第十四節工具權限政策

[!ref] 詳解見使用者手冊「工具權限與簽核」節。

三態對子代理同樣生效：「停用」在主代理與子代理兩側一並生效（子代理側 fail-closed，工具直接不可見）；解除安裝外掛 / 移除 MCP 後端時自動清理殘留的工具配置鍵，盤上配置與實際可用工具保持一致。

Hook 決策聚合：同一次評估中多個 Hook 傳回的權限決策按下列優先級合併（前者勝）：

deny  >  defer  >  ask  >  allow

多端應答：簽核彈窗與遠端通道（微信等）同時收到同一請求時，首個應答生效；其餘端的後續回覆會被提示已應答。

輸入區模式滑塊右側盾牌開關；按工作階段獨立、純記憶體、重新啟動即清。啟用前有 5 秒冷靜期。

解除	啟用後行為
工具批准	跳過批准彈窗，直接執行
命令白名單	`fs.exec` 不限命令
網路過濾	`web.fetch` / `web.bing` 不過濾內網 / 環回 / 鏈路本機

始終保留的硬底線（不受開關影響）：

訊息標記：模式期間產生的連續訊息以淺色邊框整體圈出（起止界標），關閉後當場收口；模式未結束不打「結束」界標。子代理可按需遞歸繼承該模式，繼承產生的訊息同樣帶標記。

簽核彈窗（hook:ask 事件）攜帶的欄位：

欄位	說明
`request_id`	簽核號
`event`	觸發的 Hook 事件名
`fingerprint`	授權指紋，「始終允許」按它匹配
`handler_type` / `handler_label`	處理器類型與顯示名
`matcher` / `match_target`	命中的匹配器與匹配目標
`source_scope` / `source_id`	來源作用域（plugin / user / workspace）及其 ID
`session_id`	工作階段 ID
`timeout_sec`	倒數秒數（30）

決策取值：deny（拒絕）/ allow_once（僅本次允許）/ always_allow（始終允許）。

留痕：僅「始終允許」會持久化 — 寫入工作區級授權檔案 hook-approvals.yaml（記錄授權指紋與決策時間），可在 設置 → Hooks 檢視與撤銷；「僅本次允許」「拒絕」與超時只作用於當次呼叫，不落盤。

第十四節 工具權限政策