@ agenticprimitives/ 关键授权

部分 代理先导 ——代理应用程序的开源信任底板:可以签名的身份,行为时间检查权限,所有者携带的证据. 开发者工具包 • 妇女 所有软件包

政策范围 一次性密钥发布 (第277页第14段)。 A 类 DecryptGrant 绑定 谁/哪个工具/ 哪些字段 哪些字段 以大麻 独立地在解密任何字段之前重新验证.

import { createDecryptGrant, createLocalDevKeyAuthorizationService } from '@agenticprimitives/key-authorization';

const grant = await createDecryptGrant({
  id: 'urn:ap:decrypt-grant:abc', issuer, audience, principal,
  mcp: { resourceUri, serverId, toolName: 'get_pii', argsHash },
  authorization: { delegationHash, entitlementHashes, policyHash },
  vault: { vaultId, objectIds, resource: 'person-pii', fields: ['email'], purpose: 'support', classificationCeiling: 'pii.sensitive' },
  constraints: { ttlSeconds: 120, notBefore, expiresAt, oneTimeUse: true },
  replay: { jti },
});

const kas = createLocalDevKeyAuthorizationService();
const decision = await kas.authorize(grant, { audience, principal, toolName: 'get_pii', argsHash, resource: 'person-pii', requestedFields: ['email'], classification: 'pii.sensitive' });
// decision.decision === 'allow' | 'deny'; releasedFields scope the decrypt. JTI is one-time.

未关闭;一次性联合技术服务仅在其他检查合格后使用(被拒绝的赠款从未使用) 燃烧它的JTI。 DEK解围本身是 key-custody曾经的工作 authorize() 返回允许.. 监管不是权威签字证明、耐用重放分类账和远程KMS KAS是添加剂 (见 第277页第14节) (中文(简体) ).