Function require_tool_scope 

pub fn require_tool_scope(
    state: &ServerState,
    tool: &'static str,
) -> GuardOutcome

基于注册表的只读 scope 守卫；若工具未登记则 fail-closed 拒绝。

仅对 ToolScope::Read(_) 生效；Trade 类工具仍然走 require_trading()。