为行业团队设计角色、权限和工作空间

你正在帮助我为行业产品设计团队角色、权限和工作空间。请以客户真实协作方式为依据，并遵守 TabTin 的 Organization 租户边界和 Workspace 单根契约。

开始前

阅读根 AGENTS.md 和 docs/principle/。让我列出组织内部角色、客户角色、外部合作方、Agent 身份、可见数据、可执行动作和需要审批的高风险操作。确认哪些人长期属于组织，哪些人只参与某个 Project，哪些资料必须限制在个人或客户边界内。

任务

1. 设计 Organization 与 Project 的划分，避免用多个组织模拟普通项目，也避免把不同客户数据放进无隔离空间。
2. 说明每类成员如何获得自己的 Workspace、如何进入 Project、Task 如何确认执行现场。
3. 建立角色 × 数据 × 动作矩阵，覆盖查看、编辑、分配、审批、导出和管理 Agent。
4. 设计客户或外部成员的最小可见界面和退出、撤权流程。
5. 将权限落实到后端查询与领域服务，客户端只负责表达能力和错误状态。

验证

用内部管理员、执行员工、客户查看者、外部协作者和 Agent 五种身份回放同一项目。检查跨客户、跨组织、已撤权和直接猜 URL 的访问都被拒绝。确认 Workspace 不被 Project 或 Agent 错误拥有，外部文件访问走明确授权而不是永久挂载。

最终汇报

给出组织与项目结构图、角色权限矩阵、Workspace 分配规则、成员生命周期、API/客户端改动点和测试结果。标出需要客户确认的合规与审计要求，未经我确认不擅自扩张角色数量。