背景

围绕 #98 / #106，本次先落地工具与安全方向的第一阶段基础骨架。

是先把统一执行入口、统一权限模型和后续扩展点立住，避免后续继续在 runtime / tools 间重复重构。

本次改动

• 引入 internal/security
• 建立统一 Action 模型与 Decision / Rule / PermissionEngine
• 将权限检查入口统一为：PermissionEngine.Check(Action)
• 引入 ToolManager 抽象
• 将执行链收敛为：

runtime
  -> ToolManager
    -> PermissionEngine
    -> WorkspaceSandbox
    -> Executor

• 当前 WorkspaceSandbox 先提供显式骨架与 noop 实现，为后续目录边界与敏感路径保护预留插口
• Runtime 不再直接依赖具体工具注册表执行工具，而是依赖 tools.Manager
• 为 built-in tools 建立第一版 action 映射：
  • bash
  • filesystem_read_file
  • filesystem_write_file
  • filesystem_edit
  • filesystem_grep
  • filesystem_glob
  • webfetch
• 为未来 MCP 接入预留统一模型：
  • mcp.server
  • mcp.server.tool
  • MCP 不允许绕过统一权限层

影响

• 当前主链路保持可用
• 默认策略仍为 allow，不改变现有 built-in tool 的默认行为
• 本次主要是架构收口与安全骨架落地，不引入审批 UI 和重型沙箱

测试

已补充并通过以下测试：

• internal/security
• internal/tools
• internal/runtime
• internal/app

本地验证：

go test ./...

Refs

• feat(security/tools): 统一工具安全网关与 MCP-ready Tool Manager #98
• Close feat(security/tools): P0-1 引入 Tool Manager 骨架与 Permission Gateway 规则模型 #106