托管配置
通过系统要求和 macOS 强制偏好约束当前支持的执行能力。
区分要求与默认值
要求限定用户和任务不能越过的范围，默认值提供初始选择。普通用户或项目配置不能成为管理员权限来源。系统文件和强制偏好缺失时不产生虚构策略；非法内容明确报错。
选择已支持的控制
| 控制 | 当前用途 |
|---|---|
| allowed_approval_policies | 限制审批策略。 |
| allowed_sandbox_modes | 限制沙盒模式。 |
| allowed_web_search_modes | 限制网页搜索，关闭搜索始终可用。 |
| application.network | 约束受支持应用网络目标。 |
| computer_use / browser_use | 原生应用与浏览器的受管规则。 |
| in_app_browser.allow_external_browser_settings_import | 限制导入外部浏览器设置的准入。 |
application.storage 会被拒绝，不用于声称工作空间存储强制执行。集中配置服务器、组织角色、托管插件来源和任意上游 requirements 字段不能视为已支持。
部署审批、沙盒与搜索要求
toml
allowed_approval_policies = ["on-request"]
allowed_sandbox_modes = ["read-only", "workspace-write"]
allowed_web_search_modes = ["cached"]审批与沙盒列表不能留空。显式请求违反要求时会被拒绝；继承默认值可以收敛到允许范围。旧任务也会重新检查，不因历史设置获得豁免。
控制浏览器和计算机使用
浏览器站点规则与原生应用规则分别约束不同路径。浏览器工具的源规则不自动限制通过计算机使用操作同一浏览器；两条路径都需检查。拒绝规则优先，源访问被拒绝时下载、上传与调试访问同时受限。
- 限制是否保存跨会话审批。
- 按真实应用身份或站点源设置权限。
- 核对浏览、上传、下载和完整调试能力。
- 允许应用不等于授予操作系统权限或自动登录。
控制应用网络目标
应用网络策略独立于命令网络和浏览器源规则。域名使用精确规范化名称，不能包含 URL、端口或通配符。只允许必要服务，并测试真实请求；不要推断它覆盖所有原生模块、子进程或远程执行。
部署位置
| 平台 | 要求入口 |
|---|---|
| macOS / Linux | /etc/lime/requirements.toml |
| Windows | 系统 ProgramData/Lime/requirements.toml，由 Known Folder 定位。 |
| macOS MDM | com.limecloud.lime 域中的 requirements_toml_base64；默认配置使用 config_toml_base64。 |
策略目录由管理员保护，不允许运行任务的身份改写。没有用户环境变量或 RPC 路径覆盖入口。
了解优先级
系统要求先加载；macOS 强制配置中的审批与沙盒值可回填为要求，独立强制 requirements 再逐字段覆盖。表与标量按各字段规则组合，不假设空表会擦除更低层明确限制。
分发 macOS MDM
- 准备经过审查、符合当前 Schema 的 TOML。
- 使用无换行 base64 编码，写入正确偏好域和键。
- 由设备管理工具以强制偏好下发。
- 在目标设备读取实际来源并重启复验。
- 撤销或修改由原管理渠道执行，并检查有效值。
base64 不提供加密，不在载荷放密钥或频繁变化的秘密。格式、类型、超限或非强制载荷错误都会明确拒绝。
检查实际策略
- 用非管理员成员验证允许任务。
- 尝试更宽的用户或项目设置并确认被拒绝。
- 新任务、旧任务、直接命令和浏览器分别验证。
- 检查应用网络与浏览器拒绝，不只读取配置。
- 保留版本、来源、错误和回滚副本。
独立管理插件、钩子与遥测
插件市场与启停通过当前插件入口管理。钩子、遥测和身份设置各有支持范围，不把可编辑默认值当强制要求；没有证据的管理员字段不要加入要求文件。部署主机和外部服务控制仍需独立维护。