工具调用权限需要在服务端落实。提示词告诉智能体不要越权，只是行为约束，不能作为访问数据库或业务接口的安全边界。

区分读写动作

查询资料与修改订单使用不同权限。按用户、部门和具体资源校验每次请求，不能因同一个会话已登录就放行所有工具。

限制参数范围

校验资源编号、金额和操作次数，高风险动作要求人工确认。工具只接受预定义参数，不允许模型拼接任意SQL或系统命令。

保存审计证据

记录发起用户、工具名、目标资源、审批结果与返回状态。拒绝记录中避免保存密钥，权限收回后在下一次调用立即生效。

权限必须由业务接口执行

模型给出的用户编号不能作为授权依据；接口应从登录身份判断可操作的对象。

测试越权编号、过期会话与敏感写入，确认工具拒绝请求后不会换个参数绕过限制。

例如用户要求读取另一客户订单，工具应按当前身份拒绝，而不是因为提示语中称“已授权”就放行。

相关阅读：企业AI应用权限与审批：查询、写入和审计边界。