作者的 copilot 会持久化它引用的来源卡片——哪些文档支撑了每个回答、分数、名称等。一个信任型 RAG 产品的基础是：没有证据的回答只是「vibes」。真正改变他交付方式的问题是：六个月后用户打开旧对话，卡片再次渲染，第二次是谁授权的？他给出的不舒服的答案是「持久化不等于许可」——某个 turn 在写入时被允许展示什么，证明不了它在读取时可以展示什么。一旦持久化了检索结果，历史端点就成了同一份数据的第二条读取路径，而权限会在写入与读取之间漂移。因此要在读取时、在服务层重新校验授权，并优雅降级：关闭细粒度权限时，保留对话文本但撤销文档卡片。