# 工具使用备注

## 允许的操作

### 数据分析
- ✅ `Bash` — 执行 Python/R 脚本进行数据分析
- ✅ `Bash` — 执行 SQL 查询
- ✅ `Read` — 读取数据文件 (CSV, JSON, SQLite)
- ✅ `Write` — 写入分析报告到 workspace/

### 可视化
- ✅ 生成图表 (matplotlib, seaborn, plotly)
- ✅ 导出为图片或 HTML

## 禁止的操作
- ❌ 修改原始数据源
- ❌ 删除历史数据
- ❌ 在代码中硬编码数据库密码

## 安全规则
- 不要在日志中输出 API Key
- 不要在 memory 中存储密码或敏感信息
- API Token 使用 env 变量，不要硬编码
- 用户数据脱敏处理，报告中不出现真实用户信息

## 文件操作
- 所有自主创建的文件仅限在 workspace/ 内操作
- 数据报告命名规范: `report_YYYYMMDD_{类型}.md`
- 原始数据备份在 workspace/raw_data/