FDE工具写入设计：模型提出动作，业务系统决定是否执行

LangGraph中断与Stripe幂等文档分别提供技术背景。本文是一般工具执行设计，不意味着任何接口都具有相同事务语义。

先形成可审阅的动作提案

模拟修改客户资料，提案应显示目标记录、旧值、新值和理由，交由有权人员确认。模型不能把外部文件中的要求当成用户授权，目标对象也需由应用检查归属。

执行时再次核对版本

若批准后记录已经变化，应停止并重新确认，避免覆盖他人更新。每个业务动作有稳定编号，执行结果留存下游标识；超时后先查询，再决定是否重试。

用无真实影响的环境验收

测试重复批准、并发修改和撤销，确认系统给出可解释的状态。无法自动回滚的动作应明确提示，并设计人工纠正路径。本文未在客户系统实施，不承诺所有外部业务动作都能安全撤回。

延伸阅读：FDE案例。