北京
三个客户，三份保密协议，一个账号。这不是什么罕见的极端案例，这是独立咨询师每天在打开的图工具里重复上演的日常。上午还在金融科技客户的账本模式里修补关系，下午就要切进物流公司的货运表单结构，傍晚再有去年结束的客户发来邮件——“把那张图再发我一次。”每切换一次上下文，信息就离不该被看到的屏幕又近了一步，而负责保证它不被看到的，不是一个功能开关，而是一份几乎没有实际效力的承诺。
大多数云端制图工具把隔离当成一个界面功能来处理。账号登录、空间列表、项目分组，一切看上去井井有条，但真正承载客户模式的物理文件、缓存快照、备份链，全都堆放在同一个供应商的同一套基础设施里，归属在同一个个人账户之下。用 UI 把东西分开，和让它们在存储层真的互不相干，是两件完全不同的事。更棘手的是，没有一个客户签过那个工具的最终用户服务条款，可条款里有关数据留存、跨区同步、审计日志的每一行字，都在悄悄改写你 NDA 里那句“客户资料不得存储于未经授权的第三方环境”。
把问题往深一层推，你会发现图工具默认的时间线设计本身就是反咨询业态的。一个项目的自然生命周期从来不是“持续可访问直到手动删除”，而是“交付完成后，你不再保管任何客户机密”。但大多数云图服务的设计逻辑是连续服务：付费订阅保持在线，只要你不去删，五年前的图就和今天新建的一起出现在侧边栏最近列表里。删除操作反而变成一种额外动作，而且就算你在前端点了删除，背后的备份周期、冷备磁带、第三方 CDN 缓存、内部数据湖副本会记住多长时间，没有人能给你准确答案。这时候交付档案里写上“收到所有相关制图资产”的那一栏，就只剩下几个高度压缩的 PNG，而不是活的模式定义。
这种别扭会在项目收尾的那一刻集中释放。正常流程里，这步应该包含两项核心动作：客户收到你产出的全部资料，而你不再持有任何客户机密。然而放在云图工具里，前者退化为“导出几张 PNG”——那是失去结构信息的静态快照，表与表之间的连线、字段约束、注释之间的关联逻辑全部压扁在一层像素之下。后者则退化成“点击删除并祈祷”。你确实删了，但供应商的备份里还有没有？被标记删除的行是月底才物理清除，还是留足了六个月的回滚窗口？这些问题你问不出一份可审计的答案，而客户的合规部门可能刚好需要一年后的时候来问一遍。
正是因为这个裂缝太明显，Schemity 在初始设计时就把组织单元和咨询师的工作单元对等起来，而不是把云端的多租户隔离逻辑搬回本地。它的核心抽象叫做“工作区”，每个工作区包含该客户的所有连接信息、表结构、关系图和元数据，而一个工作区在系统里实实在在就是硬盘上的一个文件夹，里面只装纯文本 JSON 文件。放在任何文件系统里都能识别，不对任何云端同步做假设，也不和任何其他工作区共享哪怕一个目录层级。金融科技客户的账本模式跑在一个文件夹，物流客户的货运表模式跑在另一个文件夹，两者唯一的公共区域是操作系统的文件管理器，而这个管理器不需要遵守 NDA。
这种物理级别的隔离直接承接了合同里那些关于“客户材料存储位置”和“工作成果移交方式”的条款。如果一个项目有特殊合规要求，需要在加密卷或客户端专用笔记本上作业，Schemity 不会过问工作区文件夹到底放在哪块盘上——它就是按路径读取，不问出处。项目收尾那一天，整个文件夹打个包就是完整交付物，不需要从专有格式做二次导出，不需要担心读取兼容性，因为里面只有明文的实体定义和画布坐标。一旦移走文件夹、覆写存储介质，你那边就再也不会残留任何属于那个客户的东西，留下的痕迹仅限于本地操作系统的回收站，而不是某个供应商当年为了容灾多同步到另一个区域的三份副本。
这听起来像一种回归笨方法的设计，但放在咨询师的实际上下文里，恰恰是唯一能完成“断开连接”这个硬动作的方案。再也没有把客户机密图放在“我的个人 SaaS 账户”下的灰色地带，再也不需要发一封“工具不支持当前版本了”的尴尬邮件去解释为什么导出的图打不开。咨询师得到的不是一个更智能的云，而是一份对客户机密该有什么样边界的诚实回应：它不该在你的云账户里，甚至不该在任何一个你没有完整生命周期控制权的地方。答案比你想象的要简单——一个客户，一个文件夹，一次完整交接。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
