脱敏 Markdown body。
• policy evaluator 只消费 frontmatter，不从 Markdown 渲染结果推导权限。
• Studio 可以单独展示结构化规则和 Markdown 留言；Markdown 渲染必须使用安全渲染器，禁止脚本、危险 HTML 或渲染副作用。
• 渲染失败不影响权限 parser 的严格结果，但不得回退为执行未受信任 HTML。

11.7 存储与索引行为

协议 OKF 应当：

• 不进入 embedding。
• 不被 find/search 返回。
• 不参与 abstract/overview 或父目录摘要生成。
• 不被普通 tree/ls 当作业务内容展示。
• 不被 pack/export 默认携带到共享内容。
• 允许 owner 直接读取和修改。
• 允许同 account 的 GLOBAL 直接读取完整 frontmatter 和正文。
• 禁止 GLOBAL 修改、移动或删除。

12. 协议阅读与强制执行

12.1 Agent 阅读建议

已确认。 不引入协议阅读握手、签名 Policy Ack、ETag precondition 或其他客户端授权 token。GLOBAL 不必显式读取完整 GLOBAL_POLICY.md 才能发起访问。

仍建议 GLOBAL agent 在需要理解用户留言或主动规划访问范围时读取该用户的 GLOBAL_POLICY.md：

• frontmatter 可以帮助 agent 选择更准确、更小的调用范围。
• Markdown 正文可以表达服务端无法结构化执行的用途、引用和行为要求。
• 未读取协议不会扩大权限，越界结果仍由服务端过滤或拒绝。

MCP tool description、CLI/SDK 文档和面向 agent 的运行时说明可以建议 agent 阅读协议，但不能把“已经读取”作为调用前提，也不能只把 agent 指向一个运行时不可访问的仓库文档。

12.2 服务端安全边界

GLOBAL 是否阅读协议不属于服务端安全前提。即使 agent 未阅读、误解或忽略协议，服务端仍必须拒绝越权请求：

• read、get 在请求入口执行前置校验。
• find、search 由数据库/检索层对候选结果执行后置过滤。
• tree、glob 由存储访问层对遍历结果执行后置过滤。
• stat、attrs、download 等单目标读取采用前置校验；ls、WebDAV PROPFIND 等集合操作采用前置根目录加后置成员过滤。
• 派生内容、导出、历史快照和持续任务按第 10.4 节的操作矩阵执行；没有显式登记的操作默认拒绝跨用户访问。
• 后置过滤在内容离开可信边界或进入外部模型处理前完成。
• 协议缺失或无效时拒绝所有跨用户数据访问。
• 协议修改后，服务端缓存必须在有界的分钟级窗口内失效，不能无限期继续沿用旧规则。

客户端不提交 policy hash、acknowledgment 或其他授权证明；服务端自行加载当前协议或使用可验证、可失效的服务端缓存。

12.3 策略缓存与失效上界

已确认。 GLOBAL policy 可以使用服务端缓存，但旧授权的最大继续生效时间必须是明确、有界的分钟级窗口：

• 不允许小时级、无限期或依赖进程重启才能失效的 policy 缓存。
• 具体最大 TTL 在实现评审时确定，并以显式配置或稳定常量记录和对外说明。
• 失效窗口从 GLOBAL_POLICY.md 的权威写入、替换或删除成功时开始计算。
• 写入路径应主动广播或触发缓存失效，以尽量缩短正常窗口；TTL 是主动失效在跨进程、跨节点失败时的最终上界。
• 缓存命中不能采用无限续期的 sliding TTL；超过上界前必须重新读取或验证权威 policy revision/hash。
• 多 worker、多节点和滚动升级期间都必须满足同一个最大失效上界。
• 长时间运行的查询、导出和后台任务需要在每批处理及返回结果前重新确认 policy 没有超过允许的陈旧窗口。
• 用户界面和文档应明确说明 policy 更新不是瞬时全局生效，并展示实现最终确定的最大窗口。

永久禁区不依赖用户 policy 缓存；privacy/**、sessions/** 等硬边界始终立即执行。

13. 集中式授权架构

13.1 不在各路由散落角色判断

GLOBAL 是正交角色，不能通过在各处追加 Role.GLOBAL 白名单完成。建议引入集中式授权决策：

AccessDecision authorize(
    actor_user,
    target_user,
    operation,
    canonical_uri,
    request_shape,
)

决策结果至少包含：

• allow / deny
• immutable actor user
• effective/target user
• canonical target URI
• 命中的 hard boundary 或 policy rule
• policy hash/schema version
• 可用于向量检索的允许 scope
• delegation mode（self 或 global_read）
• 审计 reason code

13.2 Capability 模型

候选 capability：

• shared.read
• shared.manage
• user.self.read_write
• user.other.read_if_allowed
• account.manage_users
• privacy.read

shared.manage 包含共享空间的 create、update、move、delete 和 ACL manage，不再拆分单独的 shared delete 或 ACL manage capability；它表示角色能力上限，不绕过资源 effective ACL。GLOBAL 永远不拥有 account.manage_users，也不通过跨用户路径获得 privacy.read 或 session 读取能力。

13.3 文件系统与向量检索一致

以下层必须复用同一授权语义：

• URI request validation
• VikingFS read/list/tree/grep/glob/stat
• find/search/filter-only retrieval
• raw vector record ID resolution
• MCP tools
• REST API、SDK 与 CLI
• WebDAV
• download/upload token
• pack、snapshot、Git snapshot
• 后台任务和 semantic processing

向量层继续首先执行 account filter，再按当前 GLOBAL_POLICY.md 对 find / search 候选做后置过滤。文件系统和其他表面按照第 10.4 节的操作矩阵执行前置校验、后置过滤、派生来源检查或复合检查。所有入口复用同一个 operation registry 和 policy evaluator；未登记操作默认拒绝跨用户访问。

14. Privacy 与 Session 永久隔离

14.1 Privacy

GLOBAL 对其他用户的以下表面永久无权访问：

• privacy/** 原始文件
• privacy current/history/meta
• privacy API 与 field reference
• skill privacy 恢复后的值
• privacy scan 结果中的敏感内容
• 包含 privacy 值的 index、摘要、缓存、导出和日志

跨用户读取 SKILL.md 时，只能返回持久化的 privacy 占位符：

• 不得恢复 owner 的 privacy 值。
• 不得错误地使用 GLOBAL 自己同名 skill 的 privacy 值进行替换。

14.2 Sessions

GLOBAL 对其他用户的以下表面永久无权访问：

• sessions/** 文件与目录
• legacy session alias
• session messages、history、archives
• tool results 与 session 附件
• session search API
• session 导出、下载或 snapshot

14.3 Derived content

仅按目标文件路径判断不足以防止派生泄露：

• 父目录 abstract/overview 可能总结被拒绝的后代。
• 向量记录可能保留旧权限下生成的正文。
• pack、snapshot 或缓存可能包含受保护内容。

建议 v1 对包含被拒绝后代的跨用户递归目标采用保守策略：拒绝该范围的摘要或大范围递归操作，并要求 GLOBAL 缩小到一个完整允许且不包含永久禁区的前缀。

15. 共享空间与 ACL

已确认。 GLOBAL 是 account 内可信的数据面身份，对当前 account 的 viking://resources 和 viking://agent 拥有 shared.manage：

• 可以读取、创建、更新、移动和删除共享内容。
• 可以管理 viking://resources 的 ACL，不需要单独 capability，但目标资源的 effective ACL 必须已经授予 GLOBAL 对应 principal manage。
• 可以删除具体共享子路径，包括递归删除；操作仍需遵守锁、任务、审计和其他存储安全机制。
• 不能删除 viking://resources 或 viking://agent namespace 根本身，这属于系统结构保护，不是权限不足。
• viking://agent/skills 的变更必须走 add/update/delete skill 等正规入口，不能用普通 write/rm 绕过索引、privacy 和元数据维护。

GLOBAL 在 ACL 语义上没有特殊性：

• 使用自身 user:{global_user_id}、user:* 和服务端解析的 group principals 参与 ACL 计算。
• 不因 role=global 获得隐式 manage、ACL bypass 或 ADMIN 权限。
• restricted ACL 未授予 read/write/manage 时，GLOBAL 与其他数据面身份一样被拒绝。
• ACL 的 read/write/manage 级别继续使用现有包含关系；role capability 与 effective ACL 必须同时允许操作。

16. 各认证模式

16.1 API Key

• ROOT API Key 只用于控制面和明确允许的 system/monitoring API，不能调用租户数据 API。
• GLOBAL 由 ROOT 创建并获得绑定 account/global user 的 credential。
• API Key 解析出明确的 account、GLOBAL user ID 和 GLOBAL role。
• ADMIN 不能创建、轮换、删除或修改 GLOBAL credential。

16.2 Trusted

• 不能只凭 X-OpenViking-Role: global 临时声明 GLOBAL。
• GLOBAL identity 必须已由 ROOT 注册。
• Trusted gateway 的 account/user 必须匹配已注册 GLOBAL identity。
• Trusted 自动注册只能创建普通 USER，不能产生 GLOBAL。

16.3 OIDC / LDAP

• 外部 claim 或 group mapping 不能自动把任意用户提升为 GLOBAL。
• 只有预先由 ROOT 注册的 GLOBAL identity 才能解析为 GLOBAL。
• 身份源与本地注册表不一致时 fail closed。

16.4 OAuth 与签名 token

• OAuth access/refresh token 必须绑定具体 GLOBAL identity。
• ROOT 销毁 GLOBAL 或轮换 credential 后，旧 token 立即失效。
• 不应只依赖线性 rank 判断 token 是否仍然有效；应检查当前 identity、role/capability 与 credential version。
• download/upload token 必须绑定 actor、target user 与 URI/scope，取用内容时重新执行当前协议校验。

为了开发本需求，我们已经做了一些调整：

1. 管理面 ADMIN 不再可见用户 API Key，无法通过 list-user 列出所有用户的 apikey 明文；
2. ADMIN/USER 已经可以自己控制自己的密钥轮转；
3. ADMIN/USER 可以触发 reset，但不能读取除自身身份以外的其他 USER 原有 key；

17. 审计与用户透明度

每次跨用户访问应记录：

• actor account
• GLOBAL user ID
• credential fingerprint，不记录 credential 本身
• target user
• canonical target URI 或安全的范围表达
• operation
• policy hash/schema version
• allow/deny
• 命中的 rule 或 hard-boundary reason code
• 返回条数
• request ID
• 时间

不得在审计中记录文件正文、privacy 值或包含秘密的检索 query。

建议 owner user 可以查看针对自己空间的 GLOBAL 访问记录。ADMIN 可以看到 GLOBAL 身份存在；是否可查看完整跨用户访问审计仍需单独确定。

18. 错误与信息泄露

需要为以下情况提供稳定错误码：

• GLOBAL_POLICY_MISSING
• GLOBAL_POLICY_INVALID
• GLOBAL_POLICY_SCHEMA_UNSUPPORTED
• GLOBAL_CROSS_USER_SCOPE_REQUIRED
• GLOBAL_MIXED_OWNER_REQUEST
• GLOBAL_PROTECTED_PATH
• GLOBAL_ACCESS_DENIED

为了减少路径与内容存在性泄露，需要进一步决定：

• 对 GLOBAL 而言，目标不存在与目标存在但未授权是否统一返回 not found。
• GLOBAL 通过已知 user ID 读取 GLOBAL_POLICY.md 本身时必须被允许；仍需确定是否隐藏“用户不存在”与“用户存在但未放置协议”的差异。
• 哪些错误细节可以进入审计但不能返回给调用者。

19. 兼容性与迁移

19.1 现有角色

• 未创建 GLOBAL identity 的部署行为不变。
• ROOT、ADMIN、USER 的现有权限不因本提案自动扩大。
• ADMIN 仍不能读取其他用户空间。
• USER 仍只能访问自己的用户空间与获准共享资源。

19.2 账号存储

账号存储需要接受 global role，但必须保持 ROOT-only 生命周期约束。File/MySQL 等 provider 必须行为一致。

19.3 客户端与 Studio

• CLI/SDK 类型需要识别 GLOBAL。
• Studio 可以向 ROOT 提供 GLOBAL 管理入口。
• ADMIN 的用户列表显示 GLOBAL 只读状态。
• ADMIN 不显示或禁用 GLOBAL 的修改、删除、key 轮换和 group 操作。
• GLOBAL 登录 Studio 时不能进入 Admin/System 页面。

19.4 协议缺省

上线 GLOBAL 功能后，所有现有用户默认没有协议，因此默认拒绝 GLOBAL 跨用户读取。不会因为升级自动共享任何用户数据。

20. 实现范围参考

以下是可能受影响的现有模块，最终以实现计划为准：

• openviking/server/identity.py
• openviking/server/api_keys/
• openviking/server/account_stores/
• openviking/server/auth/
• openviking/server/routers/admin.py
• openviking/core/namespace.py
• openviking/core/retrieval_targets.py
• openviking/storage/viking_fs/
• openviking/storage/viking_vector_index_backend.py
• openviking/service/fs_service.py
• openviking/server/mcp_endpoint.py
• openviking/observability/usage_audit/
• openviking_cli/
• web-studio/

本列表不是授权在上述模块中直接加入分散的 role 特判；实现应优先建立集中式 policy service 和授权决策。

21. 测试计划

21.1 身份与生命周期

• ROOT 可以创建、销毁和轮换 GLOBAL。
• ADMIN 可以列出 GLOBAL。
• ADMIN 不能创建、销毁、改角色、轮换 key 或修改 GLOBAL group membership。
• 普通用户和 GLOBAL 不能管理 GLOBAL。
• GLOBAL 复用 account user 记录，API Key/Trusted/OIDC/LDAP 解析到同一个 role=global identity。
• 所有 account store provider 行为一致。
• Trusted/OIDC/LDAP 不能产生未注册 GLOBAL。

21.2 双身份上下文

• actor 始终是 credential 解析出的 GLOBAL user，派生 target context 后仍不可变。
• effective/target user 正确定位目标 user-scoped URI、存储记录和向量 owner filter。
• 派生上下文中的 role 始终为 GLOBAL，delegation mode 始终为 global_read。
• effective user 不继承目标 USER 的 role、group、credential、OAuth scope 或 actor peer。
• privacy、sessions、写操作和身份敏感 API 不会因为 effective user 与目标 owner 相同而被当作 self access。
• 审计和后台任务归属 GLOBAL actor，而不是 effective user。
• 任意上下文转换丢失 GLOBAL actor 时测试失败。

21.3 Account 隔离

• 生产认证模式下，ROOT credential 调用租户数据 API 始终被拒绝。
• ROOT 不能通过 account/user header 或请求参数切换为数据面身份。
• ADMIN、USER、GLOBAL 的所有数据操作都带有且只作用于一个 account_id。
• GLOBAL 只能访问自己的 account。
• 相同 URI 在其他 account 中仍不可见。
• raw vector ID、token 和后台任务不能绕过 account filter。

21.4 协议解析

• 无协议、空协议、非法 UTF-8、未闭合 frontmatter、非法 YAML 均拒绝。
• 未知字段、错误类型、不支持版本均拒绝。
• 路径 traversal、重复编码、反斜线和盘符均拒绝。
• deny 优先于 allow。
• default: allow 不能覆盖永久禁区。
• 协议更新后服务端授权缓存不超过已配置的分钟级最大失效窗口。
• 只有 owner user 能创建、更新或删除自己的 GLOBAL_POLICY.md。
• ADMIN、GLOBAL 和 ROOT credential 都不能通过数据 API 修改其他用户的 GLOBAL_POLICY.md。

21.5 单 owner 限制

• 非递归 ls viking://user 成功，且只返回最小用户目录列表。
• viking://user 上的 find/search/tree/grep/glob/recursive ls 和统计均拒绝。
• 混合两个 owner 的批量 read 拒绝。
• 显式单 owner 目标在协议允许时成功。
• 默认搜索不包含其他用户。

21.6 前置校验与后置过滤

• read / get 在未授权时不读取目标内容并返回拒绝。
• stat / attrs 在未授权时不返回存在性或 metadata，目录 count 不包含 deny 子树。
• abstract / overview 无法证明派生来源全部可见时拒绝返回。
• download 在签发和取用阶段都按当前 policy 校验。
• ls 先校验目录，再过滤子项；offset、limit、count 和 has_more 基于过滤后的可见结果。
• find / search 的未授权候选不出现在结果中。
• tree / glob 的未授权节点不出现在结果中。
• 完全越界的 find / search / tree / glob 返回 GLOBAL_ACCESS_DENIED，合法范围内无匹配才返回成功空结果。
• grep 只返回允许文件中的命中。
• WebDAV GET/HEAD/PROPFIND 与等价 read/stat/list 操作保持相同授权结果。
• 其他用户数据的 pack/export/backup 始终拒绝。
• 其他用户数据的 snapshot log/show/diff 等历史读取始终拒绝。
• cp 从允许读取的用户路径复制到可写共享路径时成功，复制到其他用户目录时拒绝。
• mv 其他用户目录内容时因 source delete 无权限而拒绝。
• shared-space 内的 cp/mv/import/restore/snapshot commit/restore 按 shared.manage 成功。
• 复合操作对全部 source、destination 和隐含删除动作逐项校验。
• 持续任务在未实现持续校验时拒绝。
• find / search 的未授权候选不进入外部 reranker、LLM、preview/context assembly 或响应统计。
• 协议更新后，前置校验与后置过滤都使用新规则。
• 任一未登记 REST/MCP/SDK/后台操作跨用户访问时默认拒绝。

21.7 Privacy 与 Sessions

• 直接读取、list、tree、grep、glob、find、search 均不可见。
• raw vector ID 不可见。
• download token、pack、snapshot、WebDAV 不可见。
• skill privacy 只返回占位符，不恢复 owner 或 GLOBAL 的值。
• legacy session alias、tool results、attachments 和 archives 不可见。
• 父目录摘要不能泄露永久禁区内容。

21.8 共享空间

• GLOBAL 可以读取、创建、更新、移动和删除具体共享子路径。
• GLOBAL 可以管理共享资源 ACL，不需要额外 capability，但操作必须同时获得 effective ACL 的 manage 权限。
• GLOBAL 不能删除 viking://resources 或 viking://agent namespace 根。
• GLOBAL 不能绕过 skill 管理入口破坏共享 skill 元数据。
• GLOBAL 使用自身 user/group principals 参与 ACL 计算，不因角色获得隐式 manage 或 bypass。
• restricted ACL 未授权时，GLOBAL 的 read/write/delete/ACL manage 均按现有 ACL 语义拒绝。

21.9 审计

• allow 和 deny 都记录 actor、target、operation、policy hash/schema version 与 reason。
• 不记录 credential 或 privacy 正文。
• 多个 GLOBAL identity 的审计可区分具体 actor。

21.10 安全测试

• 对 YAML、路径规范化和 URI 编码进行 property/fuzz 测试。
• 对 policy update 与正在进行的 read/search 做并发测试。
• 对缓存失效、token replay 和 role change 做竞态测试。
• 使用可控时钟验证旧 policy 不会超过配置的分钟级最大 TTL，并覆盖主动失效成功与失败路径。
• 在多 worker、多节点和滚动升级场景验证相同的最大失效上界。
• 验证长查询、导出和后台任务在跨越缓存上界时重新校验 policy。
• 对所有公开读取表面维护统一的越权回归矩阵。
• 验证 GLOBAL 与普通数据面身份使用相同 ACL principal 解析，不存在 role-based implicit manage 或 bypass。
• 验证 shared.manage 与 effective ACL 必须同时允许 read/write/delete/ACL-manage 操作。
• 验证 policy frontmatter 不参与 privacy sanitizer，Markdown body 由 RAGFS matcher 脱敏。
• 验证 sanitizer 失败或 policy 超出服务通用上限时按无效 policy 默认拒绝，不返回未脱敏 body。
• 验证 GLOBAL 读取只看到 privacy placeholder，owner privacy 值不会恢复。
• 验证 ADMIN 用户列表和所有输出格式都不会泄露其他用户明文 API Key。
• 验证用户自行生成或轮换的 key 不会通过管理列表重新暴露。
• 验证 key reset 的最终语义、审计和用户通知符合后续确定的 credential ownership 模型。
• 验证新配置关闭时保持 legacy API、CLI、Studio 和自动化行为。
• 验证新配置开启后 USER/ADMIN 只能自助重置自己的 key，不能指定其他用户。
• 验证 GLOBAL 不能通过自助重置绕过 ROOT-only credential 生命周期。
• 验证自助重置在新 key 成功持久化后原子撤销旧 key，新 key 只在成功响应中展示一次。
• 验证自助重置使绑定旧 key fingerprint 的 OAuth 和其他派生 credential 按设计失效。
• 验证客户端能明确识别当前部署处于 legacy、self-service reset 或 credential privacy 模式。
• 验证 enrollment token 不能调用数据 API 或非 enrollment 管理 API。
• 验证 enrollment token 的 identity/purpose 绑定、短期有效期、单次使用和 replay 防护。
• 验证最终 secret 由用户端生成，且不会出现在 ROOT/ADMIN 响应、日志或审计记录中。
• 验证旧 key 在最终选定的撤销时点失效，并覆盖 token 未交付、兑换失败、过期和紧急吊销场景。

22. 被否决或暂不采用的方案

22.1 仅靠 robots.txt 式自觉遵守

否决。Advisory 文本不能作为隐私安全边界，恶意或错误客户端可以忽略。

22.2 JSON-only 协议

否决。JSON 不适合同时承载结构化权限与用户给 agent 的可读留言。本 RFC 采用 OKF frontmatter + Markdown body。

22.3 仅扩展现有 resources ACL

暂不采用。现有 ACL 只覆盖共享 resources，不能表达用户根协议、agent 留言、永久禁区和单 owner 检索约束。

22.4 把 GLOBAL 当作 ADMIN 的更高等级

否决。GLOBAL 与 ADMIN 权限正交，线性 rank 会导致权限继承错误。

22.5 仅在客户端或响应序列化末端过滤

否决。v1 允许对 find、search、tree、glob 做服务端后置过滤，但过滤必须位于可信存储/授权边界内，并早于外部 reranker、LLM、preview/context assembly、响应统计和响应序列化。不能把未授权数据交给客户端后再过滤。

22.6 协议阅读握手与签名 Policy Ack

否决。它会引入额外 token 生命周期、跨 REST/MCP/CLI 的状态同步和缓存复杂度，但不能证明 agent 真正理解了正文。GLOBAL 可以按需读取 GLOBAL_POLICY.md；服务端以当前协议直接约束文件系统和数据库访问。

24. 已确认决策摘要

截至本 Draft：

1. 新角色暂称 GLOBAL。
2. GLOBAL 仅在 account 范围内生效。
3. 同一 account 可以创建多个 GLOBAL identity。
4. 用户协议对该 account 内所有 GLOBAL identity 统一生效。
5. 协议文件名为 GLOBAL_POLICY.md，OKF type 为 global-access-policy，schema_version 为 1。
6. 协议采用 OKF，frontmatter 配置权限，Markdown 正文给 agent 留言。
7. 建议 GLOBAL 按需阅读并遵守协议，但显式读取不是访问前提，也不引入握手或签名 Policy Ack。
8. GLOBAL 可以通过非递归 ls viking://user 枚举当前 account 的最小用户目录列表。
9. GLOBAL 不能在 viking://user 上进行跨用户检索、递归遍历或统计。
10. 除用户目录枚举外，跨用户访问必须绑定唯一 owner user。
11. GLOBAL 永远不能读取其他用户的 privacy/**。
12. GLOBAL 永远不能读取其他用户的 sessions/**。
13. GLOBAL 不能写入其他用户空间。
14. GLOBAL 只能由 ROOT 创建、销毁和修改。
15. ADMIN 可以看到 GLOBAL 存在，但不能修改。
16. 协议缺失或无效时默认拒绝。
17. read / get 使用前置校验；find / search / tree / glob 使用服务端后置过滤。
18. ROOT 是控制面角色，ROOT credential 不具有任何租户数据权限；ADMIN、USER、GLOBAL 是限制在单个 account_id 内的数据面角色。
19. 只有 owner user 能决定自己的 GLOBAL_POLICY.md 内容；默认拒绝与 GLOBAL 禁止写 user 目录共同防止他人替用户开放数据。
20. ADMIN 当前可能看到其他用户明文 API Key，这是已知安全缺口，credential ownership 与 reset 模型需要后续设计。
21. stat 等单目标 metadata 读取采用前置校验；ls 等集合操作采用前置根目录加后置成员过滤；派生、导出、历史和复合操作按显式矩阵执行。
22. 任何未登记的跨用户操作默认拒绝；默认拒绝是完整操作推断后的最后兜底。
23. 用户更新、替换或删除 policy 后，旧授权最多只在有界的分钟级缓存窗口内继续生效；具体最大 TTL 在实现评审时确定。
24. GLOBAL 是 account 内可信的数据面身份，shared.manage 包含共享内容的创建、更新、移动、删除和 ACL manage，不需要额外 delete/ACL capability；namespace 根仍受结构保护。
25. GLOBAL identity 复用 account user 记录；跨用户访问使用保留 immutable GLOBAL actor 的 effective/target user 派生上下文，role 始终保持 GLOBAL，delegation mode 为 global_read。
26. GLOBAL 拒绝其他用户数据的 pack/export/backup 和 snapshot 历史读取；cp/mv/import/restore 等复合操作按普通 source read/delete 与 destination write/manage 权限逐项检查。
27. 完全越界的 find / search / tree / glob 返回 GLOBAL_ACCESS_DENIED；只有合法范围内无匹配时才返回成功空结果。
28. API Key ownership 新机制通过显式配置启用并保持 legacy 默认兼容；第一阶段优先支持 USER/ADMIN 使用当前有效本人 key 原子重置自己的 key，GLOBAL 不开放自助重置。
29. GLOBAL 在 ACL 语义上没有特殊性，使用自身 user/group principals 计算 effective ACL，不因角色获得隐式 manage 或 bypass；shared.manage 与 effective ACL 必须同时允许操作。
30. v1 不增加 GLOBAL policy 专属大小限制；非法、无法识别或触发服务通用上限时整份 policy 默认拒绝。Privacy sanitizer 只处理 Markdown body，建议由 RAGFS/Rust matcher 实现，GLOBAL 永不恢复 owner privacy 值。