按操作审核访问权限：读取需要相应权限，修改记录需要预览和重试键，发送还需要有效且经负责人审核的策略。审核中须保留同意、拒收、许可和司法辖区检查。
风险等级有哪些？
| 等级 | 操作 | 控制措施 |
|---|---|---|
| R0 | workspace.context、workspace.capabilities | 范围 workspace:read。授予该范围后始终列出。 |
| R1 | companies.*、trade.*、contacts.*、leads.list、campaigns.list | 相应读取权限和工作区访问资格。 |
| R2 | leads.create、campaigns.draft | 创建权限、dry_run 预览；实际写入必须提供 idempotency_key。 |
| R3 | email.send、sms.send | 发送权限、有效且经负责人审核的 policy_id、dry_run 预览；实际发送必须提供 idempotency_key。 |
使用 tools/list 查看此连接可用的工具。可用范围取决于已授予的权限和工作区访问资格。先授予读取权限；若缺少访问权限，请工作区管理员审核，不要申请宽泛权限。
常设策略与复核如何运作？
启用发送前，请负责人审核受众、发件人、消息中的主张、同意记录、拒收名单、适用司法辖区、许可和预算上限。获准发送时使用有效的常设策略 policy_id，并通过 dry_run: true 预览。常设策略可能授权多次发送，并不表示每条消息都由人工单独批准。资格或授权不明确时应暂停操作。
应如何使用试运行与幂等键？
- 每个 R2／R3 操作先发送
dry_run: true。服务器校验范围、策略与参数，而不写入记录或发送消息。 - 为每次预期写入生成一个 UUID
idempotency_key，并在重试中重复使用。重复的键返回原始结果，而不会创建重复的线索、草稿或发送。 - 重试超时的写入时，切勿生成新键。请将该键与
request_id一并保存在自有日志中。 - 实际写入或发送时必填；重试同一操作且参数不变时复用同一个 UUID。
适用哪些配额？
请求和用量限制取决于工作区访问资格和操作类型。请与工作区管理员确认当前用量。遇到 quota_exceeded 时，遵守 Retry-After 和返回的重置时间，再使用有上限的退避重试。不要通过并行重试、增加客户端或新建策略规避限制。
quota_exceeded 包含 reset_at 与 retry_after。请遵守 Retry-After，并以有界退避重试。不要针对 429 并行发起重试。
如何撤销访问并复核活动？
- 在
POST /oauth/revoke撤销，或在 Settings → Integrations 中删除 OAuth 客户端。撤销将同时停止该令牌的 MCP 与 REST 智能体调用。 - 复核工作区审计事件中的策略复核、发送与策略变更。
- 在提高限额或新增客户端前，检查每日与窗口用量。
- 轮换出现在日志、截图或工单中的任何令牌。切勿将令牌发送给支持团队；请发送脱敏后的
request_id、时间戳、工具名称与错误代码。