核心

工具授权，核心的问题点就是自动化和安全性之间的天然对立性：

方案

方案一：无授权

直接让 Agent 执行敏感操作，没有任何授权环节。

方案二：执行前授权

流程：

1. Agent 决定调用支付工具
2. 系统拦截，弹窗让用户确认
3. 用户确认后，执行转账
   4，返回结果

问题一：授权时用的参数，和执行时的参数可能不一样了。

解决：授权时锁定参数，执行时校验。

上面的实现中，对于授权时锁定参数，但遗漏了关键的防重设计，如果auth_token被重复使用了怎么办？ 当前 token： 可以被重复使用 没有标记“已消费”

工具调用理论基础

Function Calling

Function Calling 就是让大模型把用户的话转换成“要调用哪个函数、传什么参数”的结构化指令。
Function Call 需要先定义函数，向 LLM 描述函数的用途、输入参数格式（JSON Schema）：

{
  "name": "get_current_weather",
  "description": "获取指定城市的天气",
  "parameters": {
    "type": "object",
    "properties": {
      "city": {
        "type": "string",
        "description": "城市名称"
      },
      "unit": {
        "enum": ["celsius", "fahrenheit"]
      }
    },
    "required": ["city"]
  }
}