社区补齐 Agent 工具调用硬校验的六条实战教训

作者 Individual-Shower973 把「每次工具调用前置硬校验」帖子下的 22 条回复凝练成六条实战经验。这些经验指出按工具名拦截挡不住 shell 直调 API、危险参数应替换而非校验、URL 应传指向已审核上游的不透明句柄、校验须放在参数解析之后，以及发邮件前要查已发送文件夹而不是依赖 agent 记忆。作者同时公开了自己的 Paveo 库，并逐条标注已做到、未做到与需注意之处。