上一课我们用广播、闸口、流水线、接力磨坊四个类比理清了 emit、bail、serial、waterfall 四种传播语义，还留了一条按场景选语义的三问决策路径。现在就把闸口这个类比搬进真实场景。Agent 循环里，模型说"调用这个工具"，工具就会真的执行。工具是动作入口：写文件、跑命令、发请求都从这里出去。按三问走一遍：这个事件需要继续往下传吗？在审批这个检查点上不需要，未授权就该当场短路。于是给入口装一道闸：调用前先查权限，未授权的直接拦下。

这道闸的机制是：订阅工具执行前事件，在钩子里做审批判断，未授权就用 bail 阻断，同时留下日志。bail 的传播语义已在上一课区分过，这里只把它用在执行前检查点上。

dsh 把事件当作扩展点，工具注册在 ctx.tools，其执行流水线自带守卫；工具相关事件归在 tools/* 事件域。你只需在它旁边挂一个插件，注册会随插件卸载自动解除，不用改任何内核代码。

写一个审批插件：allowlist 里有的工具放行，其余记录日志并用 bail 阻断。

import { Context } from '@deepseek-ai/dsh'

export function apply(ctx: Context) {
  // allowlist：只放行这两个工具，其余一律拦截
  const allowed = new Set(['fs.read', 'fs.write'])

  ctx.on('tools/before-execute', (call) => {
    if (allowed.has(call.name)) return          // 放行
    ctx.logger.warn(`[审批] 拦截未授权工具调用: ${call.name}`)
    return ctx.bail                             // 阻断
  })
}

订阅本身是注册效应，插件卸载时自动解除，无需手动 ctx.effect()。工具名以你环境里实际注册的为准，可在 Tool catalog 里查。把插件挂进 cordis.patch.yml 再启动 dsh，闸就装好了。

dsh-base 是每个 profile 的第一层，自带沙箱与审批策略；你的审批钩子是叠加在它之上的另一道闸，不是替代品。多一道闸不代表可以放松默认预设。保持最小权限，让防线冗余而不是单点依赖。