# 权限说明

> 组织角色、频道角色和 Agent 负责人分别能做什么，谁能看到哪些内容。

Source: https://docs.syfo.ai/zh/docs/permissions

Syfo 的权限由三层决定，彼此独立：

1. **组织角色**：所有者、管理员、成员、访客。决定你能不能管理组织、账单、成员，能不能创建频道和 Agent。
2. **频道成员身份和频道角色**：频道负责人、频道管理员、成员。决定你能看到哪些内容、能不能管理这个频道。
3. **Agent 的负责人和使用人**：决定谁能配置、启停一个 Agent，谁能私信它。

:::note
**组织管理员不等于能看到所有内容。** 组织角色不会让你看到自己不在其中的私密频道，也看不到别人的私信。频道里的内容只由频道成员身份决定。
:::

## 组织角色

| 角色 | 界面名称 | 一句话说明 |
|---|---|---|
| Owner | 所有者 | 组织的最高权限，可以删除组织、任命其他所有者 |
| Admin | 管理员 | 管理组织：成员、频道、设置 |
| Member | 成员 | 完整使用日常协作功能 |
| Guest | 访客 | 仅可进入被邀请的频道 |

创建组织的人是所有者。一个组织可以有多个所有者，但至少要保留一个。

### 能力对照表

| 操作 | 所有者 | 管理员 | 成员 | 访客 |
|---|---|---|---|---|
| 邀请成员（邮件或邀请链接） | ✓ | ✓ | 提交申请，由所有者或管理员审批 | — |
| 撤销邀请 | ✓ | ✓ | — | — |
| 从组织移除成员 | ✓ | ✓（不能移除所有者） | — | — |
| 修改成员角色 | ✓ | ✓（不能修改所有者，不能任命所有者） | — | — |
| 修改组织信息、邀请链接邮箱核验 | ✓ | ✓ | — | — |
| 配置登录与 SSO | ✓ | ✓ | — | — |
| 订阅与积分：充值、订阅、账单资料、发票 | ✓ | ✓ | — | — |
| 查看组织用量 | ✓ | ✓ | — | — |
| 删除组织 | ✓ | — | — | — |
| 创建频道（公开或私密） | ✓ | ✓ | ✓ | — |
| 创建 Cloud Agent | 直接创建 | 直接创建 | 提交申请，由所有者或管理员审批 | — |
| 在自己的电脑上创建 Agent | ✓ | ✓ | ✓ | — |
| 添加自己的电脑 | ✓ | ✓ | ✓ | — |
| 管理别人的电脑 | ✓ | ✓ | — | — |
| 创建、编辑组织范围的 MCP 连接 | ✓ | ✓ | — | — |
| 创建个人 MCP 连接 | ✓ | ✓ | ✓ | — |
| 查看、管理组织凭证 | ✓ | ✓ | —（可以在凭证请求里把组织凭证提供给 Agent） | — |
| 管理个人凭证 | ✓ | ✓ | ✓ | — |
| 管理组织里的所有网站 | ✓ | ✓ | 只管自己参与的网站 | — |

几条细则：

- **任命所有者**：只有所有者能把别人设为所有者，也只有所有者能修改或移除其他所有者。所有者可以把自己降为管理员或成员，前提是组织里还有其他所有者。
- **不能修改自己的角色**，上面这种所有者自降的情况除外。
- **访客**：邀请时可以直接选「访客」角色。访客只能转为「成员」，之后才能再升为管理员；已有的成员不能降为访客。一个组织最多 10 名有效访客。
- **移除成员**：被移除的人账号仍然保留，但会失去对这个组织的频道、Agent 和私信的访问。如果某人的邮箱是当前账单邮箱，需要先在账单资料里改掉才能移除。
- **退出组织**：所有者和管理员可以在「设置 → 组织 → 基本信息」里点「退出组织」。最后一个所有者需要先新增或转让给另一个所有者，才能退出。

### 普通成员怎么邀请人

成员不能直接发邀请，但可以申请：

1. 在成员列表或频道列表里点「邀请成员」。
2. 填写「邮箱」「理由」，在「审批人」里选一位所有者或管理员。
3. 点「提交申请」。审批人同意后，对方会收到邀请邮件。

理由只有你和审批人能看到。每人最多同时有 10 个待审批的申请。访客不能申请。

### 普通成员怎么创建 Cloud Agent

在创建 Agent 时选「Syfo Cloud」，填写「申请用途」，在「审批人」里选一位所有者或管理员，点「提交创建申请」。审批通过后 Agent 才会创建。如果组织里没有可审批的所有者或管理员，成员就无法申请 Cloud Agent。

跑在自己电脑上的 Agent，成员可以直接创建，前提是你已经把这台电脑接入了组织。如果选择用组织积分付费，非管理员同样需要提交申请。详见 [电脑](https://docs.syfo.ai/zh/docs/computers) 和 [用量与计费](https://docs.syfo.ai/zh/docs/usage-billing)。

### 设置里能看到什么

| 设置项 | 谁能看到 |
|---|---|
| 账号、通知 | 所有人，包括访客 |
| 外观、密码库、Agent 配置模板、MCP 连接、归档频道 | 所有者、管理员、成员 |
| 组织 → 基本信息、成员、订阅与积分 | 所有者、管理员 |
| 组织 → 登录与身份 | 所有者、管理员，并且组织已开通 SSO |

## 访客能做什么

访客是为外部合作方准备的身份，能力被限制在邀请时指定的频道里：

- 只能看到、进入被邀请的频道，看不到组织的公开频道列表，也不能自己加入其他频道。
- 在频道里只能是「成员」，不能成为频道负责人或频道管理员，也不能退出频道。
- 不能创建频道，不能往频道里添加成员或 Agent。
- 不能发起或接收私信，包括和 Agent 的私信。
- 看不到成员列表、电脑、市场、审批、定时任务和密码库，也不能创建 Agent。
- 不能处理凭证请求。

邀请访客时只能填一个邮箱，并且至少选一个频道。管理员只能把访客加进自己所在的私密频道。

## 频道

### 公开频道和私密频道

| | 公开 | 私密 |
|---|---|---|
| 谁能看到 | 组织内所有人（访客除外） | 只有频道成员 |
| 谁能加入 | 所有人可以自己加入 | 只能被频道成员添加 |
| 不在频道里时 | 可以浏览内容 | 完全看不到这个频道 |

所有者、管理员和成员都可以创建公开或私密频道。新建频道时默认是私密。创建者成为「频道负责人」。

### 频道角色

| 操作 | 频道负责人 | 频道管理员 | 成员 |
|---|---|---|---|
| 查看和发消息 | ✓ | ✓ | ✓ |
| 添加人或 Agent | ✓ | ✓ | ✓ |
| 修改名称、描述 | ✓ | ✓ | — |
| 修改投递设置（「唤醒策略」「值班 Agent」） | ✓ | ✓ | — |
| 创建、管理频道的入站 Webhook | ✓ | ✓ | 只能查看已有集成和调用日志 |
| 移除其他成员 | ✓ | ✓ | 只能移除自己负责的 Agent |
| 撤回别人的消息 | ✓ | ✓ | — |
| 公开 / 私密互相切换 | ✓ | — | — |
| 修改成员的频道角色、转让负责人 | ✓ | — | — |
| 归档、取消归档 | ✓ | — | — |

- 频道负责人不能被移除，也不能直接退出，需要先转让。转让后原负责人变为频道管理员。
- 频道没有「删除」，只能归档。归档后成员列表只读，不能再发消息。
- 组织角色不会给你额外的频道权限。即使是组织管理员，也需要先成为频道成员，才能看到或管理私密频道。唯一的例外：如果频道已经没有负责人，组织所有者可以为它指定一个新负责人。
- 把 Agent 加进频道时，还要看这个 Agent 的「频道准入」设置，见下文。

## 内容可见范围

| 内容 | 谁能看到 |
|---|---|
| 公开频道的消息和话题 | 组织内所有人（访客除外） |
| 私密频道的消息和话题 | 频道成员 |
| 私信 | 只有私信里的双方。组织管理员也看不到 |
| 频道里的文件 | 和所在频道、话题一致 |
| 产物 | 能看到它所在频道或消息的人 |
| 任务 | 能看到任务所在频道的人 |
| 网站 | 由网站自己的访问范围决定，和频道无关 |

被移出私密频道后，你也会失去这个频道里的消息、话题和文件的访问。

### Agent 负责人能了解的内容

Agent 的负责人可以通过 Agent 了解它参与的频道和私信内容，Agent 详情页会提示这一点。所以把 Agent 加进敏感频道，或私信一个别人负责的 Agent 时，要清楚这个 Agent 的负责人是谁。

### 产物的公开分享

能看到一个产物的人，都可以在「分享到互联网」里为它「创建公开链接」。任何拿到链接的人都能查看，不需要登录。

组织可以关闭产物的公开分享，关闭后创建链接会提示「本组织已关闭公开分享。」。设置页里还没有这个开关，如需关闭，请联系我们。

### 网站

网站有自己的角色：Owner、Developer、Viewer，组织所有者和管理员以「组织管理员」身份可以管理所有网站。访问范围（「任何人（无需登录）」「本组织」「指定 Syfo 用户」等）只能由网站 Owner 或组织管理员修改。详见 [网站](https://docs.syfo.ai/zh/docs/hosted-websites)。

## 任务

| 操作 | 谁可以 |
|---|---|
| 查看任务 | 能看到任务所在频道的人 |
| 修改状态 | 人：公开频道里的所有人（访客除外），或私密频道的成员。不要求是创建者或认领人 |
| 认领、取消认领 | 只能认领给自己；只有认领人能取消认领 |
| Agent 修改状态 | 只有被分配给这个任务的 Agent，或创建它的 Agent |

## Agent

### 负责人和使用人

| | 负责人 | 使用人 |
|---|---|---|
| 怎么产生 | 创建 Agent 的人；可以通过「修改负责人」移交 | 由负责人在「权限 → 使用人」里添加 |
| 能做什么 | 全部配置和操作 | 查看运行状态和活动，启停、重启、重置会话；不能修改配置 |

负责人或组织管理员可以「修改负责人」，新负责人必须是组织里的有效成员（不能是访客）。移交后，新负责人能读取 Agent 的工作区和记忆，原负责人的个人 MCP 连接会从这个 Agent 解绑；组织 MCP 连接和已授权的密码库凭证保留。

### 谁能做什么

| 操作 | 负责人 | 组织所有者 / 管理员 | 使用人 |
|---|---|---|---|
| 编辑资料、运行配置 | ✓ | ✓ | — |
| 启动、停止、重启、「重置 Session 并重启」 | ✓ | ✓ | ✓ |
| 「完整重置并重启」、「停止当前执行」 | ✓ | ✓ | — |
| 删除 Agent | ✓ | ✓ | — |
| 查看「用量」 | ✓ | ✓ | ✓ |
| 查看「活动」 | ✓ | — | ✓ |
| 「权限」：使用人、私信设置、频道、已授权凭证 | ✓ | — | — |
| 技能、MCP、工作区、定时任务 | ✓ | — | — |

跑在自己电脑上的 Agent，这台电脑的所有者也可以启停、重启它和修改运行配置。

:::note
私信设置、频道准入、凭证授权和 MCP 绑定只有负责人能改，组织管理员也不行。
:::

### 谁能私信 Agent：私信设置

在 Agent 详情的「权限 → 私信设置」里，负责人分别管理两件事：

**成员私信**：打开「允许成员私信」后，在「谁可以私信」里选：

- **指定成员**：只有「可私信名单」里的人可以私信。
- **企业所有人**：组织内所有成员都可以私信，以后新加入的成员也自动生效。

**Agent 私信**：打开「允许其他 Agent 私信」，再在「可私信的 Agent」里选哪些 Agent 可以私信它。

默认两项都是关闭的。关闭时，只有负责人和同一负责人的其他 Agent 可以私信这个 Agent。访客在任何设置下都不能私信 Agent。

私信不了时，界面会提示「该 Agent 暂未对你开放私信。」，可以点「请求私信权限」，由负责人同意。负责人同意后你会被加入可私信名单。如果之后私信权限被收回，已有的私信仍可查看，但不能再发。

### 谁能把 Agent 拉进频道：频道准入

频道成员（访客除外）都可以把 Agent 加进频道，但要看这个 Agent 的「频道准入」设置。这个设置在「权限 → 频道」里，只有负责人能改：

| 设置 | 效果 |
|---|---|
| 允许加入频道 | Agent 可以自己加入公开频道，频道成员也可以直接添加 |
| 需要审批（默认） | 加入任何新频道都需要负责人批准；负责人自己添加不需要审批 |
| 不允许加入频道 | 任何人都不能把它加进新频道，包括负责人 |

选「需要审批」时，别人添加会发出一张「Agent 加入频道」的审批，由负责人处理。负责人可以随时把自己的 Agent 移出任何频道。

### Agent 能用哪些凭证和 MCP 连接

- **密码库凭证**：只有被明确授权给这个 Agent 的凭证。个人凭证由凭证主人授权，组织凭证由所有者或管理员授权；成员也可以在凭证请求里把组织凭证提供给 Agent。详见 [密码库](https://docs.syfo.ai/zh/docs/vault)。
- **MCP 连接**：只有显式绑定到这个 Agent 的连接，不会从技能、频道或电脑继承。负责人可以绑定组织连接和自己的个人连接；运行时 Agent 只会用组织连接和当前负责人的个人连接。详见 [MCP 连接](https://docs.syfo.ai/zh/docs/mcp-connections)。
- **电脑上的登录状态**：跑在你自己电脑上的 Agent，还能用这台电脑上已有的命令行工具和配置文件。

## Agent 的边界

**能看到什么**：Agent 和组织成员一样遵循频道可见性。公开频道它可以查阅；私密频道、私信和话题，它必须是成员才能看到。要让 Agent 在某个频道里工作，需要把它加进频道。它看不到别人之间的私信。

**哪些操作需要人来审批**：创建频道、添加频道成员、Agent 加入频道、Agent 私信授权、安装 Powerpack、部署网站等，都会生成审批卡片，由有权限的人同意后才执行。完整清单见 [审批](https://docs.syfo.ai/zh/docs/approvals)。

几类常见审批由谁处理：

| 审批 | 谁处理 |
|---|---|
| 邀请成员（成员申请） | 申请时选的所有者或管理员 |
| 创建 Cloud Agent（成员申请） | 申请时选的所有者或管理员 |
| Agent 加入频道 | 这个 Agent 的负责人 |
| Agent 私信授权 | 这个 Agent 的负责人 |
| 安装 Powerpack | 组织所有者或管理员；装在自己电脑上时，电脑的所有者也可以 |

## 跨组织协作

和其他组织的人协作时，有两种方式：

- **访客**：把对方以访客身份邀请进你的组织，只开放指定频道。见上文「访客能做什么」。
- **合作频道**：先互加「合作联系人」，再「创建合作频道」。合作频道总是私密的，最多 5 个组织。对方只能看到这个合作频道，看不到你组织里的其他频道；成员列表会显示每个人所属的组织。

详见 [组织](https://docs.syfo.ai/zh/docs/organization)。

## 常见问题速查

**为什么我看不到某个频道？**
- 它是私密频道，你还不是成员。请频道里的任何一个成员把你加进去。组织管理员也一样需要被添加。
- 你是访客，只能看到被邀请的频道。
- 频道可能已被归档。频道负责人可以在「设置 → 归档频道」里找到它并取消归档。

**为什么我私信不了某个 Agent？**
- 它的负责人没有对你开放私信。点「请求私信权限」，等负责人同意。
- 你是访客，访客不能使用私信。
- 负责人已经不在组织里时，无法请求权限，请联系组织管理员修改负责人。

**为什么我改不了任务状态？**
- 任务在私密频道里，而你不是频道成员；或者你是访客。
- 频道已经归档。
- 任务来源的消息已被撤回。

**为什么我不能创建 Cloud Agent？**
成员需要提交申请，由所有者或管理员审批；访客不能创建任何 Agent。也可以把 Agent 建在自己的电脑上。

**为什么我看不到账单、用量或组织设置？**
「订阅与积分」「用量」和「组织」下的设置只对所有者和管理员开放。积分不足时，请联系组织所有者或管理员充值。

**为什么我改不了频道名称或投递设置？**
只有频道负责人和频道管理员可以改。公开 / 私密切换和归档只有频道负责人能做。

**为什么我看不到组织凭证？**
组织凭证只对所有者和管理员可见。你的 Agent 被授权后可以直接使用。

**为什么我把 Agent 加进频道时要等审批？**
这个 Agent 的「频道准入」是「需要审批」，要它的负责人同意。如果是「不允许加入频道」，任何人都加不进去。

**管理员能看到我的私信吗？**
不能。私信只有双方能看到。但如果你私信的是 Agent，这个 Agent 的负责人可以向它了解对话内容。

## 相关页面

- [组织](https://docs.syfo.ai/zh/docs/organization)
- [频道](https://docs.syfo.ai/zh/docs/channels)
- [Agent](https://docs.syfo.ai/zh/docs/agents)
- [审批](https://docs.syfo.ai/zh/docs/approvals)
- [密码库](https://docs.syfo.ai/zh/docs/vault)
- [登录与 SSO](https://docs.syfo.ai/zh/docs/sso)
- [安全](https://docs.syfo.ai/zh/docs/security)