修復矩陣房間管理中的“M_FORBIDDEN：您沒有權限”錯誤

當您嘗試變更 Matrix 房間設定、移除使用者、封鎖使用者、編輯權限或執行其他管理作業時，會收到M_FORBIDDEN: You do not have permission錯誤訊息。對於新手來說，這訊息可能會令人困惑，因為在 Matrix 中，「管理員」一詞有兩種不同的含義：伺服器管理員控制主伺服器，而房間管理員在特定房間內擁有足夠的權限。這兩種權限系統是不同的。

可靠的解決方法是在進行任何更改之前，先確定是哪個權限層阻止了該操作。 Matrix 房間授權基於權限等級：儲存在房間狀態中的數值決定了誰可以邀請、踢出、封鎖、編輯訊息、更改房間設定或​​編輯權限等級本身。目前的 Matrix 規格在Matrix 用戶端-伺服器 API 規格中定義了這些規則。 Synapse 在Synapse 管理 API 文件中單獨說明了伺服器管理員與房間管理員的差異。

在做出任何改變之前：先了解四個重要的價值觀

通常你需要四項資訊：

• 例如，您的 Matrix 使用者 ID@alice:example.com。
• 例如，房間 ID!abc123:example.com。房間別名（例如）#team:example.com更容易閱讀，但許多 API 使用的是內部房間 ID。
• 您的成員狀態。大多數情況下，您必須先加入房間才能執行房間管理操作。
• 你的力量等級和執行該動作所需的等級。

在 Element 網頁版或桌面版中，房間 ID 和房間版本可以在「房間設定」的「進階」選項下找到。 Element 目前的文件也將房間管理功能放在「房間設定」→「角色與權限」下。請參閱Element 的房間設置指南。

第一步：確認您已成功加入房間

Matrix 區分幾種會員狀態，包括受邀、已加入、已離開和封鎖。使用者通常需要擁有join成員狀態才能發送房間事件或管理房間。這一點很重要，因為即使管理員帳戶未參與房間，其執行普通房間操作也可能失敗。

如果您使用的是 Element 等 Matrix 用戶端，請開啟房間並確認它顯示為您已加入的活動房間，而不僅僅是邀請或歷史房間。如果您使用 Synapse 並且需要伺服器管理員復原路徑，Synapse 提供了一個管理員端點，用於將本機使用者加入房間，但它仍然記錄了與此操作相關的權限要求。請參閱Synapse 房間成員管理。

避免以下錯誤：不要以為擁有 Synapse 管理員 API 令牌就會自動賦予同一帳戶會議室層級的權限。伺服器管理權限和會議室管理權限是有意區分的。

步驟 2：檢查你的角色和該操作所需的能量等級

Element 將常見的權限等級呈現為成員、版主和管理員等熟悉的角色。而 Matrix 底層則是使用數值而非標籤來評估。 Matrix 規範建議採用熟悉的解釋：低於狀態事件閾值的一般用戶，高於該閾值的版主，以及達到或超過編輯權限等級的管理員m.room.power_levels。典型的聊天室通常使用 0 代表成員，50 代表版主，100 代表管理員，但聊天室可以自訂這些值。

開啟房間設定 → 角色與權限。檢查您的角色以及您要執行的特定操作。 Element 的當前文件列出了常見操作，例如更改設定、移除使用者、封鎖使用者、更改歷史記錄可見性以及更改權限，每項操作都有其所需的權限等級。

例如，假設您的帳號戰力等級為 50，而房間需要 100 級才能變更權限。您仍然可以擔任管理員並執行一些管理任務，但嘗試編輯權限模型時會正確傳回錯誤M_FORBIDDEN。

步驟 3：檢查目標使用者以及您自身的權限

這是Matrix規則中最容易被忽略的一條。對於踢出和封禁操作，僅僅達到操作閾值並不總是足夠的。 Matrix授權規則也要求目標使用者的權限等級低於執行操作的使用者。

例如：您的帳號等級為 50 級，房間的kick等級門檻也是 50 級，另一位管理員的等級也是 50 級。您滿足了踢人門檻，但您仍然無法踢出等級相同的管理員。授權規則拒絕了此操作，因為目標等級高於您。

同樣的原理也能解釋許多令人困惑的審核失敗案例。房間管理員應該檢查比較結果的兩面：

• 您目前的電量水準。
• 所需值kick或ban閾值。
• 目標使用者目前的功率等級。

如果目標是同等級的管理員，那麼其他同等級的管理員通常無法直接移除該使用者的權限。 Element 的高階會議室管理文件明確指出，在常規用戶端工作流程中，管理員無法移除其他管理員的管理員權限。請參閱Element 進階會議室管理文件。

第四步：如有現有房間管理員，請使用該管理員。

最簡單的恢復方法通常是組織層面的，而非技術層面的。如果還有其他活躍的房間管理員擁有足夠的權限，請請求該管理員透過「房間設定」→「角色與權限」提升您已加入帳號的權限。

這比手動操作房間狀態更可取，因為用戶端會顯示目前角色模型，並套用與其他 Matrix 用戶端相同的授權規則。晉升後，重試原始操作。

如果仍然失敗，請將具體操作與權限閾值進行比較，而不是假設「管理員」權限意味著所有操作都自動允許。自訂權限等級事件可以為特定事件類型指派特殊的閾值。

步驟 5：如果沒有可用的房間管理員，請透過 Synapse 進行恢復。

如果您執行 Synapse 主伺服器，且某個房間沒有活躍管理員，請使用 Synapse 支援的復原 API，而不是編輯資料庫或偽造房間事件。 Synapse 提供了一個「建立房間管理員」API：

POST /_synapse/admin/v1/rooms/<room_id_or_alias>/make_room_admin

{
  "user_id": "@alice:example.com"
}

使用 Synapse伺服器管理員的存取令牌驗證該請求。官方的房間管理 API 文件可在Synapse Rooms Admin API頁面找到。該端點會授予選定的本地用戶在該房間中可獲得的最高權限；如有必要且可行，它還可以先邀請該用戶。

恢復通話後，使用提升後的帳戶加入或重新開啟房間，然後在 Matrix 用戶端中重試該操作。

特殊情況：房間版本 12 及更高版本

Matrix Room 版本 12 改變了創作者的顯示方式。創建者擁有幾乎無限且不可更改的權力等級，並且不會像普通用戶一樣在地圖中列出users。創建者無法透過常規的權力等級事件被降級。此行為已在Matrix Room 版本 12 規格m.room.power_levels中進行了說明。

這意味著從舊版本房間複製的故障排除方法可能無法直接應用於版本 12 的房間。在嘗試進階復原或電源等級編輯之前，請檢查房間版本。

如何直接檢查功率水平

對於進階故障排除，相關的房間狀態事件是[此處應填寫事件名稱] m.room.power_levels。它包含以下字段：

{
  "users_default": 0,
  "state_default": 50,
  "invite": 0,
  "kick": 50,
  "ban": 50,
  "redact": 50,
  "users": {
    "@alice:example.com": 100,
    "@bob:example.com": 50
  }
}

如果您的帳戶未在清單中列出users，則其等級通常會回退users_default。對於大多數房間而言，這意味著 0。特定事件類型也可以透過映射來覆蓋常規狀態或訊息閾值events。

除非您確切知道客戶端或 API 會保留哪些訊息，否則請勿用一個小的部分物件替換整個權限等級事件。權限等級狀態可能包含多個重要字段，意外刪除這些字段可能會導致超出預期範圍的權限變更。

不該做什麼

• 不要為了解決普通的房間角色問題而將 Synapse 帳戶提升為伺服器管理員。請使用所需的最小權限。
• 請勿編輯 Synapse 資料庫行來變更房間功率等級。房間授權由已簽署的房間事件表示，而不僅僅是資料庫中的使用者標記。
• 請勿重新啟動 Synapse 來常規修復授權失敗問題M_FORBIDDEN。授權失敗通常是確定性的房間狀態決策問題，而不是過時流程問題。
• 不要以為清除客戶端快取會更改權限。主伺服器會強制執行授權規則。
• 請勿在 shell 歷史記錄、螢幕截圖、支援工單或 URL 中暴露存取權杖。Authorization: Bearer ...使用 API 時，建議使用請求頭。

快速診斷表

最終核實

當需要管理房間的帳戶已加入、擁有足夠高的權限等級以執行預期操作，並且能夠執行該操作而不會返回 403M_FORBIDDEN回應時，修復即完成。對於審核操作，還需驗證目標使用者的權限等級是否在 Matrix 授權規則要求時較低。

對於新入行的 Matrix 管理員來說，最實用的思考模式很簡單：先確定你處理的是主伺服器權限還是房間權限。然後檢查成員資格、你的權限等級、操作閾值以及目標使用者的等級。按照這個順序操作，無需進行不必要的伺服器變更即可解決大多數權限錯誤。