BrightBean Studio 多团队与权限管理教程多工作区、RBAC 自定义角色与成员邀请完整实践【免费下载链接】brightbean-studioOpen-source, self-hostable social media management platform. Schedule, publish, and manage content across 10 platforms from a single dashboard. Free alternative to Buffer, Sendible, and SocialPilot.项目地址: https://gitcode.com/gh_mirrors/br/brightbean-studioBrightBean Studio 是一款开源、可自托管的社交媒体管理平台支持在一个后台集中调度、发布并管理 10 个平台的账号。本文将带你完整实践它的多团队管理能力如何拆分多工作区Workspace、如何用内置RBAC 角色体系Owner / Manager / Editor / Contributor / Client / Viewer与自定义角色控制 13 项细粒度权限以及如何走完成员邀请的全流程邀请、接受、重发、撤销帮助团队安全协作。一、权限总览组织 → 工作区 → 角色的三层结构BrightBean Studio 的团队协作采用三层模型层级含义典型用途组织Organization注册后自动创建是权限与计费的顶层容器一家公司 / 一个代理机构工作区Workspace组织下的独立项目空间成员按工作区分配角色每个客户或品牌一个工作区成员资格Membership用户在组织 各工作区中的角色绑定决定谁能做什么两层角色并存互不冲突组织角色3 种Owner/Admin/Member管组织级事务计费、API 密钥等工作区角色6 种 自定义Owner/Manager/Editor/Contributor/Client/Viewer管内容生产与发布。定义可参见 apps/members/models.py 中的OrgMembership、WorkspaceMembership与CustomRole模型。二、多工作区实践每个客户一个独立空间1. 创建工作区只有组织Admin 及以上可以创建工作区见 apps/workspaces/views.py 中的workspace_create。创建时你会自动成为该工作区的Owner并立即跳转到日历页开始排程。2. 配置工作区进入工作区设置页模板见 templates/workspaces/settings.html可以为每个工作区独立配置名称与 LogoJPEG/PNG/WebP/GIF≤ 2 MB时区、品牌色、默认话题标签、默认首条评论——让每个客户品牌开箱即有自己的风格审批流模式无审批 / 可选审批 / 内部必审 / 内部客户必审。做代运营时把客户品牌工作区设为内部客户必审内容必须经客户确认才能发布这是多团队场景最常用的配置。3. 归档与删除归档从侧边栏隐藏、禁止新建帖子但数据完整保留随时可恢复删除不可逆会连带删除该工作区的全部帖子、已连接账号、媒体与成员资格。系统内置了保护机制组织中最后一个活跃工作区无法归档或删除见 apps/workspaces/views.py避免团队误操作后无处可去。三、RBAC 权限体系6 个内置角色 13 项细粒度权限内置角色权限对照表内置角色的权限映射定义在 apps/members/models.py 的BUILTIN_ROLE_PERMISSIONS中核心规则一眼可读权限项OwnerManagerEditorContributorClientViewer创建帖子✅✅✅✅❌❌编辑他人帖子✅✅✅❌❌❌审批帖子✅✅❌❌✅❌直接发布✅✅❌❌❌❌管理社交账号✅✅❌❌❌❌查看分析数据✅✅✅❌✅✅使用收件箱 / 代回复✅✅✅❌❌❌管理工作区设置✅❌❌❌❌❌上传 / 编辑媒体✅✅✅✅❌❌删除媒体✅✅✅❌❌❌管理媒体库✅✅❌❌❌❌可以看出设计思路非常清晰Editor 是内容主力能编辑、能看数据、能回复评论但不能直接发布Contributor 是受限投稿者Client 是给外部客户看的只读 审批视角——这正是代运营公司的典型角色分工。自定义角色RBAC 的最后一块拼图当内置角色仍不满足需求时可以创建CustomRole在组织级别定义一个角色名 一个由 13 个权限布尔值组成的 JSON 权限集。成员只要绑定了自定义角色其effective_permissions就直接取自该角色优先级高于内置角色。典型用法创建一个叫实习生的角色——允许创建帖子、上传媒体但关闭查看分析数据和代回复即可给新人一个最小权限账号。四、成员邀请全流程从发起到接受1. 发起邀请仅 Admin 及以上在团队设置页填写邮箱选择组织角色Member 或 Admin并为每个工作区指定角色。邀请邮件包含一次性令牌7 天有效。2. 邀请的安全护栏自托管场景尤其贴心实现位于 apps/members/services.py内置了多重防滥用机制机制默认值说明邀请有效期7 天过期后需重新邀请单次邀请最多发送3 次防止反复轰炸邮箱重发冷却5 分钟防止按钮被连点组织每日邀请上限25 封防止账号被盗后批量拉人3. 接受邀请已有账号登录邮件链接直接接受组织成员资格 各工作区角色一次到位并自动跳转到第一个被分配的工作区新用户链接会把邀请令牌暂存会话注册完成后自动完成加入实现见 apps/members/views.py 的accept_invite邮件地址必须与邀请地址一致社交登录场景除外防止拿别人邮件注册。4. 重发与撤销重发生成全新令牌并刷新 7 天有效期受上表配额约束撤销立即使邀请失效地址可重新邀请。路由清单见 apps/members/urls.py全部操作都在/members/下完成。五、角色变更与移除成员不可越级授权核心安全规则服务层 apps/members/services.py 强制执行了严格的角色层级Workspace: Owner6 → Viewer1Org: Owner3 → Member1不能授予高于自己的角色——Manager 最多再邀请 Manager不能拉平级以上的管理员只有 Owner 才能授予组织 Admin 角色防止被盗管理员自我提权、复制权限不能提升为 Owner——组织所有权只能通过转让流程变更不能移除最后一位 Owner也不能移除自己。移除成员移除组织成员时会级联删除其在该组织所有工作区的成员资格见remove_member确保离职人员不留任何残留权限。六、实战建议代理机构的典型配置清单✅每个客户一个工作区品牌色、默认话题、首条评论按客户品牌配置 ✅ 客户工作区设为**内部客户必审审批模式客户账号用Client角色只读审批你的运营用Editor ✅ 运营主管用Manager可直发、可管账号文案/实习生用Contributor或自定义实习生角色 ✅ 组织Admin只给 1–2 个核心管理者Owner保持唯一避免权限扩散 ✅ 客户合同到期后先在工作区设置中归档**而非删除保留历史数据备查。七、相关模块速查模块路径角色与权限定义含 13 项权限键apps/members/models.py邀请/移除/角色变更服务层apps/members/services.py成员管理视图apps/members/views.py工作区模型与审批流模式apps/workspaces/models.py工作区设置/归档/删除逻辑apps/workspaces/views.py成员与邀请邮件模板templates/members/权限层级单元测试apps/members/tests/test_role_hierarchy.py平台功能架构说明development_specs/architecture.md掌握组织—工作区—角色三层模型后你可以在 BrightBean Studio 中为任意规模的团队搭建清晰、最小权限的协作体系客户只看自己品牌的审批与数据运营各司其职管理员稳握全局。【免费下载链接】brightbean-studioOpen-source, self-hostable social media management platform. Schedule, publish, and manage content across 10 platforms from a single dashboard. Free alternative to Buffer, Sendible, and SocialPilot.项目地址: https://gitcode.com/gh_mirrors/br/brightbean-studio创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考