用途：maestro-guard 用于管理编辑边界限制，配置位于 .workflow/config.json 的 guard 段，包含 enabled、mode、paths 三项。启用后由 workflow-guard 钩子（PreToolUse 作用于 Write/Edit）读取配置，阻止针对边界外文件的操作，要求 hooks 级别不低于 full。
主要能力：支持 on、off、status、allow <path>、deny <path>、remove <path>、clear 等子命令。on 启用并可在 paths 为空时设为 ["src/", "tests/", ".workflow/"]；off 关闭但保留路径与模式；status 显示启用状态、模式与路径列表，并检查钩子是否生效，若已启用但钩子未安装会提示运行 maestro hooks level full 激活。allow/deny 添加路径并自动启用，路径会规范为斜杠并补目录尾斜杠、去重。remove 移除指定路径，clear 清空路径列表。
用法与限制：无子命令时默认执行 status。allow 与 deny 模式互切时会清空已有路径列表，需经 request_user_input 确认，用户拒绝则中止。输出边界限定为仅写 .workflow/config.json 的 guard 段，不得修改钩子文件、.claude/settings.json 或源码。若配置文件不可读且无法创建，返回 E001（非 maestro 项目）。配置变更后须展示更新结果。收费、价格与平台信息暂未提供。