S24-A01 · 权限、沙箱与审批：放多松、收多紧

适用读者：决定"该不该让它碰你的代码/机器"的人。
前置：S24-J03、S21-A02。
覆盖旧文：678(184) 679(252) 702(189) + 安全类 = 697 点。
覆盖扩展：E-S24-007（三级权限模型）。
上一篇：S24-J03 · 并行与子代理：Worktrees 与 Harness 管控
下一篇：S24-A02 · 自动化与 CI/CD。

1. 一句话结论

权限按"影响可逆性"分三级：读（放行）、可撤销写（放行 + 记录）、不可逆操作（必须审批）。

级别	例子	默认
L1 只读	读文件、看 git 状态	放行
L2 可撤销写	改工作区文件、建分支	放行 + diff 可回滚
L3 不可逆	推送主分支、删数据、改生产配置	必须人工审批

2. 三级模型落地（E-S24-007）

① 默认 L1（只读），需要时提权
② L2 的产出必须"可回滚"（工作区改动 + 分支）
③ L3 一律插入审批，且审批要显示"将执行什么"

"为什么默认只读"：误操作的成本不对称——读错一次没事，删错一次可能是事故。

3. 沙箱的三种强度（A-678）

形态	隔离度	适用
本机直接跑	无	只读任务
容器/工作区隔离	中	常规开发
独立 VM	高	执行不可信代码

判据："它会执行生成的命令吗？" 会 → 至少容器隔离，且默认不挂载家目录/密钥。

4. 企业治理要点（A-702）

项	要求
密钥管理	不进仓库/不进提示词（S20-A02）
审计日志	谁、何时、让它做了什么
代码出境	云端方案需合规评估
供应商锁定	配置与规则可迁移（A03）

5. 五个误区

误区	真相
"给了权限更高效"	不可逆操作的代价不对称
"审批很烦"	它只挡 L3
"本机跑不用隔离"	本机有你的全部权限
"审计没必要"	出事时无法追溯
"云端一定不安全"	取决于合规与配置

6. 自检（架构师版）

三级权限的划分依据？
为什么默认只读？
沙箱三种强度的适用？
企业治理四项要点？
为什么"审批只挡 L3"？

7. 下一篇

S24-A02 · 自动化与 CI/CD：codex exec 与 Agent SDK

权限讲完，下一篇讲"怎么让它在你不在时干活"。

本篇属于系列《S24 · AI 编程工具》。旧文来源：A-678/679/702 + 安全类卡；扩展点 E-S24-007。