您目前没有访问此智能体的权限，需要审批。 || You currently do not have permission to access this agent and need approval.

[eren0829]

Bug Description

When i talk to a worker, it keeps saying
您目前没有访问此智能体的权限，需要审批。

Steps to Reproduce

1. Create a worker
2. Create a human
3. Talk to the worker
   Worker Info:
   Model: gpt-5.4-mini
   Runtime: copaw

AI Analysis

No response

Relevant Logs

Component

CoPaw Worker

Version / Commit

No response

---

Bug Description

When i talk to a worker, it keeps saying
You currently do not have permission to access this agent and require approval.

Steps to Reproduce

1. Create a worker
   2.Create a human
2. Talk to the worker

AI Analysis

No response

Relevant Logs

Component

CoPaw Worker

Version/Commit

No response

[hiclaw-bot]

分析结果

问题根因

经过对 HiClaw 源码的分析，这个问题的根本原因是：Human Reconciler 在创建 Human 时，没有将 Human 的 Matrix ID 添加到对应 Worker 的 groupAllowFrom 白名单中。

HiClaw 的 Worker（CoPaw 运行时）通过 openclaw.json 中的 groupAllowFrom 字段控制哪些用户可以与 Agent 对话。当一个 Worker 被创建时，groupAllowFrom 默认只包含：

• Team Worker：Team Leader + Admin
• Standalone Worker：Manager + Admin

当 Human 被创建时，Human Reconciler 会执行以下步骤：

1. ✅ 注册 Matrix 账号
2. ✅ 邀请 Human 进入对应 Worker 的 Room
3. ✅ 更新 humans-registry.json
4. ❌ 缺少：更新 Worker 的 openclaw.json 中的 groupAllowFrom，将 Human 的 Matrix ID 加入白名单

文档（docs/declarative-resource-management.md）描述了应该执行的第 4 步，但当前代码中并未实现。因此 Human 虽然被邀请到了 Worker 的 Room 中，但 @mention Worker 时，CoPaw 运行时因为 Human 不在 groupAllowFrom 中而拒绝响应，返回 "您目前没有访问此智能体的权限，需要审批" 的错误。

临时解决方案

在 Worker 的 CR 中手动添加 channelPolicy.groupAllowExtra，将 Human 的 Matrix ID 加入：

apiVersion: hiclaw.io/v1beta1
kind: Worker
metadata:
  name: my-worker
spec:
  # ... 其他配置 ...
  channelPolicy:
    groupAllowExtra:
      - "@<human-username>:<matrix-domain>"

其中 <human-username> 是 Human 的 Matrix 用户名（可通过 hiclaw get human <name> 查看 status.matrixUserID 获取完整的 Matrix ID），<matrix-domain> 是 Matrix 服务器域名。

修改后 Controller 会自动重新生成 Worker 的 openclaw.json 并将 Human 加入白名单。

修复建议

建议在 Human Reconciler 中增加一个 groupAllowFrom 同步阶段，根据 spec.permissionLevel、spec.accessibleTeams、spec.accessibleWorkers 计算应该更新哪些 Agent 的 groupAllowFrom，并在 Human 创建/更新/删除时维护这些白名单。

相关代码位置：

• Human Reconciler：hiclaw-controller/internal/controller/human_controller.go
• Config Generator（groupAllowFrom 生成逻辑）：hiclaw-controller/internal/agentconfig/generator.go
• Legacy Compat（Manager groupAllowFrom 更新参考）：hiclaw-controller/internal/service/legacy.go

[RerankerGuo]

I picked this up and opened PR #972: #972

The fix syncs Human spec.accessibleWorkers into the target Worker channelPolicy.groupAllowExtra, with an annotation so revokes/deletes only remove allowlist entries managed by the Human reconciler.

Local verification: git diff --check and conflict-marker scan. go test ./internal/controller could not be run in this environment because the Go toolchain is unavailable (go: command not found).