协调者只分工，不直接处理数据

以下示例与示意结果由本站编写，用于说明方法，不是模型实测结果。

使用场景

协调者需分析客户日志中的请求失败数量，但不应直接读取原始客户载荷。教学分工由受限本地数据角色聚合，协调者只拿时间桶、错误码和数量并汇总。

具体做法

明确协调者任务边界与数据角色的许可：数据读取/变更只能由获准执行角色处理，本例不需修改。协调者传字段契约与聚合需求，不接收原日志；角色在受控环境返回最小schema。交接前查是否含标识符或凭据，保留运行身份、错误与覆盖，协调者基于聚合输出解释，不能把摘要当原始事实全覆盖。

反例

协调者先读取全部原日志，再分派分析，输出时才脱敏；专门角色未经权限限制也可任意读写。

改进写法

协调者只定义聚合：按时间桶和错误码计数。获准本地数据角色读取限定日志，返回这三字段及覆盖/错误说明，客户载荷与凭据留在模型上下文外。检查返回schema后汇总；分工不额外授予读写权限。

为什么这样改

分工和最小数据交接把访问职责放在明确边界，减少协调上下文暴露。原始数据先进入协调者再脱敏，已无法达到这种限制。

如何验证

教学协调者输入仅聚合三字段与范围，轨迹无原始日志读取；数据角色请求也只有批准范围。若返回邮箱字段则交接失败。数量可由数据角色独立对账，未读文件不补零。

适用边界

本条无已确认冻结来源。角色分工本身不是隔离，工具/凭据和访问控制需实际落实；聚合仍可能泄露小群体。本文是架构教学，不授权当前派生Agent或访问客户日志。