工具都在 packages/builtin-tools/src/tools/<名字>/，注册入口 getAllBaseTools()（src/tools.ts:218）。约 60 个，核心的：

贴真实代码（FileReadTool.ts:342）——正好印证 Day 07 讲的几个点：

maxResultSizeChars: 100_000,       // 结果超 100KB 就落盘（L08）
strict: true,
async description() {              // ← 给 UI/权限弹窗看的（简短）
  return DESCRIPTION
},
async prompt() {                  // ← ★ 给模型看的（详细，教它怎么用；Day 07 L07）
  const limits = getDefaultFileReadingLimits()
  // ...拼一段告诉模型"大文件用 offset/limit、行号格式"等的说明
  return renderPromptTemplate(...)
},
isConcurrencySafe() { return true },   // ← 可并发（多个 Read 同时跑）
isReadOnly() { return true },          // ← 只读

Read 执行时（:494）有个聪明优化：如果模型重复读同一个文件的同一范围、且文件没改过（mtime 未变），就返回一个 file_unchanged 存根，而不是把整个文件内容再塞一遍。源码注释在 :339 也点了 100KB 落盘的动机（"减少长会话的内存压力"）。

另一个细节 backfillObservableInput（Day 07 L08 第 4 关提过）：把 file_path 展开成绝对路径，让 hook 白名单无法用 ~/相对路径绕过——安全考量。

真实 schema（FileEditTool/types.ts:6）——注意每个字段的 .describe(...)，这些描述会随 schema 一起发给模型（Day 07 讲的"zod 一处声明两处受益"）：

z.strictObject({
  file_path: z.string().describe('The absolute path to the file to modify'),
  old_string: z.string().describe('The text to replace'),
  new_string: z.string().describe('The text to replace it with (must be different from old_string)'),
  replace_all: semanticBoolean(z.boolean().default(false).optional())
    .describe('Replace all occurrences of old_string (default false)'),
})

Edit 的权限里有个"安全检查"——命中危险文件/目录就强制 ask，即使 bypassPermissions 模式也照样问（Day 09 会讲这个"不可绕过"）。真实清单在 src/utils/permissions/filesystem.ts:57：

export const DANGEROUS_FILES = [
  '.gitconfig', '.gitmodules', '.bashrc', '.bash_profile',
  '.zshrc', '.zprofile', '.profile', '.ripgreprc',
  '.mcp.json', '.claude.json',
]
export const DANGEROUS_DIRECTORIES = [
  '.git', '.vscode', '.idea', '.claude',
]

Bash 的并发标志很聪明（BashTool.tsx:571，真实代码）：

isConcurrencySafe(input) {
  return this.isReadOnly?.(input) ?? false;   // 只有只读命令才可并发
},
isReadOnly(input) {
  // 判断命令是不是只读（find/grep/cat/ls 等白名单）
}

Bash 权限是全仓最复杂的，因为一条命令可能是复合的（a && b | c）。它用 tree-sitter 做语法解析（bashSecurity.ts，源码里多处 "Tree-sitter path" 注释），把复合命令拆成一个个子命令，逐个匹配 deny/ask/allow 规则；解析不了（too-complex）就fail-safe 返回 ask（BashTool.tsx:587 注释："parse-unavailable / too-complex: fail safe by running the hook"）。

最特别的工具——它的"执行"是递归跑一个完整子代理（Day 15）。看它的真实标志和权限（AgentTool.tsx:1458）：

isReadOnly() {
  return true; // delegates permission checks to its underlying tools
},
isConcurrencySafe() {
  return true;
},
async checkPermissions(input, context) {
  const appState = context.getAppState();
  // 只有 ant 构建 + auto 模式才走分类器；其它模式一律放行子代理生成
  if (process.env.USER_TYPE === 'ant' && appState.toolPermissionContext.mode === 'auto') {
    return { behavior: 'passthrough', message: '...' };
  }
  return { behavior: 'allow', updatedInput: input };   // ← 默认直接放行
},

注意各工具的 maxResultSizeChars 不同：Read 是 100_000、Bash 是 30_000（都是真实代码里的值）。这个字段控制"结果多大就落盘"（toolExecution.ts:1478，Day 07 管线第 8 关）：

• 结果 ≤ 上限：完整塞进对话给模型。
• 结果 > 上限：存到磁盘，只给模型"预览 + 文件路径"，模型想看全部再去 Read 那个路径。

✋ 动手：对着真实代码读一遍

# 1. Read 的标志 + prompt/description（L02）
sed -n '338,382p' packages/builtin-tools/src/tools/FileReadTool/FileReadTool.ts

# 2. Edit 的 schema（L04）
sed -n '1,20p' packages/builtin-tools/src/tools/FileEditTool/types.ts

# 3. safetyCheck 危险清单（L05）
sed -n '55,80p' src/utils/permissions/filesystem.ts

# 4. Bash 的 tree-sitter 权限（L06）
grep -n "Tree-sitter path\|too-complex\|isReadOnly" packages/builtin-tools/src/tools/BashTool/*.ts* | head

# 5. Agent 的权限下放（L07）
sed -n '1458,1490p' packages/builtin-tools/src/tools/AgentTool/AgentTool.tsx