独立解读
Agent 花钱前，用户到底授权了什么？
01任务目标02购买边界03撤销权限
“帮我买一份数据”可以有很多含义：先推荐、每次询问，还是在 10 美元以内自行购买？这些差别决定了 Agent 能做什么，也决定了出现错误后能否说清楚责任。
把授权拆成三个问题
| 层次 | 回答的问题 | 例子 |
|---|---|---|
| 任务目标 | 要做什么？ | 为报告寻找市场数据 |
| 购买边界 | 在什么条件下可以买？ | 总预算 10 美元；单次超 3 美元审批 |
| 支付执行 | 哪个凭证能用于这次付款？ | 通过受控钱包或卡发起交易 |
这三层可能由一个产品负责，也可能分布在不同系统。任务授权不自动等于无限支付权限；用户允许付款，也不代表发卡方一定批准。
flowchart TD
T[用户设定任务] --> B[配置预算、时间和范围]
B --> Q{购买是否符合约束?}
Q -->|符合| P[受控支付工具检查并执行]
Q -->|需审批| U[用户查看交易并决定]
Q -->|超出权限| X[拒绝或结束]
U -->|同意| P
P --> R[记录交易和交付状态]
一份可检查的授权应该写什么？
用“研究数据，最多 10 美元”为例，还可以追问：是每次任务 10 美元，还是每天 10 美元？单次门槛是否包括网络费？允许哪些服务商？有效期多久？多个 Agent 是否共用额度？这些不是所有产品都支持的规则，但它们揭示了用户真正需要确认的边界。
| 条件 | 可操作的表达 | 常见盲点 |
|---|---|---|
| 金额 | 每次不超过 3 美元，总计不超过 10 美元 | 并发请求可能同时占用同一预算 |
| 对象 | 允许清单中的商家或地址 | 地址变化和冒充如何处理 |
| 时间 | 授权到某时刻失效 | 已发出的交易或授权是否仍有效 |
| 审批 | 超过阈值暂停并请求确认 | 用户不在线时如何处理 |
| 撤销 | 停止后续调用并撤销可撤销凭证 | 已完成的付款一般不能靠撤销授权自动追回 |
对并发预算，可靠系统需要在执行层协调额度预留与释放；如果只是 Agent 逐次读取余额，两个请求可能同时认为自己有足够额度。
可信记录能做什么，不能做什么？
AP2 规范定义 Checkout Mandate 和 Payment Mandate，分别为相关参与方提供结账和支付授权的可验证证据。它有助于表达和验证约定，但产品仍需实现权限控制、资金转移与失败处理。签名证明某些数据由谁签署，并不自动证明 Agent 的商品判断正确、商家可靠或争议必然按某一结果解决。
用户界面应让人看懂什么？
审批时至少展示商家、购买内容、总价与可能费用、使用的资金来源、当前规则。审批后保留订单与权限记录；提供暂停或撤销入口，并说明撤销对进行中交易的影响。涉及个人资料时，尽量只向必要参与方提供必要信息。
判断系统是否可靠，最终要看：限制在哪里强制执行？修改策略需要谁同意？账单出现未知交易时，用户能否找到对应的任务和授权？