问题定义：为什么需要“仅查看”子管理员
当社群规模膨胀到数万人，链上投票、成员增长曲线、文件柜日志等核心数据必须向分析、财务、审计等多方开放，却绝不能让他们误删或误导出敏感文件。Let'sTalk的「子管理员仅查看数据权限」把“能看到”与“能改动”彻底分离，人为事故概率随之骤降。
经验性观察：团队超过20人且含外包分析师时，若全员默认「读写」，三个月内平均发生1次误删频道或误改权限；启用只读角色后，同类事故接近清零。
功能边界：哪些数据可以被“仅查看”
可查看范围
- 成员列表与DID声誉值（不含手机号、邮箱等隐私字段）
- 群聊消息索引（仅统计条数、关键词云，不可查看原文）
- 文件柜元数据：文件名、大小、上传者DID、时间戳（不可下载）
- 链上投票记录：投票ID、选项分布、参与率（不可重新计票）
- 语音会议室日志：开始/结束时间、峰值人数（无录音）
以上数据足够支撑日常分析，却又不暴露任何可写入口，天然适合第三方审计或外包BI。
不可查看或受限范围
- 私聊消息：任何角色都无法查看，E2EE核心原则
- 零知识文件内容：服务器无密钥，仅上传者本人可解密
- 钱包私钥、签名脚本：量子安全通道不记录明文
- 频道权限规则原文：只读角色只能看到“生效结果”而非配置JSON
最短可达路径（分平台）
桌面端（macOS/Windows/Linux）
- 点击左下角「团队设置」齿轮图标→「角色与权限」
- 右上角「新建角色」→输入名称，例如“DataViewer”
- 在权限树中仅勾选「数据查看」分组（会自动取消所有写权限）
- 保存后回到「成员」标签→搜索目标子管理员→「分配角色」→选择“DataViewer”
- 让对方重新登录客户端，生效时间亚秒级
移动端（Android/iOS）
- 进入目标团队→右上角「⋯」→「团队设置」→「角色与权限」
- 后续步骤与桌面端一致，界面为折叠式菜单，需展开「高级权限」才能看到「数据查看」分组
- 保存后下拉一次成员列表即可同步，无需重启App
提示
如果「数据查看」分组不可见，请确认你是该团队的「Owner」或「SuperAdmin」；只有这两级可以创建只读角色。
例外与副作用
例外：频道级权限覆盖
Let'sTalk允许在「频道→权限」里单独再加角色。若某子频道把“DataViewer”额外赋予了「发送消息」或「删除消息」权限，则该成员在此频道内会临时获得写权限，与只读角色冲突时以频道级为准。回退方法：在频道权限里移除“DataViewer”或显式拒绝写操作。
副作用：数据导出按钮仍可见
经验性观察：只读角色打开「投票统计」面板时，「Export CSV」按钮依旧高亮，但点击后会收到“权限不足”Toast。虽然数据不会泄露，可能引发误报。缓解：在角色描述里加备注“不可导出”，或在培训时提前说明。
验证与回退
验证步骤
- 用子管理员账号登录另一台设备
- 进入「数据面板」→「成员增长」尝试点击「删除」按钮，应出现“需要写入权限”提示
- 在同一面板点击「查看详情」，应能正常加载图表
- 切换至「文件柜」→点击任意文件「下载」图标，应收到“无密钥”或“权限不足”提示
回退方案
若发现误把核心运营人员设为只读，可在「角色与权限」里直接删除“DataViewer”角色，系统会立即回收该权限，成员无需重新登录即可恢复默认「成员」身份；再按需赋予其他自定义角色。
与机器人/第三方的协同
Let'sTalk支持把「数据查看」权限单独授权给工作流机器人，例如第三方归档机器人。做法：在「新建角色」时把「机器人」类型开关打开，权限树仍只勾选「数据查看」；随后把该角色分配给对应机器人DID即可。这样机器人只能拉取元数据，无法删除消息，符合最小权限原则。
故障排查
| 现象 | 可能原因 | 验证方法 | 处置 |
|---|---|---|---|
| 子管理员仍能看到「删除频道」按钮 | 频道级权限额外赋予了「管理频道」 | 检查频道→权限→该成员角色 | 移除频道级多余角色或显式拒绝 |
| 数据面板空白 | 网络被公司代理拦截wss | 换4G打开同一页面 | 让IT放行*.letstalk.com的wss |
| 角色保存时报「超出角色上限」 | 免费团队默认10个角色 | 设置→账单→查看套餐 | 删除旧角色或升级套餐 |
适用/不适用场景清单
适用
- 外包数据分析团队需每日拉取活跃曲线但不可导出原始消息
- 财务审计仅需要投票结果与文件柜元数据，无需接触内容
- 新入职运营实习生在试用期先做“只看不动”培训
不适用
- 需要频繁使用「置顶消息」「发起投票」的运营角色
- 安全审计公司要求下载源码做本地扫描
- 频道Owner度假，需临时全权交接（应使用「超级管理员」而非只读）
最佳实践清单（检查表）
- 命名统一：只读角色统一前缀“RO_”或“Viewer_”，方便批量识别
- 角色描述必填：写清“仅可查看数据面板，不可导出/删除”，减少误申请
- 每季度审计：在「角色与权限」→「使用统计」里检查过去90天零登录的角色，及时回收
- 频道级权限最小化：默认禁止“DataViewer”进入敏感频道，必要时再单独授权
- 培训留痕：把只读权限截图写进SOP，新人入职先学“能看什么不能看什么”
版本差异与迁移建议
截至当前的最新版本（2026 Q2），「数据查看」分组已拆成「统计查看」「文件元数据查看」「投票记录查看」三个子项；若你从2025旧版升级后，发现原先只读角色自动勾选了全部三项，属于兼容策略，不影响安全。建议重新审阅，去掉业务不需要的子项，保持最小权限。
FAQ（必须使用FAQ Schema）
子管理员可以同时拥有「数据查看」和「钱包管理」吗？
可以。权限分组是独立的，但出于安全考虑，建议不要把钱相关的权限分配给外部分析师。
只读角色能否查看已删除的消息？
不能。删除操作会触发Signal双棘轮重新派生密钥，历史消息对任何角色都不可恢复。
设置后多久生效？需要客户端重启吗？
权限变更通过量子安全通道实时推送，亚秒级生效；无需重启，但已打开的「数据面板」需手动下拉刷新一次。
结论与下一步行动
Let'sTalk子管理员仅查看数据权限的核心价值是“把统计与操作分离”，用最小暴露面支撑协作。落地时，先按本文「最短路径」创建角色→验证→写进SOP，再每季度审计一次即可。若你的团队下一步计划引入外包BI工具，可先给机器人同等级只读角色，确保即使API token泄露也无法删除消息。现在就打开「团队设置」检查是否还有“全能管理员”在外部顾问手里，及时收回，权限最小化永远不嫌早。
