权限守卫 a903067276-rgb/dsh-perm-guard

dsh-perm-guard 🛡️

Awesome DSH Plugin

面向 DeepSeek Harness（dsh）web 的「Auto 自动审批」中间档权限插件——介于 workspace-write（弹窗太频繁）与 danger-full-access（权限太高）之间。跨目录编辑、git commit/merge、构建等常规操作不再弹窗；破坏性操作（删除、磁盘、提权、curl|sh）一律人工确认。

非官方项目：社区成员独立开发维护，非 DeepSeek 官方产品。

⚠️ 已停止维护（2026-10-01）

DSH 0.2 起官方内置了逐调用自动审批（@deepseek-ai/dsh-experimental-auto-review，即权限选择器里的 Auto review，0.2.0-rc.2 起随 App 一同发布），它覆盖了本插件的核心场景；作者已切到官方方案，本插件不再维护。

- 最后版本：v0.4.2（已在 DSH 0.2.0-rc.2 上验证），此后不再做修复与兼容跟进。
- 本插件已从作者自己的两个 profile（桌面端 / web）卸载；你仍可继续安装使用，但后续兼容风险请自行承担。
- 两者差别：本插件是零 token 的确定性规则（命令分类表 + 信任目录，任意宿主可用，含 headless / CLI）；官方 Auto review 是逐调用模型审查（需要 Web 层，每次工具调用多一次模型请求，官方标注为实验功能）。
- 感谢使用。

截图

输入框工具行的 Auto 按钮

Auto 权限设置页

功能

- 双模式（设置页切换，持久化）：
- 标准：信任目录（工作区、兄弟目录、自定义列表）内自动放行；目录外与危险操作弹窗。
- 激进：位置不限，只有破坏性操作仍弹窗。
- 11 个类别三态开关（自动 / 人工 / 拒绝），默认值即用户个人习惯，可逐个细调。
- 审计——每次判定记录（放行 / 转人工 / 拒绝）+ 时间 + 命令摘要。
- 配置持久化——~/.dsh/perm-guard.json，重启不丢。零宿主依赖。

安装

DSH 0.1.7 及以后：
dsh plugin --profile web add "github:a903067276-rgb/dsh-perm-guard#main"
DSH 0.1.5 及更早（本版需要 0.1.7+）：
dsh plugin --profile web add "github:a903067276-rgb/dsh-perm-guard#v0.2.10"

然后重启 dsh web。更新：dsh plugin --profile web update dsh-perm-guard，重启。

手动兜底安装：见 docs/install.md。

用法

- Auto 按钮——输入框工具行左侧。点击开关自动审批（绿色 = 开启）。关闭后完全恢复宿主默认审批行为。
- 设置 → Auto 权限——总开关、模式选择（标准 / 激进）、11 个类别开关、信任目录编辑、最近判定审计列表。
- 开启时规则作用于所有会话（含子代理）。

模式默认值

| 类别 | 标准 | 激进 |
| 文件编辑（write/edit/cp/mv/mkdir） | 自动（信任目录内） | 自动 |
| Git 本地操作（commit/merge/rebase/checkout） | 自动 | 自动 |
| 构建·测试·依赖 | 自动 | 自动 |
| 只读查询（ls/cat/grep/git status） | 自动 | 自动 |
| 不可逆删除（rm、reset --hard、clean -fd） | 人工 | 人工 |
| 受保护路径（.ssh/.aws/密钥/.env/系统目录） | 人工 | 人工 |
| 提权·系统管理（sudo、服务、全局安装） | 人工 | 人工 |
| 网络下载执行（curl\|sh） | 人工 | 人工 |
| Git 推送远端 | 人工 | 自动 |
| 发布·部署 | 人工 | 自动 |
| 磁盘·分区·设备 | 人工 | 人工 |

切换模式会重置类别开关为该模式默认值（之后可再细调）。

永不自动放行（所有模式）

- 删除：rm、rm -rf / 或 ~（断路器，含 $(...) 变体）、git reset --hard、git clean -fd、Remove-Item
- 磁盘：dd 写设备、mkfs/fdisk/wipefs/diskutil 擦盘、写 /dev/
- 提权：sudo/su、系统服务（launchctl/systemctl）、递归 chmod/chown 根或家目录
- 网络下载执行：curl|sh、wget|sh
- 强制推送：git push --force / -f（重写历史）
- 受保护路径写入

平台支持

| 平台 | 状态 |
| macOS | ✅ 开发环境 |
| Linux | ⚠️ 预期可用 |
| Windows | ✅ 已适配并实测（win32 路径识别 + PowerShell 词表，2026-08-24） |

Windows 说明

- 信任目录支持三种绝对路径写法：C:\…、C:/…、/c/…（MSYS/Git-Bash），保存时统一规范化为 C:/… 形态；非法条目保存时红字提示，不再静默丢弃。
- 分类器覆盖 PowerShell 常用词表：管道/格式化类（Select-Object 等）按只读处理；Invoke-RestMethod/iwr 归网络类；Stop-Process、注册表 reg add、schtasks /create 等归提权类（锁定人工确认）；vssadmin delete shadows、bcdedit、diskpart 列为硬红线。
- gh CLI 只读子命令（view/list/status 等）自动放行，写操作转人工。
- 带 sandbox_permissions 的提权重试只弹一次确认卡（不再同一条命令弹两张）。

环境要求

- DSH web（≥ 0.1.0-rc.6）（本插件守卫的审批体系所在）
- 版本兼容（尽力兼容——设置卡片用双字段 key+id 注册，同满足 rc.6（id 契约）与 rc.7+（key 契约）；已在本地实测 rc.6/rc.8/0.1.1-rc.2/0.1.5-rc.1，不保证每个 DSH 版本）：
- DSH 0.1.0-rc.6 及以上（含 0.1.1 / 0.1.2 / 0.1.5 线）：装 main（默认）或 v0.2.9 及以上。
- 保守回退（升级前的最后版本）：DSH 0.1.0-rc.7/rc.8 → v0.2.7（dsh plugin add github:a903067276-rgb/dsh-perm-guard#v0.2.7）；DSH 0.1.0-rc.6 → 冻结 rc6-compat（不再维护）。
- ⚠️ DSH 0.1.5+ 请勿使用 v0.2.8：该版本 import 了官方已移除的 settingsNamespace 导出，在 0.1.5 上会整个插件树加载失败（web 起不来）。0.1.5 用户请用 main / v0.2.9 及以上。
- PATH 里有 pnpm——dsh plugin 是 pnpm 转发器（安装/更新必需）
- ✅ DSH 0.1.7 及以后——装本版（v0.4.2）：它声明了 peerDependencies: {"@deepseek-ai/dsh": "^0.1.7-rc.1 || ^0.2.0-rc.1"}，宿主不匹配会明确拒绝加载并说明原因，不再静默出错。配置迁到 0.1.7 的插件 Config（.volatile() 字段可即时生效），改完不用重启。
- ✅ DSH 0.2.0-rc.1——已验证兼容：peer 范围同时覆盖两条线（^0.1.7-rc.1 || ^0.2.0-rc.1），dsh.compatibility.dshReleases 矩阵新增 "0.2.0-rc.1": "compatible"——已在 0.2.0-rc.1 真机 + 影子实例验证。0.2 起宿主对 profile bundle 做 peer 门禁，范围不覆盖当前运行时会整个跳过加载，靠这个范围插件才会被加载。
- ⚠️ DSH 0.1.5 及更早——请装上一版 tag v0.2.10：那条线保持原行为，不含任何 0.1.7 专用 API。
- ⛔ 旧版本插件（≤ v0.2.10）在 0.1.7 上不受支持——在插件管理页停用→再启用会报 duplicate route，配置也改不动。插件要跟宿主一起升。
- 维护策略：已停止维护（2026-10-01）——不再跟随 DSH 版本演进；现存版本对旧版 DSH 的兼容仅是尽力而为、不保证长期有效。

工作原理

- 宿主弹窗前拦截——每个审批请求在宿主审批弹窗前被拦截，按"实际命令/目标"分类判定：安全操作自动回答放行（13ms 无感）；危险操作转交人工弹窗。
- 按 callId 反查命令——审批请求本身不带工具参数，插件从会话日志按 callId 反查实际参数；DSH 0.1.5 移除了 Session.events，改走官方公开的 snapshotEvents()（旧宿主仍走 events）。两条路都拿不到时一律回落人工审批（安全默认，绝不放行）。
- 命令级防火墙（tools/pre-execute）——危险类别在沙箱拒绝之前就提前拦截。
- 分类判定管线——双模式设定各类别默认值（标准：信任目录内自动放行；激进：位置不限），11 个三态开关（自动 / 人工 / 拒绝）逐类细调。
- 审计与持久化——每次判定记录时间 + 命令摘要；审批决策始终经宿主 approval/asked + approval/decided 事件对持久化。

注意事项

- DSH 沙箱无 OS 级网络隔离（不同于 Codex）：插件只能识别命令文本中的下载执行模式（curl|sh），无法拦截其他网络行为。
- 终端会话、子代理创建、模型调用、MCP 工具完全不在审批体系内。
- 命令文本中含有危险字样（如 echo "Remove-Item"、脚本内嵌规则源码）会被保守拦截——预期行为，实际罕见。
- 审计列表为内存态（60 条），重启重置；审批决策本身始终经宿主 approval/asked + approval/decided 事件对持久化。

覆盖范围

- DSH 全部审批入口已覆盖：bash、pwsh（PowerShell）、write/edit 文件工具。MCP 工具与其他只读工具无审批机制，不受影响。
- 复合命令（a && rm -rf x）：纯词链拆分逐条判定取最严；含变量/重定向/通配的链整体保守处理。
- 未知命令：无论何种模式一律回退为“ask”（安全默认）——分类器无法解析的命令绝不自动放行。

与 Claude Code / Codex 对照

| | Claude Code | Codex | dsh-perm-guard |
| 只读命令集 | 内置不可配置 | 沙箱 | 内置 + 可配置 |
| rm -rf / ~ 断路器 | 永远提示 | 沙箱拦截 | 所有模式永远提示 |
| 受保护路径 | 有 | .git/.agents/.codex | .ssh/.aws/密钥/系统目录/.git |
| 网络隔离 | 工具级 | OS 级（默认关） | 不可用（DSH 无 OS 级断网，仅 curl\|sh 模式识别） |
| 审批类别 | 3 类工具 | 5 个细粒度开关 | 11 个显式开关 + 双模式 |
| 审计 | 仅弹窗 | 日志 | 插件内审计 + 宿主 approval/asked/decided 事件 |

配置文件

~/.dsh/perm-guard.json（首次修改时创建）：

{
"enabled": true,
"mode": "standard",
"categories": { "fileEdit": "auto", "...": "..." },
"trustedDirs": []
}

- trustedDirs：标准模式下额外自动放行的绝对路径（默认含工作区及兄弟目录）。
- 激进模式下忽略信任目录（位置不限）。

开发

热插拔测试（免重启）
1. 用同源判定逻辑定义动态 Cordis 插件
2. cordis_run → 验证 → cordis_stop

静态 bundle（本仓库布局）软链到 ~/.dsh/profiles/web/node_modules/dsh-perm-guard ~/.dsh/profiles/web/package.json 的 dsh.profile.bundles 加 "dsh-perm-guard" 重启 dsh web

验证矩阵：docs/verify-checklist.md

许可证

MIT