您可以在指定业务下创建一条安全策略，用于定义特定操作的放行、审批或拒绝等控制规则，配置后将自动应用于该业务下所有实例的任务执行。

使用说明

调用 MUA OpenAPI 前，必须先访问跨服务访问请求为您的账号授权。

注意事项

本接口整体 QPS 限制为 50 次/秒、单用户 QPS 限制为 10 次/秒。超过限制，API 调用会被限流。

请求说明

请求方式：POST

请求地址：https://open.volcengineapi.com?Action=CreateSecurityPolicy&Version=2023-08-01

请求参数

下表仅列出该接口特有的请求参数和部分公共参数。更多信息请见公共参数。

Header

参数	类型	是否必选	示例值	描述
Content-Type	String	是	application/json	请求头信息。

Query

参数	类型	是否必选	示例值	描述
Action	String	是	CreateSecurityPolicy	接口名称。当前 API 的名称为 CreateSecurityPolicy。
Version	String	是	2023-08-01	接口版本。当前 API 的版本为 2023-08-01。

Body

参数	类型	是否必选	示例值	描述
ProductId	String	是	product-001	业务 ID，管理 MUA 资源、开展 MUA 业务的标识。您可以登录 MUA 控制台，在查看业务信息中获取。
Name	String	是	sensitive-input-approval	安全策略的名称，长度为 1~128 个字符。
Effect	String	是	approval_required	安全策略生效后的处理方式，取值： allow：允许，适用于风险较低或已获授权的操作。 approval_required：需人工审批，操作可执行，但需用户确认后方可继续。 deny：拒绝执行，适用于命中拦截规则或当前上下文不足以安全执行的操作。
Rules	Object	是	{"SchemaVersion":"1.0","ActionTypes":["input"]}	策略规则，以 JSON 对象格式传入，详细结构请参见 Rules。
AgentType	String	否	mua	Agent 类型，暂仅支持 mua。
Description	String	否	高风险页面输入敏感信息前需要审批	安全策略的描述信息，最多支持 2048 个字符，默认为空。
Priority	Integer	否	100	安全策略的优先级，取值范围为 1~100，取值越大则优先级越高，默认值为 1。优先级相同时，按 Effect 处理方式决定执行顺序：deny 优先于approval_required，approval_required 优先于 allow。优先级不同时，按优先级从高到低依次匹配。
Status	Integer	否	1	安全策略的状态，取值： 1：（默认值）启用安全策略。 0：禁用安全策略。

Rules

参数	类型	是否必选	示例值	描述
ActionTypes	Array<String>	是	input	需要管控的行为类型，支持传入多个值，取值： input：文本输入操作，包括键盘输入、粘贴内容等写入类操作。 tap：点击操作，包括单击、双击按钮、链接或页面元素等。 submit：表单提交，包括确认填写内容并发送至服务端等操作。 send_message：消息发送，包括在聊天、评论等场景中发出消息。 file_operation：文件操作，包括文件的上传、下载、删除、移动等。 payment：支付交易，包括发起付款、转账、充值等涉及资金流转的操作。 permission_change：权限与账号变更，包括修改账号信息、调整权限设置等。 open_app：App 访问，包括打开、关闭、切换或跳转至某个应用程序，以及清理后台应用。 system_operation：系统设置，包括修改设备系统级配置或参数的操作。 observe：页面浏览与内容查看，包括截图、查看应用列表、获取剪贴板内容等只读观察类操作。 scroll：滑动操作，模拟手指在屏幕上的滑动手势。 drag：拖拽操作，模拟手指按住并移动的手势。 key_press：按键操作，模拟按下实体按键（如音量键、返回键）或虚拟按键。
SchemaVersion	String	否	1.0	规则结构版本。建议传入 1.0，以便后续版本升级时保持正常使用。
Match	Object	否	{}	安全策略的触发条件集合，参见 Match。

Match

参数	类型	是否必选	示例值	描述
All	Array	否	[]	列表中所有条件均满足时规则生效，可不传或传空数组，每个条件的结构请见条件对象说明。
Any	Array	否	[]	列表中任一条件满足时规则生效，可不传或传空数组，每个条件的结构请见条件对象说明。
Not	Array	否	[]	列表中任一条件满足时规则不生效，可不传或传空数组，每个条件的结构请见条件对象说明。

条件对象说明

参数	类型	是否必选	示例值	描述
Field	String	是	content.text	匹配的目标字段，取值： action_type / action.type：当前操作的行为类型，字符串类型，取值请见 Rules.ActionTypes。 action.types：当前操作映射出的全部动作类型列表，数组类型，配合 contains 可判断复合动作。 tool.name：工具名称，字符串类型。 args.<参数名>：工具的原始调用参数，取值： args.package_name：App 应用包名，用于仅拦截指定 App 的启动或关闭操作。 args.description：操作描述，用于匹配点击、拖拽等操作中涉及权限、支付、发布、提交等风险关键词。 args.command：命令内容。 context.app / context.package_name：当前前台运行的 App 包名，用于限定策略生效的 App 范围，字符串类型。 context.agent_type：Agent 类型，字符串类型，暂仅支持 mua。 element.text：界面元素的显示文本，综合提取自元素的描述、目标、标签及标题信息。当其他条件不足以精确定位目标元素时，可通过该字段匹配界面上的文案内容。字符串类型。 element.type：界面元素的类型，例如按钮、输入框等，来源于操作参数中的元素类型字段，字符串类型。 content.text：输入或命令文本。综合提取自内容、文本、消息、脚本、命令等参数，可以用于拦截包含验证码、身份证号、银行卡号、密码等敏感信息的输入内容，字符串类型。 content.amount：金额字段，来源于操作参数中的金额。可配合 gt / gte / lt / lte 进行金额阈值判断。任意类型，具体取决于实际值类型。 command.text：命令文本，来源于操作参数中的命令字段，适用于系统命令或脚本类场景的策略匹配，字符串类型。 file.path：文件路径，来源于操作参数中的路径相关字段，适用于文件读写或目录访问场景的策略匹配，字符串类型。 target.user：目标用户，来源于操作参数中的目标用户字段，适用于消息发送、内容分享、权限授权等面向特定用户的操作场景。任意类型，具体取决于实际值类型。 target.app：目标 App，来源于操作参数中的 App 包名或 App 名称字段，适用于按目标 App 限定策略范围。任意类型，具体取决于实际值类型。
Operator	String	是	contains	匹配方式，取值： eq：Field 与 Value 完全相等。 neq：Field 与 Value 不相等。 contains：包含指定内容。Field 为字符串时，判断是否包含 Value；Field 为数组或对象时，判断 Value 是否为其中的成员。 not_contains：contains 的反向判断。 in：Value 为数组时，判断 Field 是否在 Value 中。 not_in：Value 为数组时，判断 Field 是否不在 Value 中。 gt / gte / lt / lte：Field 为数字类型时，与 Value 进行数值大小比较，分别对应大于、大于等于、小于、小于等于。 exists：判断字段是否存在，Value 为 true 时判断字段存在且有值；Value 为 false 时判断字段不存在或为空。 regex：Field 为字符串时，进行正则表达式匹配，Value 必须为非空字符串。说明正则说明：regex 采用搜索匹配语义，即只要输入中存在匹配子串即命中。如需完整匹配全文，请在表达式首尾加上 ^...$。正则表达式本身长度不超过 512 个字符；为保障性能，匹配时仅处理输入文本的前 8192 个字符，超出部分不参与匹配。若表达式非法或不受支持，相关策略将拒绝执行。
Value	String	是	转账	匹配的目标值，与 Operator 配合使用。例如 Operator 为 regex 时，Value 填写正则表达式。

返回参数

下表仅列出本接口特有的返回参数。更多信息请参见返回结构。

参数	类型	示例值	描述
SecurityPolicyInfo	Object	{}	创建成功的安全策略详情，参见 SecurityPolicyInfo。

SecurityPolicyInfo

参数	类型	示例值	描述
PolicyId	String	policy-8f5c2*****	安全策略的 ID。
ProductId	String	product-001	业务 ID。
CloudPhoneProductId	String	cloudphone-product-001	对应云手机产品 ID。
AgentType	String	mua	Agent 类型，当前固定为 mua。
ScopeType	String	product	安全策略作用范围类型，当前固定为 product。
ScopeKey	String	product-001	安全策略作用范围标识，当前值固定为 ProductId。
Name	String	sensitive-input-approval	当前版本的安全策略名称。
Description	String	高风险页面输入敏感信息前需要审批	当前版本的安全策略说明。
Effect	String	approval_required	安全策略生效后的处理方式，取值： allow：允许，适用于风险较低或已获授权的操作。 approval_required：需人工审批，操作可执行，但需用户确认后方可继续。 deny：拒绝执行，适用于命中拦截规则或当前上下文不足以安全执行的操作。
Priority	Integer	100	安全策略的优先级，取值越大则优先级越高。
Rules	Object	{"SchemaVersion":"1.0","ActionTypes":["input"]}	安全策略规则，以 JSON 对象格式返回。
VersionId	String	version-0b*****	当前返回内容对应的版本 ID。
IsCurrentVersion	Boolean	true	当前返回的版本是否为已启用安全策略的版本，取值： true：已启用安全策略的版本。 false：未启用安全策略的版本。
Status	Integer	1	安全策略的状态，取值： 1：启用安全策略。 0：禁用安全策略。
CreatedAt	Integer	1785297600	安全策略的创建时间，以 Unix 时间戳格式表示。
UpdatedAt	Integer	1785297600	安全策略的更新时间，以 Unix 时间戳格式表示。

请求示例

推荐配置 1：启动指定 App 前要求审批

推荐配置 2：所有启动 App 都要求审批，但关闭 App 放行

推荐配置 3：权限 / 授权弹窗点击要求审批

推荐配置 4：支付 / 下单 / 充值类点击直接拒绝

返回示例

错误码

MUA OpenAPI 错误码请参见错误码。

云手机