readonly-security-audit

DeepSeek Harness 新增的内置“只读安全审计”模式。它直接出现在 Agent 预设选择器中，与标准模式、PTC 模式、极简模式、创造模式并列：只读安全审计 / Read-only audit mode。该模式下，AI 只能阅读和分析代码、依赖与配置；任何文件写入都由系统强制拦截，只有用户对某一次写入明确批准后才放行。

English: README.md

功能

• readonly-audit 预设以 active: true 启动，新建会话即处于审计模式，不需要先输入命令。
• /readonly-audit off 仅为当前会话退出审计模式并恢复进入前的沙箱/审批策略；/readonly-audit on 与 /readonly-audit status 仍可用。
• 进入模式时写入 sandbox/mode: read-only，复用 Harness 自带的文件系统沙箱与进程沙箱。write、edit、会写文件的 shell 命令都会在系统层被拒绝，而不是只靠模型自觉。
• 插件同时注册最外层的 tools/pre-execute 门禁。审计模式下，每个工具调用要么属于只读白名单（read、read_image、glob、grep、str_replace_editor view、受沙箱保护的 bash/pwsh、网页读取/搜索、询问类工具），要么是对单次写入的显式批准；其他调用一律以 [readonly-audit] 只读安全审计模式 拒绝。
• 审计开始前，模型被强制调用 choose_audit_report_delivery，用户二选一：
  • 对话直接回复 —— 报告直接在对话中输出，不创建文件；
  • 生成报告文件 —— 审计结束后 AI 把报告写入 SECURITY_AUDIT_REPORT.md。该次写入会单独请求用户批准；批准后仅在这一次调用中临时变为 workspace-write，调用结束立刻恢复 read-only。
• 报告格式要求每条发现包含：问题描述、严重程度、所在位置、证据、修复建议。修复建议仅文字说明，本模式下 AI 不实际改代码。

为什么是“系统强制”而不是提示

1. readonly-audit/mode 与 readonly-audit/delivery 是持久化会话事件；恢复会话或 fork 时通过日志重放即可还原。
2. 会话 sandbox/mode 被置为 read-only，由 Harness 现有的 dsh-fs-sandbox 和 dsh-bash-sandbox 在文件系统与子进程两层强制执行。
3. tools/pre-execute 前置监听器在任何工具执行前拦截非只读调用；如果当前 shell 执行器不能强制只读，bash/pwsh 会被直接拒绝。
4. 批准写入是“一次一批”的：批准后追加 workspace-write，tools/post-execute 立即追加 read-only。审计模式下禁用内置 sandbox_permissions 升级通道，报告写入不可能扩大为全量访问。

在任意 Harness 检出 / fork / 其他电脑上安装

本插件不绑定某个仓库路径。无论上游 Harness、个人 fork（例如 deepseek-harness-fork）、打包安装版，还是另一台机器，流程完全一样。

安装只需要两件事：

1. 把插件包装进目标 profile；
2. 让 readonly-audit 预设出现在 Harness 的预设扫描目录中。