当代码只验证用户已登录而不验证用户是否有权调用具体工具时，等于把整个工具集暴露给任何持有有效令牌的调用方