Pi Agent Core 实战（7/10）：用 beforeToolCall 拦截钩子约束 bash 命令

Pi Agent Core 实战系列第 7 篇实测对比提示词约束与 beforeToolCall 钩子：同一批 12 条命令请求，仅靠系统提示词写「不要执行 rm -rf、读取 /etc/shadow」时 12 条全部执行，其中 5 条为危险操作；加上三条正则闸门和 8 次调用预算后只执行 4 条只读命令，其余 8 条被拦截且原因可追溯。