按实际影响分类，而不是按 HTTP 方法或工具名称判断。查询接口也可能触发计费、发送通知或写入业务状态；所谓“预览”也可能包含外部副作用。 只读操作通常可以更积极地缓存、并行和重试，但仍要限制数据范围、请求量和敏感信息。写操作则需要更严格的参数校验、幂等、审计和必要审批。 还可继续区分可撤销写入、不可逆操作、对外通信以及涉及资金的操作，并为不同级别设置执行策略。工具声明“只读”只是元数据，应通过实现和测试验证。 执行层维护可信的工具分类，不接受模型临时修改。遇到超时和取消时，有副作用操作需要查询真实结果，不能按普通查询那样直接丢弃并重新执行。