一句话定义

伙伴库是分配给某一家合作伙伴的专属交换目录。 管理员创建目录、指定存储位置与配额，按用户、部门、用户组与伙伴联系人分别授权，权限细分为浏览、预览、下载、上传、管理与编辑六项，子目录可继承或单独设置，并可设置权限有效期。它承接的是持续的、结构化的文件交付——与临时性、事件驱动的文件包收发不是同一类场景。

一、这个能力解决什么问题

难的从来不是给供应商开一个共享目录，是开完之后的三件事。

第一件是权限粒度。业务的真实需求很少是”能访问”或”不能访问”这么粗——供应商要能上传质量报告，但不该看到其他供应商上传了什么；设计院要能下载图纸，但不该能删除；某些资料只允许在线看，不允许带走。用”读 / 写”两档权限去表达这些要求，结果一定是给多了。

第二件是子目录。目录一旦长出层级，”这个子目录到底继承了谁的权限”就成了没人敢确认的问题。多数越权访问不是配错的，是继承来的。

第三件是时间。项目结束了，人换岗了，合作终止了——但目录还在，权限还在。没有有效期的授权，会自然演化成永久授权。

典型的现状：

→ 为什么不该把 FTP 账号直接交给业务见 外部账号与密钥集中托管

二、怎么工作

2.1 目录挂在伙伴档案下，不是挂在存储上

伙伴库由管理员创建，指定存储位置与配额，归属于某一家合作伙伴。这意味着它天然带着伙伴这一层上下文：谁能访问它，取决于这家伙伴的联系人与本方的授权；合作终止时禁用这家伙伴，与之相关的目录权限随之失效。

存储位置既可以是平台自身的存储，也可以是企业已有的第三方存储资源——既有的 FTP/FTPS/SFTP 服务器、SMB 共享、对象存储都可以纳管为伙伴库目录，数据不迁移、位置不变。

→ 既有存储怎么纳管见 零迁移纳管既有传输资源

2.2 授权对象有四类

权限可以授予用户、部门、用户组与伙伴联系人。前三类是本方内部对象，最后一类是对方的外部账号。

这里的关键在于第四类：授权授给的是伙伴联系人这个外部账号，不是一个共享出去的链接或凭据。它可以被精准授权，也意味着每一次访问都能归因到具体的人。

→ 伙伴联系人与外部账号体系见 合作伙伴档案与收发策略

2.3 六项权限分开设置

六项分开的意义在于它们能组合出业务真正需要的形态。几个常见组合：

• 仅上传（上传，不给浏览）——供应商往里交件，但看不到目录里已有什么。这是收件场景最安全的配置。
• 仅在线看（浏览 + 预览，不给下载）——高敏感图纸可以看，不能带走。
• 只读交付（浏览 + 预览 + 下载，不给上传与管理）——单向下发资料。
• 双向工作区（浏览 + 预览 + 下载 + 上传）——需要来回交换的项目目录。

单向或双向，是权限组合出来的结果，不需要另建一套目录类型。

2.4 子目录：继承，或单独设置

子文件夹的权限支持继承与继承控制——可以随父目录继承，也可以在子目录上单独设置。建议的做法是”父目录给最小权限，子目录按需放开”，而不是父目录给足权限再逐个子目录收紧；后者一旦漏掉一个子目录，就是一个敞口。

2.5 权限有有效期

授权可以设置有效期，到期自动失效。这一条看起来只是个小设置项，实际是目录不会长成敞口的主要机制——项目制的协作、临时的第三方机构、阶段性的评审访问，都应当在授权时就写好终点，而不是指望事后有人记得来回收。

文件本身也有有效期控制，过期自动清理或归档。

2.6 上传下来的文件先过检查

伙伴往目录里上传的文件同样经过安全检查与审核，不会未经处理就进入内部。加密来件先解密验签、再执行威胁检测——顺序不能反过来，密文阶段的检测能力有限。

需要向目录批量投放文件时，也可以从平台内批量发送文件到指定目录，并可配置表单字段随文件留存。

→ 出入向的处理顺序见 文件出入向安全治理：顺序即安全

2.7 目录内的自动加密（可选组件）

伙伴库内的文件可以按 PGP 自动加密与签名，这项能力属于匿名加密交换模块（PRO），需单独选配。适用于双方均要求端到端加密、且交换持续发生的场景。

→ 对等加密的完整机制见 匿名加密交换（PGP 对等加密）

三、配置与运维要点

3.1 目录结构按方向划分，而不是按部门划分

推荐的做法是在一家伙伴的库下按交换方向分目录：下发区（本方给对方）、回传区（对方给本方）、共用工作区（双向）。方向决定权限组合，权限组合决定安全边界。按本方部门划分目录看似清晰，实际会让同一个外部账号在多个目录里拿到不一致的权限。

3.2 伙伴侧怎么接入

伙伴联系人可以通过 Web 访问伙伴库；需要用客户端接入时，可选配传输协议扩展，支持 FTP/FTPS、SFTP、SMB/CIFS、WebDAV。选哪种接入方式取决于对方的 IT 能力，而不是本方的偏好——对端连客户端都配不了时，应当改用链接型的交换机制。

→ 对端零部署时怎么办见 对端零部署的文件分发与收集

3.3 上传限制与访问限制配在前面

单文件大小、文件包总大小、文件类型白名单与黑名单在应用管理中配置；对访问来源有要求时可配置 IP 白名单与黑名单。这些限制应当在目录开放之前配好，而不是在出现问题之后补。

3.4 定期复核授权，而不是等到出事

即使设了有效期，也建议对长期存在的伙伴库做定期复核：这家伙伴还在合作吗、这些联系人还在职吗、这些权限还需要吗。平台的收发记录与访问日志可以支撑这项复核——哪些目录长期无人访问，本身就是一条应当被回收的信号。

→ 记录与审计见 文件出入向安全治理：顺序即安全

四、与其他能力的关系

• 本簇支柱：伙伴库在交换方式全区间里的位置 —— 人对系统的一档，承接持续、结构化的交付。→ 合作伙伴文件安全交换
• 谁能被授权 —— 伙伴联系人是外部账号，来自伙伴档案。→ 合作伙伴档案与收发策略
• 临时性收发用什么 —— 事件驱动的一次性交付走文件包。→ 伙伴邮：类邮件的对外文件收发
• 对端零部署的情况 —— 连账号都用不了的对端由链接机制承接。→ 对端零部署的文件分发与收集
• 目录里的自动加密 —— PGP 自动加密签名属可选组件。→ 匿名加密交换（PGP 对等加密）
• 既有存储怎么变成伙伴库目录 —— 数据不迁移、对端不改配置。→ 零迁移纳管既有传输资源
• 典型场景 —— 图纸与技术文档的供应商协同。→ 高端装备与精密制造的图纸外发 · 集成电路与半导体的内外部文件交换