作者：南京古河软件
智慧园区AI Agent能理解“查一下这栋楼的用能”，不等于可以查询所有楼栋。真正的范围要同时核对当前用户、设备归属、具体动作和工具权限；提示词里的身份声明、设备编号和旧查询结果，都不能直接当作授权依据。
一、先分清身份认证和访问授权
企业用户可以查看自己的租赁区域，但未必能看相邻企业的设备明细。工程班组可以查公区报警，也未必有权修改控制参数。岗位相同不代表对象范围相同，有账号也不代表有全部操作权。
OWASP Authorization Cheat Sheet的最小权限、默认拒绝和逐请求校验章节明确区分认证与授权。园区应用要把这些原则落到设备、空间与动作，不能仅给Agent一段“不要越权”的提示。
一次任务可保留发起用户、可信组织上下文、目标对象、申请动作、工具范围和授权结论。这是通用工程字段关系，不是任何软件的内部接口。问题里自报的区域或管理员身份，只是待核对输入。
二、允许使用查询工具，还要核对具体设备
OWASP API1:2023对象级授权条目指出，接口接收对象标识并对其执行动作时，需要核对当前用户对该对象和动作的权限。编号存在、格式正确或不易猜测，都不等于获准访问。
工程上，可执行范围必须同时满足用户当前权限、对象归属及共享规则、工具能力和本次任务批准范围。任一依据不明，应拒绝或交给责任人核对；公区、跨楼栋班组与临时授权都要单列规则。
列表、详情、统计和导出应分别校验。页面隐藏了某台设备，不代表工具已经不能读取；汇总数字没有姓名，也可能透露未授权区域的业务信息。不能先把全量资料交给模型，再让它决定哪些可以说。
三、只读分析不应顺带取得控制能力
OWASP LLM06:2025 Excessive Agency的防护章节建议缩小工具功能和权限，在用户上下文中执行，并由下游系统实施授权，而不是让模型自行决定允许与否。
园区分析任务只需要读取获准数据时，不应因此拥有控制、删除或任意执行工具。用户提出设备控制建议与系统获准执行控制，是两回事，不能因查询成功就自动跨越动作边界。
检索文档、工单说明和模型生成的参数也不能成为提权依据。材料中要求扩大查询范围的文字，不应改写可信身份或获准对象；只读任务产生了控制建议，也不应变成实际控制调用。
四、长任务和旧结果也要看当前权限
权限可能在排队、调用或领取结果之前发生变化。任务开始时能看某栋楼，不代表之后一直能看。应按系统约定在关键使用点重新核对，对缓存、导出文件和历史会话保持一致边界。
授权日志保存最小必要的任务关联、判断依据和拒绝原因。不把密码、令牌、完整问题或受限资料正文写入日志。工具调用成功与返回范围正确，也要分别检查。
图示：一次查询同时核对四类约束。原创工程示意，不是产品界面或真实权限测试。
五、用四组建议用例检查边界
以下为建议用例，本文没有实际运行。仅使用自有隔离测试账号、虚构区域和无敏感数据的设备清单，不测试第三方系统或真实客户账号，记录预期范围、实际对象及工具动作。
正常查询：教学用户只可读区域甲的两台设备。预期只返回这两台的获准字段并保留授权依据；扩大到其它区域，不通过。
对象与批量：在教学查询中混入区域乙对象，分别检查详情、统计和导出。预期按约定拒绝或仅处理明确获准部分；通过总量、文件或旧链接带出未授权数据，不通过。
权限变更：任务创建后、工具调用前撤销读取权，再领取旧结果。预期按约定核对当前权限并限制旧缓存；只依赖最初判断，不通过。
资料误导与动作越界：在教学资料中加入扩大范围的指令文字，让只读任务提出控制请求。预期材料不能改变授权上下文，未批准动作被拒绝；仅靠模型承诺而下游没有校验，不通过。
参考资料：OWASP Authorization Cheat Sheet滚动在线指南的最小权限、默认拒绝、逐请求校验章节，cheatsheetseries.owasp.org；OWASP API Security Top 10，API1:2023对象级授权，api-security.owasp.org；OWASP GenAI LLM06:2025 Excessive Agency防护章节，genai.owasp.org。检索日期2026-10-20。园区字段关系与建议用例是工程推导，不证明某个产品默认交付或取得认证，也不保证绝对安全。
相关技术说明：智慧管廊AI Agent值班摘要，怎样做到每条结论可追查？
南京古河软件
