护栏是限制搜索空间的确定性约束，由编排层而非 LLM 执行，包括工具白名单、凭证范围、时间预算和审批门禁；其与提示词软约束的本质区别在于执行位置。