身份、租户与授权边界

谁在行动

每次请求从服务端验证的token或会话取用户、租户、角色和项目范围。工具参数里出现user_id只是资源选择输入，不能覆盖已验证主体。Agent定义、Session、Task和Run分别引用授权上下文；子Agent委派只能缩小范围，不能因为换了执行单元获得新权限。

三层检查

入口校验用户能否创建任务，工具/API校验每个动作与资源，数据库或数据服务执行最终行级／对象级限制。前端隐藏按钮提供体验而非安全边界。检索必须在候选进入reranker和prompt之前过滤，避免仅在最终回答时遮盖已泄漏内容。

动态权限与执行点

长任务不能只在启动时检查一次。写操作在实际调用点重新确认策略、资源版本、审批有效期和执行租约；高风险读也需处理撤权。把策略版本、授权决定和请求hash记录在事件中，便于解释当时为什么允许。

验证

用同一问题、相似文件名和不同角色建立对照，检查候选、工具结果、摘要、日志和产物都没有跨租户信息。再在运行中撤销权限，确认后续调用停止，已生成候选被标记需复核。缓存键若缺tenant、ACL版本或scope，即使数据库本身正确也可能绕开隔离。