当企业知识空间承载部门文档、项目资料、制度文件或涉敏知识时，管理员需要保证AI Agent与员工只能检索其有权访问的内容。权限感知能力在知识空间、知识库和文档三个层级建立访问边界，检索请求始终以当前调用者身份执行权限校验，无权文档不会进入召回结果。
自新加坡时间2026年8月25日00分00时00秒起知识空间支持选择是否开启文档 ACL。
功能概览
文档权限贯穿数据接入、索引构建和检索三个阶段。原始文件保留在您的OSS Bucket 中，PolarDB仅存储检索所需的派生索引。权威ACL元数据保存在关系型存储中，并同步投影至关键词索引和向量索引，实现检索阶段的权限过滤。同一问题由不同身份发起时，系统仅返回该身份有权访问的内容。
知识空间模式
知识空间模式在创建知识空间时确定，创建后不可变更。管理员在控制台创建知识空间时，可通过文档 ACL开关选择是否启用文档级 ACL 强制鉴权。
模式 | 访问控制策略 | 适用场景 |
权限感知空间（ACL Enforced） | 所有检索请求均执行文档级权限校验。文档入库时必须携带 ACL，或由系统根据知识库类型、已认证身份和接入方式派生 ACL。 | 多部门协作、分级授权、涉敏知识检索，以及后续需要扩展权限治理能力的新建业务空间。 |
开放空间（ACL Disabled） | 不执行文档级 ACL 过滤，但仍受知识库准入和空间绑定关系约束。 |
|
选型建议：
开放空间（ACL Disabled）主要用于兼容未携带权限元数据的存量数据，以及既有的非权限感知接入与检索链路，如果没有HTTP直连需求，不建议作为新建业务空间的默认模式。
对于新建业务空间，建议优先选择权限感知空间（ACL Enforced）。即使当前内容面向全员开放，也可以通过公共知识库实现域内共享，同时保留后续分级授权、跨部门协作和合规治理的演进空间。
知识库类型
企业知识空间支持公共知识库和个人知识库两种类型。创建知识库时，控制台通过知识库类型配置项提供公共和私有两个选项，其中公共对应PUBLIC，私有对应PERSONAL，默认选择公共。
知识库类型 | 访问范围 | 适用场景 |
公共知识库（PUBLIC） | 面向空间内已授权用户开放。上传者获得管理权限，其他授权用户获得只读权限。 | 团队共用文档、制度资料、产品手册等需要在授权范围内共享的知识。 |
个人知识库（PERSONAL） | 仅知识库所有者可访问。 | 个人资料、工作笔记、草稿等不希望被其他成员检索的内容。 |
检索请求会先执行知识库准入校验：公共知识库允许空间内已授权用户访问，个人知识库仅允许所有者访问。通过知识库准入后，权限感知空间会继续执行文档级 ACL 过滤，确保用户只能召回自己有权访问的文档内容。个人知识库仅支持在权限感知空间下创建。
个人知识库仅支持在权限感知空间（ACL Enforced）下创建，需由管理员分配给具体企业员工，阿里云企业知识空间控制台不可对个人知识库内文档进行管理操作。
文档接入与 ACL 来源
PolarDB根据文档接入方式确定 ACL 来源。管理员不需要在每次检索时手动传入权限列表，权限主体由源端权限、知识库类型或服务端可信身份上下文生成。
接入方式 | ACL 来源 | 权限处理方式 |
企业内容源同步 | 飞书、SharePoint 等企业内容源的源端 ACL。 | 连接器读取源端用户、用户组和部门权限，并映射为规范化权限主体，随文档同步到检索链路。源端权限变更由同步任务增量传播。 |
控制台上传或 OSS 原生同步 | 知识库类型和上传者身份。 | 公共知识库面向空间内已授权用户开放，个人知识库仅授权所有者。用户无需为每个文件手动配置 ACL。 |
MCP Tool 上传 | 已认证用户身份和知识库策略。 | MCP Server根据已认证身份在服务端生成可信权限上下文。客户端不能指定权限主体，也不能覆盖调用者身份，从而防止权限伪造。 |
管理员可在PolarDB Agentic Server中配置企业身份来源，并在知识空间或知识库层级绑定身份目录、部门和用户。员工通过AI Agent发起检索时，AI Agent使用个人Token调用MCP检索工具，PolarDB Agentic Server解析调用者身份及其所属用户组、部门，服务端据此构造可信权限上下文并调用PolarDB检索服务，最终PolarDB仅返回当前身份有权访问的内容。
权限感知检索机制
权限感知检索采用“权威 ACL 元数据 + 检索索引权限投影”的机制。权威 ACL 元数据记录文档权限归属和当前生效版本，检索索引权限投影将知识库、所有者和可读主体等必要权限信息写入文档分块索引，使检索阶段可以直接按权限过滤候选内容。一次权限感知检索包含以下环节：
知识库准入：确定调用者可访问的知识库范围。
文档级 ACL 过滤：匹配用户、用户组和部门等权限主体，排除无权文档。
混合召回与排序：对通过权限过滤的内容执行 BM25 关键词召回和向量召回，并通过融合排序和 Rerank 生成候选结果。
权威版本校验：校验候选文档的 ACL 版本，剔除权限更新中的过期数据，并按需补充召回。
安全响应：移除内部权限字段，仅返回正文、文件名和页码、标题层级等溯源信息。
权限变更：权限变更由后台异步同步至检索链路。传播期间，系统遵循拒绝优先（Fail-closed）策略，暂时排除尚未完成权限更新的文档，避免返回潜在越权内容；检索服务无需停机。
安全保障
可信身份来源：用户身份由企业身份系统认证，权限主体由服务端规范化生成，客户端无法伪造。
服务端权限派生：身份解析、权限上下文构造和 ACL 派生均在服务端完成，AI Agent 不具备绕过能力。
召回阶段过滤：权限校验在检索召回阶段执行，而非在结果返回阶段补充过滤。
权限一致性校验：权威 ACL 元数据与索引投影通过版本机制保持一致，更新期间默认拒绝返回状态不确定的文档。
审计可追溯：检索操作可记录调用者身份、请求时间、检索内容及返回文档，满足安全审计要求。
数据域内处理：原始文档保留在客户数据域内，索引构建与检索在您的VPC内完成。
总结
企业知识空间将权限控制构建为企业级 RAG 的原生能力，统一承接企业身份目录、源端 ACL 与知识库授权策略，在知识空间、知识库和文档三个层级形成端到端的访问控制体系，实现权限随数据接入、索引构建和检索请求持续生效。
PolarDB Agentic Server作为企业身份与 AI Agent 之间的可信访问网关，统一完成 SSO/OIDC 身份认证、组织关系解析及权限上下文构造。AI Agent 不持有独立的数据访问权限，始终以当前调用者身份访问知识服务，从机制上避免身份伪造和越权调用。
在数据不出安全域、源端权限体系不失真、智能体无法绕过授权边界的前提下，企业知识空间将企业分散的知识资产转化为可治理、可检索、可追溯的可信知识服务，为员工与 AI Agent 提供统一、安全的企业级知识基础设施。
企业知识权限和身份接入操作，请参见如何接入企业知识权限与身份。