> ## Documentation Index
> Fetch the complete documentation index at: https://supastack.dev/llms.txt
> Use this file to discover all available pages before exploring further.
> For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt

# 工作区

按 workspaceId 为每条用户记录划定边界。

## 尝试个人工作空间和团队

工作区是帐户、内容和权限的单独容器。首先完成数据库支持的登录。打开仪表板并记下当前工作区名称。使用工作区切换器选择您所属的另一个工作区；显示的记录应更改为该工作区的记录。

要尝试组建团队，请按照组织创建一个团队，邀请第二封测试电子邮件，并在以第二个帐户登录的私人浏览器窗口中接受该邀请。确认成员可以看到该团队的记录，而不相关的帐户无法打开这些记录。所有者和管理员角色管理团队；会员准入范围更窄。在此测试期间，将两个帐户保留在单独的浏览器会话中。

如果您要求代理添加新的产品表或屏幕，请在每个用户拥有的记录上显式请求 workspaceId，并对每次读取和写入进行服务器端成员资格检查。 URL 中的工作空间 ID 标识工作空间；它不授予访问权限。在使用包含真实客户数据的屏幕之前，让客服人员测试不相关的帐户。

[创建团队并邀请成员](https://supastack.dev/zh/docs/web/organizations.md)

[验证记录对其工作空间保持私密](https://supastack.dev/zh/docs/web/security.md)


## 从会话解析工作区

个人工作区给每个用户一条归属边界。服务端从可信的认证上下文解析当前工作区。客户端提供的 ID 绝不能替代这个检查。


## 为读写划定边界

在每个用户自有的查询或变更中包含 workspaceId。详情路由需要与列表路由相同的隔离。任务 ID、恢复 URL 与幂等键标识工作，但不授予访问权。

把这条规则同样应用于你的产品表，以及共享的任务、用量与供应商配置记录。


## 测试跨工作区拒绝

创建两个独立的工作区上下文。验证所有者能读写自己的记录、另一个工作区不能、匿名请求被拒绝。确认被拒绝的写入不会改变已持久化的记录。


## 下一篇

[身份认证](https://supastack.dev/zh/docs/modules/auth.md)