定义
Device User Binding（设备用户绑定）将设备与用户账号关联，实现设备归属、多租户隔离与 RBAC 权限控制。是 Provisioning 流程的一部分，支持扫码、手动绑定等方式。
绑定方式与生命周期
绑定可通过 QR Code Provisioning 扫码入网、App 手动添加、平台管理员分配等方式完成。支持一设备多用户（如家庭共享）、一用户多设备。绑定关系变更（解绑、转移）需记录 Audit Log 审计日志；解绑后设备可重新绑定至其他用户。与 Device Lifecycle 设备生命周期配合，绑定状态可影响设备可见性、控制权限及数据隔离。
与 DMP 的集成
设备管理平台在 Device Onboarding 设备入网、用户中心、设备列表等入口管理绑定关系。绑定后，用户仅能查看与控制其名下设备；RBAC 可基于绑定关系实现数据权限隔离。与 Provisioning 配置入网流程深度集成，扫码、配网完成后自动建立绑定。多租户 SaaS 场景下，绑定关系是租户隔离的核心依据。
应用场景
适用于智能家居、消费 IoT、共享设备等 C 端场景；企业内设备与责任人、项目组的归属管理。设备用户绑定是设备管理与业务权限的桥梁。
绑定关系决定谁能看见设备
设备用户绑定的技术含义，是在设备档案和账号之间记下一种可查询的归属，访问控制据此决定谁能看见、谁能操作。绑定可以是一台设备对一个主账号，也可以在主账号之外再授予家庭成员或项目成员不同的能力。它回答的是业务上的“这台归谁”，不是传输层上的“这台是否在线”。没有绑定的已接入设备，在面向用户的列表里应当不可见，或只对明确的管理员可见，不能因为设备在线上就出现在所有人的家里。企业场景里，绑定对象常常是项目或责任人，而不一定是扫码的那一个自然人。
建立绑定的条件，是设备身份已经通过认证，并且发起绑定的人能证明自己持有这台设备或得到了授权。只凭设备名搜索就允许绑定，会让知道命名规则的人领走别人的设备。一设备多用户时，要区分拥有者和被分享者：谁可以解绑、谁只能控制、谁只能查看。与设备分组不同，分组服务批量运维，绑定服务归属；把某个用户的全部设备自动做成一个权限组可以，但不能用分组代替绑定记录。与设备接入的顺序应是先确认身份，再写绑定，再开放用户侧控制。
解绑时历史数据没有归属
容易出错的是解绑被实现成删除设备。用户解除归属后，历史遥测、告警和升级记录若一并消失，原主人无法导出，新主人也可能继承不到应保留的维修史，或者相反，新主人看见了上一户的使用细节。另一种错误是转移绑定时不经原拥有者确认，后扫码的人直接成为主人。分享链接没有失效时间，人员离开后仍能控制。主账号注销时，设备既没有回到未绑定，也没有指定继承人，于是成为谁都能认领或谁都不能认领的孤儿。
多租户里把绑定只存在应用缓存、不存在平台档案，换一台手机就看不见设备，而平台侧仍认为已经绑定，别人也无法再绑。解绑和重置凭证不是一回事：解绑解决人与设备的关系，重置凭证解决设备与平台的信任。只做其中一件，另一件仍会留着。审计应记下绑定、分享、撤销和转移，但不需要把账号的敏感资料复制进设备日志。重新绑定到新用户之后，默认配置是否恢复出厂要单独询问，不能在转移归属时静默清空用户并不知道的现场参数。
分享出去的控制权何时收回
一台设备除了主账号，还可能把控制或查看分给其他人。分享如果没有失效时间，人员离开项目或离开家庭之后，权限会一直留着。收回时应立即生效，而不是等对方下次打开应用才刷新本地缓存。主账号注销或转移时，要明确设备回到未绑定，还是交给指定的继承人。两种都没做，设备就会变成谁都能认领，或谁都不能认领。转移给新主人必须经过原拥有者确认，后扫码的人不能因为拿着设备就覆盖归属。解绑只解除人与设备的关系，不自动删除历史，也不自动重置凭证；若业务同时要求清配置，应单独确认，不能在解绑按钮里静默完成。
历史数据的可见范围要随归属变化事先说清。新主人是否能看见上一任的使用细节，旧主人是否还能导出自己的记录，不能等到解绑之后才发现已经被删掉或已经被对方看见。多租户里把绑定只放在某个应用的缓存中，换手机就看不见设备，平台却认为已经绑定，别人也无法再绑。分享、撤销、转移应留下记录，但不要把账号的敏感资料复制进设备侧日志。企业里的责任人绑定和消费者的家庭分享不是同一张表的同一种权限，混用会导致项目成员能解绑整批设备，或家庭成员被授予了管理全部项目的能力。