钱包里的钱没少，但代理提示付款失败了。这不是网络问题，是授权层面的两道校验规则在起作用。
有开发者反馈代理调用付费API时，扣款金额校验完全正常，但返回了transfer failed，查询区块浏览器发现交易根本没上链，查看日志报错为recipient not allowed。金额参数正确、地址输入无误，但收款方不在预设白名单中，授权机制直接拒绝了签名请求。
先看两堵墙的关系
AI代理付款要过两道闸：金额闸和地址闸。金额校验通过却被地址规则拦截，说明第一道闸放行了，第二道闸没有通过，这是授权机制的预设规则在生效，并非系统bug。
额度白名单（allowlist）：限制代理只能给指定地址付款。如果目标地址不在名单上，签名请求直接被拒，交易不会上链。
金额限额（spending limits）：限制代理单笔和累计可调用的资金额度，金额校验通过就说明这一关已经放行。
两者的关系是同时校验，不是先后关系。代理发起付款时，钱包或智能账户会同时检查金额和地址，任何一项不满足就拒绝签名。
步骤 1：确认是哪个规则拦的
排查目标：定位被拦截的具体原因，避免无依据猜测。
操作路径
打开代理的审计日志或钱包工具的输出，找到失败记录
Circle Agent Wallet 里用 circle wallet log 命令查交易失败原因，会明确显示是 address not allowed 还是 limit exceeded
如果用 AgentPay，报错会包含类似 recipient not in allowlist 或 daily limit exceeded 的信息
完成标准：获取明确的拒绝理由，而非笼统的 transfer failed 提示。
情况 A：收款地址不在白名单里
这是最常见的"金额核验通过但地址被拦截"场景。
拦截原因：你或系统在配置代理钱包时预设了收款方白名单。Circle Agent Stack 的 allowlist 功能就是该逻辑——只允许代理向指定的合约地址或钱包地址转 USDC。AgentPay 的 AGENTPAY_ALLOWED_RECIPIENTS 环境变量也实现了相同的限制作用。
解决方案：
进入钱包配置页面查询当前的白名单列表
如果目标地址确实是业务需要允许的，直接添加到白名单中
如果目标地址不在预期范围内，说明代理的执行逻辑出现偏差，试图向未授权地址转账，需要排查代理的行为逻辑
Circle CLI 查询白名单：
circle wallet allowlist --address 0xYourWalletAddress --chain BASE
Circle CLI 添加地址：
circle wallet allowlist add --address 0xYourWalletAddress --chain BASE --recipient 0xTargetAddress
完成标准：添加后重新发起付款，不再报地址拒绝类错误。
情况 B：地址通过了，但金额规则有隐藏约束
金额"看起来正确"但被拦截，可能是仅校验了单笔限额，未核对累计额度。
Circle 的限额规则是递进关系：per-transaction ≤ daily ≤ weekly ≤ monthly。单笔 100 U 没超限额，但日限额 50 U 已经用完的情况下，系统照样会拒绝交易。
解决方案：用 circle wallet limit 查看当前限额状态，确认日/周/月维度的额度还有剩余。
完成标准：所有维度的额度都有余量，重新发起交易执行成功。
情况 C：额度规则上链了，无法直接修改
有些工具会把额度规则写入智能合约中。Abstract 的 Session Key Policy Registry 就是这种模式——所有 session key 的策略必须经过合约白名单校验，不符合条件的请求直接被 reject。即使金额参数完全正确，如果策略合约里限制了目标地址范围或代币类型，交易照样会失败。
解决方案：
查询 session key 创建时的 scope 或 constraints 配置
Abstract 要求在 approve 类操作里加 constraints 数组，限制只能 approve 某个特定合约地址
如果未添加该约束，交易会被合约直接拒绝
完成标准：修改 session 策略或重新创建带正确约束的 session key 后，交易顺利通过校验。
高危提醒
额度规则是"只拦不放"的防守工具，不是"允许一切"的授权凭证。如果把白名单设得过于宽泛，就无法拦截代理向错误地址付款。反之如果设置得太严格，正常业务请求也会被卡住。官方建议是从小额额度开始试运行，先验证代理的行为路径完全符合预期后，再逐步放宽限制。
监管层面的现实：从法律角度看，如果用户把支付凭证委托给代理，无论代理实际花了多少、付给了谁，该支付在法律上大概率会被认定为"已授权"。权限规则是你对抗代理越权的唯一防线，并非保护你免受法律追责的盾牌。
核验收尾
执行一遍确认修复的测试流程：
让代理向同一个目标地址再发起一次相同金额的付款
日志里应该生成明确的 success 或 settled 记录
前往区块浏览器查询交易哈希，状态显示为 Success
核验渠道：Circle CLI 的 circle wallet log 或 AgentPay 的审计日志都能查询到成功记录。如果交易还是失败，确认报错信息是否从 address not allowed 变成了其他内容——说明当前地址校验已经通过，请求卡在了下一道校验规则上。
