Scoped Consent Credential

範圍限定同意憑證是什麼，跟傳統的「一次授權、永久有效」的權限模式有什麼不同？

傳統的權限授予模式（例如把帳號密碼直接交給程式，或是核發一組長期有效、幾乎無限制的 API 金鑰）本質上是「一次同意，之後全權代理」——使用者只需要在一開始核准一次，之後這份權限就會持續有效，直到使用者自己想起來去撤銷它為止。這個模式對人類操作者來說已經有風險，對 AI 代理更危險，因為代理的判斷可能在你完全不知情的情況下被誘導做出不該做的決定，而它手上握著的卻是一份範圍幾乎沒有限制的長期權限。

範圍限定同意憑證的邏輯完全相反：每一次需要授權時，系統核發的是一份只對應「這一次、這個交易對象、這個額度上限」的臨時憑證，用完即失效，下一次需要授權時必須重新核發。這個轉變的核心，是把「使用者同不同意」這件事,從一次性的、事後很難追溯細節的模糊判斷,變成一連串各自獨立、範圍明確、可以逐筆稽核的紀錄——即使 Agent 的判斷在某一次被劫持，能造成的損害也被限制在那一份憑證的範圍之內，不會擴散到使用者帳號的其他部分。

範圍限定同意憑證為什麼會出現，是什麼原因造成的？

核心驅動力是傳統的憑證管理方式在 Agent 場景下暴露出明確的失衡：業界調查發現,絕大多數非人類身分（服務帳號、API 金鑰）持有的權限都超出實際需要,而且只有少數組織對這些憑證有正式的下架跟撤銷流程,更少組織會定期輪換它們——這代表大量的長期有效憑證持續存在，一旦其中任何一個被外洩或誤用，攻擊者取得的往往是遠超實際需要的存取範圍。傳統的 OAuth 這類授權標準原本假設的場景是「一個應用程式在啟動時完成一次授權流程」，但 Agent 的行為模式是在執行過程中動態決定要呼叫哪些 API、存取哪些資源，這代表授權這件事沒辦法只在「前門」做一次就夠,需要能夠在執行的當下針對每個具體資源核發對應範圍的憑證。

另一個推力來自問責需求：當一筆交易或一個動作出了問題，需要能夠明確回答「這是不是使用者本人同意的」這個問題，而且答案必須是可驗證、無法被事後否認的。如果憑證本身沒有明確記錄「這份授權對應哪一次同意、哪一個範圍」，出問題時就很難釐清究竟是使用者真的同意了、還是 Agent 的判斷被劫持後偽造出來的授權請求，範圍限定同意憑證把這個問責基礎直接內建進憑證的結構本身。

範圍限定同意憑證具體怎麼運作，業界目前有哪些不同的實作方式？

這個底層邏輯目前沒有單一業界標準,不同場景各自發展出不同的具體實作。在傳統卡片支付軌道，做法通常結合兩份憑證：一份是由付款服務商核發、範圍被限定在特定商家與金額的代幣（例如業界稱為 SPT，shared payment token）；另一份是由使用者的錢包或裝置簽署的明確同意訊息（例如 Google 的 Agent Payments Protocol 裡稱為 mandate），這份訊息由 Agent 在交易時一併出示,兩者合在一起構成一個「不可否認」的紀錄——商家有密碼學證據證明使用者同意了，而支付網路手上的代幣本身也只能在被限定的範圍內兌現。在穩定幣結算軌道，做法通常更直接：使用者錢包對這一次交易的簽章本身就是同意的紀錄，如果代理持有的是委任金鑰（透過帳戶抽象化、session key，或前述的 mandate 機制），實際被驗證的是這一整條委任鏈,而不是單一的簽章本身。

在更廣泛的 API 存取場景，業界則採用 RFC 8693 定義的「代幣交換」（token exchange）機制：Agent 已經持有一份代幣（可能來自使用者授權的委任、也可能來自 Agent 自己的身分驗證），需要存取某個特定資源時，向授權伺服器交換一份專門對應這個資源、範圍受限的臨時代幣；如果既有政策不允許某項操作（例如寫入權限），對應範圍的代幣就根本不會被核發出來,而不是核發出來後才依賴其他機制去限制它。不管是哪一種實作,共通的設計原則都是：範圍（scope）決定的是「這份憑證能不能被拿去用在這裡」，不是「這個動作現在該不該被執行」——後者是一個運行時的判斷,需要獨立的授權引擎在每一次呼叫時評估,不能單純假設「有範圍正確的憑證」就等於「這個動作是安全的」。

範圍限定同意憑證對我有什麼影響，該怎麼判斷一個 Agent 產品是不是真的做到了？

如果你正在使用或評估任何會核准 Agent 存取資源、執行動作的產品，一個具體可以問的問題是：這份授權的範圍，具體限定到什麼程度？是「這個 Agent 永久可以存取我的整個帳號」，還是「這個 Agent 只能在這一次交易、對這一個商家、在這個金額上限內」動用權限？如果答案偏向前者，代表這個產品沿用的還是傳統的粗粒度授權模式，一旦 Agent 判斷出錯，波及範圍會遠大於必要程度。

另一個值得追問的細節是：如果同一份憑證的範圍設定被拿去用在範圍之外的地方（例如原本只授權訂機票，卻被拿去嘗試存取銀行帳戶），系統會不會直接拒絕，還是要依賴額外的人工複核才能發現異常？前者代表範圍限定是在架構層面被強制執行的，後者代表範圍限定可能只是形式上存在,實際攔截效果有限。範圍限定同意憑證能提供的保護,本質上取決於「範圍」這個限制是不是真的在系統的每一次判斷裡都被檢查,而不是核發時寫了範圍、之後就沒有人再去驗證它有沒有被遵守。