沙箱临时目录自愈 wsm000/dsh-sandbox-temp-guard

dsh-sandbox-temp-guard

English · 中文

DeepSeek Harness（DSH）Windows 沙箱自愈插件：系统临时目录清理把会话私有 temp 目录（%TEMP%\dsh-XXXXXX）删掉时，自动重建目录并补回 ACL 授权，让命令不再报 SANDBOX_UNAVAILABLE；同时对仍然漏网的「后端不可用」错误追加排查指引，避免 Agent 把它误判成「沙箱已损坏」而反复申请 danger-full-access 提权。

对应上游讨论：deepseek-ai/deepseek-harness Discussion #8550

它解决什么

在 Windows 上，@deepseek-ai/dsh-sandbox-local 为每个 (会话, 工作区) 组合创建一次私有临时目录并缓存整个 provider 生命周期：

const tempDir = mkdtempSync(join(tmpdir(), 'dsh-')) // %TEMP%\dsh-XXXXXX
// + 一个可撤销的 capability-SID ACL 授权
this.tempCapabilities.set(key, { dir: tempDir, writeSid, grant })

之后每次 confine() 都直接复用缓存的 dir，不检查目录是否还存在。一旦 Storage Sense / 清理工具 / 手动删除把这个目录清掉：

1. runner 收到 --temp <已消失的路径>，requireDirectory 失败 → windows-acl-run: --temp is not an existing directory（exit 127）
2. seam 按 fail-closed 原则抛出 SandboxUnavailableError（SANDBOX_UNAVAILABLE）
3. 该会话内此后每条命令都失败，且重试无效（失败发生在命令执行之前），直到 DSH 重启。缓存里的坏路径会一直用下去。

同一个环境里多个会话会相继中招（实测 dsh-X5ECMI、dsh-uTBiqr、dsh-r0YqAq）。

插件做什么

1. 修复（核心）：在每次工具执行前（并可配置地周期性）找到活跃 sandbox provider 缓存的 temp capability，对缺失的目录执行 mkdirSync 并重新 grant.add(dir) （目录没了，挂在它上面的 ACE 也随之消失，必须补授）。命令随即恢复正常，错误根本不会浮到模型面前。
2. 注解（卫生）：如果 SANDBOX_UNAVAILABLE / windows-acl-run: --temp 仍然出现在工具结果里，tools/post-execute 会给结果追加一段指引，明确告诉模型： 这是后端基础设施故障，不是策略拒绝；不要用 sandbox_permissions 提权；守卫已重建 temp 目录，请原样重试一次；仍失败则需要重开会话。

安装

任选其一（版本以 DSH 0.1.7-rc.2 实测，安装机制来自官方 dsh plugin）：

GitHub 源（未发布 npm 时的默认路径；DSH-Plugins-Marketplace 等市场的 topic:dsh-plugin 收录插件，一键安装走的也是这个 spec）
npx @deepseek-ai/dsh plugin --profile desktop add github:wsm000/dsh-sandbox-temp-guard

npm（若本插件已发布到 npm；市场对已发布 npm 的插件会优先走 npm，更快更稳）
npx @deepseek-ai/dsh plugin --profile desktop add dsh-sandbox-temp-guard

本地 tarball（开发/内测）
pnpm pack # 得到 dsh-sandbox-temp-guard-0.1.0.tgz
npx @deepseek-ai/dsh plugin --profile desktop remove dsh-sandbox-temp-guard # 版本变化时先移除
npx @deepseek-ai/dsh plugin --profile desktop add ./dsh-sandbox-temp-guard-0.1.0.tgz

本插件零运行时依赖，file:/// 源码 overlay 亦可加载：

dev.patch.yml
- insert:
- id: sandbox-temp-guard
name: 'file:///C:/abs/path/to/dsh-sandbox-temp-guard/src/index.js'
config:
repairBeforeToolExecution: true
sweepIntervalMs: 60000
annotateBackendFailure: true

npx @deepseek-ai/dsh --profile dev --patch ./dev.patch.yml

配置（cordis.patch.yml）

| 键 | 默认 | 说明 |
| repairBeforeToolExecution | true | 每次工具执行前扫一遍并修复 |
| sweepIntervalMs | 60000 | 周期兜底扫描间隔，0 关闭 |
| annotateBackendFailure | true | 对后端失败结果追加排查指引 |

验证

node test/run-test.mjs # 17 项离线断言：发现/重建/补授/容错/钩子接线/注解

设计约束与已知限制

- 零运行时依赖（仅 node 内置模块），因此 tarball / npm / file:// overlay
三种安装方式都可用；ctx.get('sandbox') 为可选访问，缺失时安全降级。
- 对 provider 内部结构（tempCapabilities）的访问是通用发现（遍历对象图寻找
- Map 形态、条目含 { dir, grant.add } 的缓存），上游改名时退化为 no-op 而不是崩溃。
已在 DSH 0.1.7-rc.2 的 dsh-sandbox-local 上验证字段形状。
- 本插件是上游修复落地前的过渡方案；上游正确修法是在
materializeAclGrant() 复用缓存前检查目录存在、缺失则重建并补授。
- 只处理 temp 目录被清理这一种故障；provider 完全不可用（如 ACL 后端崩溃）时，注解会提示重开会话，这是当前唯一恢复手段。

MIT License.

dsh-sandbox-temp-guard（英文）

一个自愈守护插件，面向 DeepSeek Harness 的 Windows ACL 沙箱。

这个 bug（上游 Discussion #8550）： @deepseek-ai/dsh-sandbox-local 按 (session, workspace) 缓存一个私有 temp 目录 —— %TEMP%\dsh-XXXXXX，外加一条 capability-SID ACL 授权 —— 缓存整个 provider 生命周期，并无条件复用缓存路径。一旦操作系统清理 temp 时删掉该目录，每次 confine() 都会传入过期的 --temp，windows-acl-run runner 拒绝启动（--temp is not an existing directory，退出码 127），seam 随即 fail closed 并报 SANDBOX_UNAVAILABLE —— 该会话里的每条命令都会失败，直到 DSH 重启。

本插件：

1. 修复 —— 每次工具执行前（外加周期性扫描），定位活跃沙箱 provider 缓存的 temp capability，重建缺失目录，并重新应用其 capability ACE。故障永远不会到达模型。
2. 注解 —— 如果 SANDBOX_UNAVAILABLE / windows-acl-run: --temp 故障仍然落进工具结果，就追加一段补救说明：这是后端基础设施故障，不是策略拒绝；不要用 sandbox_permissions 升级；重试一次；若仍失败就重启会话。

安装（DSH ≥ 0.1.7-rc.2，已在 0.1.7-rc.2 上验证）：

GitHub source (default path while the plugin is not on npm; the topic:dsh-plugin
marketplaces one-click-install through the same spec)
npx @deepseek-ai/dsh plugin --profile desktop add github:wsm000/dsh-sandbox-temp-guard

npm (once published; marketplaces prefer the npm package when it exists)
npx @deepseek-ai/dsh plugin --profile desktop add dsh-sandbox-temp-guard

local tarball
npx @deepseek-ai/dsh plugin --profile desktop add ./dsh-sandbox-temp-guard-0.1.0.tgz

源码覆盖（--patch）安装同样可用 —— 本插件零运行时依赖（只用 node 内置模块）。

配置（cordis.patch.yml）：repairBeforeToolExecution（true）、 sweepIntervalMs（60000）、annotateBackendFailure（true）。

测试：node test/run-test.mjs —— 17 条离线断言，覆盖发现、重建、ACE 重新授权、故障隔离、钩子接线、注解，以及服务缺失时的降级。

这是框架修复落地前的过渡方案（在 materializeAclGrant 内部实现复用即重建）。MIT。