模式矩阵/模式白皮书/G1

审批门接收准备生效的具体意图：工具不可变版本、规范化参数、资源范围、委托身份和业务前置条件。

坐标与边界

治理 × 路由。同一个工具会因主体、参数、环境、影响和可逆性不同，进入 deny、allow 或 ask。动作怎样生成属于行动模块；获准后最多能影响多少由 G2 负责。

三份记录

intent:
  tool_digest: sha256:4ef...
  parameters_ref: artifact://intent/int_01/params
  resource_scope: {tenant: tenant_42, max_records: 20}
  policy_version: payroll-v12
  preconditions: {ledger_version: 417}
approval:
  intent_digest: sha256:93a...
  expires_at: 2026-08-19T09:30:00Z
  max_uses: 1
execution:
  idempotency_key: payrun-2026-08-batch-17

参数先规范化再计算摘要。字段顺序、默认值、时区和金额精度没有统一时，摘要无法可靠表达“同一个意图”。

有序裁决

1. 确定性规则处理硬拒绝、明确放行和必须人审的条件。
2. 模型分类器补充难以穷举的上下文，输出风险与理由，不签发权限。
3. 策略引擎结合身份、参数、资源和环境形成结构化裁决。

冲突顺序必须写进策略。高风险链路在策略服务不可用、无人审批或超时后通常应停止，不能依赖异常分支偶然放行。

暂停后怎样恢复

DRAFT → EVALUATING → DENIED
                  ↘ ALLOWED → EXECUTING → CONSUMED
                  ↘ PENDING → APPROVED → REVALIDATING → EXECUTING
                                      ↘ EXPIRED / INVALIDATED

恢复时检查 Intent 摘要、工具与策略版本、审批有效期、单次消费状态和业务前置条件。日志时间变化通常无关；金额、收款账户、目标资源版本或风险等级变化通常需要重新裁决。具体字段由业务域定义。

运行实例

薪酬 Agent 准备提交 18 人付款批次。策略检测到一个刚变更的收款账户，审批界面展示账户差异、总金额、来源账本和风险原因。等待期间又有一笔金额被修正，账本版本变化。恢复时旧批准失效，系统生成新 Intent。新批准被原子消费一次，付款 API 的批次号和状态差异进入 Execution。

常见失效

• 只审批工具名或自由文本摘要；
• 批准没有过期、撤销和单次消费；
• 模型风险分直接变成 allow；
• 重试、异步回调或恢复路径绕开审批；
• 审批界面看不到参数来源、资源差异和实际影响。

验证

测试参数篡改、策略换版、审批过期、并发消费、重复回调、前置条件变化和审批服务故障。生产观测至少覆盖获批摘要与执行摘要的一致性、旧审批拦截、高风险旁路和低风险误入人审。

相邻规范

G2限制获准动作的最大影响；G3提供能力级自治档位；X1连接 Intent、Approval、Execution 与回执；G5提供调用前和恢复前的执行位置。