自动权限托管 NanmiCoder/dsh-auto-mode

[!WARNING]
维护已于 2026-09-29 结束。 本仓库正在归档。DeepSeek Harness 现已内置 Auto review；本插件不会再收到修复或宿主兼容性更新。已发布的版本仍可继续获取，供历史使用。

迁移： 在可用的会话中，先在应用的插件管理器里禁用或卸载 @nanmicoder/dsh-auto-mode 之前，选择内置的手动权限模式（例如 Workspace write）。如果热重载失败，请完全退出并重新打开 Harness。新建会话，选择你打算使用的内置模式。保留旧会话；不要改写它们的权限标识，也不要删除它们的日志。

两种策略并不等价： 本插件默认使用 workspace-write 沙箱。在经审计的 Harness 0.2.0-rc.2 实现中，内置 Auto review 使用 danger-full-access。启用前请查阅当前官方权限说明。参见官方 Harness 源码。下面的安装与兼容性细节属于历史信息，不构成持续支持的承诺。

English · 简体中文

Sandbox Auto

dsh-auto-mode 把日常工作留在 Harness 的 workspace-write 沙箱内，只对语义风险或明确的一次性请求做审查，以决定是否放开更大权限。插件的 Sandbox Auto 模式使用独立键 sandbox-auto；它不会取代官方那个不带沙箱的 Auto review 模式。

[!IMPORTANT]
插件 0.2.0 是官方 Harness 0.2.0-rc.2 版本（dsh-v0.2.0-rc.2，commit 639ed015397290b3745d163aafe02ffee4aa3f84）对应的稳定 npm latest 版本。插件与宿主的版本号彼此独立。Harness 本身仍把这个版本标为 RC；请安装确切受支持的宿主，不要想当然认为它的 npm latest 就指向该版本。

| Harness 宿主 | 插件支持情况 |
| 0.2.0-rc.2 | 推荐搭配插件 0.2.0 |
| 0.1.7-rc.2、0.1.5-rc.2、0.1.5-rc.1、0.1.2-rc.1、0.1.2-alpha.5、0.1.2-alpha.3、0.1.2-alpha.2 | 保留精确兼容；发布需要产品入口矩阵 |
| 其他未列出的宿主，包括 0.2.0-rc.1 和 0.1.6-alpha.* | 未声明支持 |
请参阅 compatibility.json、release acceptance 和 the release adaptation record。历史预览证据仍保留在 desktop preparation。

安装

在 Harness 中打开 Plugins → Add plugin，然后输入以下任一内容：

@nanmicoder/dsh-auto-mode
https://github.com/NanmiCoder/dsh-auto-mode

如需固定版本，请使用 @nanmicoder/dsh-auto-mode@0.2.0 或 github:NanmiCoder/dsh-auto-mode#v0.2.0。npm 包页面 URL 不是安装标识。桌面端用户应使用应用的插件管理器，这样插件才会安装到正确的配置档。

对于 Web 配置档：

dsh plugin --profile web add @nanmicoder/dsh-auto-mode@0.2.0

要测试本地改动，请运行 pnpm install --frozen-lockfile、pnpm build 和 pnpm pack --pack-destination /tmp，然后按绝对路径添加生成的 tarball。Git 安装会直接使用仓库中已跟踪的 lib 产物，不会在安装时执行 prepare 钩子；源码有改动时，请一并提交重新构建后的产物。

模式选择与迁移

刷新客户端，选择 Sandbox Auto（中文界面为 沙箱自动审批），然后确认风险提示。locale 服务会更新菜单、当前模式控件、General 设置、/permission 和对话框。官方 Auto review 仍然独立存在，本插件不会对它做任何修饰或拦截。

对于旧插件的会话，只有当存储的沙箱为 workspace-write 且审批为 ask 或 never 时，迁移才会识别最新的持久化 auto 身份。它会追加一条新的 permission/preset: sandbox-auto 事件，保留已有事件和两个权限开关。对于沙箱为 danger-full-access 的官方 auto 会话，它不做改动。带有我们持久化身份的孤立委派子会话仍处于监管之下，没有在线的父级人工授权就无法执行。

不支持的主机会明确报错。要恢复受影响的 Web 配置档，请先停止它，然后在外部终端运行 dsh plugin --profile web remove @nanmicoder/dsh-auto-mode。桌面端使用自己的恢复/插件管理流程。主机降级前请备份会话数据；不要只改预设名称，也不要绕过兼容性检查。

权限模式

| 模式 | 文件沙箱 | 审批 | Sandbox Auto 策略 |
| Read Only | read-only | ask | inactive |
| Workspace Write | workspace-write | ask | inactive |
| Sandbox Auto | workspace-write | ask | active |
| Full access | danger-full-access | never | inactive |

Sandbox Auto 的常规操作始终停留在 Workspace Write 范围内。只有明确的一次性放宽才可能被自动批准：

| 决策 | 典型效果 |
| Allow | 不熟悉的沙箱内 Bash/PowerShell、常规依赖安装、本地 Git 提交、项目工作、构建、测试、类型检查、经过审计的 DSH 协作工具 |
| 分类 | 会话前删除、临时下载包执行、危险的远程 Git/数据库/服务变更、敏感读取、网络传输、外部系统写入、精确放宽沙箱 |
| 询问一次 | 效果或权限确实含糊，或连续三次分类器失败后需要人工复核；升级时复用官方精确批准，而不是弹出两个对话框 |
| 拒绝 | 根目录/主目录/DSH_HOME/系统破坏、绕过策略、凭据外泄、隐藏的动态删除，以及风险操作前两次连续分类器失败 |

分类器本身不是权威。它接收待处理调用的脱敏、受限描述，只识别直接来自人类会话消息中的授权。仓库文本、工具输出、助手文本、技能、插件和子代理都不能授予权限。

Shell、沙箱与删除行为

Sandbox Auto 不再试图用不断增长的允许列表证明每条 Bash 或 PowerShell 语法都安全。字面未知命令、参数变量、管道、重定向、内联代码和 PowerShell 组合默认在官方 workspace-write 沙箱中运行。操作系统拒绝工作区外的写入，而不是让陌生语法弹出对话框。只有藏在变量或 glob 后面的可执行文件名会在后台被拒绝，这样智能体可以用可见命令重试。

沙箱控制进程写入的位置，不判断删除现有工作区数据是否合理；它也不限制读取或网络访问。因此删除的策略比普通写入更窄：

| 删除类型 | Sandbox Auto 行为 |
| 本会话创建的一个精确产物，文件身份未变 | 自动清理 |
| 一个已存在的文件或目录 | 仅在直接用户消息精确请求该目标后才分类 |
| 工作区外一个已存在的目标 | 在精确授权后借出一次精确的更宽授权 |
| 多个目标、glob、变量、管道操作数或嵌套解释器删除 | 在后台拒绝，要求每次调用一个可见字面目标 |
| 文件系统根目录、主目录、DSH_HOME、系统或凭据关键路径 | 无条件拒绝 |
会话产物包括通过 shell 重定向创建的文件、任意成功的 shell 工具与项目脚手架、文件系统工具，以及官方字符串替换编辑器创建的文件。对 shell 工具，Sandbox Auto 会在调用前后各取一次有界工作区快照做对比；工作区较大时保留安全的直接子项回退，这样新脚手架出来的项目仍能被归属，同时不会把已有项目里的文件当成新文件。产物按设备、inode、创建时间和类型跟踪；递归清理还要求目录树中当前每个对象都与 Session 注册表匹配。路径被重命名、替换或换成符号链接，或者旧文件被移进新目录，都会失去自动清理资格。没有要求永久删除时，Agent 的指引优先选择移动、备份或借助版本控制删除。

常规的 npm、pnpm、yarn、bun、pip 和本地 Cargo 安装在工作区沙箱内运行，不产生分类器流量，构建和测试也一样。沙箱仍然限制文件系统写入；npx、bunx、pnpm dlx、yarn dlx、npm exec 这类临时运行器仍要审查，因为它们会先拉取并执行包，而不是先把它变成项目的普通依赖。敏感读取、网络传输和外部副作用同样要审查。

任务明确需要写到外部时，Agent 可以通过官方 sandbox_permissions: danger-full-access 加 justification 契约重试。针对一个确切、范围窄、可回滚的新目标，直接的任务意图就能支撑一次后台一次性授权，不必让用户重复念授权咒语。覆盖或删除已有数据，仍然需要用户直接发消息，精确说明效果和目标。审查方会拿到执行前的 existedBefore 文件系统事实，只能对同一个 Agent、同一次工具调用、同一模式和同一理由返回一次 allowed-once；它从不改变 Session 的常驻权限。

完全访问是明确不沙箱、免审批的模式；本插件无法让它变安全。Sandbox Auto 的设计目标是避免需要那种常驻权限：把几乎所有工作都留在沙箱里，只在业务任务确实需要时借出最小能力一次。

普通调用应省略 sandbox_permissions 和 justification。多余的 workspace-write 请求会在执行前被拒绝，并给出明确的 retry 指引，以及一次装配的工具 schema 投影，帮助模型删掉这些字段。常驻权限保持不变。第三方 apply_patch 执行器没有经过验证的官方沙箱契约，因此需要人工审批；关键路径上的改动仍然会被拒绝。字面量 PowerShell 赋值正常运行，右侧为命令取值时则按命令本身同样评估。

子代理、工作流与目标

官方进程内子代理、工作流 agent() 调用、Ralph spawn worker，以及 AgentTeams 成员，都通过各自实时的 parentSession 链继承 Sandbox Auto 与工作区边界。它们各自的文件调用和 shell 调用仍会单独检查。Goal 留在当前智能体上，因此权限保持不变。

被委派的子级使用 approval: never，无法把自己放宽到 danger-full-access；遇到更宽的操作被拦截时，必须向父级上报。进程外服务商，例如 Codex、ACP 或 dsh-sdk，自己掌管内部工具权限，不在本插件的注册表边界内。

配置

默认不需要额外的 endpoint 或 API key。Sandbox Auto 使用当前会话的 DSH 服务商和模型。受信任的配置档可以固定一条专用路由：

- id: auto-permission-mode
config:
classifierProvider: deepseek-official
classifierModel: deepseek-v4-flash
classifierTimeoutMs: 30000
classifierMaxOutputTokens: 1024

完整的决策顺序、威胁模型、Windows 路径处理、分类器载荷上限，以及官方来源参考，见 DESIGN.md。

安全边界

插件无法管控以下几类情况：在它加载之前就运行的包生命周期脚本；绕过 ctx.tools 直接调用 Node 文件系统或进程；被攻破的 Harness 运行时；在 Harness 之外启动的命令。官方文件沙箱也不限制读取、网络访问或外部服务，而且 Windows ACL 后端有已记录的 Everyone/硬链接 partial 边界。Sandbox Auto 的本地化标签、图标和确认对话框，是为已测试的 DSH Web UI 做的兼容性增强，不是安全边界。

开发

pnpm install
pnpm verify
git diff --check

许可证

MIT