沙箱权限修复 sungurerdim/dsh-perm-fix

DSH Perm Fix

一款小型 Windows 工具，用来修复文件夹权限。这些权限问题会导致 DeepSeek Harness 沙箱会话无法启动。

Windows 10/11 · PowerShell 5.1 或更高版本 · MIT

为什么需要它

沙箱会话必须在它使用的文件夹上写入强制标签和安全描述符。如果文件夹只继承通用权限，你的账户就没有显式的 WRITE_OWNER，Windows 会返回 access denied (Win32 5)。会话还没启动就失败了。

在 DeepSeek Harness 里，这个问题出现在 workspace-write 模式：会话会在工作区文件夹上设置长期授权，并在 %TMP% 下的私有文件夹上设置可撤销授权。只要其中一次写入被拒绝，沙箱就无法启动。其他会设置 Windows 标签的沙箱运行时也会遇到同样的障碍。

它做什么

对于你拥有的文件夹，它只添加一条条目：你的账户拥有完全控制权，并由子文件夹和文件继承。普通用户文件夹本来就有这条条目。

其他什么都不改：

- 不改所有者，不删除拒绝条目，不递归重写权限；
- 默认不写任何文件（可选备份）；
- 用沙箱执行的同一种标签写入来验证改动，失败就回滚。

使用

双击 dsh-perm-fix.cmd，输入文件夹路径后按回车。菜单会显示会话信息、带颜色标记的状态，以及当前可用的操作：

OS: Windows 11 Pro 24H2 (build 26100)
User: PC\you (standard user)

Current folder: C:\Projects\my-app

Permission statuses:
* Folder : OK - full control here and in subfolders; the sandbox works.
* Temp folders: OK - %TMP% (C:\Users\you\AppData\Local\Temp)

D. Change folder
R. Check again - this folder and temp folders
Q. Exit

绿色表示就绪，黄色表示缺少一条可修复的条目，红色表示文件夹需要提权窗口，或者无法使用。只有可以修复时才会出现「Repair this folder」。

选好文件夹后，工具还会检查 %TMP%、%TEMP% 和 %LOCALAPPDATA%\Temp，需要时一并修复——这些文件夹与具体项目无关。

命令行

.\dsh-perm-fix.ps1 -Path "C:\Projects\my-app"
.\dsh-perm-fix.ps1 -Path "C:\Projects\my-app" -Scan -Probe
.\dsh-perm-fix.ps1 -Path "C:\Work\a" "C:\Work\b" -Readiness

| 选项 | 含义 |
| -Path | 一个或多个文件夹 |
| -Scan | 只检查，不做任何改动 |
| -Probe | 同时执行一次临时标签写入（创建一个子文件夹再删除） |
| -Readiness | 同时检查 %TMP% 并打印简短指引 |
| -Force | 允许对驱动器根目录操作（不推荐） |
| -BackupDirectory | 在该目录写入备份、还原脚本和日志（默认关闭） |
| -Json | 输出机器可读的结果 |

退出码：0 正常，2 输入无效，3 被阻止或需要管理员权限，4 验证失败，5 失败。

文件

| 文件 | 用途 |
| dsh-perm-fix.cmd | 双击启动器 |
| dsh-perm-fix-menu.ps1 | 交互式菜单 |
| dsh-perm-fix.ps1 | 检查与修复脚本 |

安全

- 拒绝系统路径、驱动器根目录、junction，以及属于其他账户的文件夹。
- 从不自行提权；只有文件夹属于其他账户时，才需要打开提权窗口。
- 仅支持 Windows。

许可证

MIT。作者 Sungur。

非官方社区工具，与 DeepSeek 无隶属关系。