> ## Documentation Index
> Fetch the complete documentation index at: https://enterprise-docs.dify.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 权限范围与限制

> 你的外部 SSO 会话能做什么、不能做什么，以及如何申请更多访问权限

通过外部 SSO 登录后，`difyctl` 持有一个受限会话，代表你在公司 Dify 主机上的企业身份。它只携带管理员授予你的访问权限。

## 你能做什么

* **查看你有权运行的应用。** [`difyctl get app`](/zh/3.11.x/develop/cli/reference/apps#列出应用) 列出管理员允许你访问的应用，而非主机上的全部应用。
* **检视应用的输入。** [`describe app`](/zh/3.11.x/develop/cli/reference/apps#查看应用) 显示已授权应用的类型及其期望的输入，便于你构造正确的调用。
* **运行已授权的应用。** [`run app`](/zh/3.11.x/develop/cli/reference/apps#运行应用) 会调用该应用并打印响应，与账户用户的方式相同。
* **恢复已暂停的工作流。** 当你运行的工作流 [暂停以等待人工输入](/zh/3.11.x/develop/cli/reference/apps#工作流暂停时) 时，[`resume app`](/zh/3.11.x/develop/cli/reference/apps#恢复已暂停的工作流) 可让其继续。
* **本地操作。** [`auth whoami`](/zh/3.11.x/develop/cli/reference/auth-and-contexts#查看当前身份)、[`version`](/zh/3.11.x/develop/cli/reference/version) 和 [`help`](/zh/3.11.x/develop/cli/reference/help) 无需任何特殊权限。

## 你不能做什么

运行授予你的应用是会话的全部权限范围。`difyctl` 的其余功能均无法触及：

* **无工作空间。** 外部 SSO 会话不与任何工作空间绑定，因此 [`get workspace`](/zh/3.11.x/develop/cli/reference/workspaces) 和 `use workspace` 不适用，`--workspace` 标志同样如此。
* **无法浏览已授权应用之外的内容。** `get app` 仅返回管理员授予的应用，`-A`（所有工作空间）不适用。你无法列出或访问主机上的其他应用。
* **无法导出或导入应用。**
* **无法管理工作空间或成员。**

## 权限错误的呈现方式

当你尝试超出权限范围的操作时，服务器会以 HTTP 403 拒绝，`difyctl` 将其报告为 `server_4xx_other` 错误，退出码为 `1`。

这与登录被拒绝不同：`access_denied`（退出码 `4`）指授权本身在浏览器步骤中被拒，而非某条命令超出了权限范围。完整方案详见 [输出格式与退出码](/zh/3.11.x/develop/cli/reference/output-formats-and-exit-codes)。

## 申请更多访问权限

如果你需要列表中没有的应用，或某项超出范围的能力，请联系 Dify 管理员。访问权限在管理员一侧授予，因此在他们更新之前，重新登录不会改变会话可触及的范围。