人工审批合同

把人类批准绑定到具体动作、资源版本与有效期。

审批的对象应是一项具体行动，而非一段笼统计划。用户批准的收件人、金额、文件版本、权限范围与有效期，要能对应到实际提交请求。研究任务继续阅读与向客户发送最终材料，是不同授权动作；企业可预先批准低风险规则，但仍要明确规则适用条件。

可采用prepare、approve、commit、verify四段：先生成变更及证据，服务器校验权限和资源版本，再请求对应角色批准，最后按稳定操作ID提交并读回后置状态。批准绑定规范化请求hash；任何实质参数变化都必须重新核验，不能让模型在批准后修改对象仍沿用原许可。

LangGraph官方文档说明interrupt可等待外部输入，但恢复时node从头重跑。因此interrupt前的副作用要么可幂等，要么拆成独立边界。审批等待可能跨天，原token、ACL、价格和合同状态都可能变化；恢复时检查批准未过期、授权者仍有效、资源版本仍匹配，不能只看一个approved布尔值。

界面应展示差异、来源、风险、可撤销性和实际作用域，让人能够理解决定。拒绝也应记录原因并阻止绕路执行，而非换一个工具或子Agent再试。测试覆盖批准重放、参数篡改、过期、角色撤销和多个并行审批，并证明每个批准只恢复它对应的动作。人工环节的意义在于有内容的控制，而不是在每一步机械弹框。

对低风险、频繁重复动作，可采用范围受限的预批准，例如允许更新某个草稿文件夹中的文档。预批准仍要有owner、作用域和失效条件，不能演变成万能跳过权限开关。产品应区分组织策略、用户一次批准和临时会话许可，让操作审计能还原授权来自哪里。

批准与拒绝的记录本身也属于敏感业务数据，应按角色查看并提供可追溯的保留策略，而非默认公开给所有Agent。

实践重点：先prepare再approve与commit；请求变化、过期或授权变化重新核验。

验证抓手：变更已批准参数并验证提交被拒绝。

常见误区：笼统批准后允许模型改金额、收件人或目标。

LangGraph：Interrupt与恢复语义；Claude Code：权限配置。