权限与确认
Cocode 的默认目标是让任务持续推进，同时让关键动作可检查、可拒绝、可恢复。控制项是否出现由运行时 capability 决定；不支持的能力会保持不可用，而不是假装成功。
权限模式
manual：敏感动作逐次审批。auto-edit：允许编辑类动作，其他高风险动作仍需确认。plan：只规划和检查，不执行写入动作。auto：仅在当前运行时声明支持时显示。
TUI 可用 Shift+Tab 切换模式，Ctrl+M 切换输入模式；GUI 以当前界面提示为准。
需要重点确认的动作
- 写入、删除或批量修改文件。
- 执行可能改变环境的命令。
- 访问外部网络或第三方服务。
- 使用需要额外凭据的 Connector。
审批面板支持：允许一次（Enter / a）、允许本轮（t）、拒绝（d / n）或取消。超时、断连、重复响应和 capability 不匹配都会 fail closed（按拒绝处理）。
确认前检查清单
- 动作是否属于当前任务？
- 影响范围是否过大？
- 是否需要先运行更小的检查？
- 修改后如何验证？
拒绝一个动作后，可以补充限制或缩小范围，让 Cocode 重新规划。API Key、OAuth token 和 provider secret 不应写入 session log；反馈时只提供脱敏诊断信息。