把手机号打成星号，并没有回答另一个问题：为什么模型能拿到这个客户对象的全部字段？内部实体里可能还有地址、备注、关联人和嵌套Map。通用反射清洗器只要漏一种容器，敏感内容就可能顺着Tool返回值进入上下文。
更容易核对的做法是先定义这个工具允许返回什么，再显式构造外发DTO。授权检查决定能查哪条记录，DTO决定这次调用能带出哪些字段，两者不能互相代替。
一个不修改原实体的完整例子
订单查询只需要订单号和状态，不必把电话号码加工后再带出去。以下代码使用合成字段和内存对象，没有模型调用。
import java.util.Map; public class ToolProjection { static class Order { final String id, tenant, status, phone, internalNote; Order(String id, String tenant, String status, String phone, String note) { this.id=id; this.tenant=tenant; this.status=status; this.phone=phone; this.internalNote=note; } } static Map<String, String> external(String authenticatedTenant, Order order) { if (authenticatedTenant == null || !authenticatedTenant.equals(order.tenant)) throw new SecurityException("outside tenant"); return Map.of("orderId", order.id, "status", order.status); } public static void main(String[] args) { Order o = new Order("O-1", "a", "PAID", "TEST_SECRET_PHONE", "TEST_SECRET_NOTE"); Map<String, String> view = external("a", o); assert view.size() == 2 && view.get("status").equals("PAID"); assert !view.toString().contains("TEST_SECRET"); assert o.phone.equals("TEST_SECRET_PHONE"); boolean denied=false; try { external("b", o); } catch (SecurityException expected) { denied=true; } assert denied; boolean immutable=false; try { view.put("phone", o.phone); } catch (UnsupportedOperationException expected) { immutable=true; } assert immutable; System.out.println("projection: whitelist, source unchanged, denial checked"); } }保存为ToolProjection.java，执行javac --release 11 ToolProjection.java && java -ea ToolProjection。toString()检查的是这个小Map，不是JSON序列化测试。接入真实转换器后，必须对最终发往模型的字节再次检查；异常响应和审计日志也是外发路径，不能遗漏。
让出口可以追到
Spring AI支持工具结果转换，但转换器不是天然覆盖所有数据出口的安全证明。Tool Calling参考是接口依据；具体项目还要检查直接方法调用、异步路径、AOP自调用以及自定义返回转换是否走到同一投影逻辑。
与其先写一个“递归支持所有Java类型”的打码框架，不如让少数公开工具逐个声明返回合同。新增字段时，DTO不会自动跟着领域实体扩张。确实需要部分个人信息时，单独说明目的、可见范围与保留期限，别把“已脱敏”当成任意传播的许可。
十月的Agent行为研究再次提醒执行边界的重要，但它不证明这个DTO方案能阻止所有信息泄露。10月9日报告与本地代码验证是两类证据：前者提供风险动机，后者只检查本例的字段选择与拒绝行为。
本例未验证Spring结果转换器、Jackson配置或日志采集链，后续应加入嵌套字段、异常堆栈和工具回调的最终序列化检查。
本地验证记录：Oracle JDK 12.0.1，javac --release 11与java -ea，运行成功，输出projection: whitelist, source unchanged, denial checked。仅覆盖本例的离线输入；框架、供应商和生产集成仍未测试。
