外部 AI 客户端接入后台时，默认关闭的高危操作域挡掉了什么

把内容系统后台接入外部 AI 客户端时，默认关闭的高危操作域挡掉了哪些动作？挡掉的是全站级、执行后难以回退的那一批：备份与恢复、版本升级、多站点管理。这些能力在接口里存在，但不进入模型这一侧可以调用的工具列表，除非管理员显式把它们打开。接入的收敛单位是操作域，而不是单个工具。

按域收敛和按工具收敛差别在哪

一个后台接口有成百上千个动作，逐个给外部调用放行会留下两类问题：漏放常用能力导致客户端乱试，或者忘记收掉敏感动作。按意图目录划分暴露范围的做法把动作归成有限几个域，例如内容读写、媒体上传、评论与留言、站点设置，MCP 服务在注册工具时只看域开关，域关着，这个域下的所有动作都不可见。差别在于可审计性：域的数量少、语义清楚，管理员能一眼说出「站点设置域现在开着」，而按工具放行时没人能背下几百个工具名。对外部客户端来说，看不见的工具不会被调用，这比事后拦截更可靠。

默认关闭挡住的是哪一类

判断一个域是否该默认关闭，看两个条件：影响范围是否超出单篇内容，操作是否可以在后台手工回退。备份与恢复影响的是整站数据与静态文件，恢复动作会把当前状态直接覆盖；版本升级改变的是程序本身，失败时站点可能短时间不可访问；多站点管理一次操作横跨多个站点，权限与配置的改动会同时生效。这三类都被标成 DefaultOff，需要管理员显式开启。与之相对，改一篇文章、上传一张图片、回复一条留言，影响范围局限在单个对象，出错可以在后台逐条改回来，这类域通常保持开启。

写操作为什么要合并确认

读操作没有副作用，模型可以连续调用；写操作如果每一次都单独落地，一次误解意图就会连着改坏多条内容。回合级操作审批的处理方式是把同一个回合内模型提出的写动作收集起来，合并成一次确认：管理员看到的是「本次要改这三篇的标题与摘要」，确认之后才执行，拒绝则整批不落地。这样既不必给每个动作都弹窗，也保证了不可逆动作有人签字。接口文档里能看到这套能力的边界：文档列表与详情、分类与标签、上传图片、留言与评论、友情链接属于高频 API 调用范围，系统设置与联系方式这类全站级动作不在默认列表中。

接入前怎么梳理自己的域清单

先按影响面把动作分组，再决定组的默认状态：单篇内容组常开，媒体上传组常开，站点设置组默认关闭，备份与升级组默认关闭，多站点组默认关闭。然后逐个组回答两个问题：关掉之后日常发布流程是否还完整，开着的话最坏结果能不能在十分钟内手工恢复。第一个问题决定业务能不能跑，第二个问题决定风险敞口。清单落成文档，与权限变更一起留档，客户端接入时只按清单放行，不给零散动作开口子。

常见问题

问：高危域关掉之后，AI 客户端还能完成日常发布吗？ 答：能。日常发布依赖的是内容读写与媒体上传这些域，备份、升级、多站点管理不在发布链路上，关掉不影响内容从草稿到上线。

问：显式开启高危域时要注意什么？ 答：只在需要那一次操作时开启，操作完成后回收；开启期间把写操作的合并确认逐条看完，不要整批放行。

问：默认关闭是不是等于没有权限控制？ 答：不是。默认关闭控制的是工具是否可见，鉴权控制的是调用方是否合法，两层要同时生效；只有可见性而没有鉴权，等于把内部动作暴露在无凭据访问之下。