Agent、工具与 Skill

 1  // 知识库 Agent：第一次清理宿主环境变量用的正则
 2  /^CLAUDE_CODE_SDK_|OAUTH|ANTHROPIC_API_KEY|ANTHROPIC_AUTH_TOKEN/
 3  
 4  // E2E 导师：只交给 Agent 四个变量（节选）
 5  export const cleanEnv = Object.freeze({ PATH: process.env.PATH, HOME: process.env.HOME, ANTHROPIC_BASE_URL: CONFIG.baseUrl, ANTHROPIC_AUTH_TOKEN: CONFIG.authToken });
 6  
 7  // E2E 导师：工具调用前的检查（节选）
 8  const name = input?.tool_name ?? "";
 9  audit.push({ tool: name, at: Date.now() });
10  if (FORBIDDEN.includes(name)) { return { hookSpecificOutput: { … permissionDecision: "deny" … } }; }
11  if (!allowed.includes(name)) { return { hookSpecificOutput: { … permissionDecision: "deny" … } }; }
12  
13  // E2E 导师：查词条工具（节选）
14  "按 slug 获取术语词条的完整内容（定义、白话解释、图解、易混点、关联词条）",
15  await markViewed(userId, slug);

• 第 2 行 · 高危 · 黑名单漏了一个，而且只锚住了第一项：这条规则漏掉了关键的 CLAUDE_CODE_CHILD_SESSION；开头的 ^ 也只作用于第一个选项。宿主变量没清干净，Agent 照样拿着宿主的凭证去请求，还是 401。清理环境，白名单比黑名单可靠。 该问的话：Agent 进程最后拿到了哪些环境变量？能不能改成只给它必需的几个？
• 第 8 行 · 中危 · 只核对工具名，不看参数：钩子只检查工具的名字。读取、搜索这类工具被放行之后，要读哪个路径，没有任何检查。知识库项目的 Agent 伸手去读目录之外的文件，缺的正是这一步。 该问的话：允许的读取类工具，能读到哪些路径？越界的请求会被拦下吗？
• 第 9 行 · 低危 · 先记账，再判断：每次调用先被记进审计列表，然后才判断要不要拒绝。于是被拒绝的调用，也出现在最后汇报的"用过的工具"里，看记录分不清哪些真的执行了。 该问的话：审计记录里，被拒绝的调用和真正执行的调用分得清吗？
• 第 15 行 · 中危 · 名叫“获取”的工具，在写学员的进度：说明写的是"获取词条内容"，这一行却把词条记进了学员的已读清单。模型为了回答一个问题去查几个相关词条，学员的进度里就可能多出几个没读过的词。 该问的话：这个工具除了返回数据，还改了什么？名字和说明里写清楚了吗？