向量检索优化的权限边界向量索引常包含业务文本检索权限不能只设在前端过滤。查询身份、索引分区和返回字段必须在服务端共同校验。控制数据可见性按租户或数据级别划分命名空间检索前注入允许范围召回后再做字段过滤。密钥只从受控配置读取不写入查询日志。复核越权路径准备跨租户查询和过期凭据两类用例确认响应不会泄露文档片段、内部标识或索引结构。