用途：az-tool（Azure Platform）用于对 Azure PaaS 资源做只读检查，作用范围限定在一个由配置固定的订阅内。Azure DevOps 的流水线、构建与仓库请改用 azdo-tool。
主要能力：可查询当前固定订阅、列出资源组、列出某资源组内资源，并通过 cmd 子命令执行只读的 az 命令，例如 vm list、webapp show、aks list、acr repository list、monitor metrics list、storage account list。支持 --profile 选择命名配置，--dry-run 只显示实际作用域命令而不执行，--query 使用 JMESPath 精简输出。
使用方式：需将 @blogic-cz/agent-tools 作为开发依赖，通过 bun az-tool 运行，认证依赖 az login 会话。切勿直接运行裸 az，凭据守卫会拦截。示例：bun az-tool subscription、bun az-tool groups、bun az-tool resources --group my-rg、bun az-tool cmd --cmd "vm list"。
安全模型：订阅由配置固定，每次调用自动附加 --subscription，自行传入会被拒绝；仅允许 list、show、describe、exists、search、history、version、validate、wait 及 list-/show-/check-/get- 前缀的动词，变更类动词、返回凭据的命令、含 secret/key/credential/sas/password/connection-string 等路径的命令、keyvault secret show、--ids 以及 shell 语法均被阻止。Key Vault 仅允许元数据读取，secret 值不可读取。生产配置必须显式传 --profile。可通过 allowedResourceGroups 限制资源组，但订阅级读取不受该限制。
限制：无 azurePlatform 配置时工具拒绝运行，不存在环境订阅回退；需要密钥或变更操作时应停止并请用户执行。其余细节暂未提供。