访问控制 (ACL)

XAI XAPI 提供访问控制能力，用来约束账户如何使用平台资源。它的目标不是增加配置负担，而是在团队协作和能力分发时，帮助您把风险控制在可接受范围内。

访问控制解决什么问题？

访问控制通常用于解决以下问题：

• 限制请求来源，降低密钥泄露后的滥用风险
• 限制可用能力范围，避免账户使用超出预期的模型或操作
• 在多层级账户体系中，把上层治理边界稳定传递给下层
• 让团队、客户和项目之间保持更清晰的隔离

访问控制的基本原则

访问控制页面不需要记住具体字段。对普通用户来说，更重要的是理解下面几条原则：

• 访问控制是“允许什么”，而不是“出了问题再补救什么”
• 下级账户只能在上级允许的范围内继续收窄，不能反向扩大权限
• 访问边界应当与真实业务边界一致，例如部门、项目、客户、环境
• 生产环境应该比测试环境更严格，而不是更宽松

典型控制范围

在实际使用中，访问控制通常围绕三类边界展开：

• 来源边界：哪些网络、哪些环境、哪些入口可以发起请求
• 能力边界：一个账户可以用到哪些模型和功能
• 操作边界：一个账户能够访问哪些类型的接口或资源

使用建议

• 为不同用途拆分账户，而不是让同一个账户承载所有场景
• 对生产环境采用更严格的访问来源约束
• 对下游团队或客户采用默认收敛的治理方式
• 定期结合日志回看权限是否仍然符合当前业务边界