工具参数符合 JSON Schema 就安全吗？还需要哪些校验？

实现与取舍

代码示例

运行一个具体工具的参数与归属校验

保存为 demo.py，使用 Python 3 执行；仅演示手动校验和可信身份注入，无网络调用。

import json

ACCOUNTS = {"a1": "tenant-a", "a2": "tenant-b"}

def validate(raw, trusted_tenant):
    args = json.loads(raw)
    if not isinstance(args, dict) or set(args) != {"account_id", "limit"}:
        raise ValueError("INVALID_FIELDS")
    if not isinstance(args["account_id"], str):
        raise ValueError("INVALID_ACCOUNT_ID")
    # bool is a subclass of int in Python; require the exact type.
    if type(args["limit"]) is not int or not 1 <= args["limit"] <= 100:
        raise ValueError("INVALID_LIMIT")
    if ACCOUNTS.get(args["account_id"]) != trusted_tenant:
        raise PermissionError("RESOURCE_UNAVAILABLE")
    return args

samples = [
    '{"account_id":"a1","limit":10}',
    '{"account_id":"a1","limit":true}',
    '{"account_id":"a2","limit":10}',
]
for raw in samples:
    try:
        print("OK", validate(raw, "tenant-a"))
    except (ValueError, PermissionError) as exc:
        print("REJECT", str(exc))

预期输出

OK {'account_id': 'a1', 'limit': 10}
REJECT INVALID_LIMIT
REJECT RESOURCE_UNAVAILABLE

工程推演

场景

假设工程场景：余额查询工具接受 account_id，模型从用户文本中获得另一个部门的账户标识。

设计决策

移除模型可控制的身份字段；网关使用登录会话的 tenant_id，查询前检查账户归属。

验证目标

演示预期：同租户合法参数通过；额外字段、布尔金额、跨租户账户被拒绝。

适用边界

代码仅展示一个特定调用的手动校验，不包含认证、真实余额查询或通用 Schema 实现。

易错点

• 把 Schema 合法当成授权通过
• 只在前端隐藏工具，服务端不验证
• Python 中直接 isinstance(value, int)，意外接受 bool

参考资料

依据公开技术资料设计；参考资料支持技术机制，场景与评分标准为本站设计，不代表某公司面试原题。 新增问答与迁移案例用于原理讲解，来源核查与案例运行验证分别记录。

• MCP 2025-11-25：工具定义、结果与安全边界
• OpenAI Agents SDK：Tools
• JSON Schema：对象字段、必填与额外属性
• PostgreSQL 18：事务隔离

检查自己理解到哪一步

读完后可以对照这些标准解释原理、边界和取舍。掌握程度由你自评；需要进一步验证时，再完成下方小任务。

基础达标

区分字段格式正确与业务上可执行。

中高级信号

校验身份、实体归属、范围、单位与跨字段约束。

资深信号

能处理动态权限、陈旧实体状态和校验后的竞态。