访问控制 ACL

入口：总览 → 成员与权限 →「访问控制」。ACL 为某站点中的页面路径或资产目录授予权限；读取需 acl:read，操作需 acl:write。

理解授权规则#

• 空路径代表整站。
• 某路径授权覆盖该路径及子路径，例如 products 包含 products/starter。
• 多条授权、用户与角色授权按权限合并。
• 全局角色权限与 ACL 是合并关系。删除某条 ACL 不能撤销成员从角色获得的全局权限。
• 这是后台资源操作权限，不是给公开网站增加访客登录保护。

给角色新增路径授权#

1. 在上方选择正确站点。
2. 点击「新增授权」，选择资源类型「页面」或「资产」。
3. 按需取消「整站」：页面点击「选择页面」，资产填写目录路径，例如 images/team。
4. 主体类型选择「角色」，从下拉框选择目标角色。
5. 勾选至少一项权限，点击「确定」。
6. 在列表核对资源、路径、主体和权限；让角色成员重新登录测试。

管理界面加载关联选项还需要站点、用户与角色的读取权限。

当前用户授权限制#

当前界面「用户」选项保存的是用户名，而资源权限检查使用账号内部 ID。直接给用户新增 ACL 可能无法按预期生效。当前建议创建专用角色、分配给用户，再使用「角色」主体授权；如必须使用单用户授权，请由平台维护人员核对并修正标识对应关系。

页面列表和部分管理入口仍要求全局读取权限，单独配置路径「查看」不保证只显示该路径的数据。因此，当前路径授权更适合约束编辑、发布等写操作，不能当成完整的数据可见性隔离方案。

修改或撤销授权#

当前界面没有直接编辑按钮。需要调整时先建立正确授权，再删除旧行，最后重新验证。

删除行内垃圾桶并确认只移除这一条授权；成员若仍有全局角色权限、另一条覆盖父路径授权或其他角色授权，操作仍可能被允许。

示例：仅允许编辑产品页面#

1. 创建角色「产品编辑」，不要授予全局 page:write 或 page:publish。
2. 为其配置必要的读取权限以访问页面列表。
3. 在 cn 站点对 products 路径给该角色授予编辑权限。
4. 将角色分配给成员，重新登录。
5. 分别打开产品页面和其他页面测试编辑；发布权限另行授予。

授权不生效的排查#

核对站点、主体角色是否已分配、路径是否指向正确资源、是否有其他全局权限、成员是否重新登录。修改权限后一定用目标成员账号检查，不能只用管理员账号测试。