HTML本身不支持协作者权限级别控制，所谓编辑/评论/只读标识实为协作平台UI表现；真实权限必须由服务端实现，HTML仅能通过class、aria属性等被动反映已授权状态。
HTML 本身不支持标注协作者权限级别——它不是协作系统，没有编辑、评论、只读这类语义或行为控制能力。所谓“HTML 编辑/评论/只读标识”，是误把协作平台（如 Notion、Confluence、GitLab MR 页面）的 UI 表现当成了 HTML 标准功能。真正在 HTML 中做权限表达，只能靠约定、注释或配合后端逻辑，不能靠标签生效。
为什么 <meta> 或 data- 属性不能实现权限控制
有人会尝试加 <meta name="collab-permission" content="comment"> 或 <div data-permission="readonly">，但这只是自定义元数据：
- 浏览器完全忽略这些属性，不会限制用户复制、修改 DOM 或禁用右键
- 前端 JavaScript 读取后也无法真正阻止编辑——用户禁用 JS 就绕过一切
- 搜索引擎、爬虫、辅助工具也不会识别这种非标准语义，起不到可访问性或协作意图传达作用
真实协作场景中 HTML 怎么“配合”权限标识
只有在已有后端权限体系的前提下，HTML 才能作为渲染结果承载状态提示，而非控制主体：
- 服务端根据当前用户角色，输出不同 class：
<article class="doc--readonly">，再由 CSS 隐藏编辑按钮 - 用
aria-readonly="true"配合contenteditable="false"让可编辑区域“看起来不可改”，但仅作辅助提示，不替代服务端校验 - 评论区嵌入时，后端决定是否渲染
<button id="btn-comment">，而不是靠前端 JS 判断data-permission
常见错误：把 GitHub PR 页面的 UI 当 HTML 功能
你在 GitHub 上看到的“你有写入权限”“请求审阅者”“已批准”等标识，全是 React 渲染的动态组件，背后是 GraphQL 查询 + 用户 session + PR 状态机。它们和你写的 HTML 文件无关：
立即学习“前端免费学习笔记（深入）”；
- 本地打开一个
index.html文件，不可能自动显示“张三（评论员）”——没身份上下文，没实时连接 - 用
document.write()硬塞一段“当前用户：李四（只读）”毫无意义，既不安全也不可信 - 试图用
<link rel="author">标注协作者？这个标签只用于版权归属，和权限无关
真正的权限边界永远在服务端接口和鉴权中间件里，HTML 只负责诚实反映那一刻被允许呈现的内容。想靠改几个标签就控制谁能不能删段落，等于给门贴张“禁止入内”纸条却不上锁。
