按对象、关系、链路、权限、三服务器接入状态解释秀秀3.0
秀秀3.0 不是单一聊天工具，而是一套对象驱动的通信系统。这个页面把系统里所有关键对象讲清楚：公司、服务器、真人账号、秀秀账号、管理员账号、Bot、Bot账号、群组、好友、朋友圈、授权和龙虾连接。后续开发时，所有功能都应围绕这些对象和链路扩展。
先把对象和模块的边界说清楚，避免把"人、账号、Bot、服务器、权限"混在一起。
| 名称 | 类型 | 解释 | 例子 | 归属 | 主要能力 |
|---|---|---|---|---|---|
| 秀秀平台 | 系统 | 整套通信基础设施，不等于某一个公司客户端 | 秀秀3.0 | 平台方/主控 | 授权、部署、互联、公域索引、版本管理 |
| 主控服务器 | 服务器 | 平台方控制的主节点，当前也承担三机原型的主控角色 | 本机主控 main-host | 平台方 | 总控、同步、授权、全局配置、测试验证 |
| 子服务器 | 服务器 | 客户公司独立部署的一套秀秀服务 | 公司A南安、公司B守一 | 客户公司 | 本公司聊天、群组、Bot、朋友圈、私有数据 |
| 公司 | 组织 | 一个客户组织，是员工、Bot、群组、数据和权限的归属边界 | 南安公司、守一公司 | 公司老板 | 品牌定制、员工管理、Bot管理、对外审批 |
| 公司账号 | 租户 | 公司在秀秀平台里的租户身份，绑定授权码、域名和服务器 | company-a-nanan | 公司 | 激活授权、配置公司信息、连接公域 |
| 秀秀账号 | 登录账号 | 用户登录秀秀客户端使用的统一账号概念，可以对应真人或管理员 | u1、u2 | 某个服务器/公司 | 登录、会话、发消息、发朋友圈 |
| 真人账号 | 用户 | 真实员工或C端真人在系统中的身份 | 主控老板、南安员工、守一员工 | 公司或个人 | 聊天、加好友、入群、发真人秀、调用Bot |
| 管理员账号 | 权限 | 拥有管理权限的秀秀账号，不一定是超级管理员 | 公司老板、主控管理员 | 平台方或公司 | 员工管理、群管理、Bot管理、审批、审计 |
| 超级管理员 | 角色 | 平台方最高管理角色，管理所有客户部署和授权状态 | 我们自己的主控管理员 | 平台方 | 授权码、服务器启停、版本、全局监控 |
| 公司老板 | 角色 | 客户公司的最高管理角色 | 南安老板、守一老板 | 客户公司 | 本公司员工、Bot、群组、外联审批 |
| 员工 | 角色 | 公司内部普通使用者 | 南安员工A | 客户公司 | 聊天、群聊、朋友圈、调用允许的Bot |
| Bot | 智能体 | 可被私聊、入群、@调用、发Bot秀的虚拟成员 | 南安001配置员、守一执行BOT | 公司或个人 | 回复消息、执行任务、调用模型、发动态 |
| Bot账号 | 账号 | Bot在IM系统里的账号身份，和Bot能力配置分开 | lobster-config-001 | 公司/服务器 | 入群、收消息、发消息、被授权开放 |
| 龙虾模型/Agent | Agent | Bot背后的执行大脑，可以是OpenClaw本地Agent或外部模型 | 001、002、009、010 | 主控或服务器 | 运行时理解指令、生成回复、执行任务 |
| 替身BOT | 调度Bot | 代表用户或公司进行Bot调度和任务分发的入口 | 主控替身BOT、南安替身BOT | 公司/用户 | 调用其他Bot、转交任务、创建Bot流程 |
| 执行BOT | 任务Bot | 负责检查、测试、执行类动作 | 主控执行BOT、守一执行BOT | 公司/用户 | 跑验证、查状态、反馈结果 |
| 好友关系 | 关系 | 两个真人账号之间的双向或单向联系 | u1 添加 u2 | 服务器数据库 | 私聊入口、可见范围、通讯录 |
| 群组 | 关系容器 | 真人和Bot共同参与的会话空间 | 南安公司内部群 | 公司/群主 | 群聊、@Bot、成员管理、群内任务 |
| 群成员 | 关系 | 群组与真人/Bot之间的加入关系 | 南安001配置员在g1 | 群组 | 决定谁能收到群消息和被@ |
| 会话 | 通信 | 客户端看到的聊天入口，可能是单聊、Bot聊或群聊 | 与龙虾001的会话 | 用户视图 | 消息列表、发送框、引用、@ |
| 消息 | 数据 | 一次聊天内容，包含发送者、目标、内容、引用和时间 | @南安001配置员 检查服务器 | 服务器数据库 | 发送、存储、触发Bot、同步状态 |
| 朋友圈动态 | 模块 | 人和Bot都能发布的动态流 | 真人秀、Bot秀 | 公司/公域 | 发布、点赞、评论、跨公司可见 |
| 可见范围 | 权限 | 决定朋友圈或内容可以被谁看到 | 公开、仅本公司、授权公司、指定群 | 发布者/管理员 | 控制内容传播边界 |
| 授权关系 | 权限 | 服务器、Bot、群组或动态之间的跨边界访问许可 | A授权B查看某Bot秀 | 管理员 | 跨公司聊天、朋友圈同步、公域开放 |
| 公域Bot市场 | 平台模块 | 开放Bot的搜索和添加入口，远期支持付费 | 高考志愿填报Bot | 平台方/开放公司 | 搜索、添加、付费、评价 |
| 审计日志 | 安全模块 | 记录管理动作、授权动作和关键通信事件 | group.member.add | 服务器 | 追踪问题、合规、老板查看 |
| 授权码 | 商业 | 客户服务器激活和商业收费的凭证 | 15万授权码、年授权码 | 平台方 | 绑定公司、域名、服务器指纹、有效期 |
| 品牌定制 | 交付模块 | 客户可把秀秀改成自己的软件名、Logo、域名和客户端名称 | 正平、合众、南安内部通信 | 客户公司 | 名称、Logo、主题、域名、APP显示名 |
| 公域搜索 | 平台模块 | 跨公司搜索开放的真人、Bot、群组和服务 | 搜索"高考Bot" | 平台方/公域 | 索引、筛选、添加、授权跳转 |
| 开放Bot | 公域 | 公司选择性开放给外部用户使用的Bot | 南安开放客服Bot | 开放公司 | 外部搜索、外部会话、收费服务 |
| 付费Bot | 商业 | 超过免费额度或使用时长后收费的Bot服务 | 咨询超过30分钟付费 | Bot拥有方/平台 | 计费、套餐、权限续期 |
| C端真人用户 | 远期用户 | 非公司员工的普通实名用户 | 个人用户王某 | 个人 | 注册、实名、搜索、公域沟通 |
| 个人Bot | 远期Bot | C端真人自己创建和管理的Bot | 每人10个Bot | 个人用户 | 个人助理、内容发布、付费扩展 |
| 真人秀 | 朋友圈子模块 | 真人账号发布的朋友圈动态 | 员工今天发一条工作动态 | 真人账号 | 低频发布、实名约束、点赞评论 |
| Bot秀 | 朋友圈子模块 | Bot账号发布的朋友圈动态 | Bot发布产品说明 | Bot账号 | 高频发布、商业推广、内容分发 |
| 文件对象 | 数据 | 聊天或朋友圈里的附件、图片、语音文件 | 合同PDF、图片、语音消息 | 服务器文件服务 | 上传、下载、预览、权限校验 |
| 语音消息 | 消息类型 | 用户发出的语音内容，可转文字交给Bot处理 | 发语音给龙虾安排任务 | 聊天会话 | 录音、上传、转写、触发Bot |
| 语音电话/会议 | 远期通信 | 实时语音或会议能力，后续让用户和Bot通话 | 和龙虾开语音会议 | 通信底座 | 呼叫、会议、实时语音模型接入 |
| OpenApp | 插件模块 | 现有秀秀中的应用/插件能力入口 | 任务大厅、工具插件 | 平台/公司 | 扩展功能、嵌入页面、Bot工具调用 |
| 替身工作大厅 | 业务模块 | 现有秀秀里的替身任务、调度和汇报入口 | 替身接任务并分发给执行Bot | 公司/用户 | 任务创建、任务分发、进度汇报 |
| 任务对象 | 业务 | Bot或替身承接的一项工作 | 检查A/B服务器朋友圈同步 | 发起人/执行Bot | 创建、执行、状态、结果、失败重试 |
| 收件箱 | 消息模块 | 系统通知、任务通知、审批通知的集中入口 | Bot创建审批通知 | 用户账号 | 通知、未读、处理入口 |
| 适配器 | 技术模块 | 连接不同IM或外部系统的协议层 | local、OpenIM、Matrix、Mattermost | 服务器 | 消息转换、用户映射、外部系统接入 |
| API Key | 机器凭证 | 服务器间调用和同步使用的密钥 | X-Xiuxiu-Key | 服务器 | 鉴权、同步、阻断未授权调用 |
| Bot Token | Bot凭证 | Bot调用平台接口或模型工具的凭证 | bot_xxx_token | Bot账号 | 限制Bot能力和接口范围 |
| 客户端 | 访问端 | 用户进入系统的入口 | Web端、APP端、桌面端 | 用户/公司 | 聊天、通讯录、朋友圈、管理入口 |
| Web端 | 客户端 | 浏览器访问的完整工作台 | /web/ | 服务器 | 聊天、通讯录、朋友圈、管理 |
| 缓存 | 客户端模块 | 本地保留历史消息，避免上翻时反复重新加载和跳动 | 消息列表缓存 | 客户端 | 分页、增量同步、减少闪屏 |
| 风控 | 安全模块 | 限制刷屏、滥用Bot、敏感行为和实名风险 | 真人每天限发一条朋友圈 | 平台/公司 | 限频、审核、封禁、合规 |
架构里提到的所有模块统一归档，后续开发验收按此清单逐项检查。
分清层级关系、归属关系、逻辑关系和链路关系。
平台方 > 主控服务器 > 公司服务器 > 公司对象。公司 > 老板/员工/Bot/群组/朋友圈。
员工、Bot、群组、聊天数据默认归本公司服务器。Bot账号归属服务器，Bot能力可连接龙虾模型。
真人和Bot都是可通信主体。群组是人和Bot共同参与的容器。
内部消息只在本公司闭环。跨公司必须通过授权、公域或指定外部联系。
| 架构层 | 包含对象/模块 | 当前原型状态 | 生产版需补齐 |
|---|---|---|---|
| 访问层 | Web端、APP端、桌面端、浏览器/PWA | 已有 Web端和APP/PWA先行版 | 桌面封装、正式登录、多端互斥策略、通知推送 |
| 账号层 | 秀秀账号、真人账号、管理员账号、员工账号、C端实名账号 | 基础已有 当前用切换模拟登录 | 注册、登录、密码、Token、实名、角色绑定 |
| 组织层 | 公司、公司账号、主控服务器、子服务器、客户部署记录 | 已有 main-host、南安A、守一B三节点 | 部署向导、服务器指纹、授权码激活、品牌定制后台 |
| IM层 | 好友、会话、消息、单聊、群聊、群成员、引用、@Bot | 已有 基础聊天和群管理 | 未读已读、分页缓存、搜索、撤回、禁言、群公告 |
| Bot层 | Bot账号、龙虾Agent、替身BOT、执行BOT、Bot创建顾问、Bot Token | 部分已有 openclaw和echo两类 | Bot创建后台、能力配置、工具权限、异步任务队列 |
| 朋友圈层 | 真人秀、Bot秀、公开/本公司/授权公司/指定可见 | 已有 发布、点赞、评论、跨公司公开同步 | 独立入口、频次、图片文件、审核风控 |
| 互联层 | 授权关系、中转事件、API Key、适配器、公域搜索、公域Bot市场 | 基础已有 服务器记录、授权表、公开动态同步 | 实时跨公司聊天、外部Bot搜索、付费Bot、公域索引服务 |
| 媒体层 | 图片、文件、语音消息、语音转文字、语音电话、会议 | 待补 仅有文件元数据概念 | 真实上传、对象存储、语音识别、LiveKit/Jitsi会议底座 |
| 安全层 | 权限、审计、风控、踢下线、Token刷新、授权码、加密商业模块 | 基础已有 API Key和审计动作 | 完整RBAC、操作审批、合规风控、授权码商业控制 |
| 扩展层 | OpenApp、替身工作大厅、任务对象、收件箱、Webhook、第三方IM适配 | 概念已有 Bot任务和调度方向明确 | OpenApp插件体系、任务状态机、通知中心、adapter SDK |
当前三台服务器已部署，Bot对象存在；龙虾接入状态按Bot类型区分。
权限上要区分"账号能不能登录"和"对象能不能操作/对外沟通"。
| 角色/对象 | 能做什么 | 不能做什么 | 关键权限字段 | 和Bot的区别 |
|---|---|---|---|---|
| 超级管理员 | 管理所有服务器、授权码、版本、公域规则 | 原则上不直接读取客户私有聊天数据 | platform_admin server_admin license_admin | 是管理角色，不是会话成员 |
| 公司老板/管理员 | 管理本公司员工、Bot、群组、审批外联、查看审计 | 不能越权管理其他公司私有数据 | company_admin bot_admin group_admin audit_read | 可以给Bot授权或禁用Bot |
| 普通员工 | 聊天、加好友、入群、发真人秀、调用授权Bot | 不能创建无限Bot、不能审批跨公司开放 | chat_send moment_post bot_call | 是真人主体，需实名/员工身份 |
| Bot账号 | 收消息、回复、入群、发Bot秀、执行授权任务 | 不能默认管理公司、不能越权读所有聊天 | bot_enabled bot_scope model_access external_access | 是虚拟主体，需要受真人或公司管理 |
| 替身BOT | 调度其他Bot、转交任务、发起创建Bot流程 | 不能绕过管理员审批开放外部权限 | bot_dispatch bot_create_request bot_call_chain | 比普通Bot多调度权限，但仍受授权约束 |
| 执行BOT | 执行检查、测试、部署验证类任务 | 不能擅自修改授权、删除数据、越权访问服务器 | task_execute test_run deploy_check | 偏执行，不负责最终审批 |
| 服务器API Key | 服务器间同步、上报、中转调用 | 不能作为真人登录客户端 | server_id api_key enabled | 是机器权限，不是聊天对象 |
| 授权关系 | 允许服务器、Bot、群组或动态跨边界访问 | 默认拒绝未授权访问 | source_server target_type target_id enabled | 是权限规则，不是账号 |