知识权限的继承与撤回

权限是查询条件，也是证据读取条件

企业检索的相关性必须定义在用户当前有权访问的资料集合内。先召回全库片段、再要求模型不要泄露，已经把内容暴露给了模型；仅在界面隐藏引用也无法撤回进入上下文的信息。身份、群组和资料可见范围应由服务端确定，不由自然语言参数指定。

Azure AI Search的security filter模式展示了按用户或群组标记过滤文档的方法。这是一项实现机制，应用仍需验证principal从何而来、源权限如何继承、群组成员何时更新，以及任何未带过滤的查询是否会被拒绝。

撤回路径比新增路径更关键

源文件转为私有、用户离开团队或客户事项结束时，向量、倒排、摘要和缓存可能仍保留旧可见性。建议为ACL和群组成员关系建立revision，变更后使相关查询缓存失效。读取原件、rerank输入和最终引用展开时再授权，拦截索引尚未更新的窗口。

源系统的拒绝规则、继承和例外不能被随意压缩成一个部门字段。多个片段合并成摘要时，摘要的可见范围不能宽于它所依赖的资料；跨权限的GraphRAG社区报告尤其容易泄露原本受限的关系。

把拒绝做成可测试合同

对匿名、普通员工、离职用户、跨tenant用户和不同事项成员建立同一组查询。比较返回片段、rerank负载、模型输入、引用和缓存命中，任何一层出现受限正文都应判定失败，而不是只看最终答案是否主动说出了秘密。

再测试权限变化发生在一次长任务中途的情形：任务启动时允许，并不意味着交付时仍允许。旧checkpoint可用于恢复执行证据，却不能冻结已经撤回的权限。正确降级是重新选择可访问证据、停止相关动作或说明资料不可用。