深圳团队周五上线前：给编码智能体划清停手线

周五的登录修复，不等于生产环境的通行证

假设深圳一个小团队准备周五上线，你把“修复登录失败”交给编码智能体。它能读文件、改代码、运行测试，还可能执行终端命令。几分钟后，它发现重建用户表似乎能绕开问题。此时，真正重要的不是它会不会写那条命令，而是它知不知道必须停下来。

编码智能体，就是能围绕目标连续采取行动的编程助手。普通聊天通常只给建议，它却可能直接改变工作环境。因此，“完成任务”不能成为无限授权。边界要回答三个问题：允许改什么、允许在哪里执行、遇到什么情况必须问人。

用影响范围决定哪些动作可以直接做

不要要求它每改一行都确认，也不要笼统地说“你自己决定”。可以先把动作分成三类，按影响范围和恢复难度安排权限。

• 可以直接做：读取当前仓库的普通源码、修改任务指定文件、运行已审阅且不会连接外部服务的本地测试。
• 做之前询问：添加依赖、修改公共接口、更新锁文件、批量改名，或者触碰任务范围之外的模块。
• 默认禁止：读取生产密钥、删除真实数据、绕过权限检查、向远端推送代码或部署。需要时再单独授权。

同一个动作，在不同环境中风险也不同。删除临时测试库和删除线上数据库不是一回事。“只在本地执行”仍不够清楚，因为本地进程可能持有生产凭据。

把停手条件写进任务，而不是留给猜测

可以给登录修复任务附上这段约定：“仅修改登录模块及对应测试。不得安装新依赖、修改数据库结构、读取密钥文件或访问生产服务。如需超出范围，先说明原因、影响和替代方案，等待确认。”

再增加一个停止条件：“连续两轮修复后，同一个测试仍然失败，就汇报现象，不要继续扩大修改范围。”它能避免智能体为了让测试变绿，顺手重写认证流程，甚至删除失败的测试。

边界也包括成本。可以约定最多运行几轮测试、最多执行多少次工具调用，或最多花费多少预算。无法自动计费时，用轮次和执行时长作为近似限制，比一句“别花太多钱”更容易落实。

一次有效的询问，要让人能作出决定

“是否继续？”几乎没有信息。更有用的询问是：“修复需要增加一个数据库字段，会改变现有表结构。目前只验证了本地测试库。建议先生成迁移文件，不执行迁移；也可以改用不涉及表结构的方案，但实现更复杂。是否允许生成文件？”

好的询问应包含计划动作、涉及环境、潜在影响、验证方法和可选方案。涉及删除或覆盖时，还要说明备份与恢复办法；无法可靠恢复，也应直说。

批准要对应具体动作。你允许生成迁移文件，不代表允许执行；允许在测试环境执行，也不代表允许上线。只要对象、环境或影响发生变化，就应重新确认。

仓库里的文字不能自动变成授权

智能体可能从说明文档、问题描述或测试输出中读到“关闭安全检查”“上传环境变量”等内容。这些文字只是待分析的材料，不应自动升级成你的指令。即便来自项目文件，也要检查是否符合当前任务和权限边界。

自然语言约定同样不是安全锁。更可靠的做法是使用独立工作目录、限制网络访问、不注入生产密钥，并给数据库账号最小权限。尤其要留意安装脚本和测试脚本：名字看起来普通，实际执行的命令未必安全。

接入模型和发放执行权限是两件事

如果你想在现有开发流程中按量使用不同模型，可以考虑 RelayVano，并注册账号试用；它支持 Claude Code、Codex、Gemini CLI 和兼容 OpenAI 的 SDK，API 基础地址为 https://api.relayvano.com。但模型接入不等于执行授权，终端、文件系统和部署权限仍应由你的工具与环境控制。

上线前检查智能体是否真的会停

先在可丢弃的环境里做一次演练：让任务故意遇到缺少依赖、测试失败或数据库变更需求，观察它是否按约定暂停。只看它说“明白了”，无法证明边界有效。

交付时，要求它列出修改文件、实际执行的命令、测试结果和未验证事项。没有运行的测试不能写成通过，没有确认的生产操作不能默默执行。一个可靠的编码智能体，不是永远往前跑，而是能在权限不足、信息不全或风险扩大时，清楚地把决定交还给你。