外部客户、供应商怎么给权限，怎么限制范围
结论先说：外部客户和供应商的权限安不安全，不取决于给得多细，而取决于把他装得多窄。把要外发的内容放进只含这一份的空间或文件夹，按对方要做的事给最小动作，再给合作设一个明确的结束动作——到期、撤回、复测一起做。三步少一步，另外两步通常会被绕过去。
具体到产品层，石墨办公套件私有部署按组织、成员、角色、空间和文件设置权限：角色权限决定这个人能不能使用管理能力，文件权限决定他对具体文件或空间能做什么，两者叠加生效。所以“给权限”不是打开一个开关，而是同时回答三个问题：给到哪一层、给哪个动作、什么时候失效。
一、先定容器：外部人不该被加进整个团队空间
最常见的错不在动作，而在位置。把外部人加进团队空间，他继承的是这个空间里所有文件；而团队空间按业务过程组织，里面必然有过程稿、评审批注和未定稿的版本。位置选错，后面怎么调权限都在补漏。
先分层，再授权。加外部人之前做完三件事：
- 分出交付件和过程稿。只有确认过的版本进外发容器，过程稿留在内部空间。
- 单开一个容器。为一个客户或供应商建独立的空间或文件夹，命名带合作方和项目，回收时整块处理。
- 容器里只放这一份。外发空间不是“顺便共享区”，多放一份就多一条不该通的路。
一个容易忽略的细节：多个外部人共享同一文件夹时可能看到彼此。微软 365 的外部共享文档写明，同文件夹的多个来宾能在管理访问面板里看到对方姓名。两个客户不能互相曝光，就别放同一个容器。
二、给权限的四步顺序
顺序比选项重要。固定走这四步，谁配都不会漏：
- 先列材料清单。写清外发哪几份文件、各是什么版本，清单之外的先不放行。
- 建容器并授权到文件。优先“指定协作者”按人添加，动作只给到够用——只看、可评论、可编辑是不同动作，不要一次给到最高档。
- 外链只当补充通道。确需发链接时先确认四件事：范围是企业内还是互联网、有无有效期、打开时是否还要验证、企业策略是否限制公开分享。链接本身就是凭证，转发即扩散。
- 记一行台账。谁、哪份文件、什么权限、到期时间、谁负责收。没有这一行，等于没有回收计划。
第四步最常被跳过，它决定结束时能不能一次收干净。
三、两条通道的判断表
把“人”和“链接”分开看，配置就不会漏。两者失效方式不同，直接决定回收时要做几件事。
| 通道 | 适合什么场景 | 授权前要确认 | 怎么失效 |
|---|---|---|---|
| 指定协作者（加人） | 长期合作，需要留言往来和版本确认 | 对方身份、给到哪个动作、是否只对单份文件生效 | 移除协作者，再用对方身份复测一次 |
| 有范围的外链 | 一次性交付，对方不方便建账号 | 范围、有效期、打开时的验证条件、企业是否限制公开分享 | 让链接失效，并确认对方是否仍满足链接的访问条件 |
| 水印与操作记录 | 需要留痕、外发后要能追溯 | 哪些内容加水印、操作记录覆盖哪些动作 | 不是门，用于事后判断责任与时间点 |
第三行不是“门”，是留痕：拦不住人，但能事后说清谁在什么时候打开、下载了什么。支持哪些字段以部署版本为准，别当成“已经防住了”。
四、回收按验收做，不按点击做
移除协作者、点掉链接，只说明配置改了，不说明对方进不来。回收要按“模拟 + 复测”做：
- 移除协作者，同时检查是否还有有效外链能到这份内容。
- 用对方身份重新打开：能不能进、能不能改、能不能下载或复制、能不能看到同目录其他文件。
- 检查原入口是否真失效：已打开会话、共享链接、搜索结果是否不再返回这份内容。
- 已下载的副本单独约定：撤回的是访问权，不是那份文件。
- 留下证据：生效时间、操作记录、复测截图，写明谁在什么时候测的。
官网的离职撤权验收写得更严：用不同角色的测试账号验证文件与空间权限，模拟离职停用、退出团队、撤回共享，检查已打开会话、共享链接、搜索及 AI 检索是否按约定失效，并留存生效时间和审计证据。合作结束用同一套，只把“离职”换成“合作终止”。
五、两处容易写错的边界：行级权限与合规材料
行级和列级权限。业务常说“销售只看自己负责的客户行”“把成本列隐藏起来”。这属于行级、列级的数据隔离；办公套件侧的授权是按组织、成员、角色、空间和文件的，表格按文件或空间授权。行级隔离更适合放在业务系统侧或流程里做，比如按客户拆文件、按角色拆空间。是否支持行级、列级权限，以产品确认为准。
合规材料怎么核。拿等保、ISO 材料支撑承诺时，页面认证不能替代认证原件：核对持证主体、标准名称与编号、认证范围与有效期，等保还要看测评对象和报告日期。
常见问题
外部人要不要单独建账号？
看你要不要留痕和追责。只看一份定稿、对方不愿注册，用有范围有有效期的外链更省事；要长期往来、记录谁改了什么、结束时精确到人收回，就把他作为外部身份单独授权。两种都要进台账，否则回收时找不到对象。
外部人能不能看到我们的目录？
取决于你把他放在哪一层。只对单份文件或专用空间授权时，他看到的是被授权的那块内容，不是整个组织目录；加进团队空间或知识库，他就跟着这个空间的组织方式走。判断方法很直接：用他的身份打开一次，看能不能点到别的文件夹。具体可见范围以部署版本为准。
合作结束怎么收回？
四件事一起做：移除协作者、让外链失效、换外部身份复测、留存记录。只做前两件，常见结果是他仍满足链接的访问条件，还能打开；已下载的副本按合作约定处理。
能不能只让客户看到表格里的某几行？
这属于行级权限，是否支持以产品确认为准。更稳的是在业务侧拆开：按客户拆成不同文件或空间，每份只含该客户的数据，再按文件授权；更细的行级隔离放到业务系统里做，办公套件负责这些文件的协作与权限控制。
想把手上的外发流程对一遍，可以带一份真实的客户交付清单来预约演示，用外部身份走完授权、到期、撤回三步；也可以先看数据安全与合规方案和办公套件私有部署产品说明，核对当前版本支持到哪一层。也可以先看私有化部署方案，了解部署形态与交付范围。