# 权限决策参考

示例开发任务：

- 读写当前仓库：必要，workspace 范围。
- 读取主目录凭据：不必要，拒绝。
- 下载依赖：只有缺失且用户确认时，对指定包域名放行。
- 本地测试服务：只允许 localhost，不开放公共网络。
- push 与 deploy：技术上可执行也不代表任务已授权，必须单独确认。

被阻止时先问动作是否必要，再尝试更窄目录、域名或工作区缓存。Full access 不是诊断步骤。