源码地址：后端地址 前端地址第 12 集复盘完事故，第 13 集进入能力扩展篇。先给结论：Agent 的工具调用不是全放行的——平台用一张规则表决定每个工具调用的行为（放行/询问/禁止），角色还能按用户身份覆盖规则；「询问」这一步把工具调用暂停、发事件给前端弹审批、用户点头后恢复执行，这就是 HITL（Human-in-the-Loop）。整个链路里，平台只自造了一个组件（DB 规则 → 框架权限上下文的转换层），拦截、事件、恢复全部复用框架的权限引擎——这是本集最值得记住的边界设计。为什么需要它：有副作用的工具，不能全自动Agent 能调工具，等于有了「手」：写文件、改配置、执行 SQL、删数据。这些动作如果全自动放行，一个幻觉就会造成真实破坏；如果全拦截，Agent 又什么事都干不成。HITL 的价值是给每个工具调用三档行为：ALLOW：直接放行（只读查询、无副作用工具）。ASK：暂停，发审批事件，人点头才执行（写文件、改配置）。DENY：直接禁止（高危动作）。再叠一层角色差异化：同一个工具，普通用户要问、管理员直接放行、受限