补充公司资料与 OA 运营映射规划（05-28-company-docs-oa-ops-mapping）

.trellis/tasks/05-28-company-docs-oa-ops-mapping/check.jsonl

@@ -0,0 +1,6 @@
+{"file":".trellis/spec/hyb-oa/project-governance.md","reason":"核对任务、审批和事实源治理边界"}
+{"file":".trellis/spec/hyb-oa/docs-and-evidence.md","reason":"核对文档证据、脱敏和不可泄露内容约束"}
+{"file":".trellis/spec/hyb-oa/security-privacy.md","reason":"核对敏感资料处理和权限边界"}
+{"file":".trellis/spec/hyb-oa/approval-workflow.md","reason":"核对 OA 主办审批、签收和审计链路"}
+{"file":".trellis/spec/hyb-oa/wecom-boundary.md","reason":"核对企业微信只做入口、通知和 HR/考勤主办边界"}
+{"file":".trellis/tasks/05-28-company-docs-oa-ops-mapping/research/oa-ops-mapping-recommendations.md","reason":"本任务输出结论"}

.trellis/tasks/05-28-company-docs-oa-ops-mapping/design.md

@@ -0,0 +1,237 @@
+# 公司电子资料与 OA 运营配合设计
+
+## 设计结论
+
+OA 不承载公司全量资料原件库职责，主要承载运营控制、流程状态、业务附件、台账索引、责任归属、签收、复核和审计证据。公司资料主库继续保存全量原件、高敏材料和历史证据；OA 只在具体业务流程中保存必要原文附件。
+
+## 信息分工
+
+| 对象 | 主事实源 | OA 中保存 | OA 中禁止 |
+| --- | --- | --- | --- |
+| 全量原件库 | 受控公司资料主库 | 不镜像全量原件，只记录必要索引和归档摘要 | 自由目录、全量资料包、历史资料镜像 |
+| 授权业务附件 | OA 业务模块 | 合同、发票、回单、报价、验收等业务必要原文附件 | 越权上传、越权查看、跨业务自由下载 |
+| 电子资料索引 | OA 资产 `EA-DOC` | 编号、类别、敏感级别、hash、负责人、归档位置摘要 | 完整本地路径、账号凭据、Secret |
+| 制度发布 | OA 公告签收 + 受控制度版本 | 标题、版本、适用范围、签收声明、签收时间 | 未评审草案无限制公开 |
+| 业务流程 | OA 审批和业务模块 | 状态、责任人、审批历史、附件清单、复核结论 | 越权附件、企业微信原生附件承载高敏材料 |
+| 员工资料整理 | OA 任务/项目/待办 | 授权等级、范围、交付物、复核人、未确认项 | 全量目录访问、无关副本下载 |
+
+## 落地原则
+
+1. 先用现有 OA 能力做试点，不先开发完整文档库。
+2. 凡涉及制度、合同、采购、付款、项目外发、入离职和资料归档，必须有责任人和状态。
+3. 有权限人员可在 OA 业务流程内处理必要原文附件；普通员工协作、Codex/AI、外发、报告和企业微信消息只处理脱敏副本、低敏模板或摘要。
+4. 外发材料必须同时经过脱敏检查和正式文件质量检查；涉及合同、付款、知识产权或责任边界时再进入专业复核。
+5. 后续功能开发只承接经过试点证明的缺口。
+
+## 阶段设计
+
+| 阶段 | 目标 | 交付物 |
+| --- | --- | --- |
+| Phase 0 | 冻结资料安全边界 | 红线、授权等级、原文附件准入、索引-only 口径 |
+| Phase 1 | 用现有模块试点 | 制度签收样例、`EA-DOC` 样例、合同/项目/入职样例 |
+| Phase 2 | 制度和业务指导接入 | 员工签收、任务派发模板、资料整理 SOP |
+| Phase 3 | 7 个制度联调场景回放 | 问题清单、风险等级、修订动作 |
+| Phase 4 | 最小开发 | 资料协作任务模板、外发复核工作流、制度台账轻量页 |
+
+## 后续开发触发条件
+
+- 待办/项目任务不能清楚表达授权等级和禁止范围时，开发资料协作任务模板。
+- 外发复核频率上升且人工台账漏签漏审时，开发外发复核工作流。
+- 公告签收无法承载制度版本、适用范围、修订和执行检查时，开发制度台账轻量页。
+- 手工登记 `EA-DOC` 成本过高且脱敏索引格式稳定时，再做导入工具。
+
+## 文件管理服务器决策
+
+当前阶段不建议单独建设公网文件管理服务器，也不建议自研“上传/下载文件中心”。原因是资料治理的主要问题不是缺少上传下载能力，而是缺少分类分级、授权、复核、签收、外发审批、归档责任和审计闭环。
+
+部署服务器磁盘不足时，也不建议把生产附件直接放到另一台普通电脑的共享目录。更合适的是把“计算层”和“附件对象存储层”拆开：OA 服务仍在部署服务器运行，附件写入受控对象存储或专用 NAS，OA 继续负责权限、复核、下载审计和索引。
+
+若后续确实需要文件服务，应按“受控文件服务 + OA 控制层”设计：
+
+| 层 | 职责 |
+| --- | --- |
+| 受控文件服务 | 保存允许线上保存的授权业务原文、低敏/中敏文件、脱敏副本、员工交付物和非涉密证明材料 |
+| OA 控制层 | 权限判断、审批状态、任务派发、下载审计、hash、归档位置摘要、外发复核 |
+| 公司原件主库 | 保存全量原件、完整历史包、银行流水、工资社保、客户资料、源码密钥和历史证据 |
+
+文件服务准入条件：
+
+1. 先完成资料分级和员工授权等级定义。
+2. 先完成 OA 中 `EA-DOC` 索引、公告签收和外发复核试点。
+3. 文件服务必须支持最小权限、下载审计、离职回收、备份恢复、加密存储和外链限制。
+4. 文件服务不得绕过 OA 直接给员工全量目录访问。
+5. 高敏原件默认不进通用文件服务；合同、发票、回单、报价、验收等业务必要原文只能进入 OA 授权业务附件链路。
+
+### 附件存储后端建议
+
+现有后端已经有存储抽象层，支持 `STORAGE_DRIVER=local` 和 `STORAGE_DRIVER=s3`，并且 `storage_path` 支持 `s3:` 前缀。因此附件存储后端优先级建议如下：
+
+阶段性落地口径：COS 和额外文件服务先暂缓。当前 V0 继续使用部署服务器本地存储承载授权业务附件，同时用 OA 保存资料索引、复核记录和归档位置摘要；全量原件库、历史包和不适合线上保存的高敏原件仍保留在受控离线资料主库，需要时由负责人按权限调取。
+
+| 方案 | 建议 | 适用条件 |
+| --- | --- | --- |
+| 云对象存储 OSS/COS/S3 | 推荐 | 正式公网 OA、附件增长、部署服务器磁盘紧张 |
+| 部署服务器新增数据盘 | 可作为短期方案 | 文件量较小、需要最快止血、能做备份和监控 |
+| 公司受控 NAS/MinIO | 可选 | 有专门设备、固定网络、UPS、备份、权限和运维负责人 |
+| 普通办公电脑共享目录 | 不推荐 | 只可做离线原件主库或临时人工中转，不做生产附件后端 |
+
+选型建议：
+
+1. 当前 V0 先不接腾讯云 COS，避免在附件复核和资料分级未跑稳前增加存储迁移工作。
+2. 正式主选仍保留腾讯云 COS：国内访问、企业微信/腾讯 OCR 生态和小团队运维便利性更匹配；后端可按 S3 兼容接入做验证。
+3. 如果当前部署服务器、域名、账号和账单已经主要在阿里云，则改选阿里云 OSS，避免多云账号和发票管理成本。
+4. Cloudflare R2 适合低风险试点或临时验证免费额度，不作为国内 OA 生产附件首选。
+5. 自建 MinIO 只在有专人运维和可靠硬件时考虑，不为了省几十元/月引入新单点。
+
+### 家用群晖 NAS 判断
+
+用户已有家用群晖 NAS。该 NAS 可以纳入公司资料治理，但不建议直接作为正式公网 OA 附件主存储，除非它被改造成受控存储节点。
+
+推荐定位：
+
+| 用法 | 建议 | 原因 |
+| --- | --- | --- |
+| 离线原件主库/冷归档 | 推荐 | 适合保存受控原件、历史资料、备份副本 |
+| OA 附件备份目标 | 推荐 | 可作为服务器附件备份或对象存储备份的二级留存 |
+| 低风险试点存储 | 可选 | 可用 VPN + MinIO 验证 S3 链路和受控入库流程 |
+| 正式 OA 主附件库 | 暂不推荐 | 家宽、电力、动态 IP、上行带宽和家庭网络稳定性不足 |
+
+若一定要用群晖承载 OA 附件，必须满足：
+
+1. 部署服务器通过 VPN/Tailscale/WireGuard 等私有网络访问 NAS，不开放公网 MinIO/SMB/NFS。
+2. NAS 上运行 MinIO 或等效 S3 兼容服务，OA 使用 `STORAGE_DRIVER=s3` 接入。
+3. 只允许 OA 服务账户读写 bucket，员工不能直接访问 NAS 共享目录。
+4. NAS 有 UPS、磁盘健康监控、容量告警、快照或版本保留。
+5. NAS 资料还要再备份到外部介质或云端；RAID 不等于备份。
+6. 家庭网络中断时，OA 附件上传/预览/下载会受影响，必须有暂停和恢复预案。
+
+结论：群晖 NAS 适合做“受控原件库 + 备份/冷归档 + 低风险试点 MinIO”，不适合作为当前正式 OA 附件主存储的第一选择。正式附件主存储仍优先腾讯云 COS；若坚持零云存储成本，则先用群晖做非关键试点，再评估稳定性。
+
+选择对象存储时的硬要求：
+
+1. Bucket 私有，不开放公网匿名访问。
+2. OA 服务端统一代理上传、预览和下载；前端不直接拿永久密钥。
+3. 下载链接短有效期，并绑定操作者和附件。
+4. 开启服务端加密或等效加密措施。
+5. 配置生命周期和容量告警，避免无限增长。
+6. 定期备份或跨区域/异地备份，至少保留关键业务附件恢复方案。
+7. 迁移前先做 dry-run：上传、预览、下载、审计、备份恢复都通过后再切换生产。
+
+如果必须临时使用“另一台电脑”，它必须被当作受控 NAS/MinIO 节点管理，而不是个人电脑共享盘：固定内网/VPN、独立账号、磁盘加密、UPS、自动备份、容量监控、禁止员工直接访问、只允许 OA 服务账户读写。
+
+## 业务附件受控入库 V1
+
+用户补充的真实需求不是“做网盘”，而是让员工或授权人员在 OA 的具体业务流程中上传必要附件。附件是否需要脱敏，取决于业务对象、角色权限、附件类型、流程状态和用途，不能一刀切。
+
+核心口径：
+
+1. 内部授权业务流可以保存必要原文附件。例如合同审批中的待审合同、盖章后扫描件，报销中的发票，付款中的银行回单，采购中的报价/验收材料。
+2. “不用脱敏”只适用于有权限人员在 OA 业务流程内处理原文，不适用于企业微信消息、AI/Codex 处理、自动化报告、外发材料、低权限协作或普通员工下载。
+3. 原文附件必须依附具体业务对象，不提供自由目录浏览、跨业务搜索下载或员工网盘式共享。
+4. 高敏附件必须有状态、责任人、访问角色、下载审计和归档去向；不允许绕过 OA 直接共享服务器目录。
+5. 源码、密钥、Secret、完整配置、完整账号凭据和完整本地路径仍禁止进入 OA 附件库。
+
+### 同类系统抽象
+
+参考成熟文档协作系统后，本项目不照搬完整文档库，而吸收其中与小团队 OA 匹配的治理能力：
+
+| 成熟系统能力 | 对 hyb-oa 的启发 | 是否纳入 V1 |
+| --- | --- | --- |
+| 文件审批 | 文件或附件可进入正式审批，审批人可通过、拒绝或反馈 | 纳入，做附件复核 |
+| 审批中锁定 | 审批期间防止被随意修改，修改后应重新复核 | 纳入，复核中附件不可直接替换正式件 |
+| 版本和签出 | 正式版本与草稿/待审版本分离，变更有历史 | 简化纳入，V1 记录替换历史和复核意见 |
+| 待审批可见性 | 待审批文件默认只让上传人和管理/复核人员可见 | 纳入，待复核附件不对普通业务成员开放 |
+| 规则化访问控制 | 按用户组、标签、文件状态和上下文限制访问 | 纳入，按角色、业务关系、状态、敏感级别判断 |
+| 在线预览优先 | 业务处理需要看内容，但不一定需要下载副本 | 纳入，默认预览，下载收紧 |
+| 外链/短链接 | 临时分享需要时效和操作者绑定 | 后置，只保留短期下载链接原则 |
+
+因此，适合 hyb-oa 的需求不是“文件中心”，而是“业务附件治理层”：附件必须依附业务对象，跟随审批、复核、归档和审计，不提供自由目录浏览。
+
+### 跨业务附件矩阵
+
+| 业务流程 | 典型附件 | 谁可上传 | 原文/脱敏规则 | 归档节点 | 下载边界 |
+| --- | --- | --- | --- | --- | --- |
+| 合同审批/用印 | 待审合同、修订稿、审批版、盖章扫描件、归档证明 | 合同负责人、管理层、被授权经办人 | 授权人员可上传原文合同；外发稿、AI 初审、低权限协作必须使用脱敏副本或摘要 | 审批通过、盖章扫描件上传后生成合同归档记录或 `EA-DOC` 索引 | 合同负责人/审批人/管理层可预览；下载需原因和审计；普通员工只看摘要 |
+| 报销/票据 | 发票 PDF/图片、行程单、消费凭证、补充说明 | 报销人、财务、被授权代填人 | 发票和凭证是业务原文，可进入 OA；自动化报告只输出发票摘要和脱敏编号 | 报销提交、财务复核、付款完成后状态锁定 | 报销人看本人材料；审批人和财务按职责查看；归档后下载收紧 |
+| 采购/费用申请 | 报价单、采购申请附件、供应商资料、验收单、交付证明 | 申请人、采购/项目负责人、财务 | 业务处理需要时可上传原文；敏感报价和供应商资料限制可见范围 | 验收通过、付款关联、资产登记后归档 | 申请人/审批人/采购/财务按业务关系查看；供应商敏感资料禁止普通下载 |
+| 付款/AP | 付款申请依据、银行回单、付款批次附件、代账交接材料 | 财务、出纳、管理层授权人员 | 回单和代账资料可作为财务原文附件，但仅财务线可见 | 付款完成、AP 导出或月结归档后锁定 | 财务和管理层查看下载；其他角色只看付款状态和脱敏摘要 |
+| 项目交付/外发 | 交付物、验收单、客户确认、外发稿、会议纪要 | 项目负责人、交付负责人、管理层授权人员 | 内部交付材料可原文保存；客户原始资料、报价、账号截图外发前必须脱敏复核 | 验收通过、回款节点、项目归档 | 项目成员按职责预览；客户敏感材料下载需用途记录 |
+| 制度/资料管理 | 制度发布版、签收附件、资料索引、员工交付物 | 管理员、负责人、被授权整理人 | 发布版可进入 OA；草案历史、员工整理过程材料按敏感级别控制；AI/Codex 只处理脱敏副本 | 制度发布、签收完成、资料复核入库 | 员工看适用制度；资料原件默认只看摘要或索引 |
+| 人事/员工资料 | 劳动合同、身份证明、入离职交接、培训证书 | HR/管理层授权人员 | 高敏个人资料默认不进普通 OA 附件区；若后续必须线上化，应作为 HR 受限域单独治理 | 入职完成、续签、离职归档 | 普通员工不可见；HR/管理层最小权限访问 |
+
+### 原文、脱敏和索引-only 分类
+
+| 分类 | 定义 | 处理 |
+| --- | --- | --- |
+| 授权原文附件 | 业务办理必须查看的合同、发票、回单、报价、验收、交付材料 | 可进入 OA，但必须绑定业务对象、角色、状态、审计和归档节点 |
+| 脱敏协作附件 | 给普通员工整理、AI 初审、外发复核、格式检查用的副本 | 可进入 OA 协作区；不得反推完整客户、金额、账号、证件或合同敏感条款 |
+| 索引-only 资料 | 不适合线上保存原文，但需要 OA 记录责任和位置的资料 | OA 只保存编号、摘要、hash、负责人、归档位置摘要、复核状态 |
+| 禁止入库资料 | 源码、密钥、Secret、完整配置、完整账号凭据、完整本地路径 | 不进入 OA 附件库，不进入聊天、报告或企业微信消息 |
+
+### 状态模型
+
+| 状态 | 含义 | 允许动作 |
+| --- | --- | --- |
+| `draft` 草稿 | 上传人或授权经办人已上传，业务尚未提交 | 上传人可替换/删除；未进入正式业务证据 |
+| `pending_review` 待复核 | 附件已随业务提交，尚未确认是否合规、归类正确或可作为依据 | 上传人可补充说明；复核人可预览、通过、退回、标记线下归档 |
+| `under_approval` 审批中 | 附件是当前审批依据，不能随意替换 | 审批人可预览；替换必须产生新版本并重新进入复核/审批 |
+| `returned` 已退回 | 附件缺材料、错类、涉敏或说明不足 | 上传人补充说明或重新上传；保留退回原因 |
+| `approved` 已通过 | 复核通过，可作为当前业务单据附件使用 | 按业务权限预览；下载按下载策略控制 |
+| `archived` 已归档 | 附件已进入正式归档或生成 `EA-DOC` 索引 | 核心信息锁定；下载需权限和审计 |
+| `quarantined` 已隔离 | 疑似误传高敏原件、账号密钥、敏感报价等 | 仅管理员/负责人处理；普通员工不可见不可下载 |
+| `rejected` 已拒绝 | 不应入库或不属于本业务 | 不作为业务证据；保留审计摘要 |
+
+### 权限原则
+
+| 角色 | 待复核附件 | 已通过附件 | 已归档附件 |
+| --- | --- | --- | --- |
+| 上传人 | 可查看自己上传的文件名、状态、退回原因；不默认下载归档件 | 可查看当前业务需要的附件摘要 | 非责任人时只看摘要或不可见 |
+| 业务负责人/审批人 | 可在待办内预览复核所需附件 | 可预览处理所需附件 | 按业务权限预览，下载需记录原因 |
+| 财务/合同/项目复核人 | 可预览本职责范围内附件 | 可按职责查看和下载，下载留审计 | 可按职责查看和下载，下载留审计 |
+| 管理员 | 可处理隔离、误传、权限修正 | 不自动获得业务审批权 | 技术排障最小化授权并留痕 |
+
+前端按钮显隐只做体验优化；服务端必须判断附件状态、业务权限、下载策略和审计要求。
+
+### 下载策略
+
+1. 默认优先提供在线预览，不默认提供下载。
+2. 下载必须服务端鉴权，并写审计日志：操作者、时间、业务对象、附件 ID、动作、原因或用途。
+3. 敏感级别较高的附件下载需填写原因；必要时需二次确认或负责人批准。
+4. 普通员工不得批量下载业务附件；归档附件默认只显示摘要。
+5. 临时下载链接必须短有效期、绑定操作者和附件，不能被转发后长期可用。
+6. 企业微信消息不携带附件，只提供 OA deeplink。
+
+### 入库规则
+
+复核通过不等于所有文件都进 OA 原文库；是否保存原文按业务必要性和授权边界判断：
+
+| 附件类型 | 处理 |
+| --- | --- |
+| 合同审批材料、盖章扫描件、报销发票、付款回单、采购报价、验收单等业务必要原文 | 可进入 OA 业务附件库，但只对业务相关授权人员开放 |
+| 项目外发稿、制度发布版、员工交付物 | 可进入 OA 附件或 `EA-DOC` 索引，视敏感级别决定原文、脱敏副本或索引-only |
+| 工资社保个税、身份证银行卡、客户原始高敏资料、银行流水、涉密合同包 | 默认索引-only 或进入后续专门受限域；普通业务附件区不保存原文 |
+| 源码、密钥、Secret、完整配置、完整账号凭据、完整路径 | 禁止入库 |
+
+### 实现建议
+
+现有系统已有报销附件、采购附件、付款回单附件和下载审计基础。后续实现不应另建独立文件服务器，而应优先增强现有附件模型：
+
+1. 增加附件复核状态、敏感级别、附件类型、复核人、复核时间、复核意见、下载策略。
+2. 业务提交前为 `draft`；提交后按流程进入 `under_approval` 或 `pending_review`，不直接进入正式附件清单。
+3. 业务详情页区分“草稿/待复核/审批中附件”和“已通过/已归档附件”。
+4. 下载接口按附件状态和下载策略二次校验。
+5. 复核通过后可关联业务单据、归档记录或 `EA-DOC` 资料索引。
+6. 对误传高敏资料提供隔离和下架动作，不能让普通用户继续查看。
+
+V1 不做：
+
+- 不做全站网盘目录。
+- 不做员工自由建文件夹和共享空间。
+- 不做全量原件迁移。
+- 不做复杂文档协同编辑、签出锁定和版本树。
+- 不做对外分享链接。
+- 不做企业微信附件承载。
+
+## 验证方式
+
+本任务只验证规划材料自身：Trellis task validate、Trellis governance gate、`git diff --check`。实际 OA 业务试点和公网检查需要后续实施任务承接。

.trellis/tasks/05-28-company-docs-oa-ops-mapping/implement.jsonl

@@ -0,0 +1,6 @@
+{"file":".trellis/spec/hyb-oa/project-governance.md","reason":"Trellis-first、docs 事实源和任务边界"}
+{"file":".trellis/spec/hyb-oa/docs-and-evidence.md","reason":"文档证据、脱敏记录和不可写敏感内容边界"}
+{"file":".trellis/spec/hyb-oa/security-privacy.md","reason":"敏感资料、权限、日志和隐私边界"}
+{"file":".trellis/spec/hyb-oa/approval-workflow.md","reason":"OA 主办审批和审批异常的实现约束"}
+{"file":".trellis/spec/hyb-oa/wecom-boundary.md","reason":"OA 与企业微信分工边界"}
+{"file":".trellis/tasks/05-28-company-docs-oa-ops-mapping/research/oa-ops-mapping-recommendations.md","reason":"本任务脱敏资料/OA 运营映射建议"}

.trellis/tasks/05-28-company-docs-oa-ops-mapping/prd.md

@@ -0,0 +1,74 @@
+# 公司电子资料与 OA 运营映射审查
+
+## Goal
+
+审查已重新整理的公司电子资料体系，明确它与 hyb-oa 的配合方式，让 OA 承担公司运营中的流程、台账、签收、复核、任务派发和审计留痕职责，同时避免把 OA 误用为高敏原件库或共享盘。
+
+## What I Already Know
+
+- 公司资料已按制度索引、公司基础、人事招聘、财务税务、合同法务、项目交付、采购资产、历史归档和收件箱等类别重新整理。
+- 公司资料中已经形成“负责人主控工作机 / OA 协作区 / 员工工作区 / 脱敏外发区”分层思想。
+- 现有 OA 已具备公告签收、统一审批、报销、采购/费用、合同台账、项目、付款批次、AP、票据中心、资产台账、人员组织和审计日志等基础能力。
+- 现有 OA 资产规约支持 `FA`、`EA-DOC`、`EA-SYS`、`EA-REPO`、`EA-BKP`，适合承接电子资料、系统、仓库和备份的元数据索引。
+- 现有项目事实源已经明确：仓库、聊天、Trellis 文档、自动化报告和企业微信消息不得记录敏感原文、完整账号、Secret、完整配置、完整本地路径或原始 payload。
+- 业务附件不能一刀切要求脱敏。OA 主办的合同、报销、采购、付款、项目等业务流程中，有权限人员可以上传处理必要原文附件；脱敏主要适用于普通协作、外发、AI 处理、报告和低权限查看。
+
+## Scope
+
+本任务只做公司资料与 OA 运营体系的脱敏映射、运营建议和后续路线规划。
+
+纳入范围：
+
+- 资料管理：哪些资料继续保留在受控原件库，哪些可作为授权业务附件进入 OA，哪些只在 OA 登记摘要、hash、责任人、归档位置摘要和审批/复核记录。
+- 制度建设：制度发布、签收、会审、版本、台账和周期复盘如何接入 OA。
+- 业务指导：员工、负责人、财务、项目负责人、管理员如何用 OA 承接日常运营动作。
+- 流程联调：合同签署、采购付款、外包服务、入职、离职、项目验收回款、制度发布等场景如何串联 OA。
+- 后续开发建议：仅识别功能缺口，不在本任务直接改代码。
+
+## Out of Scope
+
+- 不搬迁、删除、改名或重排公司资料原件。
+- 不把公司资料原文复制进仓库、Trellis task 或聊天。
+- 不做合同法律审查、劳动用工法律结论或税务合规结论。
+- 不把 OA 做成全量原件库、员工网盘或自由共享盘。
+- 不在本任务上传、导入或展示任何真实敏感原件；后续 OA 运行时若允许授权人员上传合同、发票、回单、报价、验收材料等原文附件，必须依附具体业务对象、角色权限、状态控制和审计留痕。
+- 不允许源码、密钥、Secret、完整配置、完整路径、账号凭据进入 OA 附件库。
+- 不部署、不改生产配置、不写公网真实业务数据。
+
+## Requirements
+
+- R1：输出“OA 是运营控制台，不是全量资料库”的边界结论。
+- R2：输出公司资料类别到 OA 模块的映射表。
+- R3：输出制度建设与 OA 公告签收、审批、资产/合同/项目台账的配合方式。
+- R4：输出员工资料整理、外发复核、正式文件初审等可派发工作的 OA 承接方式。
+- R5：输出 7 个制度联调场景的 OA 落点和通过标准。
+- R6：识别现有 OA 可立即承接的动作与需要后续开发的功能缺口。
+- R7：给出分阶段落地顺序，支持真实试运行并行推进。
+- R8：本任务文档、聊天、报告和自动化证据必须脱敏，不写敏感原文、完整路径、完整账号、合同正文、票据原件或银行资料；OA 运行时业务附件是否保存原文按角色、业务对象、敏感级别和归档规则判断。
+- R9：判断是否需要额外文件管理服务器，并明确它与 OA、公司资料主库和员工协作区的边界。
+- R10：明确“员工在 OA 上传业务附件 -> 复核 -> 才能正式入库/归档 -> 下载受控”的业务附件受控入库模式。
+- R11：明确合同、报销、采购、付款、项目、制度/资料等核心业务流程的附件类型、上传人、原文/脱敏要求、归档节点和下载边界。
+
+## Acceptance Criteria
+
+- [ ] 已形成脱敏的资料类别到 OA 模块映射。
+- [ ] 已形成资料管理、制度建设、业务指导三类运营建议。
+- [ ] 已区分“现有 OA 可直接做”和“后续需要开发/优化”的事项。
+- [ ] 已给出可执行的 0-4 阶段落地顺序。
+- [ ] 已明确敏感资料边界和员工/Codex 使用红线。
+- [ ] 已形成文件管理服务器的阶段性建议和准入条件。
+- [ ] 已形成业务附件受控入库的状态、权限、下载和审计建议。
+- [ ] 已形成跨业务附件矩阵，区分授权原文附件、脱敏协作附件和索引-only 资料。
+- [ ] 已记录 inspected scope，但不泄露敏感文件名、完整路径或原文内容。
+
+## Test Plan
+
+- 检查当前 Trellis task 结构。
+- 对照现有 OA 事实源：资产、合同、采购/费用、项目、统一审批、员工上手和产品体验边界。
+- 对照公司资料中的脱敏制度、台账、表单、外发复核和资料迁移说明。
+- 运行 Trellis task validate、Trellis governance gate 和 `git diff --check`。
+
+## Technical Notes
+
+- 本任务是规划/审查任务，不启动实现阶段。
+- 后续若决定新增“资料协作任务”“外发复核工作流”“制度台账”等能力，应另建或延续 Trellis 实施任务，并在编码前先给方案等待批准。

.trellis/tasks/05-28-company-docs-oa-ops-mapping/research/oa-ops-mapping-recommendations.md

@@ -0,0 +1,450 @@
+# 公司电子资料与 OA 运营映射建议（脱敏）
+
+## 检查范围
+
+本次检查只读取了公司资料中的脱敏治理文件、制度建设总览、表单/台账模板、制度联调矩阵、资料迁移记录、外发复核台账和员工可派发任务清单；同时对照了 hyb-oa 当前资产、合同、项目、采购/费用、统一审批、员工上手和产品体验事实源。
+
+未读取和未引用高敏原件，包括证件、银行、工资社保、合同正文、客户原始资料、报价明细、票据原件、源码、密钥、完整配置和完整本地路径。
+
+## 核心判断
+
+OA 最适合定位为“公司运营控制台”和“流程/台账/责任/审计中心”，不应定位为全量资料库或共享盘。
+
+公司资料主库继续承担原件保存、历史证据、敏感资料受控归档职责；OA 承担任务派发、审批签收、台账索引、责任人、归档位置摘要、hash、复核结论、外发审批、员工培训和审计留痕。
+
+这套分工能避免两个风险：一是把 OA 误用成全量原件库或员工网盘；二是员工、AI 或聊天工具绕过负责人复核直接处理公司资料。必要原文附件可以进入授权业务流程，但不能脱离业务对象自由共享。
+
+## 推荐分层
+
+| 层级 | 主体 | 作用 | OA 记录内容 | 禁止内容 |
+| --- | --- | --- | --- | --- |
+| 原件主库 | 负责人受控资料区 | 保存全量原件、历史件、敏感资料 | 不直接承载 | 全量目录和无业务授权原件不得迁入公网 OA |
+| OA 运营层 | hyb-oa | 流程、审批、签收、台账、审计 | 摘要、编号、责任人、状态、hash、归档位置摘要、复核结论、授权业务原文附件 | 无业务对象附件、越权附件、账号密钥、完整路径 |
+| 员工协作层 | OA 任务/项目/待办 | 派发资料整理、台账维护、初审任务 | 授权等级、任务范围、交付物、未确认项、复核人 | 全量目录访问、无关副本下载 |
+| 外发复核层 | OA 审批/项目/合同/任务 | 脱敏、正式文件审查、合同/财务联动 | 外发对象类别、用途、复核类型、结果、责任人 | 未复核外发稿、客户/报价/账号等敏感原文 |
+
+## 资料类别到 OA 模块映射
+
+| 公司资料类别 | OA 落点 | 建议做法 | 边界 |
+| --- | --- | --- | --- |
+| 制度、索引、台账和模板 | 公告签收、资产 `EA-DOC`、审计日志 | 制度发布走公告签收；制度目录、版本、适用范围和归档位置登记为资料资产 | 不把制度草案历史版本无限制公开 |
+| 公司基础、证照、印章授权 | 资产 `EA-DOC`、合同/用印台账、审批中心 | 只登记证照/印章资料摘要、负责人、授权状态、归档位置摘要和用印记录 | 证照原件、印章图片、完整证照编号按权限线下受控 |
+| 人事与招聘 | 人员组织、公告签收、资产交接、入离职任务 | 候选人和入职材料只做脱敏台账；入职走制度签收、账号开通、资产领用；离职走资产/权限回收 | 简历、证件、银行卡、面试细节等个人高敏资料不进公网 OA |
+| 财务税务 | 报销、票据中心、付款批次、AP、审计日志 | 报销、PDF 发票、付款回单附件和代账交接按现有流程；财务资料按月份和业务编号登记摘要 | 工资社保、个税、完整银行资料不进普通业务附件区 |
+| 合同法务 | 合同台账、统一审批、项目关联、资产 `EA-DOC` | 待审、已签、模板、历史件分开建台账；合同审批/用印流程可保存授权原文和盖章扫描件 | 涉密合同包、敏感报价、关键条款修改和法律结论不得给普通员工或 AI 处理 |
+| 项目与交付 | 项目、交付记录、合同/采购/报销关联、外发复核 | 项目页汇总里程碑、交付、风险、验收、合同、费用；授权项目材料可保存原文 | 客户原始资料、报价原件、未公开方案、账号截图不得进入普通协作区，外发前必须脱敏复核 |
+| 采购与资产 | 采购/费用、资产 `FA/EA-DOC/EA-SYS/EA-REPO/EA-BKP` | 采购前申请、验收后入资产；供应商资料按授权业务附件或摘要登记；系统/仓库/备份登记责任和回收要求 | 源码包、Secret、私钥、完整配置不进入 OA；供应商敏感资料不得进入普通协作区 |
+| 历史归档 | 资产 `EA-DOC` 索引 | 保持冻结，只建批次、类别、hash/验证编号、负责人和归档位置摘要 | 不拆包、不删除、不迁移全量原件 |
+| 收件箱 | 待办/任务/项目资料整理流程 | 所有新资料先登记类别、敏感等级、责任人、下一步动作 | 收件箱不能长期堆积，也不能绕过分类直接外发 |
+
+## 制度建设怎么接入 OA
+
+第一批制度不需要先开发复杂制度管理系统。建议先用现有能力组合落地：
+
+| 制度事项 | OA 承接方式 | 验收点 |
+| --- | --- | --- |
+| 授权审批权限表 | 统一审批规则、角色配置、审批异常 SOP | 无审批人、自审、越权审批能被发现和阻断 |
+| 财务、报销和付款制度 | 报销、付款批次、AP、票据中心、代账交接 | 报销到付款、回单、AP 导出和审计闭环 |
+| 合同和用印制度 | 合同台账、审批中心、归档位置摘要 | 合同会审、用印、归档和责任人留痕 |
+| 采购和供应商制度 | 采购/费用申请、项目/合同关联 | 采购申请、验收、付款和资产登记能串起来 |
+| 员工手册和劳动规章 | 公告签收、人员组织、入离职任务 | 员工签收有时间、版本和适用范围记录 |
+| 保密与知识产权制度 | 公告签收、项目外发复核、资产交接 | 员工知道哪些资料不可上传、不可外发、不可交给 AI |
+| 档案与资料分级制度 | 资产 `EA-DOC`、归档位置摘要、权限审计 | 资料有敏感等级、负责人、归档位置摘要和盘点记录 |
+
+制度发布的推荐闭环：
+
+1. 制度草案在受控资料区维护。
+2. 管理层或负责人确认发布版本。
+3. OA 公告发布制度摘要、版本、适用范围和签收声明。
+4. 员工完成签收；未签收进入待办或提醒。
+5. 关键制度同步更新审批规则、表单字段和台账模板。
+6. 每月用 OA 审计和业务台账做一次执行检查。
+
+## 业务指导怎么接入 OA
+
+员工资料整理和业务辅助可以做，但必须通过 OA 派发和复核：
+
+| 工作类型 | 是否适合员工/Codex 辅助 | OA 承接方式 | 负责人复核重点 |
+| --- | --- | --- | --- |
+| 收件箱初步分类 | 适合 | 待办/项目任务登记分类建议 | 不确定项是否标记 |
+| 脱敏台账维护 | 适合 | 资产或项目资料索引更新 | 是否避开个人和商业敏感明细 |
+| 正式文件格式初审 | 适合 | 项目任务提交初审意见 | 是否只做格式/逻辑初审，不替代最终审查 |
+| 项目外发材料脱敏检查 | 适合但需谨慎 | 外发复核记录 + 负责人审批 | 是否遗漏客户、报价、账号、截图信息 |
+| 合同版本关系整理 | 谨慎 | 合同台账版本摘要 | 是否误判最终版、已签版或法律风险 |
+| 高敏个人/财务/合同/客户原件处理 | 不适合 | 不派发 | 必须负责人或专业人员处理 |
+
+OA 中的任务派发单至少应包含：任务范围、授权等级、可读范围、可写范围、禁止事项、交付物、复核人、截止日期和未确认事项。
+
+## 7 个制度联调场景的 OA 落点
+
+| 场景 | OA 主链路 | 通过标准 |
+| --- | --- | --- |
+| 客户合同签署 | 合同台账 -> 合同审批 -> 用印/归档记录 -> 项目关联 -> 应收/回款跟踪 | 合同编号、会审、用印、项目、归档位置摘要完整 |
+| 供应商采购付款 | 采购申请 -> 合同/供应商摘要 -> 验收 -> 付款批次 -> AP/回单 -> 资产登记 | 采购、验收、付款、回单、资产入账或登记完整 |
+| 外包服务采购 | 采购/合同 -> 保密/IP 要求 -> 项目交付 -> 账号权限回收 | 保密/IP、验收资料、成果移交和权限回收有记录 |
+| 员工入职 | 人员创建 -> 制度签收 -> 账号权限开通 -> 资产领用 -> 入职清单 | 合同/制度签收、账号、资产和岗位任务闭环 |
+| 员工离职 | 离职任务 -> 工作交接 -> 资产归还 -> 权限回收 -> 保密确认 | 交接、资产、权限、财务和保密义务完成 |
+| 项目验收回款 | 项目交付记录 -> 合同节点 -> 验收材料 -> 开票/应收 -> 回款跟踪 -> 归档 | 验收、开票、回款和归档状态一致 |
+| 制度发布 | 制度会审 -> 公告发布 -> 员工签收 -> 台账更新 -> 月度检查 | 发布版本、签收记录、执行问题和修订动作完整 |
+
+## 可立即做的事
+
+1. 不导入全量公司资料，只选 10-20 条脱敏样例做 `EA-DOC` 索引试录。
+2. 用公告签收发布一份“资料使用与保密红线”或“OA 资料留存规则”。
+3. 选一个项目外发材料样例，用项目任务或待办记录脱敏检查、正式文件初审和负责人复核。
+4. 选一条待审合同或合同模板样例，只登记合同台账摘要、状态、负责人和归档位置摘要。
+5. 选一个入职/实习资料样例，验证制度签收、资料清单、账号权限和资产领用是否能串起来。
+6. 每周用 OA 审计日志和台账检查：有没有未签收制度、未归档资料、未复核外发、权限未回收、付款/AP 未闭环。
+
+## 后续可能需要开发的缺口
+
+这些不建议马上一起做，先通过现有模块试运行确认缺口：
+
+| 候选能力 | 触发条件 | 建议优先级 |
+| --- | --- | --- |
+| 资料协作任务模板 | 待办/项目任务无法清楚表达授权等级、禁止范围和复核要求 | P1 |
+| 外发复核工作流 | 项目材料外发频繁，人工台账容易漏签、漏审、漏版本 | P1 |
+| 制度台账轻量页 | 公告签收无法承载制度版本、适用范围、修订记录和执行检查 | P2 |
+| 入离职清单增强 | 现有人员/资产/权限记录无法形成一张闭环清单 | P2 |
+| `EA-DOC` 脱敏导入工具 | 手工登记资料索引成本过高，且脱敏索引已有稳定格式 | P2 |
+| 供应商/应收台账 | 采购、合同、付款和回款管理开始出现持续跟踪需求 | P2 |
+
+## 是否需要额外文件管理服务器
+
+当前不建议马上额外建设一个文件管理服务器，更不建议自研一个通用上传/下载文件中心。
+
+原因有三点：
+
+1. 当前主要缺口不是“文件能不能上传下载”，而是“谁能看、看什么、为什么看、是否复核、是否外发、是否归档、是否留痕”。
+2. 如果先上文件服务器，员工容易把它当共享盘，反而削弱“OA 只在业务流程中受控保存附件和证据”的边界。
+3. 高敏资料、合同正文、银行流水、工资社保、客户原始资料、源码密钥和完整路径不应进入通用文件服务或员工网盘；若作为授权业务原文附件进入 OA，必须依附具体业务流程和权限审计。
+
+建议分三档处理：
+
+| 阶段 | 文件承载方式 | 适用资料 | 建议 |
+| --- | --- | --- | --- |
+| 当前阶段 | 公司原件主库 + OA 摘要索引 | 原件、高敏资料、历史资料 | 不新增文件服务器，只做 `EA-DOC` 索引和流程留痕 |
+| 协作试点阶段 | OA 现有附件能力 | 授权业务原文、脱敏副本、任务交付物、非涉密证明材料 | 只跟随具体业务单据/任务上传，不做通用网盘 |
+| 成熟阶段 | 受控文件服务 + OA 控制层 | 可线上保存的低敏/中敏文件、制度版本、外发稿、交付物 | 文件服务只做存储，OA 做权限、审批、审计、hash 和归档索引 |
+
+后续如果确实要上文件服务，推荐原则是“买/用成熟受控存储，不自研网盘；OA 集成而不是替代”。文件服务必须满足：权限分组、下载审计、外链限制、版本记录、加密存储、备份恢复、离职回收、管理员操作日志和文件 hash。
+
+不应进入通用文件服务或员工网盘的资料：高敏个人资料、工资社保个税、银行流水原件、合同正文和签章页、敏感报价、客户原始资料、账号密码、token、Secret、私钥、源码包、完整配置和完整本地路径。合同、发票、回单、报价、验收等确需线上处理的，应进入 OA 授权业务附件链路，而不是通用文件服务。
+
+### 部署服务器空间不足时怎么处理
+
+部署服务器磁盘不足，不等于要把文件直接放到另一台普通电脑。更稳的做法是把 OA 的计算层和附件存储层拆开。
+
+现有后端已经支持本地文件系统和 S3 兼容对象存储两种模式，可通过 `STORAGE_DRIVER` 切换；上传和下载代码统一走存储抽象层。因此后续更适合走“对象存储/受控 NAS + OA 权限审计”的路线。
+
+阶段性决策：COS 和额外文件服务先暂缓。当前 V0 可以继续使用部署服务器本地存储，但只能作为“业务流程附件的短期协作存储”，不能升级成全量资料库、合同原件库或员工网盘。
+
+部署服务器本地存储适合保存：
+
+- 报销、采购、合同、项目、付款、制度签收等业务页面中的必要附件。
+- 有权限人员上传的合同审批稿、盖章扫描件、发票、回单、报价、验收材料等授权业务原文。
+- 员工提交的脱敏副本、任务交付物、证明材料、公开制度版本和外发稿复核副本。
+- 为业务流程服务的短期在线附件，例如审批、复核、付款回单、项目交付记录中的必要材料。
+
+部署服务器本地存储不应保存：
+
+- 身份证、银行卡、工资社保、个税、完整银行资料等个人/财务高敏原件。
+- 与业务对象无关的已签合同包、敏感报价包、客户原始资料、源代码、密钥、完整配置和完整账号资料。
+- 公司历史全量资料、离线原件库镜像、员工可自由浏览的共享目录。
+
+如果部署服务器容量、备份或权限控制不足，V0 降级方案是“只保存 OA 索引，不保存原件”：
+
+1. OA 登记资料编号、资料类别、业务对象、责任人、敏感等级、hash 或校验摘要、归档位置摘要、复核状态和借阅/下载记录。
+2. 原件继续放在负责人受控离线电脑、群晖 NAS 或其他原件主库。
+3. 员工在 OA 里发起查阅、复核、外发或补充材料任务；负责人按权限从离线原件库取用，不给员工直接打开全量目录。
+4. OA 只承载授权业务附件、脱敏副本、低敏协作附件或必要流程证据；不适合线上保存的高敏原件仍走线下受控取用。
+5. 定期抽查索引是否能定位到离线原件，避免“OA 有记录但找不到文件”。
+
+推荐顺序：
+
+| 优先级 | 方案 | 判断 |
+| --- | --- | --- |
+| 1 | 云对象存储，例如 OSS/COS/S3 兼容服务 | 最推荐，扩容简单，成本可控，适合公网 OA 附件 |
+| 2 | 部署服务器挂载独立数据盘 | 短期可用，改动小，但仍要备份、告警和容量管理 |
+| 3 | 公司专用 NAS 或自建 MinIO | 可用，但必须有专门设备、稳定网络、UPS、备份和运维责任 |
+| 4 | 普通办公电脑共享目录 | 不推荐作为生产附件后端，只能做离线原件主库或临时人工中转 |
+
+本项目推荐选型：
+
+| 场景 | 推荐 |
+| --- | --- |
+| 当前正式路线 | 腾讯云 COS |
+| 如果现有云资源主要在阿里云 | 阿里云 OSS |
+| 免费/低风险试点 | Cloudflare R2 免费额度或腾讯/阿里新用户资源包 |
+| 自建 | MinIO，仅限有专用设备、备份、UPS 和运维责任 |
+
+选择腾讯云 COS 的原因：
+
+- 项目已经使用腾讯云 OCR，企业微信也是核心集成方向，账号、运维和供应商沟通更集中。
+- 国内员工访问、企业微信 WebView 场景和后续备案/合规沟通更自然。
+- COS 计费按存储、请求、流量等项拆分，适合小团队从小容量起步。
+- 现有后端已经抽象为 S3 兼容存储，切换时主要是配置、兼容性验证和迁移演练，不需要重写业务附件模块。
+
+不主推 Cloudflare R2 作为生产首选的原因：
+
+- 免费额度适合试点，但国内访问稳定性、跨境链路和合规解释成本需要额外评估。
+- 项目附件是公司运营证据，不只是静态资源分发，供应商可控性比极限低价更重要。
+
+不主推自建 MinIO 的原因：
+
+- 软件免费不等于整体免费；硬盘、备份、UPS、安全更新、容量告警和恢复演练都需要人负责。
+- 小团队当前更应该把精力放在附件复核、权限和审计上，而不是维护存储基础设施。
+
+### 已有家用群晖 NAS 的建议
+
+用户已有家用群晖 NAS。它可以利用，但不建议直接作为正式公网 OA 附件主存储。
+
+适合用途：
+
+- 作为公司资料原件的受控离线主库或冷归档。
+- 作为 OA 附件备份目标或二级备份。
+- 用 Container Manager 运行 MinIO，做低风险 S3 兼容存储试点。
+- 用 Hyper Backup 或等效机制做版本化备份和恢复演练。
+
+不适合作为默认生产主存储的原因：
+
+- 家庭网络和电力没有生产 SLA，断网或断电会导致 OA 附件不可用。
+- 家宽上行带宽通常较弱，上传、预览和下载体验不稳定。
+- 若开放公网端口，会增加攻击面；若使用共享目录，可能绕过 OA 权限和审计。
+- NAS 本身也需要备份，RAID 或多盘阵列不能替代异地备份。
+
+如果坚持使用群晖作为 OA 附件存储，建议作为“受控 NAS/MinIO 节点”落地：
+
+1. 部署服务器通过 VPN、Tailscale 或 WireGuard 访问 NAS。
+2. NAS 上部署 MinIO，OA 使用 `STORAGE_DRIVER=s3`、`S3_ENDPOINT` 指向内网/VPN 地址。
+3. MinIO bucket 私有，只给 OA 服务账户读写。
+4. 不开放公网 MinIO 控制台，不开放 SMB/NFS 给员工直接访问。
+5. 配置 UPS、容量告警、磁盘健康监控、快照和异地备份。
+6. 先做 dry-run：上传、预览、下载、复核、审计、断网恢复和备份恢复全部通过，再考虑扩大范围。
+
+决策建议：群晖 NAS 先作为备份和冷归档使用；对象存储主链路仍推荐腾讯云 COS。若你确实要节省云存储费用，可以把群晖 MinIO 作为低风险试点，不直接承载正式核心附件。
+
+### 腾讯云 COS 费用调研
+
+调研日期：2026-05-28。以下价格按腾讯云 COS 官方文档当前公开口径整理，实际账单仍以控制台价格、资源包折扣和账单明细为准。
+
+官方来源：
+
+- 计费概述：<https://cloud.tencent.com/document/product/436/16871/>
+- 存储容量费用：<https://cloud.tencent.com/document/product/436/53482>
+- 请求费用：<https://cloud.tencent.com/document/product/436/53861>
+- 流量费用：<https://cloud.tencent.com/document/product/436/53863>
+- 免费额度：<https://cloud.tencent.com/document/product/436/6240>
+- CVM 公网计费模式：<https://cloud.tencent.com/document/product/213/10578>
+- 轻量应用服务器计费概述：<https://cloud.tencent.cn/document/product/1207/44368>
+
+COS 费用主要由存储容量、请求、流量、数据取回和管理功能组成。对 hyb-oa 附件场景，V1 最相关的是标准存储容量、标准存储请求和外网下行流量。
+
+| 费用项 | 当前 OA 影响 | 调研结论 |
+| --- | --- | --- |
+| 标准存储容量 | 附件长期保存的基础费用 | 北京/南京/上海/广州等中国大陆常用地域标准存储按量价 `0.118 元/GB/月`；成都/重庆 `0.099 元/GB/月` |
+| 请求费用 | 上传、预览、下载、列举等 API 调用 | 中国大陆常用地域标准存储读/写请求 `0.01 元/万次`，小团队通常不是主要成本 |
+| 外网上行流量 | 员工或 OA 通过公网上传到 COS | 官方列为免费 |
+| 外网下行流量 | 用户直接从 COS 公网下载、浏览、预览对象时产生 | 中国大陆常用地域外网下行 `0.5 元/GB`，这是 OA 需要重点控制的费用项 |
+| 内网上/下行流量 | 同地域腾讯云资源访问 COS | 相同地域腾讯云产品之间自动走内网访问，不产生流量费用 |
+| CDN/EdgeOne 回源 | 若 COS 做 CDN 源站 | 中国大陆常用地域 COS CDN/EdgeOne 回源流量 `0.15 元/GB`，还会叠加 CDN 侧下行费用；OA V1 不建议开启 |
+| 全球加速 | 使用全球加速域名上传/下载 | 会产生全球加速流量；OA V1 不建议开启 |
+| 数据万象/CI 处理 | 用 COS/CI 做图片、音视频、文档处理 | 可能产生 CI 外网出流量、处理费和请求费；OA V1 不建议依赖它做核心预览 |
+| 低频/归档/深度归档 | 历史附件降冷 | 单价更低，但有最短存储时间、取回等待、取回费用或提前删除费用；初期不建议直接使用 |
+| 免费额度 | 新用户前期抵扣 | 新个人用户 `50GB` 标准存储容量包、企业用户 `1TB` 标准存储容量包，有效期 `6 个月/180 天`；只抵扣标准存储容量，不抵扣请求、流量等 |
+| 资源包 | 预付费抵扣 | 可购买存储容量、请求、流量等资源包；有免费额度时通常按免费额度、资源包、按量计费顺序结算 |
+
+小团队估算：
+
+| 场景 | 假设 | 月度费用量级 |
+| --- | --- | --- |
+| 试点 | 10GB 标准存储、请求很少、外网下载 2GB | 存储约 `1.18 元/月`，外网下行约 `1 元/月`，请求约分级到分角级 |
+| 初期正式 | 50GB 标准存储、外网下载 10GB | 存储约 `5.9 元/月`，外网下行约 `5 元/月` |
+| 增长后 | 100GB 标准存储、外网下载 30GB | 存储约 `11.8 元/月`，外网下行约 `15 元/月` |
+| 高频下载 | 100GB 标准存储、外网下载 300GB | 存储约 `11.8 元/月`，外网下行约 `150 元/月`，成本开始由下载流量主导 |
+
+估算解释：
+
+- 标准存储容量按 `容量 x 0.118 元/GB/月` 粗算，未计资源包折扣。
+- 外网下行按 `下载量 x 0.5 元/GB` 粗算。
+- 标准存储请求按 `0.01 元/万次` 粗算，OA 小规模附件上传、预览、下载通常不是主成本。
+- 若部署服务器和 COS 在同一腾讯云地域，OA 服务端访问 COS 可优先走内网，减少服务端到 COS 的流量成本；最终员工从 OA 下载到本地仍会产生服务器公网出流量或 COS 外网下行，取决于下载链路设计。
+
+服务端中转下载的费用边界：
+
+| 下载链路 | COS 侧流量费 | 服务器侧公网费 | 判断 |
+| --- | --- | --- | --- |
+| 员工浏览器直接用 COS 对象链接下载 | 产生 COS 外网下行费 | 不经过部署服务器 | 权限和审计较弱，不推荐作为默认链路 |
+| OA 服务器从同地域 COS 内网取文件，再转发给员工浏览器 | COS 到服务器内网流量免费 | 服务器到员工浏览器产生公网出流量或消耗套餐流量包 | 推荐链路，权限审计最好，但不是“完全免费” |
+| OA 服务器与 COS 不同地域，或误走公网 endpoint | 可能产生 COS 外网/跨地域相关费用 | 服务器公网出流量仍存在 | 不推荐，需上线前验证 endpoint 和地域 |
+| 开 CDN/EdgeOne 让员工下载 | COS 侧可能产生 CDN/EdgeOne 回源费 | CDN/EdgeOne 另收下行费 | OA V1 不建议开启 |
+
+因此，“部署服务器在腾讯云 + COS 同地域 + 走内网”只能说明 `COS -> OA 服务器` 这一段通常不收 COS 流量费。员工最终从 `OA 服务器 -> 浏览器/企业微信 WebView` 下载，仍会占用部署服务器公网带宽、CVM 按流量计费或轻量应用服务器月流量包。若服务器是轻量应用服务器，腾讯云文档说明套餐流量包仅统计实例出流量，超出后按公网传输流量计费；若是 CVM，也要看公网网络计费模式是固定带宽、按流量还是共享带宽包。
+
+对 hyb-oa 的省钱建议：
+
+1. OA 服务端代理上传、预览、下载，不让员工直接访问 COS。
+2. 部署服务器若在腾讯云，应选择与 COS 相同地域，尽量走内网访问 COS。
+3. Bucket 私有，不开公开读、公开外链、CDN、全球加速、数据万象处理，避免额外费用项和权限绕过。
+4. 下载默认收紧，优先在线预览和按需下载；高敏附件下载需用途记录或审批。
+5. 先用标准存储；归档/低频存储等生命周期策略等附件规模和访问规律稳定后再配置。
+6. 设置预算告警、容量告警和外网下行告警，初期预算可先按 `20-50 元/月` 管控；如果真实下载量明显增加，再调整到 `100-200 元/月`。
+7. 每月导出账单看 `外网下行流量`、`CDN 回源流量`、`数据万象` 是否异常；这几项比容量费更容易失控。
+
+对是否购买资源包的判断：
+
+- 试点期：先用免费额度或按量计费，不急着买大包。
+- 连续 1-2 个月用量稳定后：再买小规格标准存储容量包和外网下行流量包。
+- 不建议一开始买大规格、长周期资源包，因为附件复核、下载控制和留存策略还没跑稳。
+
+结论：腾讯云 COS 对小团队 OA 附件不是大成本项。当前更推荐采用私有 bucket + OA 服务端权限控制 + 标准存储 + 预算告警。真正需要控制的是下载流量、公开外链、CDN/全球加速/数据处理等附加能力，而不是标准存储本身。
+
+为什么不建议普通电脑：
+
+- 在线稳定性不足，关机、断网、系统更新都会影响 OA 上传下载。
+- 安全边界弱，员工或本机软件可能绕过 OA 审计直接访问文件。
+- 备份、容量告警、权限回收、日志和恢复演练难以保证。
+- 若通过公网暴露共享服务，会引入额外攻击面。
+
+对象存储落地原则：
+
+1. Bucket 私有化，不开启公开读。
+2. OA 服务端持有访问凭据，前端不保存永久密钥。
+3. 上传、预览、下载仍走 OA 权限和审计。
+4. 下载链接短有效期，绑定操作者和附件。
+5. 使用生命周期规则控制历史附件成本。
+6. 配置容量、请求量和失败率告警。
+7. 切换前做一轮 dry-run 和恢复演练。
+
+结论：如果只是部署服务器空间不足，推荐优先接入 S3 兼容对象存储；如果一定要用公司内另一台机器，也应把它建设成受控 NAS/MinIO 存储节点，不允许作为员工可直接访问的共享盘。
+
+## 业务附件受控入库建议
+
+用户补充的需求应定义为“业务附件受控入库”，不是“文件管理服务器”。员工或授权人员可以在 OA 的具体业务对象下上传附件；附件按业务对象、角色、状态和敏感级别进入草稿、审批、复核、归档或索引-only 路径；下载默认收紧。
+
+关键修正：脱敏不是内部业务处理的一刀切要求。有权限人员在 OA 主办业务流程内可以处理必要原文附件，例如合同审批原文、盖章后扫描件、报销发票、采购报价、付款回单、验收材料。脱敏主要适用于普通员工协作、AI/Codex 辅助、企业微信消息、自动化报告、外发材料和低权限查看。
+
+### 同类系统提炼
+
+本需求参考了成熟文档/协同系统的通用做法，但只保留适合小团队 OA 的部分：
+
+- Google Drive 的文件审批支持正式审批、通过/拒绝/反馈、审批状态和复核人记录；审批中或审批后对文件编辑有锁定和重新审批语义。
+- SharePoint 文档库强调版本、内容审批、签出/签入，以及待审批版本默认可见范围控制。
+- Nextcloud 的文件访问控制强调管理员基于规则组限制文件访问，可按用户组、标签等条件拒绝访问。
+
+对 hyb-oa 的产品结论：不要建设独立网盘，要建设“业务附件治理层”。文件必须挂在业务对象下，跟随审批、复核、归档和审计；下载不是默认权利，而是受角色、状态、敏感级别和审计约束的动作。
+
+跨业务附件治理建议：
+
+| 业务流程 | 附件类型 | 原文是否可进 OA | 关键控制 |
+| --- | --- | --- | --- |
+| 合同审批/用印 | 待审合同、修订稿、审批版、盖章扫描件、归档证明 | 可以，但仅限合同负责人、审批人、管理层和授权经办人 | 版本留痕、盖章后归档、下载原因、普通员工只看摘要 |
+| 报销/票据 | 发票、行程单、消费凭证、补充说明 | 可以，属于报销处理依据 | 报销人看本人，审批人/财务按职责查看，OCR/验真和判重留痕 |
+| 采购/费用 | 报价、采购附件、供应商资料、验收单 | 可以，但报价和供应商资料限制可见范围 | 申请、审批、验收、付款和资产登记串联 |
+| 付款/AP | 银行回单、付款批次附件、代账材料 | 可以，但只限财务线和管理授权角色 | 付款完成后锁定，下载严格审计 |
+| 项目交付/外发 | 交付物、验收单、客户确认、外发稿 | 内部交付物可以；客户高敏资料需脱敏或索引-only | 外发前必须脱敏复核和正式文件审查 |
+| 制度/资料 | 制度发布版、签收材料、资料索引、员工交付物 | 发布版可以；草案历史和敏感资料按级别处理 | 制度版本、签收、复核和周期检查 |
+| 人事/员工资料 | 劳动合同、身份证明、入离职交接 | 当前不建议进普通业务附件区；若线上化需 HR 受限域 | HR/管理层最小权限，普通员工不可见 |
+
+附件处理分三类：
+
+| 分类 | 说明 | OA 处理 |
+| --- | --- | --- |
+| 授权原文附件 | 业务办理必须查看的合同、发票、回单、报价、验收、交付材料 | 可保存原文，绑定业务对象、角色、状态、审计和归档 |
+| 脱敏协作附件 | 给普通员工整理、AI 初审、外发复核、格式检查用 | 保存脱敏副本，禁止暴露完整客户、账号、证件、报价、合同敏感条款 |
+| 索引-only 资料 | 不适合线上保存原文，但需要 OA 记录责任和位置 | 只保存编号、摘要、hash、负责人、归档位置摘要和复核状态 |
+
+推荐流程：
+
+1. 员工或授权经办人在报销、采购、项目、合同、付款、资料整理任务等业务页面上传附件。
+2. 系统记录文件名、类型、大小、hash、上传人、上传时间、业务对象、附件类型和敏感级别。
+3. 草稿附件不计入正式归档；随业务提交后进入审批中或待复核状态，不能随意替换。
+4. 复核人或审批人在线预览，选择通过、退回、拒绝、隔离、归档或标记线下归档。
+5. 通过后，附件才进入正式业务附件清单；盖章合同、付款回单、验收材料等需要长期留存的生成 `EA-DOC` 索引或归档记录。
+6. 下载必须按角色、附件状态、敏感级别和业务关系判断；所有下载写审计日志。
+
+推荐状态：
+
+| 状态 | 说明 |
+| --- | --- |
+| 草稿 | 已上传但业务未提交，可由上传人替换或删除 |
+| 待复核 | 已上传，但尚未确认材料、脱敏、归类和业务适用性 |
+| 审批中 | 作为当前审批依据，替换需重新进入复核或审批 |
+| 已退回 | 需要员工补材料、改分类或重新上传 |
+| 已通过 | 可作为业务处理依据 |
+| 已归档 | 已进入正式归档或资料索引 |
+| 已隔离 | 疑似误传高敏资料或违规材料，普通员工不可见不可下载 |
+| 已拒绝 | 不属于当前业务或不允许入库 |
+
+下载控制建议：
+
+- 普通员工只能下载或预览自己草稿/退回阶段的必要附件；审批中和归档后的下载收紧。
+- 审批人、财务、项目负责人只在职责范围内预览或下载，下载需留痕。
+- 敏感附件下载需填写用途或原因，必要时需要负责人批准。
+- 不做普通员工批量下载。
+- 临时链接必须短有效期并绑定操作者。
+- 企业微信只发脱敏消息和 OA 链接，不承载附件。
+
+实现上，现有系统已有报销、采购、付款回单附件和审计日志基础，但目前更偏“上传后即成为附件”。如果采纳该需求，后续应新增一个 P1 实施任务：统一梳理附件复核状态、下载策略和隔离机制，先覆盖报销附件、采购附件、付款回单、项目/合同附件中的授权业务材料。
+
+V1 推荐功能边界：
+
+| 功能 | 是否纳入 | 说明 |
+| --- | --- | --- |
+| 业务页上传附件 | 是 | 依附报销、采购、合同、项目、资料任务等业务对象 |
+| 草稿/待复核区 | 是 | 业务未提交前为草稿；提交后进入审批中或待复核，不直接进入正式附件清单 |
+| 复核动作 | 是 | 通过、退回、拒绝、隔离、标记线下归档 |
+| 在线预览 | 是 | 复核人和有权限角色优先预览 |
+| 下载审计 | 是 | 所有下载记录操作者、时间、对象、用途 |
+| 敏感级别 | 是 | 决定可见范围、下载原因和是否只能线下归档 |
+| `EA-DOC` 索引 | 是 | 复核通过且需长期留存时生成资料索引 |
+| 版本历史 | 简化 | 记录替换/退回/复核历史，不做复杂版本树 |
+| 批量下载 | 否 | 小团队 V1 不开放普通员工批量下载 |
+| 外链分享 | 否 | V1 不做对外链接或公开分享 |
+| 通用目录/网盘 | 否 | 不允许员工自由目录浏览或全量共享 |
+
+成熟需求整理后，建议后续开发任务命名为：`业务附件受控入库 V1`，而不是“文件管理服务器”。
+
+## 分阶段落地顺序
+
+### Phase 0：边界冻结
+
+确认“全量原件主库不搬进 OA、OA 只在授权业务流程中保存必要原文附件”的红线；普通员工协作、Codex/AI、外发、报告和企业微信消息只能处理脱敏副本、低敏模板或摘要。
+
+### Phase 1：用现有 OA 做试点
+
+用公告签收、资产 `EA-DOC`、合同台账、项目、采购/费用、付款/AP 和待办完成 3-5 个真实或模拟样例，不先开发新功能。
+
+### Phase 2：制度发布和员工指导
+
+发布资料保密、费用报销、合同用印、采购、资产交接等第一批小团队 V1 制度；员工完成 OA 签收，并按 OA 任务模板开始资料整理。
+
+### Phase 3：制度联调回放
+
+按 7 个联调场景各跑一个样本，记录阻断、缺口和需要补字段的地方。能用现有模块解决的先用现有模块，不能解决的进入开发 backlog。
+
+### Phase 4：最小开发
+
+只开发经过试点证明必要的缺口，优先顺序是业务附件受控入库、资料协作任务模板、外发复核工作流、制度台账轻量页，再考虑导入工具和更复杂的台账。
+
+## 主要风险
+
+- 把 OA 当网盘使用，会把高敏原件暴露给无关人员、聊天工具或自动化报告。
+- 只整理文件夹，不进入 OA 流程，会造成资料有目录但没有责任人、状态、审批和审计。
+- 制度只发文不签收，会缺少员工告知和执行证据。
+- 外发材料只做脱敏不做正式文件审查，仍可能存在主体、日期、验收、付款和旧模板残留风险。
+- 员工或 AI 处理范围不清，会误读最终版、误删历史证据或输出敏感信息。
+- 法律、劳动、税务和合同条款风险需要另行专业复核，本次只做运营与文件体系审查。
+
+## 推荐下一步
+
+先用现有 OA 完成一个“一周运营试点”：
+
+1. 制度签收样例 1 条。
+2. `EA-DOC` 脱敏资料索引样例 10-20 条。
+3. 项目外发复核样例 1 条。
+4. 合同台账摘要样例 1 条。
+5. 入职/实习资料清单样例 1 条。
+6. 业务附件受控入库样例 1 条：员工或授权人员上传业务附件，负责人复核通过后入库，下载动作留审计；若用于外发或 AI 初审，则改用脱敏副本。
+
+试点后再决定是否开发“资料协作任务模板”和“外发复核工作流”。这样能最快把公司资料整理成果转成 OA 运营能力，同时控制高敏资料风险。

.trellis/tasks/05-28-company-docs-oa-ops-mapping/task.json

@@ -0,0 +1,32 @@
+{
+  "id": "company-docs-oa-ops-mapping",
+  "name": "company-docs-oa-ops-mapping",
+  "title": "公司电子资料与 OA 运营映射审查",
+  "description": "脱敏审查公司电子资料体系与 hyb-oa 运营、制度、台账、签收、复核和业务指导的配合方式。",
+  "status": "planning",
+  "dev_type": null,
+  "scope": "docs-analysis",
+  "package": null,
+  "priority": "P2",
+  "creator": "shunli",
+  "assignee": "shunli",
+  "createdAt": "2026-05-28",
+  "completedAt": null,
+  "branch": null,
+  "base_branch": "main",
+  "worktree_path": null,
+  "commit": null,
+  "pr_url": null,
+  "subtasks": [],
+  "children": [
+    "05-28-business-attachment-governance-v1"
+  ],
+  "parent": null,
+  "relatedFiles": [
+    ".trellis/tasks/05-28-company-docs-oa-ops-mapping/prd.md",
+    ".trellis/tasks/05-28-company-docs-oa-ops-mapping/design.md",
+    ".trellis/tasks/05-28-company-docs-oa-ops-mapping/research/oa-ops-mapping-recommendations.md"
+  ],
+  "notes": "",
+  "meta": {}
+}