公司的文件，真正属于公司。
每个人一块私有空间，需要长期留存的工作放进归组织所有的共享 Drive，权限模型和审计日志与 Cyril 其余部分完全一致。目前是预告而非可用：代码已合并，无障碍验收还没签字。
“Drive”能为你做什么
“我的 Drive”与共享 Drive
每位员工在成员身份生效那一刻，就得到且只得到一块私有空间。共享 Drive 归组织所有，设有管理员、内容管理员、贡献者和查看者四种角色，所以贡献者离开时内容留得住。
共享，看得见它到底延伸到哪
授予个人和部门的权限会沿文件夹树向下继承，也可以在任意子树上截断；搜索永远只返回调用者本来就能打开的内容。公开链接在组织层面默认关闭；在策略允许的地方，它带有有效期、可选密码或一次性验证码、下载次数上限，并且可以立即吊销。
版本、回收站与撤销
替换文件会写入一个新的不可变版本，而不是覆盖原有字节，任何一个版本都可以还原。回收站是一个可以进去翻的地方；批量移动、复制、删除和还原都带有预检、撤销，以及不会重复生效的重试。
保留策略与法务保全
采用基于策略和事件的保留，而不是给所有文件设一个统一期限，并内置一份适用于澳大利亚财务记录的七年模板。保全是有范围的，且不改变访问权限——它只固定证据，不会给任何人多开一道阅读的门。
这些文件，你的邮件、你的策略和你的审计日志早就认识。
因为 Drive 是平台的一部分，邮件附件可以直接存进“我的 Drive”、某个共享 Drive 或营销素材库——按目标位置自身的权限、配额、冲突规则和病毒扫描来处理，并保留它来自哪封邮件的溯源。撰写邮件时可以直接附上已有的 Drive 文件，而访问权限会在邮件真正发出的那一刻重新校验。
- 从邮件里存一份副本；撰写时从 Drive 里挑附件
- 一套权限模型，一份审计日志，而不是给存储另配一对
- 恶意软件扫描与存储底层与素材库共用，不重复造一遍
人员更替是一条工作流，不是一张工单。
共享 Drive 的内容根本不需要移交，因为它本来就归组织所有。停用账号会冻结离职者的“我的 Drive”，并开启一次有审计的认领流程，由有权限的管理员转移它，或让它到期失效。紧急情况下进入某人的私有文件，则又是另一项单独的权限——需要二次强认证、写明理由、限定时限，并留下事后谁也改不了的记录。
- 停用即冻结，“我的 Drive”的认领与转移全程有审计
- 应急访问必须写明理由、限定时限，必要时须双人控制
- 普通管理员视图只看得到总量用量，永远看不到“我的 Drive”里的文件名或内容
关于“Drive”的常见问题
不行。每一批代码都已合并并部署，但 Drive 以失败即关闭的方式藏在租户开关之后，要等指定的人完成读屏软件验收才会开启。这份证据还没有记录在案，所以我们现在是在预告 Drive，而不是提供它。
还不行。两者的读取与导入适配器都已经写好，但生产连接尚未开启，还在等 Google 的 OAuth 验证以及 Microsoft 的租户与管理员同意。等它们开放时，也只支持导入：你浏览服务商那边的内容，把想要的复制进 Cyril，原件原封不动留在原处。
不会，而且这是永久的决定，不是路线图上的缺口。没有双向同步，没有后台镜像，不会写回服务商，Cyril 也永远不会删除源端的任何东西。导入是一个有明确结果的主动动作——这也是我们唯一愿意为之负责审计的形式。
没有原生文档撰写，也没有实时协同编辑——在 Cyril 里写东西的地方是文档模块。没有桌面同步客户端，也没有离线挂载；在权限感知的搜索被端到端验证之前，也不做面向文件内容的 AI 检索。外部人员只能拿到明确的共享，或者一个只能上传的文件收集请求，让他们放得进文件却看不到文件夹里还有什么；面向客户的文件协作空间不在这个版本内。