Appearance
Broker 能力参考
Broker 开发者可申请的能力（capability）总览。来源：
BROKER_CAPABILITY_REFERENCE.md（官方），本文为速查目录。
能力模型
Broker 的 manifest.json 里 capabilities_required 声明它需要哪些能力；安装时用户会看到能力列表，同意后才能安装，运行时 broker 只能调用已授权能力对应的 API。
三类能力：
| 类别 | 示例 | 风险 | 默认授予 |
|---|---|---|---|
| UI 组件（Vue/iframe） | graph-editor / theme / form-builder / media-viewer | 低 | ✅ |
| API 访问 | guild / ledger / rooms.read / messages.post / tasks.write / recipe_call / scheduler | 低~高 | 按需 |
| 沙箱（仅 Python 插件） | network / filesystem.read / filesystem.write / extra_modules | 中~高 | ❌ 需明确同意 |
沙箱能力说明：network 可访问外部服务可能泄露数据；filesystem.write 可修改用户文件；extra_modules 可导入 os/subprocess 等模块。Vue/iframe 模式 broker 不需要沙箱能力。
示例（来自 Ventaris 公会）：
json
"capabilities_required": ["guild", "ledger", "recipe_call", "scheduler"]风险等级
| 等级 | 含义 | 用户提示 |
|---|---|---|
| 低 | 只读访问，无副作用 | 通常自动授予 |
| 中 | 写访问，有限影响 | 需要用户同意 |
| 高 | 破坏性操作或资金转移 | 需要用户明确同意 |
能力清单（速查）
| capability | 类别 | 用途 |
|---|---|---|
guild | API | 公会/房间/帖子/任务库 |
ledger | API | 代币账本（发行/转账/结算） |
recipe_call | API | 调用本地 Recipe（如生成画像/合同） |
scheduler | API | 定时触发 |
rooms.read | API | 只读会话 |
messages.post | API | 会话消息发布 |
tasks.write / tasks.approve | API | 任务发布/审批/判定 |
settle.trigger | API | 触发结算 |
network | 沙箱 | 外部网络 HTTP |
filesystem.read / filesystem.write | 沙箱 | 读/写文件系统 |
extra_modules | 沙箱 | 导入额外 Python 模块 |
graph-editor / theme / form-builder / media-viewer | UI | 使用对应 UI 组件 |
完整能力矩阵、维度说明（reputation）与授权流程见
BROKER_CAPABILITY_REFERENCE.md（源文）。
权限映射与审批
- 每个 (app, agent) 组合有独立审批哈希（
capabilities.extra_modules声明 + 审批）； - 安装时若声明了未授权能力，会进能力审批队列；approve 后生效；
- Broker 在 bridge 进程内运行（未沙箱）—— 只授予可信作者你愿意给的能力。
更多
- 唯一权威：仓库根
BROKER_CAPABILITY_REFERENCE.md - 架构：Broker 架构 / 开发速成