OpenClaw 工作流越跑越多，权限就越容易漂移。最开始只是为了一个紧急项目临时开放写入权限，后来没人回收；某个连接器只为测试接入，后来一直保留；某个 Agent 原本只读，几次改造后悄悄拥有了外发和修改能力。
权限漂移不是一次明显事故，而是很多小例外积累出来的风险。它和 连接器权限清单、授权边界、审批队列 都有关，只是视角从“怎么开权限”变成“开过的权限有没有变形”。
先找临时授权
巡检第一步，是把所有临时授权列出来：谁申请、为什么申请、开放了哪些工具动作、计划什么时候回收、是否已经过期。很多团队的问题不是没有审批，而是审批后没有回收动作。
如果一个临时授权已经超过原定期限，就不要默认继续保留。它应该重新进入审批，说明为什么还需要、影响范围是什么、是否可以降级为只读。
按动作看权限变化
权限漂移不能只看连接了哪些应用。读取、写入、删除、外发、改权限是不同风险。一个 Agent 原本只读 CRM，后来增加了修改客户状态；这不是小调整，而是风险等级变化。
巡检表里要按动作记录权限，而不是只写“已接入 CRM”。这样才能看出哪些工作流从低风险变成了高风险。
把审批记录和运行日志对上
有审批记录，不代表实际运行符合审批范围。巡检时要抽样对比运行日志：Agent 实际调用了哪些工具，写入了哪些字段，是否出现未审批的动作。
这部分可以和 生产监控指标 结合。监控发现异常调用次数、失败重试或高风险写入增加时，权限巡检要跟上。
回收要有降级方案
权限回收不是简单一关了之。有些流程还在依赖旧权限，直接关闭会造成业务中断。更稳的方式是先降级：写入变草稿，外发变待确认，删除变人工处理，只读继续保留。
如果确实需要长期保留高风险权限，就要写清负责人、复核周期和回滚方式。否则“临时授权”很快会变成没人敢碰的历史包袱。
总结
OpenClaw 权限漂移巡检的核心，是定期检查临时授权、工具动作、连接器范围、审批记录和运行日志。临时权限如果没有过期时间和回收策略，迟早会变成长期风险。
