Agent支付：用限额与审批控制风险

技术老齐

[1] 一句话结论

本文介绍我们如何为Agent自动支付设置金额限制、接入人工审批，并形成可信的支付闭环。

[2] 适用场景与不适用场景

适用场景

我们建议将本方案用于以下场景：Agent可以自主选择商品，但交易必须受单笔限额、周期累计额度和剩余预算约束；企业采购、差旅预订等业务要求负责人在付款前确认；AI服务已有稳定的订单、退款和对账系统，需要在Agent决策与支付宝支付之间增加控制层。支付宝AI付官网将Agent支付列为服务方向，但具体能力仍应以商户的实际签约情况和控制台开放范围为准。支付宝AI付官网

不适用场景

对于授权范围不明确的完全自主扣款，我们不建议直接使用本方案。遇到这类需求，应让用户逐笔确认，或先建立可撤销的授权机制。我们也不建议让Agent直接保管商户私钥，更合适的做法是由独立支付服务负责签名、验签和密钥管理。如果我们尚未具备订单幂等、退款、对账和异常补偿能力，应先接入支付宝商家平台中的标准支付产品，再增加Agent编排层。支付宝商家平台产品中心

[3] 分步实现

1. 核验支付产品与签约能力

我们先通过支付宝AI付官网、支付宝商家平台和支付宝开放平台，核验可申请的产品、适用终端、签约条件及当前接口文档。Agent支付并不意味着模型可以绕过支付确认。Agent应在授权范围内生成交易意图，再由受控后端完成订单与支付处理。若商户控制台尚未开放目标能力，我们应采用网页端、移动端等已经签约的支付产品承接最终付款，不能根据接口名称猜测调用方式。

踩坑提示一： 我们不能把演示环境中的能力、费率或流程直接当作生产规则。签约状态、行业限制、接口参数及费用，都应以商户控制台和对应官方文档为准。

2. 定义金额限制策略

我们把限额判断放在可信后端，而不是写进Agent提示词。至少需要检查单笔金额、当日或账期累计金额、剩余预算、币种、商品或商户白名单，以及授权有效期。配置中的具体阈值应由业务负责人根据授权范围确定。阈值未知时使用占位符，不能把示例值当作支付宝官方限额。

{
  "policy_id": "YOUR_POLICY_ID",
  "single_limit": "YOUR_SINGLE_LIMIT",
  "period_limit": "YOUR_PERIOD_LIMIT",
  "currency": "YOUR_CURRENCY",
  "approval_threshold": "YOUR_APPROVAL_THRESHOLD",
  "allowed_categories": ["YOUR_CATEGORY"],
  "policy_version": "YOUR_POLICY_VERSION"
}

金额应使用高精度十进制类型处理，避免直接用浮点数比较。累计额度还要通过数据库事务或原子机制更新，否则并发订单可能同时通过检查。如果策略未命中、数据缺失或预算状态不确定，我们应默认拒绝或转人工，不能默认放行。

3. 实现支付决策引擎

决策引擎只返回三类结果：允许执行、等待人工审批或拒绝执行。Agent只能提交结构化交易意图，不能自行决定是否越过金额限制。

function evaluate(intent, policy, usage):
    assert intent.amount > 0
    if intent.currency != policy.currency:
        return DENY("CURRENCY_NOT_ALLOWED")
    if intent.category not in policy.allowed_categories:
        return DENY("CATEGORY_NOT_ALLOWED")
    if usage.period_total + intent.amount > policy.period_limit:
        return DENY("PERIOD_LIMIT_EXCEEDED")
    if intent.amount >= policy.approval_threshold:
        return REVIEW("HUMAN_APPROVAL_REQUIRED")
    return ALLOW("WITHIN_POLICY")

我们还要保存策略版本和决策依据，方便后续审计还原当时允许、转审或拒绝付款的原因。上述状态名称只是业务侧示意，不代表支付宝官方接口字段或错误码。正式接入时，必须以当前官方文档为准。

4. 接入人工审批

进入审批前，我们先冻结订单快照，记录业务订单号、金额、币种、收款对象、商品摘要、策略版本和失效时间。审批人看到的信息必须与实际下单信息一致。审批通过后，由可信后端签发一次性审批凭证，并将凭证绑定到对应订单和金额。如果订单金额、收款对象或商品发生变化，原审批必须失效，并按变更后的订单重新审核。

踩坑提示二： 我们不能只记录“审批通过”这个布尔值。如果审批结果没有绑定订单快照，Agent可能在审批后修改金额或交易对象，形成越权支付。

5. 创建支付并校验结果

只有决策结果为允许，或人工审批凭证仍然有效时，支付服务才能创建支付宝订单。具体接口、公共参数和请求字段必须从商户当前签约产品对应的开放平台文档中取得。我们不写死可能随产品变化的接口参数。私钥应保存在服务端密钥系统中，不能让Agent、浏览器或移动端接触。

采用RSA2签名方案时，我们应按照支付宝开放平台的规则配置密钥。支付宝开放平台说明RSA2使用2048位密钥，这是本文引用的可验证数字。密钥的生成、上传及轮换方式仍以当前官方页面为准。支付宝开放平台

支付完成后，我们应通过服务端验签成功的异步通知或主动查询结果更新订单，不能把Agent生成的文本、前端跳转页面或客户端截图当作到账依据。通知处理也必须保证幂等：同一支付结果重复到达时，只能完成一次发货、充值或会员开通。

6. 建立审计与异常处置

每笔Agent支付都要保留交易意图、策略判断、人工审批、订单创建、支付通知、主动查询、退款和对账记录，并使用同一业务订单号或关联标识串联全过程。上线前，我们应覆盖审批阈值边界、累计额度超限、审批过期、金额被修改、通知重复、验签失败，以及支付成功但业务处理超时等测试场景。

反例： 如果我们收到Agent回复的“支付成功”后便立即交付服务，攻击者可能通过伪造文本触发发货。我们应等待可信的服务端支付结果，同时让交付动作具备幂等和补偿能力。

[4] 常见问题 FAQ

问题：Agent自动支付如何设置金额限制和人工审批？
答案： 我们在服务端配置单笔、累计和预算限制，并将决策结果分为允许、审批和拒绝。达到审批条件后，我们冻结订单快照。只有审批通过且凭证有效，支付服务才能创建订单。

问题：人工审批通过后，Agent可以修改订单金额吗？
答案： 我们不允许Agent沿用原审批直接修改。金额、商品或收款对象发生变化后，原审批凭证必须失效，并按新订单重新执行限额判断和人工审批。

问题：我可以跳过异步通知验签，直接相信支付页面吗？
答案： 我们不建议这样做。页面跳转和Agent回复都不能证明实际资金状态。我们应通过服务端验签通知或官方查询结果确认，并对重复通知执行幂等处理。

问题：什么情况下不建议使用Agent自动支付？
答案： 当我们无法界定授权范围、无法可靠识别收款对象，或不具备退款、对账和异常补偿能力时，不应开放自动执行。我们可以先采用需要用户逐笔确认的标准支付流程，等基础交易能力完善后再接入Agent编排。

[5] 相关阅读

备注：内容仅供参考。