精细管理员权限：最小权限原则与基于角色的访问控制

群主、管理员和其他所有人

一个大型群组有三个层级，而不是两个。群主是唯一一个拥有他人所没有的权力的账号：转让群组、删除群组，以及移除任何人，包括管理员。管理员拥有被授予的那些权限。成员拥有群组通用设置所允许的一切。

在动手之前，中间这一层级有两个特性值得了解。

管理员只能传递自己所拥有的权限。一个不能封禁他人的人，无法把这项权力授予别人。正是这一点，阻止了一次过于慷慨的提拔在整个管理团队中蔓延。

群主是单点故障。如果那个账号丢失，没有任何流程能恢复对群组的控制，这就是为什么对任何运营社群的人来说，第 008 步中的两步验证都不是可选项。转让群主身份还要求该保护已经启用了一段时间，因此无法在紧急情况下临时安排。

各个开关，以及每个开关的真正含义

第三列才是这张表的重点。这些权限大多比它们的名字所暗示的要多做一点，而多出来的那部分正是意外所在。

再读一遍最后一行，因为它是唯一性质不同的一项。其他所有权限造成的损害你都可以修复。而那一个可以把你的群组交给别人，而且它并不需要你信任的那个人本身不可靠——只需要他们的账号被盗，这正是第 008 步所针对的场景，而志愿者对账号的保护往往不如群主那么小心。

三个组合，而不是九个决定

为每个人逐个开关地做决定，会产生一套没人能描述清楚的不一致管理员配置。把两三种形态记在脑子里并使用它们，会更容易。

版主。删除消息和限制成员，仅此而已。这是大多数志愿者真正想要的角色，它覆盖了几乎所有日常需要做的事。他们不能更改群组，不能提拔任何人，也不会成为不可逆事件的起因。

组织者。置顶、邀请链接、视频聊天、话题。负责活动和迎新、对管理不感兴趣的人。注意这个组合完全不包含破坏性权力。

副手。除添加管理员之外的一切权限。只选一个人，因为社群需要有人在你不在时能采取行动。唯一被扣下的那个开关，正是让这一安排可恢复的关键。

机器人有它们自己的版本，而且是最严格的。作为管理员添加的机器人能以机器速度执行其权限所允许的一切，而控制它的人未必是推荐它的人。第 067 步涵盖了这个主题；这里适用的规则是：机器人永远不应拥有添加管理员的权限，也不应拥有任何它显然不需要的其他权限。

现在试一试——五分钟

四个步骤，第一步在你运营的任何群组里只需三十秒。

1. 打开你的管理员列表，检查一件事 谁拥有添加管理员的权限。在大多数群组里答案是所有人，因为没人把它关掉。
2. 从所有不是你的人身上移除它 可能除了一个副手之外，即便如此也要考虑他们是真的需要它，还是只是恰好拥有它。
3. 看看机器人能做什么 机器人会出现在同一个列表里。任何拥有超出其功能所需权限的机器人都应该被削减，第 067 步解释了为什么这件事比听起来更重要。
4. 给你的版主一个与其权力匹配的头衔 如果某人被标为客服却不能限制任何人，那么要么头衔错了，要么权限错了，而发现这一点的是成员。

同一屏的另一半

权限有两个方向，而大多数人只用其中一个。给管理员授予权力的那一屏，有一个对应的界面可以从单个成员身上移除权限，而它是版主最少使用、却最应该使用的工具。

在群组中打开某个成员的条目，会给你同样类型的反向开关：这个人是否可以发送消息、媒体、链接，或添加任何人——以及持续多长时间。几小时、一天、一周，或无限期。

这种精细度很重要，因为替代方案是非此即彼的。面对一个发帖太多、争吵得很难看，或在每段对话里都丢链接的人，一个不熟练的版主脑子里只有两个选项：什么都不说，或者移除他们。前者毫无作用，而后者是永久的、在小群里是公开的，还会产生一个有人要处理一个月的怨气。

限制两者都不是。一个一周内不能发链接的人仍然是成员，仍然在阅读，仍然能说话，并且收到了一个清晰而相称的回应。大多数时候他们只是不再做那件事了。

两条实用提示。选择一个期限而不是无限期，因为无限期限制就是一个没人会记得解除的封禁。而且要告诉对方，简短地、通过私信——一次无声的限制会产生一个以为应用坏了、并在群里发问的人，这对所有人来说都比一句话更糟。

添加版主，以及收回权限

运营一个团队有两个部分在社交上很尴尬、在技术上却很容易，这意味着它们往往被回避而不是被完成。

提拔。错误在于提拔一个乐于助人的人。乐于助人并不等于想要做管理，而一个出于礼貌而接受的志愿者在关键时刻不会采取行动。先询问，描述你实际想让他们做什么——通常是“删除明显的垃圾消息，并禁言那些大喊大叫的人”——然后给他们版主组合而不是全部权限。之后需要更多权限的人，十秒钟就能加上。

移除。版主会变得沉默。他们换了工作、失去兴趣，或偏离了主题，而他们的权限却留着。一份十一个管理员的名单，其中四个今年都没打开过群组，这不是一个强大的团队；而是四个账号，你的社群现在毫无益处地依赖着它们的安全。

从某个不活跃的人身上移除权限不是一种评判，最好把它表述为整理内务：发一条简短消息，说你正在整理名单，随时欢迎他们回来。几乎所有人都会松一口气。那些不会的人，其实并没有不活跃。

一个有用的节奏是每年读两次管理员名单，与第 028 步的设备审计一起进行。两者是同一类任务——检查还有什么仍然掌握着已不再需要的权力。

这个阶段的常见问题