Day 01 说 Agent = 模型 + 工具 + 循环。工具就是"模型能调用去改变世界的能力"——读文件、写文件、跑命令、搜代码、上网。模型自己只会吐文字，是"工具"让它能真正动手。

回忆 Day 03/06：模型在回复里吐一个 tool_use 块（"我要调 Read，参数是这个路径"）→ 系统执行对应工具 → 把结果作为 tool_result 回给模型。所以"工具"在代码里要解决三件事：

今天就顺着这三件事读源码。核心文件：接口定义 src/Tool.ts（802 行）、工具实现在 packages/builtin-tools/（Day 08 精读）、暴露给模型的转换在 src/utils/api.ts。

工具系统有两层定义，先搞清，否则读代码会晕：

工具的权限检查返回三种可能之一（packages/agent-tools/src/types.ts:87，真实类型）：

export type PermissionResult =
  | { behavior: 'allow'; updatedInput: Record<string, unknown> }  // 放行（可改写入参）
  | { behavior: 'deny'; message: string }                        // 拒绝（附原因）
  | { behavior: 'passthrough' }                                  // 交给通用权限系统裁决

宿主层 Tool（src/Tool.ts:372 起）的核心契约。对着 L01 的三件事看：

你读工具代码会发现很多工具没写 checkPermissions/isReadOnly——因为它们都通过 buildTool() 导出，工厂帮它们填了"往安全一侧靠"的默认值。这是真实代码（Tool.ts:767）：

const TOOL_DEFAULTS = {
  isEnabled: () => true,
  isConcurrencySafe: (_input?) => false,   // ← 默认"不可并发"（保守）
  isReadOnly: (_input?) => false,          // ← 默认"会写"（保守）
  isDestructive: (_input?) => false,
  checkPermissions: (input, _ctx) =>
    Promise.resolve({ behavior: 'allow', updatedInput: input }),  // 默认交给通用权限系统
  toAutoClassifierInput: (_input?) => '',
  userFacingName: (_input?) => '',
}

export function buildTool<D>(def: D): BuiltTool<D> {
  return {
    ...TOOL_DEFAULTS,          // 先铺默认值
    userFacingName: () => def.name,
    ...def,                    // ← 工具自己写的覆盖默认值
  } as BuiltTool<D>
}

工具从"全部候选"到"这次能给模型用的"，经过几道过滤（src/tools.ts）：

还有个提前过滤 filterToolsByDenyRules（tools.ts:295）：在把工具给模型之前就剔除被整工具 deny 的（含 MCP mcp__server 前缀级 deny）——被禁的工具模型根本看不到，而不是"看到了但调用时被拒"。

工具怎么变成 Anthropic API 的 tool 定义？靠 toolToAPISchema（src/utils/api.ts:119）。这是真实代码（api.ts:157）：

// schema 二选一：MCP 工具用它原始的 JSON Schema，内置工具用 zod 转
let input_schema = (
  'inputJSONSchema' in tool && tool.inputJSONSchema
    ? tool.inputJSONSchema
    : zodToJsonSchema(tool.inputSchema)   // ← zod → JSON Schema
)

base = {
  name: tool.name,
  description: await tool.prompt({ ... }),   // ← ★ 用 prompt() 不是 description()！
  input_schema,
}

模型说"调 Edit"后，到真执行、返回结果，中间过一条流水线（src/services/tools/toolExecution.ts）。唯一的 tool.call() 调用点在 :1256，前后被一堆关卡包着：

✋ 动手：对着真实代码读一遍

# 1. 权限三态类型（L03）
sed -n '80,95p' packages/agent-tools/src/types.ts

# 2. 宿主 Tool 契约（L04，挑关键看）
sed -n '372,540p' src/Tool.ts | grep -n "prompt\|description\|checkPermissions\|isReadOnly\|call\|inputSchema" | head

# 3. buildTool 安全默认（L05）
sed -n '767,802p' src/Tool.ts

# 4. prompt() 而非 description()（L07，核心反直觉点）
sed -n '155,192p' src/utils/api.ts

# 5. 注册与排序
sed -n '218,400p' src/tools.ts | grep -n "getAllBaseTools\|assembleToolPool\|sort\|filterToolsByDenyRules"