用途
Check Permissions 用于获取当前租户被允许的权益（allowed entitlements，即 BackgroundCheckTarget 列表），以便调用方在任何 API 写入之前对功能进行门控。
主要能力
运行脚本后会获取租户的权限列表，成功时返回 JSON 映射：
{"allowedChecks": {"REUSABLE_KYC_SDK": "Reusable KYC via API/SDK: ...", "VIDEO_IDENT": "Video Identification: ..."}}
HTTP 200
其中 allowedChecks 的键为权限键，值为人类可读的标签，涵盖此租户已启用的全部权益。出现在 allowedChecks 键中的权限键即为已授权的权益。
出错时（非 200）返回：
{"description":"Unauthorized","errorName":"...","correlationId":"..."}
HTTP 401
使用方式
该技能通过公共 Sumsub API 通信，并按照认证参考对每个请求进行签名。完整的工作原理说明位于 sumsub-api-auth 技能中，若遇到 401 Invalid signature 可参阅该文档。
环境变量：
| 变量 | 示例 | 说明 |
|---|---|---|
| SUMSUB_APP_TOKEN | sbx:... | 来自仪表盘的沙箱 App Token |
| SUMSUB_SECRET_KEY | 创建 Token 时仅显示一次的配对密钥 | |
| SUMSUB_BASE | 可选，默认 https://api.sumsub.com |
运行脚本并解析结果：
bash ${CLAUDE_SKILL_DIR}/scripts/check_permissions.sh
输出为原始 Sumsub 响应体，后跟 HTTP <code>。
调用方的使用规则
如果 HTTP 状态不是 200，应立即停止——把错误体展示给用户，不要继续执行。
在收到成功响应后，检查所需的 BackgroundCheckTarget 键是否存在于 allowedChecks 中。如果不存在，应立即停止——不要构建或 POST 请求载荷。告知用户缺少哪项权益，并说明需要联系其 CSM 或 Sumsub Support 开通。
权益与功能映射（键示例）：
| 功能 | 所需权益 |
|---|---|
| E_KYC docset | E_KYC_TARGET |
| PROOF_OF_RESIDENCE docset | POA |
| E_SIGN docset | E_SIGN_TARGET |
| deviceIntelligenceSettings.enabled: true | DEVICE_INTELLIGENCE |
| QUESTIONNAIRE scoring | QUESTIONNAIRE_SCORING |
| QUESTIONNAIRE attachments | QUESTIONNAIRE_ATTACHMENT |
| NFC chip reading | NFC |
| Video ident sessions | VIDEO_IDENT |
| Reusable KYC via SDK | REUSABLE_KYC_SDK |
| Known face search | KNOWN_FACE_SEARCH |
| AML / watchlist step | WATCHLISTS |
限制
⚠️ 仅限沙箱令牌。不要在此接受或使用生产 App Token。如果用户提供生产令牌，应拒绝，并要求其在 https://cockpit.sumsub.com/checkus/devSpace/appTokens 生成一对沙箱令牌（先把工作区切换到 Sandbox，再点击 Create）。Token 与 secret 仅显示一次——请在关闭对话框前复制两者。辅助脚本会强制执行此限制——它会拒绝不以 sbx: 开头的令牌。