把手机号打成星号并没有回答另一个问题为什么模型能拿到这个客户对象的全部字段内部实体里可能还有地址、备注、关联人和嵌套Map。通用反射清洗器只要漏一种容器敏感内容就可能顺着Tool返回值进入上下文。更容易核对的做法是先定义这个工具允许返回什么再显式构造外发DTO。授权检查决定能查哪条记录DTO决定这次调用能带出哪些字段两者不能互相代替。一个不修改原实体的完整例子订单查询只需要订单号和状态不必把电话号码加工后再带出去。以下代码使用合成字段和内存对象没有模型调用。import java.util.Map; public class ToolProjection { static class Order { final String id, tenant, status, phone, internalNote; Order(String id, String tenant, String status, String phone, String note) { this.idid; this.tenanttenant; this.statusstatus; this.phonephone; this.internalNotenote; } } static MapString, String external(String authenticatedTenant, Order order) { if (authenticatedTenant null || !authenticatedTenant.equals(order.tenant)) throw new SecurityException(outside tenant); return Map.of(orderId, order.id, status, order.status); } public static void main(String[] args) { Order o new Order(O-1, a, PAID, TEST_SECRET_PHONE, TEST_SECRET_NOTE); MapString, String view external(a, o); assert view.size() 2 view.get(status).equals(PAID); assert !view.toString().contains(TEST_SECRET); assert o.phone.equals(TEST_SECRET_PHONE); boolean deniedfalse; try { external(b, o); } catch (SecurityException expected) { deniedtrue; } assert denied; boolean immutablefalse; try { view.put(phone, o.phone); } catch (UnsupportedOperationException expected) { immutabletrue; } assert immutable; System.out.println(projection: whitelist, source unchanged, denial checked); } }保存为ToolProjection.java执行javac --release 11 ToolProjection.java java -ea ToolProjection。toString()检查的是这个小Map不是JSON序列化测试。接入真实转换器后必须对最终发往模型的字节再次检查异常响应和审计日志也是外发路径不能遗漏。让出口可以追到Spring AI支持工具结果转换但转换器不是天然覆盖所有数据出口的安全证明。Tool Calling参考是接口依据具体项目还要检查直接方法调用、异步路径、AOP自调用以及自定义返回转换是否走到同一投影逻辑。与其先写一个“递归支持所有Java类型”的打码框架不如让少数公开工具逐个声明返回合同。新增字段时DTO不会自动跟着领域实体扩张。确实需要部分个人信息时单独说明目的、可见范围与保留期限别把“已脱敏”当成任意传播的许可。十月的Agent行为研究再次提醒执行边界的重要但它不证明这个DTO方案能阻止所有信息泄露。10月9日报告与本地代码验证是两类证据前者提供风险动机后者只检查本例的字段选择与拒绝行为。本例未验证Spring结果转换器、Jackson配置或日志采集链后续应加入嵌套字段、异常堆栈和工具回调的最终序列化检查。本地验证记录Oracle JDK 12.0.1javac --release 11与java -ea运行成功输出projection: whitelist, source unchanged, denial checked。仅覆盖本例的离线输入框架、供应商和生产集成仍未测试。
