# 谁能看到什么

## 两种角色

| | 成员（使用者） | 管理员 |
|---|---|---|
| 自己的会话、任务、用量、客户端 | 看得到、能管 | 看得到、能管 |
| 别人的会话 | 看不到 | 看得到列表（「全部会话」），看不到内容 |
| 订阅池、订阅授权 | 看不到，只看到自己的个人上限 | 能加、暂停、移除、授权 |
| 每人额度 | 只看自己的 | 能看所有人的、能设 |
| 使用者名单、邀请 | — | 能加、能移除、能发邀请 |
| 机器、加入码、维护 | 只看到自己有账号的那几台 | 全部 |
| 设置、审计 | — | 全部 |

成员打开管理页面（包括 `/admin` 下的任何地址和旧书签）看到的和打开一个不存在的地址一模一样——「页面不存在」（404），这一次尝试也记进审计。在日常的几页（概览、会话、我的用量）上，管理员和成员一样只看到自己那一份；看所有人的东西要去「管理」那一组。

## 管理员看得到什么，看不到什么

**看得到**（「全部会话」「按人用量」）：每个会话属于谁、在哪台机器、用哪个订阅、状态、用了多少 token、在做哪个任务。

**看不到**：会话里说了什么、改了什么代码。入口上没有任何一页、任何一个接口能读会话内容；会话记录只存在成员在机器上自己的账号里，机器上的账号之间互相读不到。

**要说清楚的一点**：机器的 root（系统管理员）在技术上能读机器上任何账号的文件。自托管时，这是你们自己的机器管理员；托管时，这是我们。删号时打包的家目录也在机器上（[开号与删号](accounts.md)）。

## 管理员能做什么，不能做什么

能做：

- 邀请人、移除人、收回机器上的账号
- 加订阅、决定谁能用哪个订阅、给每人设上限
- 看所有人的用量和会话列表、看审计
- 自托管：加机器、标维护、移除机器、改入口设置

不能做：

- 从入口读别人的会话内容
- 拿到订阅的长期凭据：凭据存进入口后，网页和命令行都不再把它给任何人看
- 在网页上加、删管理员：管理员只写在入口的部署配置里（[管理员手册](index.md)）
- 托管：登录到机器上、改机器（这些由我们做）

## 审计

控制台「管理 → 审计」：最近 60 天里谁在什么时候做了什么——加删人、发邀请、开号删号、加订阅、改授权和额度、维护、改设置、被拒的越权访问。可以按 订阅 · 服务节点 · 客户端 · 使用者 · 设置 · 会话 过滤，也可以 **导出 CSV**。

## 成员的客户端

一个人的每台电脑、每部手机都是一个「客户端」。管理员在「服务节点与客户端」页的「客户端」一栏能看到所有人的客户端，并作废其中任何一台（比如成员丢了手机）。作废后那台立刻连不上，成员要在那台上重新登录。移除一个使用者会一次作废他的全部客户端。

更多关于凭据怎么保存、多久过期，见 [安全与隔离](../security.md)。