让 Agent 帮忙写 SQL权限和执行必须分层让模型从自然语言生成 SQL 很方便但数据库连接不能一起交给模型。更稳妥的做法是让 Agent 产出结构化查询计划再由受控服务校验并执行。查询计划比 SQL 文本更容易约束计划中分开表示指标、维度、时间范围、过滤条件和排序。每个字段都从白名单选择时间范围设上限默认不允许全表字段和写操作。权限层根据用户身份裁剪可访问的数据域。错误要告诉调用方下一步参数不合法、字段无权访问、结果为空和依赖不可用不是一回事。使用稳定错误码分别提示修改条件、申请权限或稍后重试不要让前端通过错误文案猜原因更不要回显表结构和连接信息。评审三类输入拿合法请求、语义合法但越权的请求、包含诱导指令的请求走完整链路。检查最终执行语句来自模板日志只保存脱敏参数与请求标识模型输出没有绕过执行层。Agent 可以负责把人话翻译成查询意图数据库是否执行仍由确定性规则决定。这条分工守住了后续换模型也不用重写安全边界。