Confluence 空间架构、权限与知识资产治理手册
Confluence 的治理单位不是单页，而是站点、空间、页面树、附件、评论和身份关系；权限机制沿这组对象逐层生效。页面写得再完整，如果空间 owner 离开、匿名分享未回收、附件无法导出或搜索依赖个人标签，知识资产仍然脆弱。启用平台时应先设计空间边界和身份来源，再讨论模板样式。
用空间表达责任边界
空间适合对应稳定团队、产品或受控知识域，不应为每个临时项目创建永久空间。每个空间至少有业务 owner 和维护 owner，页面树只表达主要导航，不承担所有分类；标签和页面属性用于跨层检索。
安装或启用云版时核对组织、站点、SSO 与成员来源；自管版本还要承担升级、备份和插件兼容。插件拥有读取页面和附件的能力，进入平台前应独立审查权限、数据去向与退出方式。
权限从默认访问开始
站点访问、空间权限、页面限制和公开链接共同决定最终可见性。最佳做法是让成员通过群组继承空间权限，只对少量敏感页面使用限制。大量页面级例外会让审计和迁移都失去可解释性。
组织身份 -> 产品成员组 -> 空间默认权限
-> 受控页面限制
-> 外部协作者组配置影响要用测试账号验证。管理员、普通成员、外部协作者和未登录用户分别搜索、打开、编辑、导出同一组测试页，记录预期与结果。正向验证证明该看到的人能找到，反向实验证明越权账号稳定被拒绝。
模板与项目接入
模板应约束 owner、状态、适用范围、最后验证方式和关联系统，而不是堆满提示性空字段。技术事实继续留在代码、OpenAPI、监控和 ADR 等权威源，Confluence 页面通过链接组织上下文，不复制会快速漂移的大段配置。
标题：服务恢复说明
Owner：平台运行组
状态：已验证
权威源：仓库路径与监控入口
退出条件：服务下线后转入归档空间项目接入可以使用 API 或官方集成同步索引，但 Token 采用独立服务身份和最小空间权限。自动化只更新明确区域，并保留来源提交；不要让机器人覆盖人工决策和评论。
搜索、导出与恢复实验
搜索质量依赖标题、标签、权限和索引。定期用关键任务验证结果，而不是只看索引状态。导出成功也不等于恢复成功：需要核对页面层级、正文、附件、内部链接、评论和权限映射，再在隔离环境抽样导入。
反例可以撤销一个附件权限、移动页面和停用 owner，观察导出与链接怎样变化。故障证据包括页面 ID、空间 key、权限快照和脱敏导出日志，不包含真实 API Token。恢复演练结果应由另一位维护者复核。
离职、安全与成本
离职回收先转移空间和页面责任，再停用账号，随后撤销个人 Token、外部分享和未归属草稿。匿名链接不会因为人员离开自动失效，必须单独查询。敏感数据按正文、附件、评论、历史版本和搜索摘要整条数据流治理。
成本不仅是活跃席位，还包括附件存储、插件、审计能力、备份和迁移劳动。容量指标关注无人维护空间、过期页面、匿名链接和大附件。团队治理用月度例外清单驱动修复，不追求统一所有空间外观。
清理、回滚与平台退出
清理页面前先处理入站链接和权威源，归档空间保持只读并标记替代入口。错误权限变更通过审计记录回滚；误删内容则依赖回收站与备份，不能把“历史版本存在”当作完整灾备。
退出 Confluence 时分批导出、校验附件哈希、重建链接清单并映射权限。目标平台恢复后，用真实任务测试检索与导航，再关闭旧站点。可继续查阅、编辑、授权和审计，才是知识迁移完成的标准。