Claude Agent 设计模式：ReAct、计划执行与多任务协作

先判断是否真的需要 Agent

如果流程固定，例如查订单、查物流、返回状态，用明确编排的工作流往往更容易测。只有当下一步依赖观察结果、难以提前列出全部路径时，才考虑让模型动态选工具。Anthropic 的工程指南强调从简单方案开始，并用工具反馈验证进展；自主程度增加也带来更多成本和失控风险。

ReAct：一边观察，一边选下一步

这里的 ReAct 指模型根据任务和工具结果选择下一步动作，再观察结果，循环直到完成或达到停止条件。应用保存动作摘要和证据即可，不必要求展示隐藏的逐字推理。例：询问“仓库 A 的配件能否满足维修单”，先查所需物料，再查库存；缺件时返回缺口，不自动采购。

适合路径不确定的调查。风险是重复调用、把错误结果继续当事实、工具输出中的恶意指令。每轮都要校验工具名、参数和权限；工具失败应以结构化错误回传，不伪造成功。

Plan-and-Execute：先列依赖，再逐项完成

对于步骤清楚的盘点报告，可先规划“读取物料清单→分仓查询→计算缺口→生成报告”。计划里写每步输入、预期产物和依赖；执行器只接受允许的工具和任务类型，不把模型生成的字符串交给 eval 或 exec。

执行结果与计划不符时，可以在明确次数和预算内重新规划。计划并不天然更便宜：长计划、无效步骤和反复重规划都可能增加调用。完成标准是报告数字与库存结果一致，不是模型说“已完成”。

Orchestrator-Worker：只并行独立部分

多个仓库的只读库存查询可由不同 worker 处理；汇总器统一物料编码和数据时间再合并。依赖前一步结果的任务不能伪装成独立并行。每个 worker 只得到必要数据和权限，父任务要记录来源、失败和冲突。不同 worker 的同一句结论不等于独立证据。

把安全边界放进执行器

下面是只读调度器，库存来自固定测试数据。没有通用 shell、任意文件路径或代码执行工具；租户与用户身份应由服务端认证上下文提供，不能让模型自己声明。测试数据不代表实时库存。

STOCK = {"WH-A": {"PART-01": 7}, "WH-B": {"PART-01": 2}}

def dispatch(name, args, allowed_warehouses):
    if name != "read_stock" or set(args) != {"warehouse", "sku"}:
        raise ValueError("unsupported_tool_or_arguments")
    warehouse, sku = args["warehouse"], args["sku"]
    if not isinstance(warehouse, str) or not isinstance(sku, str):
        raise ValueError("invalid_argument_types")
    if warehouse not in allowed_warehouses:
        raise PermissionError("warehouse_not_authorized")
    if sku not in STOCK.get(warehouse, {}):
        return {"status":"not_found"}
    return {"status":"ok", "quantity":STOCK[warehouse][sku]}

assert dispatch("read_stock", {"warehouse":"WH-A","sku":"PART-01"},
                {"WH-A"})["quantity"] == 7

必须有停止条件和结果核对

外层循环同时限制总步骤、墙钟时间、token/费用预算及相同工具参数重复次数；任何一项耗尽就停止并返回未完成部分。工具调用 ID 与结果要对应，历史内容块按官方接口要求保存，不随意删改。写入、发信、支付等动作单独设审批和幂等控制，不能由只读示例直接扩展成自动执行。

上线前模拟越权仓库、未知物料、重复动作、工具超时和伪造“系统通知”的工具输出。检查失败不会被计为成功、预算确实能中断循环、汇总能追溯每个数字。本文只验证离线调度，不提供无限自主执行承诺。