角色权限和文件权限有什么区别，为什么会叠加
结论先说：不是“按哪个算”，是两个条件都要满足。角色权限决定这个身份能不能使用某项管理能力，文件权限决定他在这份文件或这个空间上能做什么，两者叠加生效。所以一次操作被拦住，先别问“以谁为准”，要问“是能力那层没给，还是对象那层没给”。
两者不是同一把尺子的两个刻度，而是两个方向的开关：一个跟人走，一个跟文件走。下面用一张对照表、一个排查顺序和一份验收清单讲清楚；具体细节以部署版本为准。
一、一个管能力，一个管对象
放进同一张表，差异立刻清楚。注意“变更时谁跟着动”这一行：它决定改配置该去哪个入口。
| 维度 | 角色权限 | 文件权限 |
|---|---|---|
| 回答的问题 | 这个身份能不能用某项管理能力 | 在这份文件或空间上能做什么 |
| 授权对象 | 组织、成员、角色 | 空间、文件、协作者 |
| 变更时谁跟着动 | 跟人：换岗、进新角色组才变 | 跟内容：挪空间、换协作者才变 |
| 典型误判 | 以为管理员角色能看所有文件 | 以为编辑权能改组织与安全策略 |
第三行最容易被忽略：角色跟人走，调岗只改能力，不会自动让他看到新部门的文件；文件权限跟内容走，挪空间只改对象范围，也不会让人多出后台权限。两条线互不替代，这就是叠加的由来。
二、为什么必须叠加：只靠哪一层都会漏
只给角色不给文件，会出现最常见的困惑——“他有管理员身份，为什么打不开这份文件”。角色补的是能力，不是范围。只给文件不给角色，问题更隐蔽：能编辑内容却进不了管理入口，配置全压在一两人身上。
这不是某家产品的特殊设计。公开的访问控制资料里，角色类模型擅长回答“这个岗位能做什么”，却表达不了“只能操作他负责的那一份”；对象级授权能表达单份文件，条目数却随人和文件相乘增长。IBM 的档案管理文档则把“能否执行某个操作”与“能否访问该实例”写成两项独立授予。
三、四种“看起来冲突”的现场，其实没对齐
多数所谓冲突不是“谁覆盖了谁”，而是两层各自没问题却没对齐。
| 现象 | 大概率卡在哪层 | 先查什么 |
|---|---|---|
| 后台能进，文件打不开 | 对象层 | 空间成员、文件协作者、上级目录继承 |
| 文件能改，管理入口进不去 | 能力层 | 角色是否授予对应管理能力 |
| 已移出协作，仍能打开 | 入口层 | 有效分享链接的范围、有效期、企业策略 |
| 同事看到的内容不一样 | 两层都查 | 先比角色组，再比空间与文件授权 |
第三行要单独说：外链是独立通道，它不改变成员身份，却能让没有成员身份的人进来。撤权时只收回协作者、链接还在，人还是进得来——这不是文件权限失效，是第三道门没关。同理，水印、版本历史、回收站通常跟着文件与空间走，具体范围以部署版本为准。
四、排查五步，再把职责按层切开
顺序不能反：先确认人是谁，再确认缺哪层，最后动配置。反过来做，容易在错的层级改一堆东西。
- 确认身份与角色组。接了单点登录或目录同步的，先确认人已在正确部门下；人进错组，后面的继承都会错。
- 判断动作属于哪一类。进后台、改策略、看审计是能力层；打开、评论、编辑、下载是对象层。分类错了就一直在错的页面里找答案。
- 查对象授权，包含继承。看空间成员、文件协作者和上级目录，别只看其中一处。
- 查第三条通道。有效链接的范围、有效期、能否下载复制，以及企业层是否限制公开分享。这步最常被跳过。
- 换当事人账号复测并留证。页面显示“设置成功”不算验收，要记录能不能进、能不能改、能不能带走。
- 角色层归管理员。组织与角色、角色与权限管理、身份认证配置集中在一两人手上，变更留痕。
- 对象层归内容负责人。谁的空间谁定成员，谁的文件谁定协作者，管理员不替业务判断该给谁看。
- 入口层单独登记。外链谁批、范围多大、何时到期，做成台账并到期回收。
- 例外要带失效时间。超出默认范围的授权逐条写原因、批准人和到期时间。
验收用三个动作：能进该进的、进不去不该进的、只做得了被允许的操作。人员离场再加一组：模拟停用、退团、撤回共享，检查会话、共享链接与搜索是否按约定失效并留存证据。
边界要说清：以上都是组织、成员、角色、空间与文件级权限。“销售只看自己负责的客户行”“隐藏成本列”这类行级、列级隔离不在此列，要这种效果应在业务系统侧做数据过滤或拆表拆空间；是否支持以产品确认为准。
五、这套模型落到产品上是哪几项能力
石墨办公套件私有部署的产品页把这条规则写进常见问题：管理员可按组织、成员、角色、空间和文件设置权限，角色权限决定能否使用管理能力，文件权限决定对具体文件或空间的操作，两者叠加生效。配套能力分两处：组织侧是组织与角色、组织架构与通讯录、角色与权限管理、SSO 与 LDAP/AD 同步；内容侧是分享范围与协作权限、版本历史、回收站、水印、外链与操作审计。
它适合的场景很具体：既要按部门控住“谁能管”，又要按文件控住“谁能看、谁能带走”，且策略留在企业自有环境里。只需按人分享文件时，不必为分层上平台。条目可对照办公套件私有部署的产品能力、统一身份与登录集成方案与数据安全与合规方案核对。
常见问题
角色权限决定什么？
决定这个身份能不能使用某项管理能力：进管理入口、调组织与角色、配安全策略、看操作记录。它答“有没有能力”，不答“能操作哪些文件”。
文件权限决定什么？
决定在某份文件或空间上能做什么：能否打开、评论、编辑、下载导出。它跟着内容走，换空间或换协作者时会变，但不会多出后台能力。
两个冲突时按哪个？
多数情况不是冲突，而是两层没同时满足：能力有了、对象没授权，或对象授权了、能力没给。排查顺序是身份与角色组、对象授权、分享链接与企业策略；显式拒绝、继承覆盖等细节以部署版本为准。
想在自己环境里把两层跑一遍，可带一份空间清单和两三个测试账号预约演示，现场核对角色组、成员与链接设置。也可以先看私有化部署方案，了解部署形态与交付范围。