Che danh tính

Vấn đề mà nó giải#

Trước đây tổ chức chỉ có một công tắc bật-tắt cấp nền tảng, do super admin bấm, và nó che mọi người như nhau: hoặc tất cả thấy tên thật, hoặc không ai thấy. Không có cách nào nói "ẩn đúng mấy cái tên này, với đúng mấy vai trò này".

Che danh tính bây giờ là một danh sách từ khoá do chính tổ chức khai, cộng một phạm vi vai trò. Mọi bề mặt đọc cùng một kết luận cho cùng một yêu cầu, thay vì mỗi trang tự quyết một kiểu.

Từ khoá che, khai theo cách tổ chức viết#

Mỗi dòng trong danh sách gồm:

Không có chế độ biểu thức chính quy. Một mẫu do người dùng nhập, chạy trên từng khúc dữ liệu đang phát theo dòng, là một đường tấn công từ chối dịch vụ — nên cách khớp là một tập đóng gồm ba lựa chọn, không phải một ngôn ngữ mẫu.

Việc khớp bỏ dấu và neo theo biên từ, và lấy chuỗi khớp dài nhất trước. Nghĩa là một từ khoá bắt được cả biến thể không dấu của nó, nhưng không bắt trộm một từ dài hơn chỉ vì trùng phần đầu. Tên thật chỉ dùng để so; thứ hiện ra luôn là bí danh.

Mỗi tổ chức khai tối đa 200 từ khoá. Xoá một dòng là đưa nó vào trạng thái lưu trữ, không phải xoá vật lý, nên lịch sử khai báo còn nguyên.

Loại danh tính do mảng nghiệp vụ khai#

Danh sách loại mà một tổ chức được chọn không phải danh sách cứng: nó là hợp của những loại mà các mảng nghiệp vụ đang bật của tổ chức tự khai.

Một mảng không khai loại nào thì không góp gì vào danh sách, và không có mặc định mượn từ thương mại điện tử. Một tổ chức chỉ bật Kho vận sẽ thấy danh sách loại trống, và màn hình cấu hình nói thẳng điều đó thay vì mời khai một loại không dùng được.

Vai trò nào bị che#

Phạm vi che lưu theo vai trò. Khi tổ chức chưa từng cấu hình, mặc định là vận hành và chỉ xem bị che; chủ sở hữu và quản trị viên thấy tên thật. Màn hình cài đặt mở ra đã tick sẵn hai vai trò mặc định đó, chứ không phải một form trống.

Hai trường hợp không theo bảng vai trò:

• Người xem không đăng nhập — luôn bị che. Một liên kết chia sẻ công khai không bao giờ là lý do để lộ tên thật.
• Super admin — thấy tên thật khi việc che đến từ danh sách của tổ chức, nhưng vẫn bị che khi super admin tự bật thế che cấp nền tảng cho tenant đó, vì chính người chạy demo là super admin.

Thứ tự phân giải, cố định cho mọi yêu cầu: chỉ định tường minh trên một đường riêng thắng trước; rồi đến thế che cấp nền tảng; rồi đến danh sách của tổ chức giao với phạm vi vai trò; còn lại là không che. Một tổ chức chưa khai dòng nào thì hành xử giống hệt trước khi có tính năng này, cho mọi vai trò — đây là một bảng chân lý được khoá bằng test, không phải một lời hứa.

Một thế che cho cả yêu cầu#

Thế che được phân giải một lần cho mỗi yêu cầu rồi mang theo, chứ không phải mỗi bề mặt tự hỏi lại:

• Trợ lý dữ liệu — bộ lọc chạy trên chính dòng chữ đang phát về trình duyệt, nối được cả tên bị cắt giữa hai khúc. Bản lưu lại của câu trả lời giữ nguyên văn, đúng nguyên tắc lưu thật và che lúc hiển thị.
• Xuất báo cáo — che tại biên trả dữ liệu, nên ô trong file tải về giống ô trên bảng, không có đường nào để xuất ra tên thật từ một bảng đang hiện bí danh.
• Hộp thư trong ứng dụng — che lúc đọc, theo người đang đọc.
• Kênh gửi ngoài — thân tin nhắn được dựng lại bên trong vòng lặp từng người nhận, nên hai người nhận khác vai trò nhận hai nội dung khác nhau từ cùng một cảnh báo.
• Bên sinh dữ liệu giữ nguyên văn — cảnh báo được ghi một lần, đọc nhiều lần. Che ở đường đọc, không ở đường ghi.

Một chi tiết nhỏ nhưng quan trọng: bảng giải mã mã sản phẩm trả về rỗng khi thế che đang bật. Nếu không, trang sản phẩm sẽ in tên thật ngay cạnh bí danh của chính nó.

Ba cơ chế che, và cái nào được tổng quát hoá#

Nền tảng có ba cơ chế che, ra đời vì ba lý do khác nhau:

1. Bí danh theo vị trí — đổi tên theo thứ hạng trong một bảng đã xếp, cho thế che demo cấp nền tảng. Quyết định gốc là ADR 0007.
2. Bộ khớp từ khoá — tìm tên trong một chuỗi chữ rồi thay, dùng cho bí danh thương hiệu trên deck. Quyết định gốc là ADR 0032.
3. Cờ môi trường — một biến môi trường che mọi tenant trên một máy chủ, hoặc không che ai.

Danh sách từ khoá tổng quát hoá cơ chế thứ hai. Lý do là kiến trúc, không phải sở thích: một thân thông báo hay một câu trả lời của trợ lý là văn xuôi — không có cột để đổi tên và không có thứ hạng để đặt bí danh theo. Chỉ một bộ khớp từ khoá mới với được cái tên nằm giữa câu.

Cơ chế thứ nhất vẫn giữ nguyên vai trò thế che cấp nền tảng. Cơ chế thứ ba không bị bỏ ngay mà bị siết dần: số chỗ còn đọc cờ môi trường được ghim trong một baseline chỉ được giảm, và một audit chặn mọi chỗ mới.

Đề xuất bằng AI là bản nháp, không phải một lần ghi#

Màn hình cài đặt có một nút nhờ AI gợi ý từ khoá. Cách nó chạy:

• Hệ dựng một danh mục có giới hạn từ dữ liệu thật của tổ chức: thương hiệu, sản phẩm xếp theo doanh số, shop, creator xếp theo doanh số, đối thủ, và nhãn cột trong bộ dữ liệu của tổ chức.
• Cột đánh dấu là dữ liệu cá nhân không bao giờ gửi giá trị đi. Chỉ nhãn cột được gửi, và mọi từ khoá mà mô hình nghĩ ra cho một cột như vậy đều bị loại với lý do ghi rõ.
• Kết quả được kiểm bằng schema. Một từ khoá không nằm trong danh mục đã gửi thì bị loại: mô hình không được phép phát minh ra một cái tên.
• Bước đề xuất không ghi một từ khoá nào. Nó chỉ ghi một dòng sổ dùng AI. Đường ghi duy nhất là khi quản trị viên tick chọn và bấm chấp nhận.

Mỗi từ khoá lưu lại nguồn gốc: do người khai, hay do AI đề xuất và người chấp nhận.

Giới hạn, nói rõ#

• Ô "che cả giao diện" cấp tổ chức được lưu và sửa được, nhưng hôm nay chưa có đường đọc nào dùng nó. Phần che vỏ giao diện đang chạy là phần theo thương hiệu của deck (ADR 0032), không phải ô này.
• Che không phải ẩn danh hoá. Dữ liệu gốc vẫn nguyên văn trong cơ sở dữ liệu; đây là lớp hiển thị, không phải lớp xoá.
• Một bí danh không bao giờ được dùng lại làm khoá tra cứu. Đây là quy tắc đứng từ ADR 0007 và vẫn còn hiệu lực.
• Bí danh thương hiệu trên deck vẫn là một cửa riêng, không gộp vào danh sách này.
• Che không đổi một con số nào, nên không có assertion đối soát nào kèm theo. Đây là một quyết định đã ghi, không phải một chỗ bỏ sót.

Quyết định kiến trúc đầy đủ nằm trong ADR 0051 và phần bổ sung ngày 2026-09-18 của ADR 0007, cả hai trong danh mục ADR nội bộ của repo.

Liên quan#

• Che danh tính trong cài đặt
• Đa thương hiệu
• Thông báo
• Ranh giới bảo mật và nhiều tổ chức
• Security