Performance Hub 徽标Performance Hub
网站版块： 文档

访问决策的工作原理

本页内容

本页介绍每次解锁背后的模型：谁可以通过一扇门、各项检查的执行顺序，以及 Access Policies、授权和安全检查如何相互作用。请先阅读本页，其他所有页面都以这些概念为基础。

叠加的允许途径

用户可以通过任何策略或授权途径获准通过一扇门。满足一个途径即可；一个途径永远不会削减另一个途径提供的访问权限。

途径说明配置位置
Access Policies多项已命名、仅用于允许的策略。每项策略定义 Who、Where 和 When。Settings → Access Policies
永久授权为某个人明确授予的权限：设施范围、所选门或所选 Access Scopes，可选择设置其自己的时段。Users → 打开用户 → Access Control → Additional permanent access
Access Time Windows由管理员拥有、为某个人及所选设施/门/范围目标提供的临时访问权限。Users → 打开用户 → Access Time Windows
集成 Access Time Windows同步人员的只读源时间窗口，根据逻辑源范围键进行映射。源数据以及 Settings → Sync settings 中的映射

仅当 Who、Where 和 When 全部匹配时，策略才会匹配。多项策略之间为“或”关系。在 Who 中，人员类型/状态条件和标签互为备选；在 When 中，Weekly 和 One-time 时间窗口互为备选。Where 可以包含设施的所有门、Access Scopes、单扇门以及排除项。

示例：“Active members”策略可以在 Anytime 时段覆盖 Front entrances 范围，而单独的“Staff”策略覆盖除 Plant room 之外的所有设施门。不匹配任何一项策略的保洁员仍可获得 Service entries 范围的永久授权。

永久授权和管理员/集成时间窗口保持独立且叠加。策略编辑和自动导入不会吸收或移除它们。

同步到 Users 中的 Performance Hub 员工通过可编辑的 Performance Hub staff 策略获得门禁访问权限，与其他策略一样。请参阅同步与集成。

完整的决策顺序

当用户在移动应用中轻点 Unlock 时，服务器会按顺序检查以下各项。第一个未通过的检查会拒绝解锁，并将原因记录在访问日志中。

  1. 用户的访问权限是否已启用？ Users 中用户记录行上的 Access enabled 开关是管理员的紧急关闭开关。已删除、已停用或被同步封锁的用户无论策略或授权如何都无法解锁。（例如：access_disabled。）
  2. 门是否被封锁或处于维护状态？ 明确的 blockAllAccess 会拒绝所有会员途径。维护模式 Force closed 会使门保持锁定，并对会员暂停服务；Force open 会使门保持解锁状态。管理员可以远程解锁门；每次管理员解锁都会记录在访问日志中。
  3. 是否有任何叠加的允许途径通过？
    • **策略途径：**任何 Who、Where 和 When 全部匹配的已启用命名策略都会允许访问。
    • **永久授权途径：**设施、门或包含该门的 Access Scope 授权在其可选时段匹配时允许访问。
    • **用户时间窗口途径：**由管理员拥有的 Access Time Window 处于有效状态，且以该门、设施或包含该门的 Access Scope 为目标。
    • **集成时间窗口途径：**新的源时间窗口处于有效状态，且其配置的 scope_key 映射以该门为目标。过时或未映射的源时间窗口按失败即关闭原则处理。
    • 如果都未通过 → 拒绝 （no_matching_policy_or_grant）
  4. **地理围栏检查（如已启用）。**使用手机上报的位置：
    • 如果手机无法提供位置 → 拒绝 （location_unavailable）
    • 如果 GPS 读数的精度低于 Require GPS accuracy better than 设置 → 拒绝 （gps_too_imprecise）
    • 如果用户与地理围栏中心的距离超过半径 + GPS 精度 + 精度缓冲 → 拒绝 （outside_geofence）
    • 以服务器为准：手机上伪造的位置仍会在服务器端被拒绝。
  5. **门控制器是否在线？**如果控制器未上报状态（过去 5 分钟内无心跳），则无法传送解锁指令 （device_offline）。如果指令已发送但控制器未确认，事件会被记录为 Timed out。
  6. **解锁。**继电器在门的 Hold time（1–30 秒，默认 10 秒）内释放，然后自动重新上锁。控制器确认后，事件会被记录为 Confirmed unlocked。

One-time 和有界的 Weekly 时间窗口使用以 Unix 秒为单位的整数边界和半开区间 [from, to)：起始时间包含在内，结束时间不包含在内。Weekly 时间块使用其声明的 IANA 时区以及当地挂钟时间/夏令时规则。请参阅访问策略时间表。

对于仅有未来时间窗口的门，新版客户端会收到 outside_access_time_window 详细信息以及结构化的下次可用时间。在兼容性过渡期间，旧版客户端继续收到 outside_access_hours 作为主要原因，以便门保持安全禁用且可见。

现有配置

现有的访问配置会自动导入 Access Policies。导入会保留哪些人拥有访问权限、他们可以使用的门或 Access Scopes，以及适用的时段，并将其转换为策略的 Who、Where 和 When 值。管理员直接管理生成的策略；没有上线模式或手动转换流程。

地理围栏继承仍独立于 Access Policies。策略匹配后仍需通过有效的地理围栏以及所有其他安全/设备检查。

OTP 登录的作用和局限

登录移动应用（通过短信或电子邮件发送的一次性验证码）仅用于身份验证，用于证明用户的身份。它本身不会授予门禁访问权限。每次解锁都会按照上述决策顺序单独授权。用户可能已登录应用，但仍会看到“You don't have access to this door.”

术语表

术语定义
门控制器与门/闸门配对、驱动门锁继电器的硬件设备。在此模块中显示为“门”，在设备管理中显示为设备。
门在您的设施注册的门控制器，具有名称、位置标签、图标和设置。
用户记录行某人在此设施 Users 选项卡中的记录。通过手动添加、CSV 导入或同步创建。包含联系标识、类型/状态/标签、授权和应用状态。
来源用户记录行的来源：Manually added、External Integration、CCTV/Computer Vision 或 Performance Hub staff。
Access Policy包含 Who、Where 和 When 的已命名、仅用于允许的策略。三者必须全部匹配；多项策略之间为“或”关系。
人员类型条件策略 Who 中的条件，包含人员类型和可选的会员状态。状态为空表示任意状态。
标签用户上的标签。同步标签来自集成，每次同步时都会被覆盖；自定义标签由管理员拥有，永远不会被覆盖。两者都可以满足策略的 Who 条件。
营业时间/时间块按星期几设置的时间窗口（例如 Mon 06:00–22:00），用于限制策略或授权何时允许访问。为空表示始终允许。时间采用设施的时区。
Access Time Window在策略时间表中或单独的管理员/集成授权途径中使用的 Weekly 或 One-time 时间段。
单个用户授权为某个用户明确授予的访问权限：设施范围（每扇门）、特定的门或特定的 Access Scopes，可选择设置其自己的营业时间。
访问范围一组已命名的门（例如“Main entrances”“Staff-only”），用作策略或授权目标，以及用于范围级地理围栏设置。内部也称为门组。
策略排除项从某项策略的 Where 匹配中移除的门或 Access Scope。它不会拒绝其他策略或授权途径。
Geofence设施周围的圆形区域（中心 + 半径）。启用后，用户必须实际位于该区域内（考虑 GPS 精度和缓冲）才能解锁。
精度缓冲计入地理围栏半径的额外米数，用于容忍正常的 GPS 噪声。默认 25 m。
维护模式使门脱离正常运行状态的单扇门设置：Normal、Force open（保持解锁）或 Force closed（保持锁定并对会员暂停服务）。
Block all access单扇门安全封锁，会在该门覆盖策略和单个用户授权，而无需使用维护模式。管理员解锁仍然可用。
保持时间解锁后继电器在重新上锁前保持释放的时长。范围 1–30 秒，默认 10 秒。
自动解锁时间表单扇门时间表，在设施的人员值守时间内或按自定义时间表保持门解锁。独立于 Access Policies。
Lock now锁定由自动解锁时间表保持打开的门，直到时间表下一次变更。Resume schedule 可撤销此操作。
Access enabled单个用户的紧急关闭开关。关闭 = 用户无法解锁任何门。
已解除关联Track source updates 开关已关闭的同步用户。同步时会跳过该记录行，因此管理员的编辑得以保留。
邀请发送给用户的电子邮件，包含下载移动应用的链接。按用户跟踪状态（Not invited / Invited / Send failed）。
OTP 登录移动应用的无密码登录方式：将一次性验证码发送到用户的手机或电子邮箱。
管理员覆盖/管理员解锁管理员从 Performance Hub 触发的解锁（Doors 选项卡 → Open，或门面板中的 Unlock door）。每次管理员解锁都会以该管理员的账户记录在访问日志中。
应用锁由设施强制执行的设备重新验证（Face ID / Touch ID / Android 生物识别 / 密码），通过后才能使用应用。
应用消息应用仪表板上的公告卡片，可以是设施范围的、针对单个用户的，或由 App Messaging 规则自动设置的。
访问事件访问日志中的一条记录：一次解锁尝试及其结果。