区分三种访问决策
实例管理控制整个服务，空间成员关系控制协作群组，笔记可见性和分享链接则控制单条记录。建立账号、把笔记放入空间以及创建分享链接是不同操作，应按实际接收方的权限验证结果。
采用可复核的修改流程
一次只修改一项策略。调整登录方式前保留管理员恢复通道。如果配置由部署文件管理，应用界面就不是其修改入口，应由部署负责人更新挂载配置。
- 明确哪些账号的哪些行为应该变化
- 检查当前值，留下不含秘密信息的回退记录
- 在正确设置区域应用最小修改
- 按需使用普通账号和退出登录的会话验证
- 记录结果，并撤销验证期间授予的临时访问
验证用户体验，而非只看管理员界面
管理员请求成功，不能证明普通成员也能执行同样的操作。应检查测试用户的登录、可读取笔记列表、目标空间成员关系以及附件访问。出现权限错误时，先确认资源及其所有者，再决定是否调整角色；不要直接提升权限或公开内容来消除错误。
将移除操作视为数据决策
账号归档、移除成员、笔记归档和删除具有不同后果。删除空间前应保留需要继续保存的记录，因为当前位于空间中的笔记会一同删除。人员不再需要访问时，还应分别检查令牌、身份提供方和分享链接。批量管理操作前请参考备份与恢复。