WorkBuddy策略验证需通过五种方式：管理后台模拟器、CLI工具、真实API请求、审计日志回溯及Claw调试模式热重载，覆盖静态分析到动态运行时全链路授权校验。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您已配置WorkBuddy IAM角色、模板或数据范围策略，但不确定其在真实请求中是否生效，则需通过策略模拟器对授权结果进行即时验证。策略模拟器可接收指定用户身份、资源路径与操作动作，返回精确的“允许”或“拒绝”判定及匹配的权限节点。以下是执行策略验证的具体步骤：
一、使用管理后台内置策略模拟器
WorkBuddy管理后台集成轻量级策略评估引擎，支持在不触发实际API调用的前提下，对当前账户绑定的所有策略组合进行静态分析。该方式适用于快速验证角色权限分配是否覆盖目标操作。
1、以管理员身份登录WorkBuddy管理后台，进入【权限中心】→【策略诊断】页签。
2、在「模拟身份」栏输入目标子账号的唯一标识（如user@example.com）或从下拉列表选择已知用户。
3、在「操作类型」中选择待测行为，例如“read:customer_data”、“execute:ai_workflow”或“export:report_csv”。
4、在「资源路径」字段填写具体资源URI，格式为workbuddy://org/finance/departments，若测试全局操作则留空。
5、点击【运行模拟】，界面将立即显示“允许”或“拒绝”，并高亮标出起决定性作用的策略ID与权限语句行号。
二、调用CLI命令行策略评估工具
对于批量验证或多环境比对场景，可通过WorkBuddy官方CLI工具执行离线策略校验。该工具支持导入本地JSON策略文件与模拟请求载荷，输出结构化评估日志，便于CI/CD流程集成。
1、在终端中执行workbuddy-cli policy simulate --help确认工具版本不低于v2.8.3。
2、准备请求描述文件request.json，内容包含principal（主体）、action（动作）、resource（资源）三字段，均为字符串类型。
3、执行命令：workbuddy-cli policy simulate -r request.json -p ./policies/，其中-p指向存放IAM模板JSON文件的本地目录。
4、查看输出中的"decision": "ALLOW"或"decision": "DENY"字段，若为DENY，继续检查"matchedStatements"数组中列出的否定性策略语句。
三、构造真实API请求并捕获授权头响应
策略模拟器无法覆盖动态上下文条件（如时间窗口、IP白名单、MFA状态），此时需发起最小化真实请求，通过HTTP响应头获取权威授权判定依据。该方法直接反映运行时鉴权链路的实际行为。
1、使用curl或Postman向WorkBuddy受保护API端点发送GET请求，例如https://api.workbuddy.tencent.com/v1/ai/workflows?limit=1。
启用该技能，可以在WorkBuddy对话页的右边栏添加一个日历，提供月历视图、日程增删改查、分类标签（开庭/会议/截止日期/个人/研究/其他），支持从对话中提取事件并自动同步到日历。当用户提到"日历""日程""打开日历""添加日程""我的日程""calendar""安排"或询问已记录的日程信息时使用。
2、在请求头中显式携带模拟身份凭证：Authorization: Bearer ，JWT必须由企业IAM签发且含sub与scope声明。
3、检查响应头中是否存在X-Auth-Decision: ALLOW或X-Auth-Decision: DENY字段，该字段由网关层注入，不可伪造。
4、若返回DENY，同步提取X-Auth-Reason头值，其内容为拒绝原因编码（如MISSING_PERMISSION、EXPIRED_TOKEN、CONTEXT_FAILED）。
四、启用审计日志回溯策略匹配过程
当模拟器与API测试结果不一致时，需依赖细粒度审计日志还原完整鉴权路径。系统会记录每条请求所匹配的全部策略节点、求值顺序及最终决策依据，适用于排查条件表达式误配或继承关系断裂问题。
1、在管理后台【审计中心】→【权限审计】中，设置筛选条件：时间范围限定在最近30分钟，操作类型设为“AUTHORIZATION_EVALUATION”。
2、输入目标用户的登录名或请求ID（可在API响应头X-Request-ID中获取）进行精确检索。
3、点击任意日志条目展开详情，查看policy_evaluation_trace字段，其中steps数组按执行顺序列出每个策略的匹配结果与布尔运算逻辑。
4、定位首个result: false且reason: "Condition not satisfied"的步骤，检查其condition字段中引用的上下文变量是否在当前请求中缺失或值不匹配。
五、利用Claw调试模式触发实时策略重载
Claw远程控制模块内置策略热重载机制，可在不重启服务前提下强制刷新当前会话的权限缓存。该方式适用于验证策略更新后是否被客户端即时感知，避免因缓存延迟导致误判。
1、确保WorkBuddy桌面客户端处于运行状态，并已成功连接Claw服务（状态栏图标为绿色）。
2、按下快捷键Ctrl+Shift+P（Windows/Linux）或Cmd+Shift+P（macOS）打开命令面板。
3、输入“Reload Policy Cache”并回车执行，界面右下角将弹出提示：“Policy cache reloaded from IAM backend”。
4、立即在Claw设置中尝试执行一项此前被拒绝的操作（如访问受限文件夹），观察是否仍提示未授权访问该资源或已转为正常响应。
