AgentScope Java on 吾爱主机

AgentScope Java 2.0 实战：构建带权限审批与可恢复执行的生产级 Agent

Thu, 23 Jul 2026 00:00:00 +0800

能调用 Shell、修改文件和派发子任务的 Agent，比普通聊天机器人更有价值，也更危险。Prompt 中一句“执行危险操作前请确认”不是安全边界：模型可能误判上下文、被工具输出诱导，或者在重试中重复执行副作用。

AgentScope Java 2.0 把这类生产问题放进框架核心：每次工具调用都经过权限系统，结果是 ALLOW、DENY 或 ASK；ASK 会暂停 Agent，等待用户确认后再恢复。同时，Harness、Workspace、Sandbox 和分布式状态后端用来承载长时间任务。

本文基于 AgentScope Java 2.0.0 GA 和 JDK 17，先搭建一个 HarnessAgent，再实现“读操作自动放行、写操作必须审批、生产资源不可绕过”的权限策略，最后说明 session 恢复与沙箱的边界。

一、ReActAgent 与 HarnessAgent 的分工

AgentScope Java 2.0 提供两层抽象：

抽象	适合场景	核心关注点
`ReActAgent`	轻量聊天、受限 Tool Calling	推理—行动循环、模型、工具
`HarnessAgent`	长任务、文件/代码 Agent、企业部署	Workspace、Memory、Skills、Subagent、Sandbox、恢复

如果只需调用一个天气 API，ReActAgent 已经足够。若 Agent 要在目录里读写文件、执行命令、跨会话继续任务，应该从 Harness 开始，因为这些能力需要共享一致的运行上下文。

官方 2.0 的设计还强调 Agent 本身无状态：运行状态通过 (userId, sessionId) 和后端管理。这比把可变消息列表放进单例 Agent 更适合多实例部署。

二、依赖和模型配置

AgentScope Java 2.0 要求 JDK 17+。Harness 与模型提供商从 2.0 起拆分为独立模块：

<properties>
 <maven.compiler.release>17</maven.compiler.release>
 <agentscope.version>2.0.0</agentscope.version>
</properties>

<dependencies>
 <dependency>
 <groupId>io.agentscope</groupId>
 <artifactId>agentscope-harness</artifactId>
 <version>${agentscope.version}</version>
 </dependency>

 <dependency>
 <groupId>io.agentscope</groupId>
 <artifactId>agentscope-extensions-model-dashscope</artifactId>
 <version>${agentscope.version}</version>
 </dependency>
</dependencies>

其他官方可选模型模块包括 OpenAI、Anthropic、Gemini 和 Ollama。使用 DashScope 时，把密钥放进环境变量而不是源码：

export DASHSCOPE_API_KEY="你的密钥"

然后创建最小 HarnessAgent：

import io.agentscope.core.agent.RuntimeContext;
import io.agentscope.core.message.UserMessage;
import io.agentscope.harness.agent.HarnessAgent;
import java.nio.file.Paths;

public class OpsAgentApp {
 public static void main(String[] args) {
 HarnessAgent agent = HarnessAgent.builder()
 .name("ops_assistant")
 .sysPrompt("""
 你是运维分析助手。先读后写，输出每一步依据；
 未获得权限系统批准时，不得声称已经修改任何资源。
 """)
 .model("dashscope:qwen-plus")
 .workspace(Paths.get(".agentscope/workspace"))
 .build();

 RuntimeContext ctx = RuntimeContext.builder()
 .userId("alice")
 .sessionId("incident-20260724-001")
 .build();

 var result = agent.call(
 new UserMessage("检查工作区里的故障日志并给出处理建议"), ctx)
 .block();
 if (result != null) {
 System.out.println(result.getTextContent());
 }
 }
}

模型字符串由 ModelRegistry 解析。workspace 不是随便给 Agent 一个宿主机根目录，而应该是专门分配、权限收敛的工作目录。

三、权限系统如何做决策

权限系统位于 io.agentscope.core.permission，拦截每次工具调用。它综合三类信息：

Rules：针对工具和调用模式的显式 ALLOW、ASK、DENY；
Mode：未命中规则时的默认策略；
Built-in Checks：工具根据真实入参执行的不可绕过检查。

决策顺序中，DENY 规则和危险路径检查优先。即使启用 BYPASS，这类保护仍然生效。

官方提供五种常用模式：

模式	未命中规则时的行为	适用情况
`DEFAULT`	要求显式规则或用户确认	推荐默认值
`ACCEPT_EDITS`	放行工作目录内安全文件操作	用户在场的开发任务
`EXPLORE`	只读，拒绝写与命令	代码探索、规划
`BYPASS`	通常放行，但不可绕过的检查仍有效	完全可信且隔离的 Sandbox
`DONT_ASK`	将 ASK 变为 DENY	无人值守任务

DONT_ASK 尤其重要：定时任务没有用户在线，不能让 Agent 永久等待审批，也不应默认放行。

四、配置 ALLOW、ASK 与 DENY 规则

下面的策略允许安全读取，删除操作必须询问，删表始终拒绝：

import io.agentscope.core.permission.PermissionBehavior;
import io.agentscope.core.permission.PermissionContextState;
import io.agentscope.core.permission.PermissionMode;
import io.agentscope.core.permission.PermissionRule;

PermissionContextState permissions = PermissionContextState.builder()
 .mode(PermissionMode.DEFAULT)
 .addAllowRule(
 "safe_read",
 new PermissionRule(
 "safe_read", null,
 PermissionBehavior.ALLOW, "projectSettings"))
 .addAskRule(
 "dangerous_delete",
 new PermissionRule(
 "dangerous_delete", null,
 PermissionBehavior.ASK, "projectSettings"))
 .addDenyRule(
 "drop_table",
 new PermissionRule(
 "drop_table", null,
 PermissionBehavior.DENY, "projectSettings"))
 .build();

可以把权限上下文交给底层 ReActAgent：

ReActAgent agent = ReActAgent.builder()
 .name("controlled_agent")
 .sysPrompt("先检查，再操作")
 .model(model)
 .permissionContext(permissions)
 .build();

若使用 Harness，应在构建 Harness 的 delegate/permission 配置位置应用同一上下文；具体 Builder 入口以 2.0.0 文档和当前模块为准，不要从 RC 版博客复制包名。

规则来源 projectSettings、userSettings、session 或 suggested 应进入审计日志。由用户在一次 ASK 中接受的 suggested rule，可能影响后续相同调用，UI 必须明确告诉用户这是“一次允许”还是“以后允许”。

五、自定义不可绕过的工具检查

静态规则不一定能识别业务语义。比如同一个 restart_service 工具，测试环境可以自动执行，生产环境必须审批。自定义 Tool 可覆盖 checkPermissions：

import io.agentscope.core.permission.PermissionDecision;
import io.agentscope.core.tool.ToolBase;
import io.agentscope.core.tool.ToolExecutionContext;
import java.util.Map;
import reactor.core.publisher.Mono;

public final class RestartServiceTool extends ToolBase {

 public RestartServiceTool() {
 super(ToolBase.builder()
 .name("restart_service")
 .description("重启指定环境中的服务")
 .readOnly(false));
 }

 @Override
 public Mono<PermissionDecision> checkPermissions(
 Map<String, Object> input,
 ToolExecutionContext context) {

 String environment = String.valueOf(input.get("environment"));
 if (environment.startsWith("prod")) {
 return Mono.just(PermissionDecision.ask(
 "目标是生产环境，需要人工批准：" + environment));
 }

 return Mono.just(PermissionDecision.passthrough(
 "非生产环境，继续按 rules/mode 判断"));
 }
}

PASSTHROUGH 不是 ALLOW，它表示把决定权交回规则和模式。对明确禁止的目标可直接返回 deny(...)。

框架还内置危险路径保护，例如 .ssh/、.git/、.aws/、.kube/、.env 和凭据文件。命中危险路径时会强制 ASK；自定义 Tool 也可以增加危险文件和目录。

六、ASK 后怎样暂停与恢复

权限结果为 ASK 时，Agent 不执行工具，而是以 GenerateReason.PERMISSION_ASKING 暂停。返回消息中包含状态为 ASKING 的 ToolUseBlock，调用方应：

把工具名和脱敏后的参数展示给用户；
让用户选择拒绝、仅本次允许或接受建议规则；
构造 ConfirmResult；
使用相同 (userId, sessionId) 恢复 Agent。

核心确认对象如下：

ConfirmResult confirm = new ConfirmResult(
 true, // confirmed
 toolCall, // 本次待确认调用
 toolCall.getSuggestedRules() // 仅在用户明确接受时传入
);

生产 UI 不应只放一个模糊的“确认”按钮。至少显示：

工具名称与风险级别；
目标环境、资源 ID、路径；
是否产生副作用；
建议规则会影响一次还是后续调用；
session、用户和过期时间。

确认结果必须由服务端绑定当前用户和待审批记录，不能接受客户端随意提交另一个 toolCall。

七、流式事件让执行过程可观察

Harness 可以输出统一事件流：

agent.streamEvents(
 new UserMessage("分析日志；如果需要修改配置先请求批准"), ctx)
 .doOnNext(event -> {
 switch (event.getType()) {
 case TEXT_BLOCK_DELTA ->
 System.out.print(((TextBlockDeltaEvent) event).getDelta());
 case TOOL_CALL_START ->
 System.out.println("[tool] "
 + ((ToolCallStartEvent) event).getToolCallName());
 default -> { }
 }
 })
 .blockLast();

事件流可驱动 Web UI、飞书/钉钉 Channel 或审计平台。注意不要把所有原始参数直接写日志；命令、Prompt 和工具结果可能包含 Token、路径或客户数据。

八、Workspace、Sandbox 和权限各管一层

三者不能互相替代：

Workspace 组织文件、Memory、Skills 和子 Agent 工作上下文；
Permission 决定某次工具调用是否允许、拒绝或询问；
Sandbox 限制已经获准的代码实际能访问哪些系统资源。

即使权限系统批准 rm temp.txt，Sandbox 仍应阻止进程读取宿主机 SSH 密钥。反过来，Docker 隔离也不能代替业务审批：容器里的工具可能仍持有生产 API 凭据。

可按风险逐级部署：

开发：专用本地目录 + DEFAULT
测试：Docker Sandbox + ACCEPT_EDITS
生产交互：Kubernetes Sandbox + DEFAULT + HITL
生产无人值守：最小工具集 + DONT_ASK + 服务端白名单

每个 Sandbox 还应配置 CPU、内存、进程数、超时、只读根文件系统和网络出口策略。

九、可恢复执行的正确边界

AgentScope Java 2.0 支持 Redis、MySQL、PostgreSQL、OSS/COS 等分布式 session 和 memory 后端，并面向跨副本 session 恢复。但“恢复 Agent 状态”仍不等于“业务操作恰好一次”。

经典故障窗口：

工具成功重启服务
 -> 进程在保存工具结果前崩溃
 -> 恢复后模型再次请求重启

解决方案在工具层：

record OperationRequest(String operationId, String service, String environment) {}

operationId 由可信服务端生成；
业务库对它建立唯一约束；
重复请求返回第一次结果，而不是再次执行；
checkpoint 记录 operationId 与状态；
外部系统也尽可能使用幂等键。

userId + sessionId 用于隔离会话，operationId 用于隔离副作用，二者不要混为一谈。

十、生产部署清单

默认使用 DEFAULT 或 EXPLORE，不把 BYPASS 当省事开关；
无人值守任务使用 DONT_ASK，未明确允许的调用直接拒绝；
生产、凭据和危险路径在 Tool 内做不可绕过检查；
ASK 绑定用户、session、调用参数摘要和过期时间；
Suggested Rule 的持久化范围对用户透明；
Sandbox 有资源限制、网络出口策略和短期凭据；
所有写工具都有幂等键与审计记录；
使用共享状态后端，并测试滚动发布和跨副本恢复；
对每种工具做 ALLOW、ASK、DENY 和恢复故障测试；
日志和事件流经过脱敏。

十一、常见问题

Agent 一直要求确认

检查规则的 toolName 和 ruleContent 是否真的匹配调用；若默认 DEFAULT 且没有 ALLOW 规则，询问是预期行为。不要直接切到 BYPASS，先补齐最小权限规则。

定时任务卡在 ASK

无人值守场景改用 DONT_ASK，并显式允许安全工具。ASK 会转成 DENY，从而让任务失败得可观察，而不是永久等待不存在的用户。

工作区恢复后找不到文件

本地 Workspace 不适合多副本。使用共享存储或远程文件系统，并保证所有副本使用一致的路径映射、租户隔离和版本策略。

已有 Sandbox，为什么还要权限系统

Sandbox 限制“能破坏多大范围”，权限系统限制“此刻是否应该执行”。前者是隔离，后者是意图授权，必须叠加。

总结

AgentScope Java 2.0 的核心价值不是又实现了一次 ReAct，而是把 Agent 当成一个需要治理的长期运行系统：

权限系统在每次工具调用前作出 ALLOW、ASK 或 DENY；
Tool 的 Built-in Check 能根据真实参数建立不可绕过的业务安全线；
HITL 用同一 session 暂停和恢复，而不是只在 Prompt 里“请求确认”；
Workspace 管上下文，Sandbox 管隔离，分布式后端管恢复；
幂等和业务事实仍由工具与数据库负责。

如果你的 Agent 会改文件、执行命令或触碰生产资源，先设计权限、审批、隔离和恢复，再讨论模型是否更聪明。生产 Agent 最重要的能力，不是永远做对，而是做错时被阻止、失败后可恢复、重试时不重复造成损失。

参考资料

Java AI Agent 四框架对比：Spring AI Alibaba、AgentScope Java、LangChain4j 与 Google ADK Java

Thu, 23 Jul 2026 00:00:00 +0800

Java AI Agent 生态已经不再只有“给大模型套一个 HTTP 客户端”。Spring AI Alibaba、AgentScope Java、LangChain4j、Google ADK Java 都能连接模型和工具，但它们解决的问题并不相同：有的强调 Spring 工作流，有的把权限、沙箱和分布式恢复放在核心位置，有的是通用 JVM AI 工具箱，有的则围绕代码优先的多 Agent 编排设计。

本文不按 GitHub Star 简单排名，而是从 编程模型、执行控制、状态恢复、安全、协议、可观测性和生态锁定 等方面比较四个框架，并给出面向真实项目的选型路径。

版本快照：Spring AI Alibaba 稳定线 1.1.2.2，AgentScope Java 2.0.0 GA，LangChain4j 1.18.0，Google ADK Java 1.7.0。版本状态截至 2026-07-23。Google ADK Java 官方仍标记 Preview / Pre-GA；LangChain4j 核心库与其高层 Agentic 模块的成熟度也不能混为一谈。

一、先给结论

如果你的核心问题是	优先考虑
Spring Boot 项目要做 Graph、Supervisor、国内模型和多 Agent	Spring AI Alibaba
Agent 要安全执行 Shell/文件工具，并支持审批、沙箱和跨实例恢复	AgentScope Java
先统一模型、RAG、Tool Calling、MCP，再逐步加入 Agent	LangChain4j
需要代码优先的 Sequential/Parallel/Loop 多 Agent，并深度使用 Gemini/Google Cloud	Google ADK Java
只是一个模型调用 2～3 个只读工具	先用 LangChain4j AI Services 或 Spring AI，未必需要多 Agent

没有“全维度最强”的框架。正确问题不是“哪个框架功能最多”，而是：你的不确定性主要来自模型决策、工作流状态、工具副作用，还是部署运行时？

二、四种不同的设计中心

1. Spring AI Alibaba：Spring + Agent Workflow

Spring AI Alibaba 在 Spring AI 的模型、工具、消息等抽象上，增加 ReactAgent、Graph Runtime、SequentialAgent、ParallelAgent、RoutingAgent、Supervisor 等高层能力。

它的设计中心是 用 Java 和 Spring 管理可组合的 Agent 工作流。适合将 Agent 作为现有 Spring 企业应用的一部分，而不是另起一套运行平台。

典型结构：

Spring Boot
 -> Supervisor / Routing / Graph
 -> ReactAgent A -> Spring Bean Tools
 -> ReactAgent B -> MCP / Service
 -> Saver / Observability / Nacos

2. AgentScope Java：生产运行时与 Harness

AgentScope Java 2.0 不只关心模型如何选择工具，还把生产运行问题提升为一等能力：强类型事件、工具权限、人工审批、Workspace、Sandbox、Middleware、分布式 session 和 memory、跨副本恢复。

它的设计中心是 让长时间运行、会执行真实操作的 Agent 安全稳定地活下去。

HarnessAgent
 -> Workspace / Skills / Memory
 -> Permission Decision
 -> Local / Docker / Kubernetes Sandbox
 -> Distributed Backend + Session Recovery

3. LangChain4j：Java 原生 AI 应用工具箱

LangChain4j 首先是通用 Java LLM 应用库。AI Services 允许开发者用 Java 接口定义模型服务，周围组合 Memory、RAG、@Tool 和 MCP；它同时兼容 Spring Boot、Quarkus、Helidon、Micronaut。

它的设计中心是 用符合 Java 习惯的接口、POJO 和注解连接不同模型与 AI 能力。这使它适合作为长期底座，但不要因为核心库成熟，就默认高层 langchain4j-agentic 模块也达到相同稳定程度；官方仍将该模块标为实验性能力。

4. Google ADK Java：Code-first Agent Development Kit

Google ADK Java 从一开始就围绕 Agent 构建，提供 LlmAgent、Sequential/Parallel/Loop 工作流、Session/State、工具和开发 UI，并支持 A2A。

它的设计中心是 用代码显式定义 Agent、工具和编排，并贯通开发、调试与 Google Cloud 部署。优势是 Agent-first 和 Google 生态，代价是项目仍处于 Preview / Pre-GA 阶段。

三、核心能力横向比较

维度	Spring AI Alibaba	AgentScope Java 2.0	LangChain4j	Google ADK Java
主要定位	Agent 工作流与多智能体	生产级 Agent Harness	JVM AI 应用工具箱	Code-first Agent SDK
主要语言	Java	Java	Java	Java
基础要求	JDK 17、Spring Boot	JDK 17+	依模块而定	Java + Maven/Gradle
单 Agent	`ReactAgent`	`ReActAgent` / `HarnessAgent`	AI Services + Tools；Agentic 模块	`LlmAgent`
工作流	Graph、顺序、并行、路由、循环	Harness、Subagent、事件驱动	高层 Agentic 模块仍需谨慎	Sequential、Parallel、Loop
状态恢复	Saver / Graph checkpoint	分布式 session、memory、跨副本恢复	Chat Memory 为主，复杂恢复自行设计	Session / State / Artifact
HITL	Graph 中断等方式组织	原生权限：允许/审批/拒绝	通常由应用层实现	可通过流程/工具层实现
Sandbox	有独立 Sandbox 生态	本地、Docker、K8s、云 Sandbox	非核心能力	非核心能力
MCP	支持	支持	支持	工具生态可扩展，MCP 与 A2A 应分工看待
A2A	支持，并可结合 Nacos	支持	需看具体集成	官方重点能力
国内模型	很强	DashScope、DeepSeek 等扩展	提供多厂商集成	Gemini 最自然，其他模型需验证
Spring 集成	原生核心	可集成，但不是唯一运行方式	成熟	不是核心设计中心
当前主要风险	版本线迭代快	2.0 GA 较新，工程复杂度高	Agentic 高层 API 实验性	Preview / Pre-GA、平台偏向

这张表不能代替 PoC。尤其是“支持”两个字，可能只代表存在适配器，并不代表拥有相同的错误语义、流式事件、结构化输出和生产经验。

四、编程模型：接口、图、Harness 与 Agent 树

Spring AI Alibaba：把 Agent 当成图中的节点

开发者可以先构建专业 ReactAgent，再将它们包装成 Supervisor 的工具，或放进 Graph 里增加条件边、重试和 checkpoint。它适合“业务流程大体确定，但部分节点需要 LLM 决策”的系统。

优势：

确定性工作流与 Agent 节点可以混合；
Spring Bean、配置、监控和业务服务复用自然；
对复杂流程的控制力强于单纯 ReAct 循环。

代价：Graph、Agent Framework、Spring AI 与 Alibaba 版本线需要一起管理，升级时应做依赖树和回归测试。

AgentScope Java：把 Agent 当成长期运行的受控进程

HarnessAgent 组合 Workspace、Memory、Skills、Subagent、权限和沙箱。这里的关键不只是“下一步调哪个函数”，还包括：调用是否需要用户批准、工具在哪个隔离环境运行、崩溃后从哪里恢复、事件如何实时推给前端。

优势：生产问题覆盖最完整。

代价：如果业务只需简单问答和只读工具，Harness 的概念和部署组件可能过重。

LangChain4j：把 AI 能力当成 Java Service

典型写法是定义接口：

interface Assistant {
 String chat(@MemoryId String userId, @UserMessage String message);
}

再通过 AiServices.builder(...) 绑定模型、Memory Provider 和工具对象。这种方式对传统 Java 团队非常自然，单元测试和依赖注入也容易组织。

优势：模型、RAG、工具与框架集成广，渐进式采用成本低。

代价：复杂多 Agent 的暂停、恢复、HITL 和图执行不应仅靠 Chat Memory 拼装；高层 Agentic 模块仍需要固定版本和充分验证。

Google ADK Java：把 Agent 组合成代码结构

开发者定义多个 LlmAgent，再通过 Sequential、Parallel 或 Loop Agent 显式组合。Session 保存对话和状态，Dev UI 用于本地调试。

优势：多 Agent 编排概念清晰，A2A 与 Google Cloud 路线完整。

代价：官方 README 仍声明 Preview / Pre-GA，且部分评测能力仍在演进。关键生产系统应先做版本冻结、回归集和退出预案。

五、状态与恢复：最容易比较错的维度

“支持 Memory”不等于“支持崩溃恢复”。至少要区分：

对话记忆：模型下一轮能看到什么；
工作流 checkpoint：程序执行到哪个节点；
业务事实：邮件是否真的发送、订单是否真的创建；
Artifact：文件、报告、图片等大对象；
分布式路由状态：哪个副本继续哪个 session。

需求	更适合的起点
多轮问答记住用户上下文	LangChain4j Chat Memory
Graph 节点暂停后继续	Spring AI Alibaba Saver / checkpoint
跨副本恢复长任务和子 Agent	AgentScope Java Distributed Backend
Agent Session、State 与 Artifact 一体组织	Google ADK Java

无论框架多强，都不能替业务工具完成 exactly-once。崩溃可能发生在“下游已经写成功，但 Agent 还没保存结果”的窗口。邮件、支付、工单等工具必须使用幂等键和唯一约束。

六、安全：不要把 Prompt 当权限系统

四个框架都可以在 Prompt 中写“删除前请确认”，但这不是安全边界。

AgentScope Java 的差异最明显：权限系统原生表达 允许、要求用户审批、拒绝，并能把工具放入沙箱。若业务是运维、代码执行或文件操作，它通常更贴近需求。

其他框架也能实现安全控制，但需要在应用层构建：

Agent 只能调用 prepare_operation
 -> 服务端创建 WAITING_APPROVAL 记录
 -> 人类在可信 UI 审批
 -> 后端用 approvalId 执行
 -> 工具返回真实 operationId

所有框架都应遵守：

身份和租户信息来自服务端上下文，不让模型填写；
写工具与读工具分离；
工具参数使用结构化类型和白名单；
高风险工具默认拒绝或必须审批；
沙箱之外还要有操作系统、网络和云 IAM 限制；
日志脱敏，Prompt 与工具结果不能泄露凭据。

七、MCP 与 A2A 不是竞争关系

MCP 主要解决 Agent/模型如何发现并调用工具、资源和提示模板；
A2A 主要解决相互独立的 Agent 如何描述能力、通信和协作。

例如，采购 Agent 可以通过 MCP 调 ERP 查询工具，同时通过 A2A 把合同审查任务交给远程法务 Agent。不要因为框架同时写着 MCP 和 A2A，就把二者当成同一层协议。

选型时应验证的不只是协议名称，还包括：认证、超时、流式、取消、错误码、版本协商、审计和跨租户隔离。

八、用同一个 PoC 做公平测试

建议不要分别跑四个官方 Hello World，而是实现同一个“采购审批 Agent”：

读取采购申请
 -> 并行查询预算与供应商风险
 -> 生成建议
 -> 金额超过阈值则等待人工批准
 -> 创建订单
 -> 模拟进程崩溃并恢复

统一测量：

指标	观察方法
实现复杂度	业务代码量、配置量、概念数量
工具正确率	固定 100 条用例，统计选错/漏调/参数错
副作用安全	重试和恢复后是否重复创建订单
恢复能力	在每个节点前后故障注入
可观测性	能否关联模型、工具、session、审批和错误
成本	模型调用次数、token、延迟
可测试性	不调用真实模型时能否测试控制流
生态约束	替换模型、存储、云环境的改动范围

真正的选型结论通常不是“框架 A 功能比 B 多”，而是“框架 A 让我们的关键失败模式更容易被测试和控制”。

九、按团队和场景选型

场景 1：现有 Spring Boot 企业系统

优先评估 Spring AI Alibaba。它能直接复用 Spring Service、配置、Actuator 和依赖注入，也更容易把确定性 Graph 与 Agent 节点结合。

若当前阶段只做模型、RAG 和少量工具，也可以从 LangChain4j 或 Spring AI 底层能力开始，不必一开始引入多 Agent。

场景 2：运维 Agent、代码 Agent、长任务 Agent

优先评估 AgentScope Java。权限决策、Workspace、Sandbox、事件系统和跨副本恢复与该类风险高度匹配。

不过，选它不等于自动安全：Docker/Kubernetes 隔离、网络出口、凭据代理、资源配额和人工审批后端仍需自行配置。

场景 3：希望模型和应用框架保持中立

优先评估 LangChain4j。它的提供商和向量库集成广，也能运行在 Spring Boot、Quarkus、Micronaut 等环境中。

复杂 Agentic 编排要单独做成熟度评估；必要时可把 LangChain4j 作为模型/工具层，配合其他工作流引擎。

场景 4：Gemini、Google Search、Vertex AI 和 A2A

优先评估 Google ADK Java。其代码优先的 Agent 树、Dev UI 和 Google 生态协同清晰。

但 Preview / Pre-GA 是实际风险，不应藏在脚注里。上线前要锁版本、保留回滚路径，并验证非 Google 模型或未来迁移的成本。

场景 5：框架混用

混用可以成立，但只在边界明确时：

Spring AI Alibaba Graph 负责确定性业务流程；
AgentScope Harness 负责需要沙箱的远程专业 Agent；
LangChain4j 提供某些模型或 RAG 能力；
A2A 连接独立 Agent 服务。

不要在同一进程同时引入四套消息、Memory、Tool 和 tracing 抽象。每多一层适配，都要明确谁负责重试、取消、状态和错误翻译。

十、决策清单

在确定框架前，逐项回答：

我们需要的是聊天记忆，还是工作流崩溃恢复？
工具是否有副作用，是否必须人工审批？
是否会执行 Shell、代码或文件操作，需要哪一级沙箱？
工作流是确定性图，还是高度自治的 ReAct？
是否需要多实例、跨副本恢复和后台长任务？
MCP、A2A 分别解决哪个边界？
是否必须使用 Spring、Google Cloud 或国内模型生态？
当前所用模块是 GA、稳定版、experimental，还是 Pre-GA？
能否在不调用真实模型的情况下测试控制流？
工具是否具备幂等、鉴权、审计和超时？

总结

四个项目代表四条不同路线：

Spring AI Alibaba：用 Spring 和 Graph 构建可控的 Agent 工作流；
AgentScope Java：为安全、长任务和分布式恢复提供生产 Harness；
LangChain4j：用 Java 原生接口组织模型、RAG、工具与 MCP；
Google ADK Java：用代码优先方式组合多 Agent，并连接 Google/A2A 生态。

对于多数团队，最稳妥的方法是先选一个有真实副作用、需要审批和恢复的业务任务，用同一组测试用例做 PoC。Agent 框架的价值，不在于让 Demo 调用更多工具，而在于当模型选错、工具超时、进程崩溃或用户拒绝审批时，系统仍然可解释、可恢复、不会重复造成损失。