🔐 权限配置最佳实践

安全防护 第 2 篇

权限类型

文件权限

✅ 安全工作区：~/workspace/*
❌ 危险区域：~/Documents, ~/Desktop, /etc

建议：只开放工作区，其他需要时临时授权

网络权限

✅ 允许：读取网页、API 调用
⚠️ 限制：发送消息、邮件、社交媒体
❌ 禁止：未经确认的支付操作

系统权限

✅ 允许：读取文件、运行安全命令
⚠️ 限制：安装软件、修改系统配置
❌ 禁止：删除系统文件、修改注册表

权限配置原则

1. 最小权限原则

❌ 错误：给 AI 完全访问权限
✅ 正确：只给工作区读写权限

"能干活就行，别给太多"

2. 分级授权

日常操作：自动执行
├── 读取文件
├── 搜索网络
└── 写工作区文件

敏感操作：需要确认
├── 发送邮件/消息
├── 访问个人文件
└── 运行外部命令

高危操作：禁止或严格审批
├── 删除文件
├── 支付操作
└── 修改系统配置

3. 临时授权

场景：AI 需要访问 Downloads 文件夹

你：我需要你处理下载的文件
AI: 需要临时访问 ~/Downloads，可以吗？
你：可以，只用一次
AI: ✅ 已获取临时权限，用后自动回收

实战配置

场景 1：日常助理

权限配置：
✅ 工作区读写
✅ 网络搜索
✅ 浏览器读取
⚠️ 发消息需确认
❌ 不能访问个人文件

适用：日常对话、查资料、写文档

场景 2：开发助手

权限配置：
✅ 项目目录完全访问
✅ 运行 npm/pip 等命令
✅ Git 操作
⚠️ 部署需确认
❌ 不能访问其他项目

适用：写代码、调试、部署

场景 3：数据分析

权限配置：
✅ 读取指定数据文件
✅ 运行分析脚本
✅ 生成报告
❌ 不能修改原始数据
❌ 不能外传数据

适用：数据处理、报表生成

权限检查清单

定期检查（建议每月一次）：

□ 查看 AI 有哪些权限
□ 清理不再需要的权限
□ 检查权限使用日志
□ 更新敏感操作白名单
□ 备份权限配置

安全边界

权限审计

查看权限使用记录

你：看看你最近用了哪些权限

AI: 最近 7 天权限使用：
📁 文件读取：127 次
 文件写入：45 次
🌐 网络请求：89 次
💬 发送消息：3 次 (已确认)
⚠️ 无异常使用

发现异常怎么办

1. 立即撤销可疑权限
2. 检查是否有数据泄露
3. 修改相关密码
4. 重新配置权限边界

企业/团队场景

角色权限

管理员：
✅ 配置权限策略
✅ 查看审计日志
✅ 管理团队成员

开发者：
✅ 代码仓库访问
✅ 部署权限
❌ 不能修改权限配置

普通用户：
✅ 只读访问文档
⚠️ 写操作需审批

常见问题

Q: 权限配置太麻烦怎么办？

A: 可以用预设模板： - "开发模式"：适合写代码 - "研究模式"：适合查资料 - "日常模式"：适合聊天助手

Q: AI 说需要权限但我不知道安不安全？

A: 问我！我会告诉你： 1. 这个权限用来做什么 2. 有什么风险 3. 有没有替代方案

Q: 权限给错了能收回吗？

A: 可以！随时可以撤销或修改权限配置。