dingtalk-workspace-cli/skills/multi/dingtalk-misc/references/pat.md

PAT 行为授权 (pat) 命令参考

本文件为 dingtalk-misc 内 PAT 行为授权产品入口。命令前缀：dws pat。Distinct from 开放平台应用权限（本包 devapp.md）。

dws pat 管理 Agent 的行为授权。它不管理开放平台应用权限；应用权限使用 dws dev app permission（见 devapp.md）。

命令总览

配置浏览器策略

# 允许 PAT 授权流程打开本地浏览器
dws pat browser-policy --enabled --format json

# 禁止指定 Agent 的 PAT 授权流程打开本地浏览器
dws pat browser-policy --enabled=false --agentCode <AGENT_CODE> --format json

--agentCode 省略时写入全局默认策略；该命令只修改本地策略，不授予业务操作权限。

授予行为权限

# 预览按产品展开的批量授权计划，不写入授权
dws pat chmod --products calendar,aitable --grant-type session --session-id <SESSION_ID> --dry-run --format json

# 执行批量行为授权（高影响，必须先让用户确认）
dws pat chmod --products calendar,aitable --grant-type session --session-id <SESSION_ID> --yes --format json

scope 格式为 <product>.<entity>:<permission>。grant-type 支持 once、session、permanent；session 模式必须提供 --session-id。使用 --products、--product、--domains、--domain 或 --recommend 批量展开 scope 时，先用 --dry-run 检查计划，用户明确确认后才可加 --yes。

意图判断

用户说"PAT 授权时允许或禁止打开浏览器/配置浏览器授权策略" → browser-policy 用户说"授予 Agent 行为权限/授权 scope/批量授权产品/一次性授权/会话授权/永久授权" → chmod

注意事项

• browser-policy 只写本地配置，不会发起授权。
• chmod 会改变 Agent 可执行范围；批量或永久授权属于高影响写操作，必须先展示 scope、授权类型和有效期并获得用户确认。
• 不要把 PAT 行为授权与 dws dev app permission 的开放平台应用权限混用。