Agent 工具调用：schema 设计与幂等安全如何保障

要让 Agent 调用内部三类工具：工单查询（只读）、退款（写操作，金额上限 500 元）、发送邮件（有外发风险）。业务要求：绝不能重复退款，任何调用可追溯，异常时不能无限重试，且不能让模型越权访问他人数据。请给出工具协议与调用链的设计要点。