wangsli/hyb-oa
1
0
派生 0
代码 工单 合并请求 工作流 4 软件包 项目 发布 百科 活动
文件
c99f6cabe65a3cccfae3fa0c1a0deeb2a8eef838
hyb-oa/.trellis/tasks/05-28-company-docs-oa-ops-mapping/research/oa-ops-mapping-recommendations.md
T

35 KiB
原始文件 Blame 文件历史

公司电子资料与 OA 运营映射建议（脱敏）

检查范围

本次检查只读取了公司资料中的脱敏治理文件、制度建设总览、表单/台账模板、制度联调矩阵、资料迁移记录、外发复核台账和员工可派发任务清单；同时对照了 hyb-oa 当前资产、合同、项目、采购/费用、统一审批、员工上手和产品体验事实源。

未读取和未引用高敏原件，包括证件、银行、工资社保、合同正文、客户原始资料、报价明细、票据原件、源码、密钥、完整配置和完整本地路径。

核心判断

OA 最适合定位为“公司运营控制台”和“流程/台账/责任/审计中心”，不应定位为全量资料库或共享盘。

公司资料主库继续承担原件保存、历史证据、敏感资料受控归档职责；OA 承担任务派发、审批签收、台账索引、责任人、归档位置摘要、hash、复核结论、外发审批、员工培训和审计留痕。

这套分工能避免两个风险：一是把 OA 误用成全量原件库或员工网盘；二是员工、AI 或聊天工具绕过负责人复核直接处理公司资料。必要原文附件可以进入授权业务流程，但不能脱离业务对象自由共享。

推荐分层

层级 主体 作用 OA 记录内容 禁止内容
原件主库 负责人受控资料区 保存全量原件、历史件、敏感资料 不直接承载 全量目录和无业务授权原件不得迁入公网 OA
OA 运营层 hyb-oa 流程、审批、签收、台账、审计 摘要、编号、责任人、状态、hash、归档位置摘要、复核结论、授权业务原文附件 无业务对象附件、越权附件、账号密钥、完整路径
员工协作层 OA 任务/项目/待办 派发资料整理、台账维护、初审任务 授权等级、任务范围、交付物、未确认项、复核人 全量目录访问、无关副本下载
外发复核层 OA 审批/项目/合同/任务 脱敏、正式文件审查、合同/财务联动 外发对象类别、用途、复核类型、结果、责任人 未复核外发稿、客户/报价/账号等敏感原文

资料类别到 OA 模块映射

公司资料类别 OA 落点 建议做法 边界
制度、索引、台账和模板 公告签收、资产 EA-DOC、审计日志 制度发布走公告签收；制度目录、版本、适用范围和归档位置登记为资料资产 不把制度草案历史版本无限制公开
公司基础、证照、印章授权 资产 EA-DOC、合同/用印台账、审批中心 只登记证照/印章资料摘要、负责人、授权状态、归档位置摘要和用印记录 证照原件、印章图片、完整证照编号按权限线下受控
人事与招聘 人员组织、公告签收、资产交接、入离职任务 候选人和入职材料只做脱敏台账；入职走制度签收、账号开通、资产领用；离职走资产/权限回收 简历、证件、银行卡、面试细节等个人高敏资料不进公网 OA
财务税务 报销、票据中心、付款批次、AP、审计日志 报销、PDF 发票、付款回单附件和代账交接按现有流程；财务资料按月份和业务编号登记摘要 工资社保、个税、完整银行资料不进普通业务附件区
合同法务 合同台账、统一审批、项目关联、资产 EA-DOC 待审、已签、模板、历史件分开建台账；合同审批/用印流程可保存授权原文和盖章扫描件 涉密合同包、敏感报价、关键条款修改和法律结论不得给普通员工或 AI 处理
项目与交付 项目、交付记录、合同/采购/报销关联、外发复核 项目页汇总里程碑、交付、风险、验收、合同、费用；授权项目材料可保存原文 客户原始资料、报价原件、未公开方案、账号截图不得进入普通协作区，外发前必须脱敏复核
采购与资产 采购/费用、资产 FA/EA-DOC/EA-SYS/EA-REPO/EA-BKP 采购前申请、验收后入资产；供应商资料按授权业务附件或摘要登记；系统/仓库/备份登记责任和回收要求 源码包、Secret、私钥、完整配置不进入 OA；供应商敏感资料不得进入普通协作区
历史归档 资产 EA-DOC 索引 保持冻结，只建批次、类别、hash/验证编号、负责人和归档位置摘要 不拆包、不删除、不迁移全量原件
收件箱 待办/任务/项目资料整理流程 所有新资料先登记类别、敏感等级、责任人、下一步动作 收件箱不能长期堆积，也不能绕过分类直接外发

制度建设怎么接入 OA

第一批制度不需要先开发复杂制度管理系统。建议先用现有能力组合落地：

制度事项 OA 承接方式 验收点
授权审批权限表 统一审批规则、角色配置、审批异常 SOP 无审批人、自审、越权审批能被发现和阻断
财务、报销和付款制度 报销、付款批次、AP、票据中心、代账交接 报销到付款、回单、AP 导出和审计闭环
合同和用印制度 合同台账、审批中心、归档位置摘要 合同会审、用印、归档和责任人留痕
采购和供应商制度 采购/费用申请、项目/合同关联 采购申请、验收、付款和资产登记能串起来
员工手册和劳动规章 公告签收、人员组织、入离职任务 员工签收有时间、版本和适用范围记录
保密与知识产权制度 公告签收、项目外发复核、资产交接 员工知道哪些资料不可上传、不可外发、不可交给 AI
档案与资料分级制度 资产 EA-DOC、归档位置摘要、权限审计 资料有敏感等级、负责人、归档位置摘要和盘点记录

制度发布的推荐闭环：

  1. 制度草案在受控资料区维护。
  2. 管理层或负责人确认发布版本。
  3. OA 公告发布制度摘要、版本、适用范围和签收声明。
  4. 员工完成签收；未签收进入待办或提醒。
  5. 关键制度同步更新审批规则、表单字段和台账模板。
  6. 每月用 OA 审计和业务台账做一次执行检查。

业务指导怎么接入 OA

员工资料整理和业务辅助可以做，但必须通过 OA 派发和复核：

工作类型 是否适合员工/Codex 辅助 OA 承接方式 负责人复核重点
收件箱初步分类 适合 待办/项目任务登记分类建议 不确定项是否标记
脱敏台账维护 适合 资产或项目资料索引更新 是否避开个人和商业敏感明细
正式文件格式初审 适合 项目任务提交初审意见 是否只做格式/逻辑初审，不替代最终审查
项目外发材料脱敏检查 适合但需谨慎 外发复核记录 + 负责人审批 是否遗漏客户、报价、账号、截图信息
合同版本关系整理 谨慎 合同台账版本摘要 是否误判最终版、已签版或法律风险
高敏个人/财务/合同/客户原件处理 不适合 不派发 必须负责人或专业人员处理

OA 中的任务派发单至少应包含：任务范围、授权等级、可读范围、可写范围、禁止事项、交付物、复核人、截止日期和未确认事项。

7 个制度联调场景的 OA 落点

场景 OA 主链路 通过标准
客户合同签署 合同台账 -> 合同审批 -> 用印/归档记录 -> 项目关联 -> 应收/回款跟踪 合同编号、会审、用印、项目、归档位置摘要完整
供应商采购付款 采购申请 -> 合同/供应商摘要 -> 验收 -> 付款批次 -> AP/回单 -> 资产登记 采购、验收、付款、回单、资产入账或登记完整
外包服务采购 采购/合同 -> 保密/IP 要求 -> 项目交付 -> 账号权限回收 保密/IP、验收资料、成果移交和权限回收有记录
员工入职 人员创建 -> 制度签收 -> 账号权限开通 -> 资产领用 -> 入职清单 合同/制度签收、账号、资产和岗位任务闭环
员工离职 离职任务 -> 工作交接 -> 资产归还 -> 权限回收 -> 保密确认 交接、资产、权限、财务和保密义务完成
项目验收回款 项目交付记录 -> 合同节点 -> 验收材料 -> 开票/应收 -> 回款跟踪 -> 归档 验收、开票、回款和归档状态一致
制度发布 制度会审 -> 公告发布 -> 员工签收 -> 台账更新 -> 月度检查 发布版本、签收记录、执行问题和修订动作完整

可立即做的事

  1. 不导入全量公司资料，只选 10-20 条脱敏样例做 EA-DOC 索引试录。
  2. 用公告签收发布一份“资料使用与保密红线”或“OA 资料留存规则”。
  3. 选一个项目外发材料样例，用项目任务或待办记录脱敏检查、正式文件初审和负责人复核。
  4. 选一条待审合同或合同模板样例，只登记合同台账摘要、状态、负责人和归档位置摘要。
  5. 选一个入职/实习资料样例，验证制度签收、资料清单、账号权限和资产领用是否能串起来。
  6. 每周用 OA 审计日志和台账检查：有没有未签收制度、未归档资料、未复核外发、权限未回收、付款/AP 未闭环。

后续可能需要开发的缺口

这些不建议马上一起做，先通过现有模块试运行确认缺口：

候选能力 触发条件 建议优先级
资料协作任务模板 待办/项目任务无法清楚表达授权等级、禁止范围和复核要求 P1
外发复核工作流 项目材料外发频繁，人工台账容易漏签、漏审、漏版本 P1
制度台账轻量页 公告签收无法承载制度版本、适用范围、修订记录和执行检查 P2
入离职清单增强 现有人员/资产/权限记录无法形成一张闭环清单 P2
EA-DOC 脱敏导入工具 手工登记资料索引成本过高，且脱敏索引已有稳定格式 P2
供应商/应收台账 采购、合同、付款和回款管理开始出现持续跟踪需求 P2

是否需要额外文件管理服务器

当前不建议马上额外建设一个文件管理服务器，更不建议自研一个通用上传/下载文件中心。

原因有三点：

  1. 当前主要缺口不是“文件能不能上传下载”，而是“谁能看、看什么、为什么看、是否复核、是否外发、是否归档、是否留痕”。
  2. 如果先上文件服务器，员工容易把它当共享盘，反而削弱“OA 只在业务流程中受控保存附件和证据”的边界。
  3. 高敏资料、合同正文、银行流水、工资社保、客户原始资料、源码密钥和完整路径不应进入通用文件服务或员工网盘；若作为授权业务原文附件进入 OA，必须依附具体业务流程和权限审计。

建议分三档处理：

阶段 文件承载方式 适用资料 建议
当前阶段 公司原件主库 + OA 摘要索引 原件、高敏资料、历史资料 不新增文件服务器，只做 EA-DOC 索引和流程留痕
协作试点阶段 OA 现有附件能力 授权业务原文、脱敏副本、任务交付物、非涉密证明材料 只跟随具体业务单据/任务上传，不做通用网盘
成熟阶段 受控文件服务 + OA 控制层 可线上保存的低敏/中敏文件、制度版本、外发稿、交付物 文件服务只做存储，OA 做权限、审批、审计、hash 和归档索引

后续如果确实要上文件服务，推荐原则是“买/用成熟受控存储，不自研网盘；OA 集成而不是替代”。文件服务必须满足：权限分组、下载审计、外链限制、版本记录、加密存储、备份恢复、离职回收、管理员操作日志和文件 hash。

不应进入通用文件服务或员工网盘的资料：高敏个人资料、工资社保个税、银行流水原件、合同正文和签章页、敏感报价、客户原始资料、账号密码、token、Secret、私钥、源码包、完整配置和完整本地路径。合同、发票、回单、报价、验收等确需线上处理的，应进入 OA 授权业务附件链路，而不是通用文件服务。

部署服务器空间不足时怎么处理

部署服务器磁盘不足，不等于要把文件直接放到另一台普通电脑。更稳的做法是把 OA 的计算层和附件存储层拆开。

现有后端已经支持本地文件系统和 S3 兼容对象存储两种模式，可通过 STORAGE_DRIVER 切换；上传和下载代码统一走存储抽象层。因此后续更适合走“对象存储/受控 NAS + OA 权限审计”的路线。

阶段性决策：COS 和额外文件服务先暂缓。当前 V0 可以继续使用部署服务器本地存储，但只能作为“业务流程附件的短期协作存储”，不能升级成全量资料库、合同原件库或员工网盘。

部署服务器本地存储适合保存：

  • 报销、采购、合同、项目、付款、制度签收等业务页面中的必要附件。
  • 有权限人员上传的合同审批稿、盖章扫描件、发票、回单、报价、验收材料等授权业务原文。
  • 员工提交的脱敏副本、任务交付物、证明材料、公开制度版本和外发稿复核副本。
  • 为业务流程服务的短期在线附件，例如审批、复核、付款回单、项目交付记录中的必要材料。

部署服务器本地存储不应保存：

  • 身份证、银行卡、工资社保、个税、完整银行资料等个人/财务高敏原件。
  • 与业务对象无关的已签合同包、敏感报价包、客户原始资料、源代码、密钥、完整配置和完整账号资料。
  • 公司历史全量资料、离线原件库镜像、员工可自由浏览的共享目录。

如果部署服务器容量、备份或权限控制不足，V0 降级方案是“只保存 OA 索引，不保存原件”：

  1. OA 登记资料编号、资料类别、业务对象、责任人、敏感等级、hash 或校验摘要、归档位置摘要、复核状态和借阅/下载记录。
  2. 原件继续放在负责人受控离线电脑、群晖 NAS 或其他原件主库。
  3. 员工在 OA 里发起查阅、复核、外发或补充材料任务；负责人按权限从离线原件库取用，不给员工直接打开全量目录。
  4. OA 只承载授权业务附件、脱敏副本、低敏协作附件或必要流程证据；不适合线上保存的高敏原件仍走线下受控取用。
  5. 定期抽查索引是否能定位到离线原件，避免“OA 有记录但找不到文件”。

推荐顺序：

优先级 方案 判断
1 云对象存储，例如 OSS/COS/S3 兼容服务 最推荐，扩容简单，成本可控，适合公网 OA 附件
2 部署服务器挂载独立数据盘 短期可用，改动小，但仍要备份、告警和容量管理
3 公司专用 NAS 或自建 MinIO 可用，但必须有专门设备、稳定网络、UPS、备份和运维责任
4 普通办公电脑共享目录 不推荐作为生产附件后端，只能做离线原件主库或临时人工中转

本项目推荐选型：

场景 推荐
当前正式路线 腾讯云 COS
如果现有云资源主要在阿里云 阿里云 OSS
免费/低风险试点 Cloudflare R2 免费额度或腾讯/阿里新用户资源包
自建 MinIO，仅限有专用设备、备份、UPS 和运维责任

选择腾讯云 COS 的原因：

  • 项目已经使用腾讯云 OCR，企业微信也是核心集成方向，账号、运维和供应商沟通更集中。
  • 国内员工访问、企业微信 WebView 场景和后续备案/合规沟通更自然。
  • COS 计费按存储、请求、流量等项拆分，适合小团队从小容量起步。
  • 现有后端已经抽象为 S3 兼容存储，切换时主要是配置、兼容性验证和迁移演练，不需要重写业务附件模块。

不主推 Cloudflare R2 作为生产首选的原因：

  • 免费额度适合试点，但国内访问稳定性、跨境链路和合规解释成本需要额外评估。
  • 项目附件是公司运营证据，不只是静态资源分发，供应商可控性比极限低价更重要。

不主推自建 MinIO 的原因：

  • 软件免费不等于整体免费；硬盘、备份、UPS、安全更新、容量告警和恢复演练都需要人负责。
  • 小团队当前更应该把精力放在附件复核、权限和审计上，而不是维护存储基础设施。

已有家用群晖 NAS 的建议

用户已有家用群晖 NAS。它可以利用，但不建议直接作为正式公网 OA 附件主存储。

适合用途：

  • 作为公司资料原件的受控离线主库或冷归档。
  • 作为 OA 附件备份目标或二级备份。
  • 用 Container Manager 运行 MinIO，做低风险 S3 兼容存储试点。
  • 用 Hyper Backup 或等效机制做版本化备份和恢复演练。

不适合作为默认生产主存储的原因：

  • 家庭网络和电力没有生产 SLA，断网或断电会导致 OA 附件不可用。
  • 家宽上行带宽通常较弱，上传、预览和下载体验不稳定。
  • 若开放公网端口，会增加攻击面；若使用共享目录，可能绕过 OA 权限和审计。
  • NAS 本身也需要备份，RAID 或多盘阵列不能替代异地备份。

如果坚持使用群晖作为 OA 附件存储，建议作为“受控 NAS/MinIO 节点”落地：

  1. 部署服务器通过 VPN、Tailscale 或 WireGuard 访问 NAS。
  2. NAS 上部署 MinIO，OA 使用 STORAGE_DRIVER=s3、S3_ENDPOINT 指向内网/VPN 地址。
  3. MinIO bucket 私有，只给 OA 服务账户读写。
  4. 不开放公网 MinIO 控制台，不开放 SMB/NFS 给员工直接访问。
  5. 配置 UPS、容量告警、磁盘健康监控、快照和异地备份。
  6. 先做 dry-run：上传、预览、下载、复核、审计、断网恢复和备份恢复全部通过，再考虑扩大范围。

决策建议：群晖 NAS 先作为备份和冷归档使用；对象存储主链路仍推荐腾讯云 COS。若你确实要节省云存储费用，可以把群晖 MinIO 作为低风险试点，不直接承载正式核心附件。

腾讯云 COS 费用调研

调研日期：2026-05-28。以下价格按腾讯云 COS 官方文档当前公开口径整理，实际账单仍以控制台价格、资源包折扣和账单明细为准。

官方来源：

COS 费用主要由存储容量、请求、流量、数据取回和管理功能组成。对 hyb-oa 附件场景，V1 最相关的是标准存储容量、标准存储请求和外网下行流量。

费用项 当前 OA 影响 调研结论
标准存储容量 附件长期保存的基础费用 北京/南京/上海/广州等中国大陆常用地域标准存储按量价 0.118 元/GB/月；成都/重庆 0.099 元/GB/月
请求费用 上传、预览、下载、列举等 API 调用 中国大陆常用地域标准存储读/写请求 0.01 元/万次，小团队通常不是主要成本
外网上行流量 员工或 OA 通过公网上传到 COS 官方列为免费
外网下行流量 用户直接从 COS 公网下载、浏览、预览对象时产生 中国大陆常用地域外网下行 0.5 元/GB，这是 OA 需要重点控制的费用项
内网上/下行流量 同地域腾讯云资源访问 COS 相同地域腾讯云产品之间自动走内网访问，不产生流量费用
CDN/EdgeOne 回源 若 COS 做 CDN 源站 中国大陆常用地域 COS CDN/EdgeOne 回源流量 0.15 元/GB，还会叠加 CDN 侧下行费用；OA V1 不建议开启
全球加速 使用全球加速域名上传/下载 会产生全球加速流量；OA V1 不建议开启
数据万象/CI 处理 用 COS/CI 做图片、音视频、文档处理 可能产生 CI 外网出流量、处理费和请求费；OA V1 不建议依赖它做核心预览
低频/归档/深度归档 历史附件降冷 单价更低，但有最短存储时间、取回等待、取回费用或提前删除费用；初期不建议直接使用
免费额度 新用户前期抵扣 新个人用户 50GB 标准存储容量包、企业用户 1TB 标准存储容量包，有效期 6 个月/180 天；只抵扣标准存储容量，不抵扣请求、流量等
资源包 预付费抵扣 可购买存储容量、请求、流量等资源包；有免费额度时通常按免费额度、资源包、按量计费顺序结算

小团队估算：

场景 假设 月度费用量级
试点 10GB 标准存储、请求很少、外网下载 2GB 存储约 1.18 元/月，外网下行约 1 元/月，请求约分级到分角级
初期正式 50GB 标准存储、外网下载 10GB 存储约 5.9 元/月，外网下行约 5 元/月
增长后 100GB 标准存储、外网下载 30GB 存储约 11.8 元/月，外网下行约 15 元/月
高频下载 100GB 标准存储、外网下载 300GB 存储约 11.8 元/月，外网下行约 150 元/月，成本开始由下载流量主导

估算解释：

  • 标准存储容量按 容量 x 0.118 元/GB/月 粗算，未计资源包折扣。
  • 外网下行按 下载量 x 0.5 元/GB 粗算。
  • 标准存储请求按 0.01 元/万次 粗算，OA 小规模附件上传、预览、下载通常不是主成本。
  • 若部署服务器和 COS 在同一腾讯云地域，OA 服务端访问 COS 可优先走内网，减少服务端到 COS 的流量成本；最终员工从 OA 下载到本地仍会产生服务器公网出流量或 COS 外网下行，取决于下载链路设计。

服务端中转下载的费用边界：

下载链路 COS 侧流量费 服务器侧公网费 判断
员工浏览器直接用 COS 对象链接下载 产生 COS 外网下行费 不经过部署服务器 权限和审计较弱，不推荐作为默认链路
OA 服务器从同地域 COS 内网取文件，再转发给员工浏览器 COS 到服务器内网流量免费 服务器到员工浏览器产生公网出流量或消耗套餐流量包 推荐链路，权限审计最好，但不是“完全免费”
OA 服务器与 COS 不同地域，或误走公网 endpoint 可能产生 COS 外网/跨地域相关费用 服务器公网出流量仍存在 不推荐，需上线前验证 endpoint 和地域
开 CDN/EdgeOne 让员工下载 COS 侧可能产生 CDN/EdgeOne 回源费 CDN/EdgeOne 另收下行费 OA V1 不建议开启

因此，“部署服务器在腾讯云 + COS 同地域 + 走内网”只能说明 COS -> OA 服务器 这一段通常不收 COS 流量费。员工最终从 OA 服务器 -> 浏览器/企业微信 WebView 下载，仍会占用部署服务器公网带宽、CVM 按流量计费或轻量应用服务器月流量包。若服务器是轻量应用服务器，腾讯云文档说明套餐流量包仅统计实例出流量，超出后按公网传输流量计费；若是 CVM，也要看公网网络计费模式是固定带宽、按流量还是共享带宽包。

对 hyb-oa 的省钱建议：

  1. OA 服务端代理上传、预览、下载，不让员工直接访问 COS。
  2. 部署服务器若在腾讯云，应选择与 COS 相同地域，尽量走内网访问 COS。
  3. Bucket 私有，不开公开读、公开外链、CDN、全球加速、数据万象处理，避免额外费用项和权限绕过。
  4. 下载默认收紧，优先在线预览和按需下载；高敏附件下载需用途记录或审批。
  5. 先用标准存储；归档/低频存储等生命周期策略等附件规模和访问规律稳定后再配置。
  6. 设置预算告警、容量告警和外网下行告警，初期预算可先按 20-50 元/月 管控；如果真实下载量明显增加，再调整到 100-200 元/月。
  7. 每月导出账单看 外网下行流量、CDN 回源流量、数据万象 是否异常；这几项比容量费更容易失控。

对是否购买资源包的判断：

  • 试点期：先用免费额度或按量计费，不急着买大包。
  • 连续 1-2 个月用量稳定后：再买小规格标准存储容量包和外网下行流量包。
  • 不建议一开始买大规格、长周期资源包，因为附件复核、下载控制和留存策略还没跑稳。

结论：腾讯云 COS 对小团队 OA 附件不是大成本项。当前更推荐采用私有 bucket + OA 服务端权限控制 + 标准存储 + 预算告警。真正需要控制的是下载流量、公开外链、CDN/全球加速/数据处理等附加能力，而不是标准存储本身。

为什么不建议普通电脑：

  • 在线稳定性不足，关机、断网、系统更新都会影响 OA 上传下载。
  • 安全边界弱，员工或本机软件可能绕过 OA 审计直接访问文件。
  • 备份、容量告警、权限回收、日志和恢复演练难以保证。
  • 若通过公网暴露共享服务，会引入额外攻击面。

对象存储落地原则：

  1. Bucket 私有化，不开启公开读。
  2. OA 服务端持有访问凭据，前端不保存永久密钥。
  3. 上传、预览、下载仍走 OA 权限和审计。
  4. 下载链接短有效期，绑定操作者和附件。
  5. 使用生命周期规则控制历史附件成本。
  6. 配置容量、请求量和失败率告警。
  7. 切换前做一轮 dry-run 和恢复演练。

结论：如果只是部署服务器空间不足，推荐优先接入 S3 兼容对象存储；如果一定要用公司内另一台机器，也应把它建设成受控 NAS/MinIO 存储节点，不允许作为员工可直接访问的共享盘。

业务附件受控入库建议

用户补充的需求应定义为“业务附件受控入库”，不是“文件管理服务器”。员工或授权人员可以在 OA 的具体业务对象下上传附件；附件按业务对象、角色、状态和敏感级别进入草稿、审批、复核、归档或索引-only 路径；下载默认收紧。

关键修正：脱敏不是内部业务处理的一刀切要求。有权限人员在 OA 主办业务流程内可以处理必要原文附件，例如合同审批原文、盖章后扫描件、报销发票、采购报价、付款回单、验收材料。脱敏主要适用于普通员工协作、AI/Codex 辅助、企业微信消息、自动化报告、外发材料和低权限查看。

同类系统提炼

本需求参考了成熟文档/协同系统的通用做法，但只保留适合小团队 OA 的部分：

  • Google Drive 的文件审批支持正式审批、通过/拒绝/反馈、审批状态和复核人记录；审批中或审批后对文件编辑有锁定和重新审批语义。
  • SharePoint 文档库强调版本、内容审批、签出/签入，以及待审批版本默认可见范围控制。
  • Nextcloud 的文件访问控制强调管理员基于规则组限制文件访问，可按用户组、标签等条件拒绝访问。

对 hyb-oa 的产品结论：不要建设独立网盘，要建设“业务附件治理层”。文件必须挂在业务对象下，跟随审批、复核、归档和审计；下载不是默认权利，而是受角色、状态、敏感级别和审计约束的动作。

跨业务附件治理建议：

业务流程 附件类型 原文是否可进 OA 关键控制
合同审批/用印 待审合同、修订稿、审批版、盖章扫描件、归档证明 可以，但仅限合同负责人、审批人、管理层和授权经办人 版本留痕、盖章后归档、下载原因、普通员工只看摘要
报销/票据 发票、行程单、消费凭证、补充说明 可以，属于报销处理依据 报销人看本人，审批人/财务按职责查看，OCR/验真和判重留痕
采购/费用 报价、采购附件、供应商资料、验收单 可以，但报价和供应商资料限制可见范围 申请、审批、验收、付款和资产登记串联
付款/AP 银行回单、付款批次附件、代账材料 可以，但只限财务线和管理授权角色 付款完成后锁定，下载严格审计
项目交付/外发 交付物、验收单、客户确认、外发稿 内部交付物可以；客户高敏资料需脱敏或索引-only 外发前必须脱敏复核和正式文件审查
制度/资料 制度发布版、签收材料、资料索引、员工交付物 发布版可以；草案历史和敏感资料按级别处理 制度版本、签收、复核和周期检查
人事/员工资料 劳动合同、身份证明、入离职交接 当前不建议进普通业务附件区；若线上化需 HR 受限域 HR/管理层最小权限，普通员工不可见

附件处理分三类：

分类 说明 OA 处理
授权原文附件 业务办理必须查看的合同、发票、回单、报价、验收、交付材料 可保存原文，绑定业务对象、角色、状态、审计和归档
脱敏协作附件 给普通员工整理、AI 初审、外发复核、格式检查用 保存脱敏副本，禁止暴露完整客户、账号、证件、报价、合同敏感条款
索引-only 资料 不适合线上保存原文，但需要 OA 记录责任和位置 只保存编号、摘要、hash、负责人、归档位置摘要和复核状态

推荐流程：

  1. 员工或授权经办人在报销、采购、项目、合同、付款、资料整理任务等业务页面上传附件。
  2. 系统记录文件名、类型、大小、hash、上传人、上传时间、业务对象、附件类型和敏感级别。
  3. 草稿附件不计入正式归档；随业务提交后进入审批中或待复核状态，不能随意替换。
  4. 复核人或审批人在线预览，选择通过、退回、拒绝、隔离、归档或标记线下归档。
  5. 通过后，附件才进入正式业务附件清单；盖章合同、付款回单、验收材料等需要长期留存的生成 EA-DOC 索引或归档记录。
  6. 下载必须按角色、附件状态、敏感级别和业务关系判断；所有下载写审计日志。

推荐状态：

状态 说明
草稿 已上传但业务未提交，可由上传人替换或删除
待复核 已上传，但尚未确认材料、脱敏、归类和业务适用性
审批中 作为当前审批依据，替换需重新进入复核或审批
已退回 需要员工补材料、改分类或重新上传
已通过 可作为业务处理依据
已归档 已进入正式归档或资料索引
已隔离 疑似误传高敏资料或违规材料，普通员工不可见不可下载
已拒绝 不属于当前业务或不允许入库

下载控制建议：

  • 普通员工只能下载或预览自己草稿/退回阶段的必要附件；审批中和归档后的下载收紧。
  • 审批人、财务、项目负责人只在职责范围内预览或下载，下载需留痕。
  • 敏感附件下载需填写用途或原因，必要时需要负责人批准。
  • 不做普通员工批量下载。
  • 临时链接必须短有效期并绑定操作者。
  • 企业微信只发脱敏消息和 OA 链接，不承载附件。

实现上，现有系统已有报销、采购、付款回单附件和审计日志基础，但目前更偏“上传后即成为附件”。如果采纳该需求，后续应新增一个 P1 实施任务：统一梳理附件复核状态、下载策略和隔离机制，先覆盖报销附件、采购附件、付款回单、项目/合同附件中的授权业务材料。

V1 推荐功能边界：

功能 是否纳入 说明
业务页上传附件 是 依附报销、采购、合同、项目、资料任务等业务对象
草稿/待复核区 是 业务未提交前为草稿；提交后进入审批中或待复核，不直接进入正式附件清单
复核动作 是 通过、退回、拒绝、隔离、标记线下归档
在线预览 是 复核人和有权限角色优先预览
下载审计 是 所有下载记录操作者、时间、对象、用途
敏感级别 是 决定可见范围、下载原因和是否只能线下归档
EA-DOC 索引 是 复核通过且需长期留存时生成资料索引
版本历史 简化 记录替换/退回/复核历史，不做复杂版本树
批量下载 否 小团队 V1 不开放普通员工批量下载
外链分享 否 V1 不做对外链接或公开分享
通用目录/网盘 否 不允许员工自由目录浏览或全量共享

成熟需求整理后，建议后续开发任务命名为：业务附件受控入库 V1，而不是“文件管理服务器”。

分阶段落地顺序

Phase 0：边界冻结

确认“全量原件主库不搬进 OA、OA 只在授权业务流程中保存必要原文附件”的红线；普通员工协作、Codex/AI、外发、报告和企业微信消息只能处理脱敏副本、低敏模板或摘要。

Phase 1：用现有 OA 做试点

用公告签收、资产 EA-DOC、合同台账、项目、采购/费用、付款/AP 和待办完成 3-5 个真实或模拟样例，不先开发新功能。

Phase 2：制度发布和员工指导

发布资料保密、费用报销、合同用印、采购、资产交接等第一批小团队 V1 制度；员工完成 OA 签收，并按 OA 任务模板开始资料整理。

Phase 3：制度联调回放

按 7 个联调场景各跑一个样本，记录阻断、缺口和需要补字段的地方。能用现有模块解决的先用现有模块，不能解决的进入开发 backlog。

Phase 4：最小开发

只开发经过试点证明必要的缺口，优先顺序是业务附件受控入库、资料协作任务模板、外发复核工作流、制度台账轻量页，再考虑导入工具和更复杂的台账。

主要风险

  • 把 OA 当网盘使用，会把高敏原件暴露给无关人员、聊天工具或自动化报告。
  • 只整理文件夹，不进入 OA 流程，会造成资料有目录但没有责任人、状态、审批和审计。
  • 制度只发文不签收，会缺少员工告知和执行证据。
  • 外发材料只做脱敏不做正式文件审查，仍可能存在主体、日期、验收、付款和旧模板残留风险。
  • 员工或 AI 处理范围不清，会误读最终版、误删历史证据或输出敏感信息。
  • 法律、劳动、税务和合同条款风险需要另行专业复核，本次只做运营与文件体系审查。

推荐下一步

先用现有 OA 完成一个“一周运营试点”：

  1. 制度签收样例 1 条。
  2. EA-DOC 脱敏资料索引样例 10-20 条。
  3. 项目外发复核样例 1 条。
  4. 合同台账摘要样例 1 条。
  5. 入职/实习资料清单样例 1 条。
  6. 业务附件受控入库样例 1 条：员工或授权人员上传业务附件，负责人复核通过后入库，下载动作留审计；若用于外发或 AI 初审，则改用脱敏副本。

试点后再决定是否开发“资料协作任务模板”和“外发复核工作流”。这样能最快把公司资料整理成果转成 OA 运营能力，同时控制高敏资料风险。

在新工单中引用 查看 Git Blame 复制永久链接