dsh-approve-prefix

dsh-approve-prefix

按 "单命令前缀" 自动放行 DeepSeek Harness 沙箱提权请求的插件, 附带一个会话级的夜间模式开关.

当 agent 因为沙箱拦下某条命令, 改带 sandbox_permissions + justification 重试时, 本插件只在命令确实是单条简单命令且 argv 前缀命中放行前缀时替你点 "允许一次". 前缀不符且模型在 bash / pwsh 参数里写了 approved: true 时直接拒绝, 不弹卡片; 其余情况 (管道, 分号, &&, 重定向, 命令替换, 前缀不符但没写该字段) 原样弹人工审批. approved 是模型完成条件核对后的自检声明, 不是批准请求, 也不会改变 night 状态.

打开夜间模式后, 这个会话不再弹任何卡片: 交互类工具被直接拒绝, 未命中前缀的提权也直接拒绝, 其它插件发起的审批询问 (例如 dsh-plugin-chrome 首次开窗的同意) 同样直接拒绝. 见 夜间模式.

它解决的问题

• dsh 的提权审批请求只带 toolName 和 reason (形如 escalate sandbox to danger-full-access: <理由>), 不带命令原文.
• 写在 tools/pre-execute 上的规则插件只能决定工具调用本身的 allow/deny/ask, 而提权审批发生在工具体内部, 规则放行不等于同意提权.
• 挂在 approval/request 上的模型审批插件能同意提权, 但靠模型分类, 不是确定性的前缀匹配.

本插件把两件事接起来: 在 tools/pre-execute 记下命令原文, 再以 { prepend: true } 插到审批瀑布最前面, 按 callId 取回命令做确定性判定.

它不从审批结果里学任何东西. dsh 的审批接缝只有 allowed-once 一个放行结果, 没有 "允许一次" 与 "始终允许" 的区分, 插件看到的每次人工放行都长一样, 所以从结果里归纳前缀等于让一次 "允许一次" 变成长期自动放行. 放行前缀只来自静态配置, 配置页面与会话视图 tab 这三条显式路径.

判定规则

自动放行需要同时满足:

1. 审批请求来自 tools 中配置的工具 (默认 bash 和 pwsh).
2. 请求是沙箱提权, 且目标档位在 allowedEscalationModes 内 (默认只允许 danger-full-access).
3. 命令由 tools/pre-execute 记录过, 并能按 callId 取回 (每条记录只消费一次).
4. 命令是恰好一条简单命令. bash 经 unbash 解析; pwsh / powershell 调本机 pwsh 做 ParseInput (找不到解释器就转人工). 没有管道, 链式, 调用运算符, 重定向, 也没有参数 / 命令替换这类展开.
5. 去掉命令行前缀形式的环境变量赋值 (以及 env 包装) 后, argv 逐 token 命中某条放行前缀 (默认空表, 什么都不自动放行).

任一条不满足时默认交给下一个应答者 (人工卡片). 例外: 第 4 或第 5 条未通过 (命令不是可放行的单命令前缀), 且工具参数里的 approved 严格等于布尔 true, 则直接返回 rejected, 不再弹卡片. 没写该字段, 写了 "true" / 1 之类, 或失败原因是档位 / 没有记下命令, 仍转人工.

本插件自动拒绝时, 工具反馈会区分自检失败与 night 拦截, 给出判定原因和拒绝时的 night 状态, 不把它误称为人工拒绝. Night 关闭时, 自检失败可通过省略 approved 请求人工审批; night 开启时省略字段也不会恢复人工卡片. 反馈只关联对应会话, 工具和调用, 不覆盖人工拒绝或其它插件已有的反馈; 缺少会话或调用身份时保留宿主原提示.

夜间模式打开时补上一条: 任一条不满足都直接返回 rejected, 不再转人工 — 人工已经不在, 弹卡片没有意义. 第 1 至第 5 条全满足时仍自动放行, 所以夜里能放行的正是你显式配过的那些前缀.

第 1 条的例外也由夜间模式接管: 请求的工具名不在 tools 里时, 插件白天照旧转人工 (不参与前缀判定), 但夜里一律直接 rejected, 不弹卡片. 这类请求来自别的插件, 不是沙箱提权而是工具运行时的提问, 例如 dsh-plugin-chrome 在会话首次开窗前发出的那张同意卡 (它在 tools/pre-execute 返回 { kind: 'ask' }, 由工具层转成一次审批请求), 以及 ptc / 插件管理器这类自己走提权的工具. 夜里它们能做的只有失败, 而不是把会话挂在 "等你批准" 上.

插件会给 tools 配置里的工具 (默认 bash 和 pwsh) 补一个可选的布尔参数 approved, 这样模型才能在 schema 里看见并填写它. 补丁打在 system-prompt/assemble 发给模型的 schema 副本上, 因为 bash / pwsh 注册在 agent preset 平面, 全局 tools.get('bash') 拿不到那份活定义. 注册表里没有的名字会跳过, 所以 macOS / Linux 上不会改到不存在的 pwsh, Windows 上不会改到不存在的 bash.

有 systemPrompt 时, 插件再注册一段系统提示词, 放在提示词尾部. 每次组装都重写这段, 列出当前放行前缀 (静态对每个配置工具生效, 持久按工具, 临时只含当前会话), 并说明匹配条件与 approved: 它只是模型完成条件核对后的自检声明, 不是批准请求, 不会开启或关闭 night. 只有单条简单命令且 argv 从前缀开头才算命中; 自检声明为 true 但实际未命中时直接拒绝, 不确定时应省略该字段. 前缀表为空, 或这次组装没有会话身份时, 对应位置写 none, 不会把别的会话的临时前缀漏进去. 提示词只列出当前生效的前缀, 不用具体命令当匹配示例, 避免模型把例子当成已放行. Night mode 只在单独的会话状态段明确写明已开启时生效, 不从用户消息或文字 night 推断.

下表假定静态前缀为 gh api:

放行前缀

前缀来自三处, 全部由你显式给出:

前缀的 "程度" 由 token 数决定: gh api 放行所有以 gh api 开头的单命令, 写 gh api graphql 就只放行 graphql 子命令.

前缀或 Night mode 实际变更后, 插件通过 agent.inject() 追加完整审批状态快照, 同时包含当前前缀, 匹配规则与明确的 Night mode on/off. 临时前缀与开关只通知对应的已加载会话, 持久前缀通知全部已加载会话; 快照只包含接收会话自己的临时前缀与开关状态, 在下一模型步骤读取, 不唤醒空闲 agent. 新快照替代旧状态快照. 重复保存, 仅调整行顺序或前缀空白, 校验失败与认证拒绝不追加通知. 未加载会话不被创建, 下次加载时从系统提示词读取当前规则.

会话 tab

会话视图里的 放行前缀 tab 管理当前选中会话的临时前缀与夜间模式开关: 前缀可列出, 新增, 删除, 清空草稿, 原地改工具名 / 前缀; 开关排在前缀表下方. 两者都只改本地草稿, 点 应用 才通过 /state 联合接口一次写入 Host 内存, 完成后只发布一个最终状态快照; 任一字段校验失败则两项都不写入. 提交只带有变化的字段, 避免覆盖其它入口刚写入的值. 未点应用之前审批仍用上一份已应用的表. 进程重启即清空.

新增行的默认工具名是当前注册表里第一个配置过的工具 (Windows 上通常是 pwsh, 其它系统是 bash). 非法行 (空工具名, 空前缀, 含 | ; & $) 不写 Host, 只在该行下报错. 达到 temporaryPrefixLimit` 时拒绝新增.

临时表以 session id 分组, 在 A 会话里写入不会让 B 会话放行同一条前缀; 审批请求取不到会话身份时按空表处理, 不会退化成全局放行. 夜间模式开关同样按会话分组.

TUI / 无 GUI / headless 没有这条管理面, 也就改不了临时表与开关; 静态与持久前缀, 以及已经写入内存的临时前缀, 审批自动放行照常.

夜间模式

night 是会话级开关, 打开后本会话不再找人: 交互类工具被宿主直接拒掉, 只有命中放行前缀的提权会放行, 其余提权请求与其它插件发起的审批询问连卡片都不弹, 直接返回 rejected. 你有事离开时打开它, agent 就不会停在 "等你批准" 或 "等你回答" 上.

两个入口写的是同一份状态, 效果完全一致:

开关与临时前缀一样只存进程内存, 按 session id 分组, 不写 settings. 状态通知经宿主普通输入接缝记录, 不新增会话日志事件类型. dsh 重启后开关全部归零, 系统提示词明确写出 Night mode off; 关闭后审批恢复普通规则, 自检失败仍会被拒绝.

开关实际变化时, HTTP 与 /night 两个入口都会排入完整审批状态快照, 但不会唤醒空闲 agent. 提示词始终明确写出当前 on/off, 不依赖旧消息或段落消失来判断. 已发出的模型请求不受追溯修改, 新状态在下一模型步骤读取. 打开之后的行为规则包括:

• 遇到的每个待定问题自己定, 把假设写进回复里继续干.
• 实在不能替你定的, 在回复里说明并结束那部分工作, 不要停住等.
• 被拦的工具调用只会得到一条错误结果, 不会送到你面前.
• 提权只有命中放行前缀才自动放行, 其余立刻拒绝, 不要反复重试.
• 其它插件发起的审批询问 (例如首次开窗前的同意卡) 同样立刻拒绝, 等不到对话框.

默认被拦的是需要你回答的那个工具: ask_user_question (计划模式与 dsh-reject-message 也走它背后的问答通道). 默认免拦 exit_plan_mode:

• 它走的是用户提问通道, 一并拦掉会让 agent 无法退出计划模式; 你要离开前如果没有先退出计划模式, 它就成了死结.
• dsh-reject-message 挂在计划审查卡上的拒绝入口也依赖这张卡, 拦掉它那个入口就永远见不到.

名单能配, 见下面的 nightBlockedTools / nightExemptTools. 拦截是确定性的: 命中就 { kind: 'deny' }, 不依赖模型是否读懂了提示词.

与 dsh-reject-message 的配合: 插件在 tools/pre-execute 直接拒绝, 那次调用不会有审批请求, 所以拒绝窗口不会出现, 也没有描述可填. 这是 night 的定义 (没有人可填), 不是冲突; 关掉 night 后提权卡片与拒绝窗口照旧.

配置页

Settings 里的 放行前缀 页用表格编辑持久前缀, 每行是 工具名 + 前缀, 可增行, 删行, 保存与重新载入; 保存后写入 settings, 对所有会话立即生效, 不需要重启:

approve-prefix:
  persistentPrefixes:
    - tool: bash
      prefix: gh api

安装

插件同时有 Host 与 Client 半边 (后者提供配置页), 所以装完都要重启宿主进程, 让 client 产物被重新收取.

Web 端

装进 web profile:

dsh plugin --profile web add azazo1/dsh-approve-prefix

本地目录也能装, 把坐标换成目录路径即可 (dsh plugin --profile web add ./dsh-approve-prefix); 需要固定版本时写 azazo1/dsh-approve-prefix#<tag>.

装完重启 dsh web, 浏览器里刷新一次页面.

桌面端

桌面端装进 desktop profile. 它由 Electron 应用独占管理, dsh plugin 会拒绝 --profile desktop, 所以要用应用内的插件管理器: 在插件页的安装入口填上面命令里对应的包名或本地目录. 装上后重启应用, 窗口刷新一次.

引擎版本线

要求 @deepseek-ai/dsh-* 不低于 0.2.0-rc.1, 且仍在 0.2.x 上 (声明了 dsh 依赖时 peerDependencies 与 devDependencies 都写作 >=0.2.0-rc.1 <0.3.0). 更早的引擎线装不上这个版本.

web 与 desktop 两个 profile 跑的是同一套 Web 应用, 桌面端只是多起一个 Host 子进程并给 <html> 打上平台标记, 所以同一份包在两边通用, 不需要分别构建.

配置

配置写在 profile 的 cordis.patch.yml 中该行的 config 下, 全部字段都有代码默认值:

- insert:
    - id: dsh-approve-prefix
      name: dsh-approve-prefix
      config:
        prefixes: ['gh api', 'gh pr view']
        debug: true

未知键, 类型不符或越界都会在插件加载时抛错, 不会静默降级成放行.

安全边界

• fail-closed: 默认静态前缀为空, 安装后不会自动放行任何命令. 判定器拿不到命令, 配置非法时转人工, 不会变成放行. 前缀不符默认也转人工; 只有模型同时写了布尔 approved: true 才改为直接拒绝.
• night 期间的拒绝同样 fail-closed: 其它插件的审批询问只可能被拒, 没有因为 "不在 tools 里" 而被放行的路径; 取不到会话身份时按关处理, 不拦也不放行.
• 一次性: 同一个 callId 的记录只消费一次, 重复请求转人工.
• 单命令结构由 AST 白名单固定, 不能通过配置取消管道 / 重定向 / 命令替换等检查, 避免把判定配成可绕过.
• 审批结果不参与学习, 所以一次 "允许一次" 不会改变后续判定.
• night 只放宽不放严: 打开期间也不会多放行任何一条没配过的前缀, 未命中前缀的提权只是从 "弹卡片" 改成 "直接拒绝".
• Host 半边不写 settings: 持久前缀只在你于配置页保存或手工编辑 settings 时变化.
• 已放行的调用仍受 dsh 自身的文件沙箱与审批审计约束: 会话日志里的 approval/asked 与 approval/decided 会记录本次询问与结果, 插件另在 info 级别打印判定依据.

局限

• 默认覆盖 bash 和 pwsh. 工具名是 pwsh 或 powershell 时, 判定走本机 pwsh 的 ParseInput; 没装 pwsh, 解析失败或命令不是一条字面量命令, 都转人工. 系统提示词只列出当前注册表里有的那些工具.
• 命令原文依赖 tools/pre-execute 记录, 记录缺失时转人工; 记录表有容量上限, 长会话中极早的记录可能被淘汰.
• 不判断命令的实际副作用, 只判断它是不是 "命名单命令".
• 因为审批接缝无法区分按钮, 想做到 "点卡片上的某个按钮才记住前缀" 需要额外实现审批卡片上的按钮; 目前这一步由会话 tab 与配置页代替.
• TUI / 无 GUI 不能改临时表与夜间模式开关; /night 命令在 TUI 里可用, 前提是组合里有命令注册表.
• 夜间模式开关不跨重启: 重启后所有会话都回到普通模式, 提示词明确报告 Night mode off.

开发

just install
just typecheck
just build
just test
just verify

tests/ 覆盖命令判定, 会话级临时前缀表, 认证 HTTP 与插件接线, 含 "点击允许一次不得带来自动放行" 和前缀变更上下文的回归用例. 真实 Cordis Loader 测试直接加载构建入口, 验证持久前缀提交后的通知与卸载清理, 因此测试前应先构建; just verify 已按此顺序执行.

Client bundle 形态

Web 端的 client bundle 不是浏览器 ESM, 而是 window.__ModuleLoader__.load({ id, factory }) 的懒加载模块表注册. dsh 把同一个批次里多个插件的 bundle 源码首尾拼接进同一个 classic script 再由浏览器执行, 而 classic script 顶层的 const / let / function 会进入跨脚本共享的全局词法环境: 只要两个插件各写一个 const zh, 整批脚本就是 SyntaxError: Identifier 'zh' has already been declared, 批内所有插件一个都注册不上, 启动页只会显示 import failed (see console for the import error).

所以 src/client/index.ts 整个文件包在一个 IIFE 里, 脚本顶层只剩那个立即执行调用, 声明全部留在函数作用域内. 平台模块 (React, 官方控件) 一律经 factory 的 require 从模块表取, 产物里不出现任何 import / export. 这条约束由 tests/client-bundle.test.ts 守着: 它解析构建产物, 断言顶层除了注册调用没有别的语句.