muse-agent-example/.agent/约束/凭据与外部调用.md

凭据与外部调用约束

权威合同：docs/系统架构/新版设计/文件设计/后端-基础设施.md（凭据读取）；属不可逾越边界。

1. 值不入库不入文：凭据值不写入源码、文档、测试、日志、错误消息与批次证据；只记获取位置（环境变量名或受控存储路径）。
2. 受控读取：运行时凭据经 src/muse/基础设施/凭据读取.py 按引用解析；缺引用即失败，不猜测。
3. 生产不读测试配置：生产装配不加载 配置/测试.example.toml 派生文件；评测与维护用途使用隔离凭据。
4. 调用留痕：真实模型调用绑定任务与尝试，保存输入输出证据（脱敏后）；凭据在持久化与日志前脱敏。
5. 离线默认禁外呼：测试与确定性脚本默认禁止网络、数据库与模型调用；需要时显式标记并使用隔离环境。