Agent Client：浏览器授权与本地编排

Agent Client 让本地 Agent 负责理解、规划和多步工具选择，BailingHub 继续负责业务身份、能力范围、审批、幂等、业务调用与审计。Core v0.9.0 与独立的 SDK、DSH 插件 v0.7.0 配合，可以在同一中枢与审计域的一次对话中使用多个系统的已授权账户，并把已同步的沟通文字关联到各账户的执行记录。

普通使用者先看多系统授权与对话记录。单独升级中枢，不会让旧客户端自动获得会话选择器或补齐旧聊天正文。

它不替代 /run、网页聊天、Client API 或执行器协议。

可选模型服务与共享额度

Core 0.9.0 与 SDK/DSH 0.7.0 可按需接入对话模型、生成工具和 USD 套餐。宿主保留原请求 ID，分别显示生成结果和待结算状态；周期售价与每周期额度独立，客户使用摘要显示 Credits 或剩余百分比。套餐不扩大原业务授权。配置与接入见模型服务与套餐计费。

长任务、原调用与附件空间

管理员可以在“智能体客户端 → 任务控制”固定任务成员、工具范围、累计写调用额度和并发许可数。宿主保存任务绑定与原调用记录，再为后续轮次建立当前执行上下文。累计额度统计业务写调用，模型费用按套餐独立结算。

查看进度：读取原调用回执，只核对执行与审批状态，不触发业务动作。
继续原调用：用户显式确认后，沿用原授权、参数和调用 ID 继续；结果未知时先核对，避免重复写入。
暂停或取消任务：暂停阻止后续派发，已在途请求仍可能完成；取消停止后续派发，不回滚已完成操作。

DSH 在一轮内保留仍有效工具；宿主显式启用后，同一存活会话可跨消息复用声明，每轮仍按需核验原目标。工具声明复用不会自动续跑整个任务。任务纳入原 Agent Session 后会保留强制标记，取消任务不会解除；升级前确认宿主兼容，启用后保留支持该标记的 Core 版本。

接口细节见任务控制与原调用只读回执。图片生成后可按需使用附件空间；普通聊天不会自动上传附件或创建业务运行。

三方职责

参与方	负责什么
业务系统	登录、账号/租户选择、派生可信主体、最终权限与业务状态校验
BailingHub	Client App、workspace、能力投影、审批、调用、撤销和审计
本地 Agent / 插件	PKCE 发起、凭据安全存储、本地规划、工具选择与用户交互

配置流程

业务系统实现账号与租户中立的统一 agent_authorize_url，从当前登录会话派生可信身份；
在“智能体客户端”选择接入方，集中核对授权入口、workspace、系统说明、业务工具与审批配置；
建立或复用 Client App，获得公开 clientAppId；精确选择允许写入的 operationId，业务说明不扩大工具权限；
本地插件发起浏览器 + PKCE 授权；用户在业务页面登录、选择账号/门店并确认；
新建对话，在首条消息前选定本次允许使用的授权；未选择或选择空范围时只进行普通聊天；
Agent 只在所选范围内为每次操作选择账户，读取该账户的规则与工具，再由中枢和业务系统检查权限；
管理员可以查看已同步的对话文字，进入每轮各账户的原执行记录，并逐个撤销 Agent Session。

凭据与内容边界

以下信息保留在中枢服务端，不下发给本地 Agent：

中枢内配置的模型供应商密钥；本地 Agent 自行配置的模型 Key 由宿主管理；
Tool Provider Secret、Client Token 和管理员 Token；
业务 API 的内部 URL 和完整 target_config。

对话归档只接收可见文本，不接收隐藏推理；已同步文本进入中枢管理审计空间，由具备任务读取权限的管理员查看。

写操作与审批

路由保存的是精确 operationId 列表，不接受通配符。Agent Client 的本地规划不会放宽 ACC 的 approval 声明；额外的强制审批配置只能收紧。业务接口在最终写入前仍需重新授权。

先选本次授权，再开始对话

同一插件可以保存多个连接。一次 DSH 对话可以选择同一 Hub 与审计域内、不同 clientAppId + workspace 绑定的授权；每个成员仍保留原连接 key、Agent Session 和目标身份。跨 Hub 范围不支持。每个账户都要单独完成浏览器授权；本地 connectionName 或展示名称不能指定或伪造业务身份。

先运行 /bailinghub connections list 获取固定连接 key，再在新对话首条消息前执行：

/bailinghub scope set <connection-key-A> <connection-key-B>
/bailinghub scope

尖括号表示需要替换的固定 key，不能用连接别名。只选一个 key 就只使用该账户；/bailinghub scope none 或未选择范围时只聊天。等待命令成功回显后再发消息。connections use 不会替当前对话选择范围。

首条消息后范围固定，换账户要新建对话。已开始的会话重开时验证原范围；尚未开始的草稿重开后要重新确认选择。任一所选授权被撤销或身份改变，整个原范围暂停，不会自动缩小为剩余账户；其他独立会话仍各自按自己的范围校验。

系统说明与授权对象名称

管理员维护的系统说明，让模型在首次工具搜索前区分“商城负责商品经营”和“库存系统负责库存查询”。它只说明产品用途，不承诺某个授权已开通工具，也不需要预先创建每个目标的业务运行记录。

业务后端通过可信授权流程提交 subject_display.name，可以是组织、账户、项目、仓库或门店名称。SDK/DSH 将它用于列表和目标说明；旧授权可补同步，缺失时显示待同步。改名不更换连接 key、授权身份或归档关联。

查看记录和处理断网

在“任务 → 会话 → 客户端完整对话”查看已同步的可见文字，再打开每轮各账户的执行、审批和工具轨迹；原授权记录仍保留。旧历史或未同步内容可能缺失，不能用执行摘要替代原文。

断网后在原会话重试验证与同步，必须通过全部原授权的校验，才能补传已保存事件。补传不会重新执行写操作。原调用恢复使用独立的可信持久记录，不能从聊天正文推测；宿主接入要求见上方长任务说明。“已同步”只说明当前已保存事件已上传，仍须查看本地未保存数量和历史缺口。

当前正式配套为 Core v0.9.0、SDK/DSH v0.7.0。从公开 0.8.0 升级时，按发布流程备份并应用尚未执行的迁移 063、064；更早版本还需对应前序迁移，无需清退数据。运行时不会自动迁移，已应用的文件不能重复执行。完整步骤见发布与升级说明。

宿主接入按以下顺序阅读：

SDK 0.7.0 配套升级：确认 Core 0.9.0 / SDK 0.7.0 / DSH 0.7.0 的版本与恢复要求。
浏览器授权与业务工具基础指南：实现授权和受治理调用；安装版本以配套升级指南为准。
可选模型服务接入：接入模型目录、生成工具、额度摘要及原请求恢复。

Core 提供中枢侧协议与管理审计，业务系统保留最终授权。ACC 作为独立能力契约描述工具的治理要求。