用途：治理 Microsoft 365 中“共享范围超出应有范围”的过度共享问题，这是数据暴露的主要根因，也是 AI 放大的最大风险。适用于构建安全、可治理的 M365 数据基础，无论是否涉及 Copilot。不适用于纯 Copilot 上线准备（用 purview-copilot-oversharing）、AI 提示中的敏感数据监控（用 purview-dspm-ai）或租户级 DLP 方案设计（用 purview-dlp-policy）。
三大支柱：一是修复过度共享，用 SharePoint Advanced Management（SAM）的数据访问治理（DAG）报告、EEEU 清理、共享链接清理、受限访问控制/受限内容发现快速降低过宽访问；二是设置护栏，用敏感度标签与容器标签、默认安全标签、默认共享设置、站点生命周期策略防止回退；三是满足合规，用 Purview Audit、Compliance Manager 评估与数据卫生弥补审计、法律与 AI 监管缺口。
使用方式：按“评估→分类→限制→默认安全→治理”推进。先运行 SAM DAG 报告找出高风险站点（EEEU 过多、广泛共享、共享链接泛滥、有权限但敏感的内容）；对最高风险站点先施加受限访问控制/受限内容发现作为临时护栏；通知站点所有者限期修复，避免集中剥离权限；对敏感内容打敏感度标签、对站点打容器标签，加密仅用于真正敏感内容；启用默认安全标签与更严格的默认共享设置；用站点生命周期与不活跃站点策略及访问审查持续治理；用 Purview Audit 与 Compliance Manager 持续监控。
限制与注意：SAM 需授权（随 Microsoft 365 Copilot 提供，或独立/E5 SKU），使用前确认可用性；不要跳过 DAG 评估，否则会修错对象；不要为“保险”给所有内容打最高标签加密，会破坏外部协作；需与站点所有者协作；过度共享控制是持续治理，新站点与共享链接每天出现。常见反模式包括只跑一次报告修前 20 个站点、先全租户启用 Copilot 再补救、受限内容发现覆盖半个租户、只培训用户而不做默认安全标签、忽视共享链接泛滥。
参考：Secure & governed data foundation 蓝图 https://learn.microsoft.com/en-us/microsoft-365/copilot/secure-govern-copilot-foundational-deployment-guidance ；配置安全治理基础 https://learn.microsoft.com/en-us/microsoft-365/copilot/configure-secure-governed-data-foundation-microsoft-365-copilot ；Purview 默认安全 https://learn.microsoft.com/en-us/purview/deploymentmodels/depmod-securebydefault-intro ；SharePoint Advanced Management https://learn.microsoft.com/sharepoint/advanced-management ；DAG 报告 https://learn.microsoft.com/sharepoint/data-access-governance-reports ；受限内容发现 https://learn.microsoft.com/sharepoint/restricted-content-discovery