dsh-cbx-orch

配置

插件配置（cordis.patch.yml 的 config）

- insert:
    - id: cbx-orch
      name: 'dsh-cbx-orch'
      config:
        executor: codebuddy   # codebuddy / opencode / omp / cline / qwen / 插件路径
        review: true          # 测试通过后跑独立审查
        isolated: true        # git worktree 隔离执行
        workspaces: []        # cbx 工具工作区白名单；空/缺省仅允许 canonical cwd
    - id: cbx-orch-web
      name: 'dsh-cbx-orch/web'
      config:
        web:
          token: ''           # 非空 = 使用配置值；空/缺省 = 读取或生成 /.cbx/web.token（生成时 0600），无免鉴权模式
          workspaces: []      # ?workspace= 白名单；空 = 当前目录

core 的 workspaces 是 cbx_* 工具的工作区白名单：空或缺省时只允许经 canonical 化后的当前目录；显式列表只授权其中精确的 workspace。路径通过 realpath canonicalize（Windows 下折叠路径大小写），越权、缺失路径或非目录都会拒绝。cbx_list_workspaces 只列出该白名单中的 workspace，不再扫描任意 root 或子目录。

Web 的 web.workspaces 继续作为 Web ?workspace= 选择的独立 allowlist，但使用相同的 WorkspacePolicy 语义（canonicalization、越权/不存在/非目录拒绝）。core 的 workspaces 与 Web 的 web.workspaces 是两个独立配置，不会自动共享配置值。

工作区配置（.cbx.json，与 cbx-orch 相同）

executor、testCommand、review、isolated、timeoutMs、maxRetries、maxTurns、maxConcurrent、reviewRules、approval、git、reviewGate（enabled、failOpen）、notifications（webhook/OTLP outbox）、governance（retention/redact）、telemetry、ui.token 等，见 cbx-orch 文档。

插件配置（cordis.patch.yml 的 config）

- insert:
    - id: cbx-orch
      name: 'dsh-cbx-orch'
      config:
        executor: codebuddy   # codebuddy / opencode / omp / cline / qwen / 插件路径
        review: true          # 测试通过后跑独立审查
        isolated: true        # git worktree 隔离执行
        workspaces: []        # cbx 工具工作区白名单；空/缺省仅允许 canonical cwd
    - id: cbx-orch-web
      name: 'dsh-cbx-orch/web'
      config:
        web:
          token: ''           # 非空 = 使用配置值；空/缺省 = 读取或生成 /.cbx/web.token（生成时 0600），无免鉴权模式
          workspaces: []      # ?workspace= 白名单；空 = 当前目录

core 的 workspaces 是 cbx_* 工具的工作区白名单：空或缺省时只允许经 canonical 化后的当前目录；显式列表只授权其中精确的 workspace。路径通过 realpath canonicalize（Windows 下折叠路径大小写），越权、缺失路径或非目录都会拒绝。cbx_list_workspaces 只列出该白名单中的 workspace，不再扫描任意 root 或子目录。

Web 的 web.workspaces 继续作为 Web ?workspace= 选择的独立 allowlist，但使用相同的 WorkspacePolicy 语义（canonicalization、越权/不存在/非目录拒绝）。core 的 workspaces 与 Web 的 web.workspaces 是两个独立配置，不会自动共享配置值。

工作区配置（.cbx.json，与 cbx-orch 相同）

executor、testCommand、review、isolated、timeoutMs、maxRetries、maxTurns、maxConcurrent、reviewRules、approval、git、reviewGate（enabled、failOpen）、notifications（webhook/OTLP outbox）、governance（retention/redact）、telemetry、ui.token 等，见 cbx-orch 文档。