Open WebUI 智能工具调用全拆解从一次请求到动态插件路由【免费下载链接】open-webuiUser-friendly AI Interface (Supports Ollama, OpenAI API, ...)项目地址: https://gitcode.com/GitHub_Trending/op/open-webui当你输入帮我查一下这份合同里的退款条款AI 怎么知道该去翻文件而不是凭记忆编这正是 Open WebUI 的工具调用系统要解决的问题。作为自托管的 AI 对话前端它把LLM 外部功能对接这件模糊的事拆成了一条可校验、可缓存、可并发的流水线。 一次工具调用请求从出生到落地工具调用不是魔法是一条流水线。跟着一次真实请求走一遍。意图怎么被读懂你发出消息后后端先把菜单端给模型每个可用工具都会转成一份 OpenAPI 风格的 spec函数名、参数、描述随请求交给 LLM。模型一次性决定三件事要不要调工具、调哪个、传什么参数。所以这里的智能匹配没有单独的相似度算法匹配引擎就是大模型本身Open WebUI 负责把菜单做得清楚、不重名、带准确描述。匹配上了哪把刀模型回传函数名后后端在 工具加载入口 准备好的 tools_dict 里查函数。菜单有两类来源内置工具库 里的代码执行、知识检索、网页搜索等以及用户自己建的自定义工具。如果两个工具的同名函数撞车系统会前缀工具 ID 做区分保证菜单上不会出现两道同名菜。这是 Open WebUI 的真实界面展示工具被选中执行后的交互结果。权限怎么在校验选中不等于放行。系统先一次性批量取出所有 tool_ids一条查询而不是每个工具一条再逐个核对用户身份与所属分组的授权。没有读权限的工具会被静默剔除日志里记一条 warning整个请求不阻塞。异步怎么跑起来所有工具函数在执行前都会被包装成协程函数整个执行链路基于异步执行框架。工具跑网络请求或代码执行时事件循环不空转多个工具并发时一个工具卡住不会拖垮同进程的其他对话。结果怎么回填执行返回后结果作为上下文交还给模型由模型整理成自然语言。工具 spec 里还带 metadata 标记如 file_handler、citation决定结果在界面里如何呈现前端通过 TypeScript API 封装 与工具管理接口通信流式结果实时渲染进对话气泡。 为什么长这样三个设计决策这三个决策定了整个系统的骨架。决策一把工具当数据不当代码传统插件体系要么硬编码扩展点要么独立部署加一个工具就得发版。Open WebUI 把工具放进数据库表源码就是字段里的文本class Tool(Base): # 数据库表定义 __tablename__ tool id Column(String, primary_keyTrue) user_id Column(String, indexTrue) # 所有者用户 ID name Column(Text) # 人类可读标签 content Column(Text) # Python 源代码 specs Column(JSONField) # OpenAPI 风格函数规格 meta Column(JSONField) # 描述、清单等元数据 valves Column(JSONField) # 管理员可配置的运行时参数见 工具数据模型。这相当于把插件从安装包降级成数据库记录增删改查全是 CRUD没有部署流水线。决策二异步执行框架作为默认选择你可能会问为什么不用线程池执行工具说白了因为工具调用大多是网络 IO联网搜索、外部 API、向量检索。用 async/await 全链路贯穿async def get_tools(request, tool_ids, user, extra_params): 按 tool_ids 加载工具并做访问控制。 tool_models await Tools.get_tools_by_ids(tool_ids) # 批量取库 for tool_id in tool_ids: tool tool_models.get(tool_id) if tool and await AccessGrants.has_access(...): # 逐工具校验 module tools_cache.get(tool_id) # 缓存未命中或源码内容变了才重新编译 if module is None or contents_cache[tool_id] ! tool.content: module await load_tool_module_by_id(tool_id, tool.content) tools_cache[tool_id] module取自 工具加载入口做了压缩。IO 等待不占事件循环单个 worker 能扛下成倍并发的会话。决策三元数据驱动的动态加载工具是数据加载就得动态。过程像给房客开一间临时客房源码写进临时文件、注册成独立模块、执行完按契约取回对象module_name ftool_{tool_id} module types.ModuleType(module_name) sys.modules[module_name] module with open(temp_file.name, w) as f: f.write(content) # 源码写进临时文件 exec(content, module.__dict__) # 在模块命名空间内编译 return module.Tools(), frontmatter # 契约必须提供 Tools 类见 插件加载实现。契约很朴素源码里有 Tools 类就能加载加载失败就清理 sys.modules 注册和临时文件不留脏状态。 安全边界工具调用怎么防你被自己坑这套系统里最危险的环节不是模型而是替你执行的用户自写代码。横向越权想借用别人的工具攻击场景用户 A 猜到用户 B 的工具 ID想直接调用。拦截层get_tools 在加载模块前先查授权核心逻辑在 RBAC 权限控制for grant in access_grants: if grant.get(permission) ! permission: # 只匹配目标权限 continue if principal_type user and (principal_id * or principal_id user_id): return True # 公开(*)或命中本用户放行防御手段没有 grant 记录即私有默认拒绝逐条比对用户与分组。代码注入工具本身就是 Python攻击场景恶意工具在源码里 import 系统模块直接摸宿主机。拦截层插件加载实现 会重写导入路径把 from utils 这类写法约束回官方命名空间整个自定义代码执行受 ENABLE_PLUGINS 开关控制。防御手段用户代码一律视为不可信部署层用容器隔离兜底。权限滥用乱改阀门与工具服务器攻击场景普通用户偷改不属于自己的工具服务器的 valvesAPI 密钥、连接参数。拦截层has_connection_access 校验连接级 access_grants未配置时仅管理员可用。防御手段valves 入库前加密encrypt_valves运行时才注入明文。资源耗尽长任务拖垮进程攻击场景工具在 frontmatter 声明一堆依赖触发 pip install或死循环吃满 worker。拦截层load_tool_module_by_id 把耗时安装用 asyncio.to_thread 挪出事件循环失败时立即删临时文件、注销模块。防御手段长任务不阻塞主循环脏状态零残留。⚡ 性能账本智能匹配到底快在哪快不快看账本。问题手段效果每次请求重复编译工具请求级模块缓存 源码内容哈希校验源码未变直接复用零编译开销N 个工具 ID 查 N 次库get_tools_by_ids 批量查询一次数据库往返拿齐工具与授权列表页拖拽大段源码列表查询用 defer_content 跳过 content 列列表接口不再携带插件源码串行执行阻塞事件循环全链路异步执行框架IO 等待不占线程单进程并发更高入口界面示意可对照理解其请求流转与缓存位置。上手之前先看这两个场景两句话就能跑通整条链路。场景一帮我跑一段 Python把结果给我你把代码发给模型顺嘴要求执行。模型从内置工具库选中 execute_code 函数参数就是代码本身。权限校验通过后代码被异步执行。输出与异常回填进模型上下文。你看到自然语言总结加上执行结果卡片。场景二把这份 PDF 总结成三条要点你上传 PDF 并发出一句话。文件进入知识库后grep_knowledge_files、query_knowledge_files 等检索工具随之可用。模型先调检索定位段落再调 view_file 读原文。每次返回一段文本模型从这些片段里拼出三条要点。你看到三条编号列表可回看对应文件内容。 扩展与演进插件化到底怎么接扩展成本低到写完保存就能用。现在就能做的扩展接口约定是一个 Tools 类加若干异步函数签名和 docstring 会自动变成 specclass Tools: async def search_flights(self, city: str) - str: 查询航班返回航班信息文本。 return await your_api(city)把代码存进工具管理页模型下次对话就能调用它字段定义参考 工具数据模型。路线图上的事多工具协同一次任务自动串联检索、总结、执行多个工具。自主学习按调用历史调整工具匹配优先级。分布式部署工具服务下沉到边缘机器降低调用时延。占位示意对应上文提到的插件化扩展与分布式形态。一句话收束开头那句帮我查合同不是玄学模型从 spec 菜单里挑出函数名剩下的路系统一步一步替你走完。核心哲学就一个词——动态加载工具是数据不是代码。想亲手验证clone https://gitcode.com/GitHub_Trending/op/open-webui 然后去 backend/open_webui/utils/tools.py 找 get_tools从权限校验和缓存那几行开始读。【免费下载链接】open-webuiUser-friendly AI Interface (Supports Ollama, OpenAI API, ...)项目地址: https://gitcode.com/GitHub_Trending/op/open-webui创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考