编码约束进规则，操作步骤进技能，审计进钩子，外部系统进 MCP。四层堆在同一份长文里，每次会话都在付上下文，危险命令却仍然能跑。目录前言一、先选层再写文件二、规则管约束，技能管步骤三、允许列表看的是子命令四、钩子记命令，MCP 不记密钥