用途：为智能体工具构建分层可配置的权限与安全系统。每次工具调用前先跑权限流水线，统一决定自动允许、询问用户或拒绝，让企业、用户、项目、会话各方都能贡献规则，高层级覆盖低层级。
主要能力：定义 allow/deny/ask 三种决策；分层规则来源按优先级为 policySettings、userSettings、projectSettings、localSettings、cliArg、command、session，规则格式为 ToolName 或 ToolName(content)；流水线顺序为 deny → ask → 工具自身 checkPermissions() → 安全检查 → 绕过模式 → allow 白名单 → 默认 ask；外层包装支持 dontAsk（ask 转 deny）、auto（交给 AI 分类器）、headless（先跑 Hooks 无响应则 deny）。工具接口提供 isReadOnly、isDestructive、isConcurrencySafe、checkPermissions、validateInput 等安全属性，并采用 fail-closed 默认值。可选 Hook 系统支持 PreToolUse、PostToolUse 等事件的命令/提示/智能体/HTTP 类型，exit 0 通过、exit 2 阻止、stdout 返回 JSON 可覆盖决策。危险路径黑名单（如 .git/、.claude/、shell 配置）为 safetyCheck，绕过模式也强制确认。AI 分类器场景带 Denial 追踪断路：连续拒绝 3 次或累计 20 次回退人工确认。
使用方式：先明确三类决策，再建立分层规则来源，实现 hasPermission 权限决策函数，为每个工具定义安全属性接口，可选接入 Hook 与 Denial 追踪。最简模式即三层规则加工具自检。
适用场景：需要控制智能体可调用哪些工具、何时必须确认、无人值守（CI/后台）如何处理中断的智能体系统。
限制：不负责具体工具业务逻辑、UI 确认弹框实现、用户身份认证，也不涉及 AI 分类器的具体提示工程；详细类型定义、流水线实现、Hooks 架构与配置示例见 references 目录。具体收费、价格、平台适配与效果数据暂未提供。