查看、评论、编辑等角色权限需要按最小必要原则分级
别名: 查看评论编辑 · 角色分级 · viewer commenter editor
概念解释
共享不只是「能打开 / 不能打开」。对同一份内容，人需要的能力通常是分层的：查看、评论、编辑，有时还有分享和管理。最小必要指：默认和邀请时发给对方的，是完成其任务所需的最低一档，而不是因为「反正是同事」就给编辑。分级要在邀请界面上可辨，各档能做什么要用任务语言写清。它不解释权限从文件夹来，也不解释链接传播得有多远。
机制
打开一份内容所需的能力远小于改它。若产品只有「有权限 / 无权限」，邀请只能发最大档，评论者被当成共同作者，误改、误删、再分享都会发生。档位名称若用内部词（读写、ACL、贡献者），人无法映射到自己要对方做的事（核对数字、在边上提问、一起改稿）。默认档决定大多数邀请的结果：默认编辑，最小必要从未发生。升级比降级容易被接受；一旦给了编辑，再收回会被当成不信任，所以第一次发出去的档位几乎就是长期档位。查看若不能阻止下载，名义上的只读会在产品外变成可改副本——那是撤权条目的对象，但会反向压低「查看」这档的可信度，邀请时必须写清。
怎么研究
给三种任务：请同事核对、请同事批注、请同事一起改。看邀请时选的角色，以及默认角色是哪一档。
自变量：角色是否拆成查看/评论/编辑、默认档、每档说明是权限词还是任务词。 因变量：高于任务所需的授权比例、被误授编辑后的改写事故、邀请人能否复述各档差异。
实验室里把三档画成表格会高估理解。应用产品自己的下拉文案。不要把「会不会选链接分享」算进角色分级。真实日志里看默认档被改掉的比例：几乎没人改，说明默认就是实际策略。
边界
两人共同创作的草稿，编辑就是必要档，最小必要不是永远只读。法规要求的「不可下载的查看」是查看档内部的子约束，不要为此再造第四个看不懂的角色名，除非那一档有稳定任务（外审）。角色超过四档，邀请界面会变成权限矩阵，人会退回乱选。组织角色（部门管理员）和内容角色不是同一套，混在一个下拉里会把「能管文件夹」发给「只想来看稿」的人。
怎么落地
- 邀请时提供查看、评论、编辑三档，默认查看或评论；编辑需主动挑。
- 每档用一件对方将能做的事说明：「可打开不可改」「可批注不可改正文」「可改正文」。
- 需要对方再转分时，用单独的「可分享」开关，不要把转分捆绑进编辑。
- 验证：三种任务各请人发一次邀请，看所选档是否等于任务所需。默认若是编辑且无人改，分级等于没发生。事后问「评论和编辑差在哪」，答不出说明文案失败。