提示词工程无法从原理上防御提示注入，因此授权逻辑必须放在模型之外。