审批与审批策略
适用对象
本文适合需要确认风险动作的普通用户，以及需要配置安全规则的管理员。
这是什么
审批用于在敏感动作发生前让人确认。审批策略用于提前定义哪些动作可以直接执行、哪些动作必须确认、哪些动作应该拒绝。
普通用户只需要知道：当页面提示需要确认时，先看清楚动作和影响，再决定是否允许继续。
什么时候使用
下面这些情况通常需要审批或策略控制：
- 删除文件、覆盖文件或移动重要文件。
- 向外部系统发送消息、邮件或请求。
- 使用可能影响外部账号的连接。
- 访问敏感资源、内部地址或受限数据。
- 创建子会话、长期任务或自动触发任务。
普通用户怎么处理审批
当会话里出现等待确认时，按下面顺序处理：
- 看清楚要执行的动作。
- 看清楚涉及的文件、外部系统或接收对象。
- 判断是否符合当前任务目标。
- 如果只是生成草稿，可以要求“先不要发送”。
- 确认无误后允许继续；不确定时拒绝或补充说明。
不要因为页面提示“需要审批”就直接同意。审批的目的就是让用户在关键动作前停下来确认。
管理员怎么配置策略
管理员进入 审批策略 页面后，可以维护系统级规则。页面通常包含策略概览、可视化编辑和高级 JSON。
建议优先使用可视化编辑：
| 字段 | 建议理解 |
|---|---|
| 原子操作 | 被控制的具体动作类型 |
| 判定 | 直接放行、需要审批或拒绝 |
| 资源范围 | 规则影响哪些文件、会话或外部资源 |
| 风险 | 对动作风险的标记 |
| 会话类型 | 规则适用于主会话、子会话或全部会话 |
| 数据域 | 规则适用于哪类数据 |
| 敏感动作 | 是否涉及发送、删除、授权等敏感行为 |
| 主机 / URL 前缀 | 外部请求的目标范围 |
策略按顺序匹配，命中第一条符合条件的规则后生效。把更具体、更高风险的规则放在前面，避免被宽泛规则提前放行。
建议策略
| 场景 | 建议 |
|---|---|
| 普通文件读取 | 可直接放行 |
| 工作区内生成文件 | 可直接放行或低风险确认 |
| 删除、覆盖、外部发送 | 需要审批 |
| 不明外部地址访问 | 需要审批或拒绝 |
| 明确禁止的路径或系统 | 直接拒绝 |
不同团队的安全要求不同，最终以管理员配置为准。
配置后检查
保存策略前建议检查：
- 是否有过于宽泛的直接放行规则。
- 删除、发送、外部请求是否仍会进入审批。
- 规则顺序是否符合预期。
- 是否误把示例主机、示例路径当成真实配置。
- 是否需要对个人审批策略做补充。
保存后可以用一条低风险测试任务验证策略是否生效。
注意事项
- 审批策略不是用来替代账号权限的。
- 不要把密钥、token、真实密码写进策略说明。
- 公共策略会影响所有用户，修改前要谨慎。
- 高风险动作即使能执行，也建议保留人工确认。
- 如果不确定规则影响范围，先用更严格策略，再逐步放开。
常见问题
审批会阻止所有危险操作吗？
审批能降低风险，但不能替代账号权限、外部系统权限和管理员管理。敏感连接仍应按最小权限配置。
为什么同一个动作有时需要审批、有时不需要？
可能命中了不同资源范围、会话类型或个人策略。以当前页面显示和管理员策略为准。
普通用户能改系统审批策略吗？
通常不能。普通用户可能只能配置个人审批策略，系统级策略由管理员维护。