Make Agnet runs submit resource-scoped work safely

Manager now exposes a Resource Grant manifest and the Agnet control-plane response carries runtime state, agent instances, and permission_manifest so frontend runs can submit bounded resource grants without plaintext credentials.

Constraint: Manager remains the user console while NewAPI stays independent and OpenBao is referenced through secret_ref only.

Rejected: platform-side high-risk approval | client approval is the product boundary; Agnet only validates approval evidence.

Confidence: medium

Scope-risk: moderate

Directive: Do not mix child Agnet runtime model selection with NewAPI billing or expose OpenBao as a public route.

Tested: git diff --check; jq empty locale JSON; go vet ./controller ./model ./router; go test -count=1 ./controller ./model ./router

Not-tested: frontend typecheck/build because local node_modules tooling is absent and user requested builds happen on the VM.

Co-authored-by: OmX <omx@oh-my-codex.dev>

docs/heicode-runtime-auth-newapi-secret-design.md

@@ -2,7 +2,7 @@
 
 日期：2026-05-04
 
-本文修正 Manager、Agnet 平台、NewAPI 与 OpenBao 之间的运行时边界。若本文与旧文档中 `tenant`、`project` 或平台代理审批描述冲突，以本文为准。
+本文修正 Manager、Agnet 平台、NewAPI 与 OpenBao 之间的运行时边界。若本文与旧文档中 `tenant`、`project` 或平台侧批准描述冲突，以本文为准。
 
 ## 一、用户输入在哪里
 
@@ -62,7 +62,7 @@ Manager 可以有本地 user cache，但 canonical user identity 应来自登录
 
 ## 三、高危操作审批与 OpenBao 密钥注入
 
-高危操作审批只在客户端完成。用户在客户端明确批准后，Manager/Agnet 平台才可以执行对应动作。
+高危操作审批只在客户端完成。用户在客户端明确批准后，Manager/Agnet 平台才可以执行对应动作。Agnet 平台不是审批主体，不发起额外审批；它只校验 `approval_id`、审批主体、审批范围、TTL、`risk_level` 和策略是否匹配。
 
 密钥处理边界如下：
 
@@ -89,6 +89,13 @@ Manager 可以有本地 user cache，但 canonical user identity 应来自登录
 - OpenBao 不应作为普通公网路由开放；如果 Manager 已经提供客户端验证、资源绑定、审批和 `secret_ref` 管理接口，客户端不需要直连 OpenBao。
 - OpenBao 访问应限制在容器网络、VM loopback、AKS 内网、Workload Identity 或其它受保护服务间通道。
 
+OpenBao 不暴露公网的检查口径：
+
+- 公网 DNS、Nginx `server_name`、Ingress、LoadBalancer 和安全组规则不得直接指向 OpenBao 服务端口。
+- 外部客户端只能通过 Manager 的认证、资源绑定、审批和 `secret_ref` 管理接口间接操作密钥引用。
+- Manager、Agnet 平台和子 Agnet 访问 OpenBao 时必须走内网地址、loopback、容器网络、AKS private endpoint 或 Workload Identity 绑定。
+- 健康检查和联调报告只能证明内网访问可用；不得把公网可访问的 OpenBao health endpoint 作为验收口径。
+
 短期凭证注入必须满足：
 
 - 有客户端审批记录。

docs/integration/agnet-platform-request-contract.md

@@ -274,7 +274,7 @@ POST /api/agnet/deployments
 | `intent_id` | string | 是 | Manager 侧意图 ID，用于幂等、审计和追踪。 |
 | `template_hint` | string | 是 | Agnet 平台选择编排模板的提示，如 `manager-resource-binding`。 |
 | `objective` | string | 是 | 本次部署目标，应是自然语言但不能含密钥。 |
-| `risk_level` | enum | 是 | `low` / `medium` / `high`。高风险应触发审批或只读模式。 |
+| `risk_level` | enum | 是 | `low` / `medium` / `high`。高风险必须携带客户端审批证据；缺失或不匹配时只能只读或拒绝执行。 |
 | `budget.max_tokens` | int | 是 | 当前策略上限建议不超过 `500000`。 |
 | `budget.max_cost_usd` | number | 是 | 当前策略上限建议不超过 `200`。 |
 | `budget.max_duration_sec` | int | 是 | 当前策略上限建议不超过 `86400`。 |
@@ -899,10 +899,23 @@ Manager 发给 Agnet 平台前必须执行：
 2. 凭据型资源只传 `secret_ref`，不传明文凭据。
 3. `metadata`、`constraints`、`audit` 的 key 中不得出现 `password`、`token`、`secret`、`private_key`、`access_key`、`credential` 等敏感词。
 4. `repo_url` 不得包含用户名、密码或访问 Token。
-5. `permission_scope` 使用最小权限，生产写操作需审批记录或平台代理执行。
-6. 高风险操作（生产部署、云资源修改、删除、扩容）应设置 `risk_level=high` 并由 Agnet 平台二次审批。
+5. `permission_scope` 使用最小权限；生产写操作必须携带客户端审批记录，Agnet 平台不得自行补批。
+6. 高风险操作（生产部署、云资源修改、删除、扩容）必须设置 `risk_level=high`，Agnet 平台执行前只校验客户端审批证据。
 7. 所有日志/事件/审计返回给 Manager 前必须脱敏。
 
+Agnet 平台不承担高危操作审批主体。审批只发生在客户端；Agnet 平台只能在执行前校验以下字段和策略是否一致：
+
+| 校验项 | 要求 |
+|---|---|
+| `approval_id` | 必须存在于高危任务的 `constraints` 或 `audit`，并可追溯到客户端审批记录。 |
+| 审批主体 | 审批用户必须与 `user_context.user_id`、`resource_grants[].user_id` 或授权代理主体一致。 |
+| 审批范围 | 审批范围必须覆盖 `binding_scope`、`permission_scope`、目标环境、资源 ID 和操作类型。 |
+| TTL / 时间窗口 | 审批记录必须未过期；若使用 `window` 或 TTL，当前执行时间必须落在允许范围内。 |
+| `risk_level` | 高危资源写入、生产部署、云资源修改、删除和扩容必须为 `high`。 |
+| 策略 | 平台 policy、OpenBao policy、Kubernetes/Workload Identity、网络策略和最小权限约束均必须允许本次动作。 |
+
+任一校验不通过时，Agnet 平台应返回 `POLICY_REJECTED` 或 `FORBIDDEN_SCOPE`，不得发起额外批准流程。
+
 ### 8.1 字段级约束速查
 
 | 对象/接口 | 必填最小集合 | 禁止内容 |