2026 年 9 月 1 日至 10 月 21 日，一粒云 KWS 标准版完成一轮功能更新，覆盖后端 5.1.3 标准版本与摆渡前端 exchange-v3.2。本次更新围绕文件收发、管理员统计和安全策略，让日常摆渡更易用，过程更便于管理和追溯。

收发摆渡，像管理文件一样直观

电脑端「我收到的」「我发送的」升级为资源管理器式界面，可在图标网格和列表视图间切换。卡片按文件类型展示图标，并区分单文件与多文件信件；打开后可从侧边详情查看信件与处理流程。

收件列表可直接查看发件人的姓名、网络和部门。收发列表支持按今日、本周、本月筛选；发送文件时，也可以将文件拖入「我发送的」列表区域，补充收件人和信件信息后立即发送。信件支持勾选删除，列表总数按信件封数统计。

图 1：图标与列表视图展示收件信息，侧栏查看信件详情和处理流程。

发信表单也更灵活：「附件信息」仅在单位配置相关信息类型后出现，且无需强制填写。选收件人时，网络列表只显示当前网络通过已启用链路可达的目标，减少选错网络导致的提交失败。

摆渡统计，次数、文件数和体积一并查看

管理员可在「摆渡统计」中分别查看信件摆渡与映射摆渡，两类数据独立呈现、不混合汇总。统计支持按天、周、月查看，并可筛选日期范围、流转方向、用户和部门；图表与表格展示成功、失败、驳回和审批中数量。

报表增加文件数量与文件大小，可导出 CSV，方便日常核查和汇报。

图 2：信件与映射摆渡分开统计，并展示状态、文件数量和文件大小。

安全策略，按需启停并覆盖目录映射

管理员可在「摆渡审批 → 安全配置 → 安全策略」启用或停用病毒查杀、敏感词识别。策略切换后立即保存；停用时，相关检查节点按配置自动跳过并记录处理状态。

敏感词和特征检查也应用于共享数据流转的映射文件。检查开启时，文件命中规则、检测超时或未返回结果，会按未通过处理，不进入后续审批或对端传输；文件夹本身不检测，目录内文件分别检查。

「伪造文件识别」支持维护格式文件样本，单个样本不超过 2 MB。映射文件需要审批时，系统可正常生成对应审批记录，并在「摆渡审批 → 审批任务」中查看。

面向日常使用与管理的改进

本轮更新还包括收发信件删除与数量统计修正、摆渡报表 CSV 导出，以及发信网络范围按已启用链路过滤。配合个人发信、共享数据流转、审批流程、安全检测和摆渡审计，KWS 标准版帮助组织将文件交换纳入可管理、可核查的流程。

一粒云 KWS 标准版
让文件跨网流转更直观，让安全检查、审批与统计更清晰。

企业微信里的组织架构和成员信息，可以与一粒云云盘建立集成。完成管理员授权后，企业可按需选择同步成员，并让员工使用企业微信登录云盘，减少重复维护账号和部门信息的工作。

组织和成员按企业需要同步

企业管理员完成授权后，可以读取企业微信通讯录中的部门和成员信息，再从成员列表中选择需要进入云盘的人员。同步前可结合当前套餐账号名额进行确认，通讯录中的外部成员不会仅因授权而自动成为云盘账号。

成员同步后，系统会把成员放入对应部门，并默认分配普通用户角色。后续需要调整文件访问范围时，仍由云盘管理员在组织和权限管理中配置。

组织同步规则由管理员设置

企业可按实际管理方式开启组织同步，并设置外部成员删除策略、新增成员处理策略和全量校准周期。这样可以让云盘组织信息跟随企业微信变动，同时保留管理员对账号变更的控制。

员工可通过企业微信登录

管理员开启企业微信登录后，员工可以在一粒云登录页选择企业微信入口。首次登录时，如果账号尚未绑定手机号，系统会提示完成手机号绑定。

如果手机号或邮箱匹配到已有账号，系统会提示管理员核验并确认绑定关系；企业微信登录不会自动再创建一个重复账号。

分工清晰，上线步骤更容易落地

企业微信服务商接入由平台运营管理员提前完成；企业管理员负责添加集成、确认授权范围、选择成员并设置同步规则；员工只需从登录页使用企业微信进入云盘。按角色分开处理，能让配置职责和日常使用路径更清楚。

开始使用前，请先由平台侧完成服务商接入，再由企业管理员完成租户授权和成员同步。操作步骤见配套的管理员配置指南与员工登录指南。

本指南适用于一粒云平台运营管理员或服务商技术人员，用于完成企业微信第三方应用与一粒云平台之间的一次性接入。企业客户的租户管理员不需要填写 SuiteSecret、Token 或 EncodingAESKey；租户侧操作请参阅《企业管理员如何授权并同步企业微信通讯录》。

一、在企业微信服务商后台准备第三方应用

先创建并配置企业微信第三方应用，按功能需要申请通讯录基本信息只读、组织架构等权限；涉及成员敏感信息的权限应按最小必要原则申请，并由企业微信管理员审阅。按照企业微信后台要求配置数据回调 URL、指令回调 URL、Token 和 EncodingAESKey，并保持 Ticket 刷新处于开启状态。

回调地址必须是企业微信能够访问的公网 HTTPS 地址。不要使用内网 IP、localhost 或临时测试地址。应用权限和可见范围应按实际功能需要设置。

二、在一粒云 SaaS 运营后台保存平台配置

进入 SaaS 运营管理后台的“第三方集成平台配置”，选择“企业微信”，按字段填写 SuiteID、服务商 CorpID、SuiteSecret、回调 Token、EncodingAESKey，以及平台要求的公网回调基础地址和企业微信回调地址。核对后保存平台配置。

保存后检查页面是否显示 suite_ticket 接收成功。确认平台收到企业微信的接入校验信息后，租户管理员才能继续发起企业授权。

三、交接给租户管理员完成企业授权

平台配置完成后，通知对应企业的租户管理员进入云盘管理后台添加企业微信集成。后续由该企业的企业微信管理员扫码授权，并选择应用可见范围。

凭据保管要求

SuiteSecret、Token 和 EncodingAESKey 属于敏感凭据。仅在受控的管理后台录入，不要放入文章、截图、工单或聊天记录；如凭据已经出现在公开材料中，应按企业微信的安全流程尽快轮换。

企业管理员完成企业微信集成、授权并开启登录后，已纳入同步范围的员工可以直接从一粒云登录页使用企业微信进入云盘。

登录步骤

1. 打开企业使用的一粒云云盘登录页。
2. 在登录方式中选择“企业微信登录”。
3. 按页面提示完成企业微信身份确认。
4. 如果这是首次登录且账号尚未绑定手机号，按提示绑定本人手机号后继续。

首次登录时的账号绑定

如果手机号或邮箱对应到可能已有的云盘账号，系统不会自动创建第二个账号。请联系企业云盘管理员核验账号归属并确认绑定关系，再重新登录。

手机号绑定和账号核验用于确认登录身份。不要把短信验证码、登录二维码或账号密码转发给他人。

看不到入口或登录失败时

请联系企业管理员确认企业微信集成状态为“已连接”、已开启“企业微信登录”，并且你的账号已在授权可见范围内且完成同步。登录成功后可访问的文件仍由云盘内的目录权限决定。

本文适用于云盘租户管理员。平台侧完成服务商接入后，管理员可以把企业微信集成添加到当前租户，完成授权，再选择要同步的成员并配置组织同步规则。

第一步：在云盘管理后台添加集成

进入“管理后台 → 第三方集成”，找到企业微信并点击“添加集成”。添加成功后，集成状态会显示“等待授权”。

第二步：由企业微信管理员完成授权

点击“企业微信一键授权”，按页面提示进入企业微信授权流程。请使用企业微信管理员账号确认授权，并选择应用可见范围：可以选择整个组织，也可以只选择需要使用云盘的部门或成员。

授权范围应与实际使用范围一致。授权完成后，云盘中的企业微信集成状态会变为“已连接”。

第三步：选择要同步的成员

进入企业微信集成的“成员同步”，查看已读取的外部成员，勾选需要创建或关联到云盘的成员。开始同步前，请先核对套餐账号名额；通讯录成员不会因为授权成功就自动全部变成云盘账号。

确认选择后点击“开始同步”。如果手机号或邮箱匹配到可能已有的云盘账号，需要由租户管理员确认绑定关系，避免重复账号。

第四步：按需要设置组织同步和登录

在“同步设置”中可以分别管理组织同步和企业微信登录：

• 组织同步： 开启后，设置定期校对部门和成员信息的周期，并选择外部成员离开或被移除时的账号处理方式，以及新成员是否需要管理员确认后再同步。
• 企业微信登录： 需要让员工通过企业微信进入云盘时，单独开启此选项并保存。

每项配置完成后都要保存。调整删除策略前，建议先确认它作用于哪些由同步创建的账号。

第五步：检查部门和成员

同步结束后进入“组织管理”，检查部门结构和成员归属是否符合预期。同步成员默认获得普通用户角色；如果业务需要访问特定文件或目录，再由管理员按企业权限规则分配访问权限。

常见情况

• 找不到某位成员： 检查企业微信授权可见范围，并确认该成员已被租户管理员勾选同步。
• 提示账号可能已存在： 请租户管理员核验手机号或邮箱对应的账号并确认绑定，不要重复创建账号。
• 员工看不到企业微信登录入口： 检查租户集成是否已连接，以及“企业微信登录”是否已开启。

研发资料和办公文件分别运行在不同网络中，既要维持网络边界，也需要让业务文件按需流转。江西汉可泛半导体采用一粒云 KWS 隔离网交换方案：研发网和办公网各部署一套云盘，两套云盘之间通过 KWS 进行文件摆渡与内容出入网审查。

项目配置包括研发网 150 人、办公网 200 人、两套云盘设备，存储总容量 300T。

图 1｜项目规模与方案要点

项目架构：两套云盘，KWS 作为受控交换通道

研发网和办公网分别使用独立的一粒云云盘，文件留存在各自网络的存储环境中。跨网络文件交换通过 KWS 完成，避免把两侧云盘直接连成同一存储空间。

研发网（云盘一，150 人） ⇄ KWS 隔离网交换与内容审查 ⇄ 办公网（云盘二，200 人）

图 2｜研发网、KWS 与办公网之间的受控文件流转

文件如何跨网流转

1. 文件保存在所属网络的云盘

研发资料进入研发网云盘，办公资料进入办公网云盘。两侧用户分别在本网络的云盘中访问和管理文件，满足各自的日常使用需要。

2. 跨网需求统一经过 KWS

当业务需要在两侧网络之间传递文件时，通过 KWS 进行摆渡。KWS 对出网和入网文件执行内容审查，使交换从网络边界处经过受控通道。

3. 文件到达目标网络后继续由目标云盘管理

文件通过交换流程后进入接收侧对应的云盘，后续存储和使用仍由目标网络侧管理。研发网和办公网保持各自的云盘及存储边界。

项目配置一览

方案价值：保留边界，让文件按需流转

这套方案将两类能力分工明确：两套云盘分别承载研发网和办公网内的文件存储；KWS 负责两侧之间的文件摆渡与内容出入网审查。网络隔离边界得以保留，业务需要交换的文件则通过统一通道流转。

对半导体研发和办公协作场景而言，方案重点解决三个问题：

• 分网存储： 研发网、办公网各自使用云盘，存储范围清晰。
• 受控交换： 两侧文件摆渡经过 KWS，不将跨网传输变成云盘之间的直接互通。
• 内容审查： 文件出网、入网均纳入内容审查流程，便于按组织的安全策略管理交换。

面向研发与办公分网场景的参考架构

江西汉可泛半导体项目采用两套云盘、合计 300T 存储空间，分别服务研发网 150 人和办公网 200 人，并通过 KWS 实现两侧文件摆渡和内容出入网审查。

一粒云云盘承载网络内文件管理，KWS 连接受控交换流程。 在保持研发网与办公网边界的同时，为有需要的文件建立清晰的流转路径。

科研实验室、检测机构、制造企业和政企数据中心，经常需要让内网数据参与外部协作。跨网交换的关键不只是“文件能不能传过去”，还包括：文件内容是否符合外发规则、由谁申请和批准、交换过程是否经过安全检查，以及文件到达外网后如何管理访问、下载和共享。

一粒云 KWS 与网闸配合，将文件内容检查、业务审批、隔离传输和外网侧持续管理串成一条可追溯的数据交换链路。根据外部协作和存储方式，目标端可以选择 外网 NAS，也可以选择 一粒云企业网盘。

图 1：从内网 NAS 选择文件，经 KWS 安全处理和审批后，通过网闸进入外网存储。

一、总体架构：安全链路相同，外部落点可选

两种方案共用同一条受控交换链路：

实验仪器 / LIMS / 分析系统 → 内网 NAS → KWS 申请与安全处理 → 网闸隔离传输 → 外网接收区 → 外网 NAS 或企业网盘

其中，NAS 负责集中存储和目录权限；KWS 负责交换申请、内容识别、安全检查、审批与过程留痕；网闸负责按照网络策略完成跨安全域传输；外网 NAS 或网盘负责接收后的权限管理和协作。

图 2：内网数据生产与存储、隔离交换管控、外网协作管理的总体关系。

核心原则：KWS 与网闸职责互补。 网闸建立网络隔离边界并执行受控传输；KWS 根据业务策略判断文件是否具备交换条件、由谁批准，并记录交换过程。文件通过了审批，不代表网络边界被打通；网络边界允许传输，也不代表任意文件都可以外发。

二、共用的安全交换流程

1. 数据先进入内网 NAS

实验仪器、LIMS、分析系统或用户工作站将数据存入内网 NAS。通过统一目录、团队权限和共享规范确定正式数据源，减少个人电脑、移动介质等非受管入口。

2. 用户从受管目录发起申请

申请人选择需要交换的文件，说明业务用途、目标网络区域和接收位置。审批规则可按组织、人员、文件类型或业务流程配置；高敏感数据可要求更严格的审批链。

3. KWS 执行内容检查

KWS 按已配置的文件识别、敏感信息检测和病毒查杀规则处理待交换文件。检查结果作为审批和放行依据之一；无法识别、命中规则或检测异常的文件，可按单位策略转人工复核、退回或隔离处理。

实际识别范围取决于部署的检测引擎、规则和文件格式支持情况，建议在上线前用典型实验文件、报告、图片和压缩包验证规则效果。

4. 审批通过后进入交换队列

审批人查看申请信息和检查结果，批准后才允许文件进入跨网交换流程。KWS 关联申请人、审批人、检查结果和文件信息，便于事后核查“谁申请、谁批准、检查了什么、为何放行”。

5. 网闸按策略传输

通过审批的文件进入受控交换区，由网闸依据配置的方向、目录、协议和访问策略传输。内外网 NAS 不直接互相挂载，也不因交换需求建立任意网络连通。

6. 外网侧接收并持续管理

文件先落入外网侧指定的接收目录或接入服务，再由目标存储完成归档。KWS 侧留存申请与交换记录；NAS 或网盘侧继续记录文件访问、下载、分享等操作，形成跨系统的追踪线索。

三、方案 A：内网 NAS → 外网 NAS

架构与流程

内网 NAS → KWS 检查与审批 → 网闸 → 外网接收区 → 外网 NAS

在外网 NAS 上按项目、部门或合作对象划分接收目录。审批通过的文件经网闸进入外网接收区，再写入指定 NAS 目录。接收完成后，由外网 NAS 管理员配置目录权限、共享对象和保留策略。

适用特点

• 适合已有外网 NAS、需要大文件或批量文件落地的环境。
• 文件保存在企业控制的存储节点，便于对接现有备份、归档和容量管理。
• 外网 NAS 可继续承担二次权限管理、版本管理、协作共享和访问日志记录。
• 不要求把外部协作文件统一放到云盘，适合希望维持 NAS 目录和运维体系的单位。

实施要点

• 为交换建立专用接收目录，避免写入外网 NAS 的任意共享路径。
• 采用最小权限服务账号，仅开放目标目录所需的写入权限。
• 按项目或接收方设置外网侧 ACL，交换批准与外部可见权限分开管理。
• 对大文件、批量目录和重名文件明确处理规则，并用交换单号关联 KWS 与 NAS 侧记录。

四、方案 B：内网 NAS → 外网一粒云企业网盘

架构与流程

内网 NAS → KWS 检查与审批 → 网闸 → 外网接收区 / 接入服务 → 一粒云企业网盘目标目录

KWS 与网闸完成的安全检查和审批步骤与 NAS-to-NAS 相同。差别在于，文件跨越隔离边界后不直接归档到外网 NAS，而是由外网侧接入服务将文件写入一粒云企业网盘中指定的团队空间、项目目录或协作目录。

目标侧接入方式应结合现有 KWS、网盘版本和部署网络确认。若网盘部署在外网区，接入服务可在该安全域内完成落盘或上传；若网盘位于云端，则需按单位网络策略配置最小必要的外联访问和认证方式，不应因此开放内网直连。

适用特点

• 适合文件到达后需要快速分发给多个团队、项目组或外部合作方的场景。
• 可利用网盘的用户、组织和目录权限进行二次授权，并通过版本管理、分享和访问记录支持持续协作。
• 交换审批决定文件能否跨网；网盘权限决定文件到达后谁能查看、下载或继续分享，两者应分别配置。
• 适合希望把“跨网交换”和“外部协作空间”连接起来的业务流程。

实施要点

• 为交换服务配置专用身份，并限制其可写入的网盘空间和目录。
• 目标目录采用明确的团队或项目权限，不让交换服务账号成为全盘管理员。
• 对外分享权限、链接有效期和下载权限在网盘侧按业务策略配置。
• 关联 KWS 交换单号、目标目录和网盘侧操作记录，便于从申请追溯到后续访问与分享。

五、两种目标存储如何选择

两种模式可以并存：需要长期归档或受控交付的数据进入外网 NAS；需要团队协作和阶段性共享的数据进入网盘。具体目标应由数据等级、接收对象、保留要求和现有存储体系共同决定。

六、部署时建议重点核对

1. 网络分区：明确内网 NAS、KWS 处理区、网闸、外网接收区和最终存储之间的路径，逐项核定允许的方向、端口和服务。
2. 检查策略：确定文件类型范围、敏感信息规则、病毒检测策略、异常文件处置方式和人工复核责任人。
3. 审批责任：按数据级别定义申请人、业务审批人和安全审批人，避免“能上传”被误当成“已获准外发”。
4. 账号权限：交换服务使用独立账号；NAS 和网盘目标端只开放必要目录和操作权限。
5. 失败与重试：定义传输中断、重名文件、重复提交和目标存储不可用时的处理方式，避免不完整文件被接收方误用。
6. 审计关联：为每次交换保留统一的申请或任务标识，将 KWS 检查审批记录与网闸传输结果、NAS/网盘访问记录关联起来。
7. 验收验证：用允许、拒绝、敏感命中、病毒样本、超大文件、传输中断和外部共享等场景验证全流程，并确认日志可按任务追查。

结语：摆渡完成后，数据管理仍要继续

NAS-to-NAS 适合将数据交付到企业管理的外网存储；NAS-to-网盘适合让已获准交换的数据继续进入团队和外部协作流程。两者都应保留 KWS 的内容检查与审批、网闸的网络隔离，以及目标存储端的权限和访问管理。

内网 NAS 管好数据源，KWS 管好交换过程，网闸守住网络边界，外网 NAS 或网盘管好后续协作。

这样，跨网交换才不止回答“文件传没传过去”，还能够追溯“谁申请、谁批准、检查了什么、传到哪里，以及后续谁访问和共享”。

SaaS 系统 1.2.0 现已更新。本次围绕企业协作与日常使用体验，带来多企业账号管理、微信及企业微信登录、通讯录同步、活动收集外链和桌面同步等新能力，并对组织权限、文件处理和界面体验进行了优化。

一个账号，管理多个企业

现在，一个账号可以关联、创建并切换多个企业。登录方式也更加灵活：支持企业微信和微信扫码登录，并可进行账号绑定。

企业微信通讯录同步和集成管理现已加入。邀请成员时，可以选择所属部门，并通过手机号或邮箱验证、设置密码，帮助企业更顺畅地完成成员加入流程。

组织架构管理同步增强：支持部门标签、管理员批量管理和导入预览。管理员可按昵称搜索、批量移除；同时修复管理员归属校验、无法按昵称搜索、无法批量移除及可移除自身权限的问题。成员管理新增冻结、解冻和离职交接处理，让组织变更更有序。

文件收集与云端迁移更方便

新增活动收集外链。外部参与者可通过链接提交文件，管理者可按需设置文件格式限制，并创建文件夹、重命名文件或文件夹，便于整理收集内容。

本次还新增云端迁移任务管理，方便查看和跟进迁移任务。针对文件协作，修复了 OnlyOffice 保存后文件下载失败或版本不一致的问题，也修复了文件拖拽框选越界问题。

外链访问安全也得到加强：修复了未完成验证便可查看文件列表的问题。部门删除逻辑同步修复，避免仍有成员的部门被误删。

桌面端同步更可靠

桌面端新增后台同步、令牌自动续期、失败任务重试和剪贴板上传能力，帮助日常文件同步与上传更顺畅。

同时修复桌面同步令牌过期、空文件冲突和任务无法恢复的问题，并补齐 Windows 登录窗口的关闭与最小化按钮。

安全与使用体验持续优化

新增短信验证码安全挑战。账号规则调整为 6～20 位，可使用字母、数字和下划线，不再要求必须包含数字。

登录、注册、邀请和企业选择页面，授权弹窗、组织架构、部门标签及外链管理界面均得到优化；界面主题、图标和多语言提示也进一步统一。

1.2.0 更新内容一览

新增功能

• 支持一个账号关联、切换和创建多个企业；支持企业微信、微信扫码登录及账号绑定。
• 新增企业微信通讯录同步和集成管理。
• 邀请加入企业支持选择部门、手机号或邮箱验证及设置密码。
• 新增活动收集外链，支持文件上传、文件夹创建、重命名和格式限制。
• 组织架构支持部门标签、批量管理员管理和导入预览；成员支持冻结、解冻及离职交接。
• 新增云端迁移任务管理和短信验证码安全挑战。
• 桌面端支持后台同步、令牌自动续期、失败任务重试及剪贴板上传。

问题修复与规则调整

• 修复活动外链未验证即可查看文件列表、OnlyOffice 保存后下载失败或版本不一致的问题。
• 修复文件拖拽框选越界、部门删除时可能误删仍有成员部门的问题。
• 修复桌面同步令牌过期、空文件冲突及任务无法恢复的问题；补齐 Windows 登录窗口关闭和最小化按钮。
• 修复管理员归属校验错误、无法按昵称搜索、无法批量移除及可移除自身权限的问题。
• 账号支持 6～20 位字母、数字和下划线，不再要求必须包含数字。

体验优化

• 优化登录、注册、邀请和企业选择页面。
• 优化授权弹窗、组织架构、部门标签和外链管理界面。
• 统一界面主题、图标及多语言提示。

欢迎体验 SaaS 系统 1.2.0，感受更顺畅的企业协作与文件管理体验。