浏览器自动化如何划分读取、草稿与提交权限

浏览器自动化如何划分读取、草稿与提交权限

浏览器代理使用已有会话时，页面能显示什么、账号能操作什么，都可能成为代理可触达的范围。把“整理客户信息”交给代理，实际可能包含读取列表、进入详情、写备注和点击保存等多种权限，风险完全不同。本文不讨论某个网站的操作技巧，而是给出一套任务分级方法：按数据敏感度、动作可逆性和影响范围，把自动化拆成读取、草稿、受控写入与高风险提交，并为每级定义停止条件。

不要把登录状态当作授权说明

浏览器已经登录，只说明当前用户拥有一组会话权限，不说明这些权限适合交给自动化。真实账号往往同时包含读取、编辑、分享、删除和审批能力，而自然语言任务通常没有逐项表达这些边界。

开始任务前至少确认：

• 允许访问哪些域名、账号和页面。
• 可以读取哪些数据，哪些字段需要遮蔽。
• 是否允许写入；允许写入时能否保存或提交。
• 单次任务最多影响多少对象。
• 发生意外导航、权限申请或二次确认时如何停止。
• 操作失败后是否能够恢复到原状态。

没有这些信息时，默认停留在只读观察，而不是让代理自行扩展权限。

四级任务模型

一级：只读观察

只读取明确页面中的可见信息，不进入未授权详情，不下载文件，不改变筛选器以外的持久状态。

示例边界：

只读取当前列表页可见的测试数据，整理指定字段。
不要进入详情页，不点击编辑、导出或分享，不打开其他域名。

只读仍可能泄露数据。页面包含个人信息、内部指标或访问令牌时，需要先确定是否允许模型处理以及输出保存在哪里。

二级：生成外部草稿

代理读取允许的背景材料，但把建议、邮件或备注写入隔离的本地文件或专用草稿区，不回写业务系统。

根据已提供的脱敏信息生成跟进备注草稿，写入指定本地文件。
不要打开业务系统的编辑界面，不要保存、发送或分享。

草稿需要人工检查事实、收件对象、语气和敏感信息。生成完成不等于获得发送授权。

三级：受控写入

允许在测试环境或明确可恢复的区域写入，但提交对象、字段和数量必须受限，并保留前后状态。

适用条件包括：

• 使用测试账号和可恢复数据。
• 写入字段及允许值已经列明。
• 每次写入前能展示对象和变化。
• 任务数量设有小而明确的上限。
• 有独立的回滚或清理步骤。

受控写入不应悄悄升级为批量操作。遇到范围外对象或页面结构变化时立即停止。

四级：高风险提交

发送外部消息、修改权限、删除或归档数据、处理付款、审批发布、变更生产配置等动作，可能不可逆或影响第三方。默认不由无人值守代理完成。

这类任务即使有人工确认，也应在执行前展示具体对象、动作、影响范围和恢复方案。审批应针对当前变更，而不是一开始给出模糊的“全部同意”。

用三个维度决定级别

任一维度明显升高，都应提升任务级别。不能因为某个动作“技术上可撤销”就忽略通知已经发送、数据已经被读取或审计记录已经产生等外部影响。

提示词必须包含停止条件

停止条件应描述可观察事件，而不是只说“谨慎操作”：

只访问列出的域名和页面。
遇到登录、验证码、权限申请、下载或外部重定向时停止。
遇到发送、删除、归档、分享、审批、付款或生产配置按钮时停止。
页面结构与描述不一致时停止，不要自行寻找替代入口。
任何动作将影响超过约定对象数量时停止。

对于浏览器自动化，停止比失败重试更重要。写操作失败后自动重复，可能导致重复提交；页面反馈不明确时，应保留现场并交给人判断。

人工确认应该确认什么

“继续吗”不是充分的确认界面。提交前应向操作人展示：

1. 当前账号、环境和目标页面。
2. 将被读取或修改的具体对象。
3. 字段的原值与新值。
4. 将要点击的控件及预期副作用。
5. 操作是否可恢复以及恢复方法。
6. 仍然未知或无法验证的风险。

人在看到这些信息后才能做针对性判断。确认后如果页面、对象或值发生变化，原确认失效，需要重新展示。

记录证据，而不是只记“成功”

受控写入应保留最小必要记录：任务发起人、环境、目标对象、允许动作、实际动作、时间、结果和异常。敏感内容不应原样进入普通日志，可记录对象标识和字段结构，并按组织规则保护审计数据。

一次任务的交付记录可以使用以下结构：

任务范围：
浏览器账号与环境：
读取对象：
计划写入：
人工确认点：
实际执行：
未执行动作：
结果与异常：
恢复状态：

这份记录帮助复核代理是否遵守边界，但不能替代浏览器、业务系统和身份平台自身的审计能力。

提示词之外还需要硬边界

自然语言限制可能被误解，也可能因为页面变化失效。可行时，应使用权限更小的测试账号、隔离浏览器资料、测试环境、只读角色、对象数量限制和系统侧审批，把风险边界落实到工具与身份层。

Claude Code 的浏览器集成方式和当前能力可参考 官方 Chrome 文档。无论使用哪种代理，权限设计都应以目标系统的实际账号能力和组织政策为准，而不是假设代理天然只会执行提示词中的动作。

结论与限制

浏览器自动化的权限不应只有“允许”和“禁止”两档。将任务拆为只读观察、外部草稿、受控写入和高风险提交，并按数据、动作和范围提升级别，可以让人工确认发生在真正有影响的位置。

分级和停止条件只能降低误操作风险，不能消除会话泄露、页面变化、提示注入或系统缺陷。涉及敏感数据和不可逆业务动作时，仍需要最小权限账号、系统侧控制、审计与人工责任边界。