dsh-auto-and-safety 权限插件
为 DeepSeek Harness (DSH) 新增一个 auto-and-safety 权限预设：继承 danger-full-access（全文件权限）的能力，但禁止一切删除文件的行为；每次任务完成后，agent 必须向用户询问是否删除任务过程中产生的临时（tmp）/ 冗余文件，指明文件是什么、文件位置，经用户明确批准后才可删除。
目录
1. 需求背景
用户原始需求（原话）：
在你的权限 read only / workspace write / all accuse 中再加一条权限 auto-and-safety：
内容为继承 all accuse 的权限，但是禁止一切删除文件的行为，每次任务完成后向用户询问是否删除任务过程中产生的 tmp、冗余文件，并指明文件是什么以及文件位置，在用户批准后才可以删除。
即：希望 agent 拥有"全权限"干活能力的同时，把"删除文件"这一不可逆高危操作锁死为人批后放行，防止 agent 自行清理/误删。
2. 总体设计
实现分两层，缺一不可：
| 层 | 载体 | 作用 |
|---|
| 权限预设层 | cordis.patch.yml 中 permission 行的 presets 表 | 让 auto-and-safety 成为可切换的权限预设（GUI 选择器 + /permission 命令可见可选） |
| 行为强制层 | 本地插件 |
plugins/auto-and-safety/lib/index.js
① 向系统提示注入安全规范；② 在 tools/pre-execute 工具执行门上硬拦截删除命令 |
- 预设 = 两个旋钮的组合：DSH 的权限预设表每项只有
sandbox（文件沙箱模式）和 approval（审批策略）两个字段。auto-and-safety = sandbox: danger-full-access（继承 all access）+ approval: ask（保留审批通道）。
- "禁止删除"无法用旋钮表达：DSH 沙箱模式枚举只有
read-only / workspace-write / danger-full-access，没有"禁止删除"模式。因此"禁止删除 + 批准后放行"必须落在工具执行前的拦截钩子上。
- 官方 fs 工具本身没有删除能力：DSH 的 fs 工具只有
read / write / edit / read_image，删除文件只能通过 shell（pwsh / bash）命令或 .NET 调用。所以拦截点聚焦 shell 命令即可覆盖实际删除路径。
3. DSH 权限体系原理（前置知识）
以下基于 @deepseek-ai/dsh rc.6 源码，整合时如版本变化请以实际源码为准。
3.1 三个硬编码枚举
| 概念 | 定义位置 | 取值 |
|---|
沙箱模式 SandboxMode | @deepseek-ai/dsh-sandbox-policy 的 SANDBOX_MODES | read-only / workspace-write / danger-full-access |
审批策略 ApprovalPolicy | @deepseek-ai/dsh-user-approval 的 APPROVAL_POLICIES | ask / never |
| 沙箱升级阶梯 | @deepseek-ai/dsh-sandbox 的 WIDER_MODES | read-only → workspace-write → danger-full-access（只升不降） |
3.2 权限预设表（permission presets）
- 插件：
@deepseek-ai/dsh-permission-presets（行 id：permission，位于 dsh-base bundle）。
- 配置：
presets 是一个 dict，每项 { sandbox, approval, name?, description? }。
- 切换机制：切换预设会向会话日志追加
permission/preset 事件，并分别写 sandbox/mode、approval/policy 事件；会话通过日志回放（fold）恢复当前预设，因此重启不丢状态。
- 派生逻辑
derive()：按"当前折叠的 sandbox + approval 值"匹配表项；匹配不到显示为 custom。
custom 是保留名，不能用作家表项名。- 默认预设推断：无显式
defaultPreset 时取组合默认值（workspace-write + ask）能匹配到的表项。
3.3 组合补丁机制（patch）
- DSH 的 profile 组合 = 多个 bundle 的
cordis.patch.yml 按顺序叠加 + 用户 patch 层（/profiles/ /cordis.patch.yml）。
- patch 条目语法（顶层 YAML 数组）：
- id: + 其余字段 → 整行覆盖目标行的对应字段（config 整体替换，不是合并）；- insert: [...] → 插入新行（顶层或指定组）；- id: + disabled: true → 禁用。
dsh-base 中 permission 行的默认 presets 只有三个：read-only / workspace-write / danger-full-access。- 用户 patch 层被 HMR 监听，修改后热重载，无需重启 web。
3.4 工具执行前拦截门（tools/pre-execute waterfall）
- 每个工具调用执行前，工具注册表跑一个 waterfall：
ctx.waterfall(carrier, 'tools/pre-execute', exec, () => ({ kind: 'allow' }))。
- 任何插件可用
ctx.on('tools/pre-execute', (exec, next) => ...) 注册监听；返回 { kind: 'deny', reason } 即拒绝本次调用，工具结果会显示 Error: ；返回 next() 放行。
exec 结构：{ name, arguments, agent, callId, signal, ... }；exec.agent.session 是调用方会话，exec.arguments.command 是 shell 命令文本。- 语义：任一监听可 deny，且没有监听可以强制放行已被 deny 的调用。
3.5 系统提示动态注入（systemPrompt context）
ctx.systemPrompt.context({ name, order, text: (context) => string }) 注册动态提示段，text 每次构建提示时调用，可读 context.agent.session 按会话状态决定输出。- 参考：
dsh-sandbox-policy 用 order 110 注入 "Current DSH file policy: ..."；本插件用 order 111 注入安全规范。
4. 实现细节
4.1 预设表配置（cordis.patch.yml 片段）
- id: permission
config:
presets:
read-only:
sandbox: read-only
approval: ask
workspace-write:
sandbox: workspace-write
approval: ask
danger-full-access:
sandbox: danger-full-access
approval: never
auto-and-safety:
sandbox: danger-full-access
approval: ask
name: auto-and-safety
description: 继承 danger-full-access 的全部文件权限，但禁止一切删除文件的行为；任务完成后向用户询问是否删除任务产生的临时/冗余文件（指明文件与位置），批准后才可删除
- insert:
- id: auto-and-safety
name: ./plugins/auto-and-safety/lib/index.js
⚠️ 因为是整行替换，必须写全全部四个预设，漏掉任何一个都会使它在权限选择器中消失。
4.2 插件逻辑（plugins/auto-and-safety/lib/index.js）
纯 ES Module，无第三方依赖（不 import 任何包），导出 name / inject / apply，符合 Cordis 本地插件格式。
export const name = 'auto-and-safety';
export const inject = ['systemPrompt', 'permissionPresets'];
① 删除命令识别正则（DELETE_CMD_RE，大小写不敏感，安全优先宁可误拦）：
| 目标 | 匹配 |
|---|
| PowerShell cmdlet 与别名 | remove-item ri rm del erase rmdir rd empty-recyclebin |
| cmd 命令 | del erase rmdir rd |
| bash 命令 | rm rmdir unlink shred |
| .NET 静态调用 | [IO.File]::Delete(...) → ::delete\s*\( |
rd 单独要求后随路径/开关（rd "路径" / rd /s ...），避免把参数里的目录名误判为删除命令。
② 批准放行判定（GRANT_RE + QUESTION_RE）：
- 扫描会话事件（倒序），找最后一条
user/message 事件且 source.kind === 'user'（排除工具注入、系统消息）；
- 其文本命中批准短语 → 放行；命中疑问句（
[吗么呢？?]\s*$）→ 视为询问而非批准；
- 批准短语覆盖："批准/同意/允许/确认（的|了）删除/删掉/移除/清理"、"请删除/请删掉"、"可以删除（了|吧）"、"删除吧/删掉吧/清理掉"等。
③ 拦截器（tools/pre-execute，prepend: true）：
ctx.on('tools/pre-execute', (exec, next) => {
if (exec?.name !== 'pwsh' && exec?.name !== 'bash') return next();
const session = exec.agent?.session;
if (!session || currentPreset(ctx, session) !== 'auto-and-safety') return next();
const command = exec.arguments?.command ?? '';
if (!DELETE_CMD_RE.test(command)) return next();
if (hasUserGrant(session)) return next();
return { kind: 'deny', reason: DENY_REASON }; // 拒绝，附流程指引
}, { prepend: true });
判定链：仅当 ①工具是 shell、②会话预设为 auto-and-safety、③命令命中删除模式、④最近用户消息无批准 → 拒绝。任何一步不满足都放行，因此不影响其他预设与其他工具。
④ 系统提示注入（systemPrompt.context，order 111）：
仅当会话预设为 auto-and-safety 时输出安全规范：禁止一切删除；任务完成后必须用 ask_user_question 列出文件（名称 + 完整路径 + 用途）询问；批准后才可删；无临时文件时明确说明。
5. 安装步骤
无论哪种安装方式，都必须手动合并 cordis.patch.yml 中的两个补丁条目（① - id: permission 预设表、② - insert: 挂载条目）——dsh 的 patch 是用户 profile 的配置层，安装命令不会代你改配置。合并时注意 permission 条目必须写全四个预设（整行替换语义，漏写会从权限选择器消失）。
5.1 快速安装（复制 GitHub 链接即可）
方式 A：git clone 到 plugins 目录（推荐，与 dsh-session-search 同款方式，挂载用本地路径）
# ① 克隆仓库到 profile 的 plugins 目录（以 web profile 为例）
git clone https://github.com/yyyyolo7a79-sketch/dsh-auto-and-safety.git /profiles/web/plugins/dsh-auto-and-safety
# ② 把仓库根目录 cordis.patch.yml 的两个条目并入你的 patch 层：
# /profiles/web/cordis.patch.yml。
# 其中 - insert: 的挂载路径要写完整（克隆后仓库根在 plugins/dsh-auto-and-safety/，
# 插件本体在其内部的 plugins/auto-and-safety/lib/index.js）：
# - insert:
# - id: auto-and-safety
# name: ./plugins/dsh-auto-and-safety/plugins/auto-and-safety/lib/index.js
# ③ 验证生效（配置走 HMR 热重载，通常无需重启；若权限选择器无新选项则重启 web）
dsh --profile web --dump-config | grep auto-and-safety
方式 B：dsh plugin 命令安装（装进 profile 的 node_modules，pnpm 方式）
# ① 安装插件包（等价于在该 profile 目录执行 pnpm add；#main 可换成实际默认分支）
dsh plugin --profile web add github:yyyyolo7a79-sketch/dsh-auto-and-safety#main
# ② 同样把 cordis.patch.yml 两个条目并入，但 insert 的 name 改用包名（插件在 node_modules 里）：
# - insert:
# - id: auto-and-safety
# name: dsh-auto-and-safety
安装完成后，在会话中执行 /permission auto-and-safety（或在 GUI 会话权限选择器中选择）即可启用。
5.2 手动安装
- 放插件源码：把
plugins/auto-and-safety/ 整个目录复制到 /profiles/ /plugins/ 下（与 dsh-session-search 等本地插件同级）。
- 例如：
C:\Users\PC\.dsh\profiles\web\plugins\auto-and-safety\lib\index.js
- 改配置：把
cordis.patch.yml 中的两个条目（- id: permission 与 - insert:）并入 /profiles/ /cordis.patch.yml。
- 若你的 patch 层已有
- id: permission 条目，用新 presets 覆盖即可（注意写全四个预设）。
- 生效：
- 配置走 HMR 热重载，通常无需重启；若 GUI 权限选择器未出现新选项，重启 web。
- 验证组合：
dsh --profile web --dump-config，应能看到 auto-and-safety 预设与插件行。
- 启用：在会话中执行
/permission auto-and-safety，或在 GUI 会话权限选择器中选择 auto-and-safety。
6. 使用流程（与演示截图对应）
| 步骤 | 动作 | 截图 |
|---|
| 1 | 权限栏出现新的 auto-and-safety 预设 | docs/权限栏新增.png |
| 2 | 任务完成后，agent 用 ask_user_question 列出临时文件（名称 + 路径 + 用途）询问 | docs/拦截演示1.png |
| 3 | 选择框选择 ≠ 批准，删除命令被硬拦截，要求对话内文字明确批准 | docs/拦截演示2.png |
| 4 | 用户对话回复"批准删除/可以删除/删除吧"等批准短语 | docs/拦截记录/session.jsonl |
| 5 | agent 重试删除命令 → 拦截器检测到最近用户消息含批准短语 → 放行，删除成功 | docs/批准后成功删除.png |
演示截图
① 权限选择器：新增的 auto-and-safety 预设（当前已选中）
② 任务完成后，agent 列出临时文件询问用户是否清理（ask_user_question）
③ 选择框选择不算批准，删除命令被硬拦截，要求对话内文字明确批准
7. 实现效果
-
系统提示出现 auto-and-safety 专属规则段（order 111），agent 从第一轮起就知道：
- 禁止一切删除文件/目录的行为；
- 任务完成后必须主动列出 tmp/冗余文件（名称 + 完整路径 + 用途）并询问；
- 只有用户明确批准后才可删除；没产生临时文件时明确说明"无临时文件需要清理"。
-
删除命令（shell / .NET）在工具执行门被硬拦截，返回：
Error: auto-and-safety 权限预设禁止直接删除文件/目录：此命令包含删除操作且本会话尚未获得用户批准，已拦截。正确流程：先用 ask_user_question 向用户列出要删除的每个文件（名称 + 完整路径 + 用途/是什么），征得用户批准；用户回复明确的批准（如"批准删除""同意删除""可以删除""删除吧"）后，再重试删除该文件的命令。不得用脚本、编码或其他命令变体规避拦截。
-
拦截提示会引导 agent 走"询问 → 批准 → 重试"闭环，而不是绕过。
- 权限选择器/
/permission 多一个 auto-and-safety 选项，切换即时生效；
- 每次任务完成后收到明确的清理询问（文件是什么、在哪、要不要删）；
- 删除永远发生在自己点头之后。
8. 行为示例（拦截记录）
以下为真实会话回放（docs/拦截记录/session.jsonl，DSH 会话日志）的完整「拦截 → 询问 → 批准 → 放行」闭环。
场景：搭建 deepseek + dsh 工作流时，agent 批量安装 12 个目标插件（最终装 8 个插件 + 5 个技能），任务完成后产生约 20MB 临时文件（readme_dsh_plugins.md、plugin-install\ 研究目录等），触发 auto-and-safety 清理流程。
| 阶段 | 事件 | 要点 |
|---|
| 任务执行 | 安装插件与技能，全程未触碰 .agents / .claude 目录 | 产生临时文件：1 个 94KB README + 安装研究目录（12 份文档 + 10 个 git 克隆） |
| ① 拦截 | agent 尝试直接清理临时文件 | 删除命令在 tools/pre-execute 被硬拦截，返回 Error 并提示正确流程 |
| ② 询问 | agent 改用 ask_user_question 列出待删文件（名称 + 完整路径 + 用途） | 但选择框点击不算批准——工具层未收到批准标记 |
| ③ 引导 | agent 说明规则，请用户在对话内文字明确批准 | "我不会绕开这个保护，请你直接回复确认" |
| ④ 批准 | 用户回复「批准删除」 | 命中批准短语（GRANT_RE），授权生效 |
| ⑤ 放行 | agent 重试删除命令 | 拦截器检测到最近用户消息含批准短语 → 放行 |
| ⑥ 完成 | 删除成功并验证 | 仅删除批准的两个对象，工作区其余文件未动 |
完整对话回放见 docs/拦截记录/session.jsonl（JSONL 格式，可用 DSH 会话查看器打开）。
9. 已知限制与边界
- shell 命令拦截无法穷举所有删除形态：正则覆盖常见删除命令（Remove-Item/rm/del/erase/rmdir/rd/unlink/shred/Empty-RecycleBin/.NET ::Delete），但理论上仍存在变体（脚本文件内部删除、编码混淆、外部程序调用等）。设计上"宁可误拦、不可漏放"，且 prompt 规范 + 拦截双重约束，实际已覆盖 99% 场景。
- 一次批准放行窗口：拦截器以"最近一条用户消息是否含批准短语"为准，用户批准后到下一次用户消息之前的所有删除命令都会被放行。因此应引导 agent 一次性列出全部待删文件问清，避免逐文件多次询问。
- 子代理（subagent）会话：子代理会话默认走默认预设（
workspace-write），拦截不直接作用于子代理的 shell 调用；但父会话的 prompt 规范会传导，行为上仍受约束。
- 审批策略旋钮：预设的
approval: ask 使会话审批策略为 ask；在 danger-full-access 下沙箱无升级需求，ask 主要保留审批通道与提示语义，不产生额外弹窗。
- HMR 依赖：配置热重载依赖 web 的 HMR 服务；极端情况下（插件文件损坏、配置 YAML 语法错误）会导致 loader 报错，此时重启 web 并按报错修复。
10. 卸载方法
- 从
cordis.patch.yml 删除 - id: auto-and-safety 的 insert 条目（可保留 permission 行的 presets，去掉 auto-and-safety 一项即可恢复三预设）。
- 删除
plugins/auto-and-safety/ 目录。
- HMR 自动生效或重启 web。
11. 给 dsv4 / 后续整合者的说明
- 文件清单：
plugins/auto-and-safety/lib/index.js — 插件本体（唯一代码文件，零依赖）cordis.patch.yml — 配置补丁（预设表 + 插件挂载）README.md — 本文档docs/：需求.md（原始需求）、4 张演示截图、拦截记录/session.jsonl（演示会话回放）
- 整合最小改动：复制插件目录 + 合并两个 patch 条目，改改
description 文案即可。
- 版本兼容：基于
@deepseek-ai/dsh 0.1.0-rc.6。升级 DSH 后若权限体系接口变化（SANDBOX_MODES / APPROVAL_POLICIES / tools/pre-execute / permissionPresets.current()），按新源码调整。
- 可扩展方向：
- 把"批准短语"做成插件 Config（
z.object({...})），允许用户自定义放行词表；
- 增加"删除前自动询问"（不 deny 而是转 ask_user_question）模式；
- 将拦截扩展到
run_code 语言派发（如 Python os.remove）等更多删除形态。
