用 Agent 写 SQL 的安全边界，我定了五条红线

让模型直接连生产库执行，早晚出事。我的五条：

1. 只给只读账号。要写数据必须走人工确认，模型生成的 DDL/DML 一律不自动执行。
2. 查询必须带 LIMIT。默认加 1000，它不加我加。
3. 禁止 select *。让它显式列字段，避免大表拉爆内存。
4. 时间范围必须显式。不写 where 时间条件的查询直接拒。
5. 输出脱敏。手机号、身份证、地址在返回给模型前先掩码。

执行层做在代理里，不指望模型自觉。模型的自觉是不可靠的，尤其在长对话里，前面说过后面就忘。

补充：给它的表结构说明里别放真实数据样例，只放字段名、类型、枚举值。样例数据进了日志就是泄露。