用途：在 DAG 智能体编排中校验父子智能体之间的权限继承，确保子智能体权限只能等于或比父级更严格，防止权限提升。
主要能力：校验核心工具权限（read、write、edit、glob、grep、task、webFetch、webSearch、todoWrite）是否为父级子集；比较 bash 权限（启用、沙箱、允许与拒绝的正则模式）；检查文件系统读写 glob 模式与 deny 模式边界；比对 MCP 工具（server:tool 格式）与网络域名白名单；校验可选模型（haiku/sonnet/opus）范围。输出包含 valid、violations、warnings、suggestions 的验证结果，可生成合法子权限配置。
使用方式：在派生智能体前调用 validateBeforeSpawn 或 validatePermissionInheritance，传入父 PermissionMatrix 与子矩阵（或请求的部分权限加默认值），据结果阻止非法派生。也可配合 dag-parallel-executor、dag-scope-enforcer、dag-execution-tracer 使用。资料未提供具体安装命令与调用接口。
限制：仅做权限继承校验，不负责权限的实际执行或运行时拦截；模式子集判断基于 glob 与正则规则，模糊边界按失败关闭处理；组织级策略与日志需外部配置，资料未提供默认策略细节与平台支持范围。