dsh-hard-gate

dsh-hard-gate

给 DeepSeek Harness 加一道独立于系统 ACL 的最后闸门：更严格的权限审查 + 一个在 danger-full-access 下依然生效的工作区沙箱。

它不替换内置沙箱，而是在内置沙箱之上补齐三个结构性缺口。

---

1. 为什么需要它

DSH 现有的安全模型是「路径围栏 + 仅升级时审批」，它有三个缺口，叠在一起就构成"大规模误杀"的完整路径：

dsh-hard-gate 针对的正是「很多次看起来都很正常的操作」，而不是单次明显的恶意命令。

2. 它做什么

插件核心只注册三样东西，不注册服务；另外在宿主提供 LLM/权限服务时，附带一个可选的 Auto 审查集成：

为什么不用 fs/write-intent：该槽位是单决策者，已被 dsh-fs-observation-policy 占用（先注册者胜），第三方插件写进去不会生效。所以文件变更策略只能落在 tools/pre-execute + tools.guard。

3. 规则一览

3.1 文件工具（write / edit / str_replace_editor）

edit（精确字面替换）不受整文件规则约束——它只改指定片段，不是误杀路径。

3.2 Shell（pwsh / bash）

直接拒绝

需要人工确认

普通读命令、git status、npm test、工作区内单文件删除、可再生成目录的递归删除都直接放行，只计入变更预算。--dry-run、-WhatIf、robocopy /L 等只读预览同样放行。

3.3 程序化工具（run_code / 任意带 code 参数的工具）

源码里出现 rmSync、unlink、writeFile、child_process、execSync 等直接文件系统/进程操作时询问——因为闸门看不到这些操作的目标。

3.4 自动模式（Auto）：无上下文模型审查

当 profile 里存在 approval / llm / permissionPresets / sessions 服务时，插件会注册 DSH 的 auto 权限预设，并用一个只看见待执行动作的审查器替换内置的上下文审查：

• 审查请求只包含：工具名、工具描述/参数 schema、参数、会话工作目录；不包含对话历史、用户消息、项目指令或之前的工具调用。

• 低风险（读、搜索、构建、测试、非破坏性 Git、工作区内单文件编辑）直接放行；中风险（删除、批量覆盖、移动、工作区外写入、force push、发布、外部发送、系统/权限修改等）一律拒绝并转人工确认；高风险（凭据外传、磁盘/安全控制破坏等）直接拒绝。

• read / glob / grep / list / search 等只读工具默认跳过模型调用（reviewReadOnly: true 可强制审查），以降低延迟和 token。

• 文件正文不会整段发给审查器：write 的 content、edit 的 old_string/new_string 等只发送有界预览（头 600 字符 + 尾 200 字符），因此大文件写入的审查请求仍然很小。

• 审查器默认复用当前会话的 provider/model；也可以指定一个更便宜/更快的专用模型：

  - id: hard-gate
    config:
      reviewProvider: workbuddy-global
      reviewModel: deepseek-v4.1-flash
      reviewReasoningEffort: low
  

• 审查失败、超时、输出不是合法 JSON、或模型试图放行中/高风险动作时，一律失败关闭（拒绝），不会静默放行。

• Auto 仍然先经过硬闸：审查器返回 allow 后，tools/pre-execute 继续调用硬闸；硬闸的 deny / ask 永远优先。审查器只能增加摩擦，不能绕过硬闸。

• 插件卸载/重载时，仍处于 Auto 的会话会被切到 workspace-write，而不是静默保留 Full access。

内置的 @deepseek-ai/dsh-experimental-auto-review 也注册同一个 auto 预设；两者不能同时启用。安装本插件后，请从 profile 的 dsh.profile.bundles 中移除内置项，否则本插件会记录一条警告并让内置审查器继续工作。

3.5 还原点（改动前自动备份）

在真正执行前，闸门先把这次操作的目标打包成 zip：

• 存放位置：~/.dsh/hard-gate/backups/<日期>/<id>.zip，附 index.jsonl 索引（操作、规则 id、会话、文件数、压缩前后大小）。
• Windows 上还会把压缩包副本异步送进系统回收站（recycleBin: auto），Explorer 里可直接还原；权威副本始终留在插件仓库，供命令行还原。
• 超过 backupMaxBytes（默认 64 MiB）或 backupMaxFiles（默认 2000）时不会静默跳过：转成一次明确询问（backup-failed），由你决定是否在没有还原点的情况下继续。backupFailure: deny 则直接拒绝。
• 可再生成目录（node_modules、dist 等）与 .git/.hg/.svn 不打包：它们要么可重建，要么由版本控制负责。
• 保留期默认 14 天、总量默认 512 MiB，超出后从最旧的开始清理。
• 仓库目录本身被加入受保护路径，agent 无法写入或删除它。

还原：

cd D:\dev\dsh配置\plugins\dsh-hard-gate
node lib/restore.js list
node lib/restore.js restore last --dry-run
node lib/restore.js restore last --force
node lib/restore.js purge --days 7

restore 默认拒绝覆盖现有文件（--force 才覆盖），并且只还原清单里记录在工作区根内的路径。

Shell 备份是尽力而为：路径解析仍是词法级，find -delete、管道删除、node -e 这类"目标在命令内部"的操作没有可打包的显式路径，仍只靠询问拦截；git clean / git reset --hard 见下一条。文件工具的备份是精确的。

git clean / git reset --hard / git checkout -- . 这类"目标在 Git 索引里"的操作，无法从命令行枚举目标，会退化为整个会话工作区的快照（同样受 backupMaxBytes / backupMaxFiles 限制）；超大工作区会转为询问。

4. 配置

安装后的默认值已经偏向"更严格但仍可用"。所有键都可以在 profile 的 cordis.patch.yml 里覆盖：

- id: hard-gate
  config:
    extraRoots: ['D:\dev\shared-lib']
    shellOutsideWorkspace: ask
    maxMutationsPerWindow: 40

覆盖是整对象替换：patch 中命中同一 id 会替换完整 config，需要保留的键请一并写出。

平台默认受保护根（运行期计算）：~/.ssh、~/.dsh、~/.aws、~/.azure、~/.gnupg、~/.kube、~/.config/gh、~/AppData、%WINDIR%、%ProgramFiles%、%ProgramFiles(x86)%、%ProgramData%、各盘 System Volume Information 与 $Recycle.Bin（POSIX 下为 /etc、/usr、/bin、/sbin、/boot、/dev、/proc、/sys、/var/lib）。

平台临时目录（os.tmpdir()）是唯一例外：DSH 的 workspace-write 本来就允许写临时目录，所以只豁免"根"规则，.git 与敏感文件名仍然生效。

5. 安装

从 GitHub 公开源安装：

plugin_manager
  action: install_bundle
  target: github:yyfdfsyyf-source/dsh-hard-gate

或直接用官方 CLI：

dsh plugin --profile desktop add github:yyfdfsyyf-source/dsh-hard-gate

然后读返回值：application: applied 才算生效，warnings 非空要逐条看。新增行可以用 cordis_inspect_query 确认（不需要审批）。

本机源码开发（链接检出）时，把 target 换成绝对目录即可：

dsh plugin --profile desktop add D:\dev\dsh配置\plugins\dsh-hard-gate

• 首次安装新 bundle 可以走 HMR 生效；替换已安装的同名包需要重启 DSH 才会加载新的 JS。
• GitHub 源码安装不会触发 allowBuilds：本插件没有任何依赖和构建脚本，node_modules 也不需要。
• 本地目录是"链接检出"安装，@deepseek-ai/schemastery 可能解析不到，此时 Config 不导出、设置面板里没有表单，但闸门照常工作，配置仍然通过 patch 生效。把包装进 profile 的 node_modules（而不是链接）即可恢复表单。
• 不要手写 profile 的 package.json / cordis.patch.yml，也不要手动跑 pnpm；install_bundle 会维护这些状态。
• 启用无上下文 Auto 审查时，检查 profile 的 dsh.profile.bundles，确保没有 @deepseek-ai/dsh-experimental-auto-review；否则内置审查器会先占用 auto 预设，本插件只记录一条警告并退回内置行为。内置包在 app.asar 里，不需要卸载依赖，只需从 bundles 数组移除。用插件管理器安装或更新其他插件后要复查这一条：管理器会重写 profile 的 package.json，可能把内置 bundle 加回来。

装完这样验证

1. 让 agent 执行 Remove-Item -Recurse -Force C:\Windows\Temp\hard-gate-test → 应返回 hard-gate [outside-workspace-delete] 拒绝。
2. 对一个 500 行的文件 read 时加 limit: 50，再对它 write → 应返回 hard-gate [full-view-partial]。
3. 执行 Remove-Item -Recurse -Force node_modules → 应直接放行（可再生成目录）。
4. 执行 git clean -fdx → 应被拒绝。
5. 打开设置 → 插件列表，确认标题「硬闸 / Hard Gate」与图标正常显示。
6. 切换到 Auto 预设，执行 Remove-Item -Recurse -Force .\tmp-test → 硬闸会拦截并生成还原点；因为硬闸的 ask 优先，UI 上通常显示 hard-gate: recursive-delete。执行 Get-ChildItem → 应直接放行（只读命令不送审）。要单独验证无上下文审查器，用 web_fetch 请求 https://example.com/?token=sk-test-secret → 应显示「硬闸自动审查拒绝了此调用」。

6. 已知限制（重要）

• 不是内核沙箱。 闸门检查的是"命令字符串"和"文件工具参数"。node build.js、python script.py、cargo run 这类命令内部删了什么，闸门看不到——那部分只能靠 OS 沙箱。本插件补的是沙箱退化到 danger-full-access 之后的缺口，不替代沙箱。
• PowerShell 解析是词法级的，不是真正的语法树。别名、Invoke-Expression、Base64、拼接变量都可能隐藏真实目标；因此"无法静态解析的删除"一律询问而不是放行，但无法保证 100% 覆盖。
• write 的整文件规则依赖 read 结果附带的 meta（offset / lines / totalLines），并回退到页脚文本。若 DSH 改了这两处的形状，unknownReadIsComplete（默认 true）决定退化为"视为读完"还是"要求重读"。
• 闸门只判断"是否读到 EOF"，不判断单行内容是否完整：read 会把超长单行截到 2000 字符，这类文件的"完整视图"仍可能缺行内内容。超长行文件请用 edit，不要整文件 write。
• 受保护路径是绝对规则：如果工作区本身位于受保护根内（临时目录除外），文件工具将无法写入该工作区。请用 extraRoots / replaceProtectedPaths 调整。
• enforceWorkspaceOnly 会拦住"合理地改工作区外文件"的场景，这是有意的默认值；需要时用 extraRoots 放行具体目录，而不是整条关掉。
• 变更预算是按会话统计；不同 session 各自计数。agent-team 的并发子代理若共享同一会话会被合并计数，否则各自计数。
• tools.guard 兜底使用词法路径（同步、无 I/O）。符号链接指向工作区外时由 pre-execute 的 realpath 检查负责；两层同时失效的概率很低，但不是零。
• Auto 审查器是第二层判断，不是沙箱；它只看见单个动作，无法知道用户是否授权了某个中风险操作，所以中风险一律转人工。它也不能替代硬闸的路径/备份规则。
• 内置 Auto 审查器会看过滤后的对话历史；本插件的审查器刻意不看。两者只能启用一个。
• run_code 外层不送审，内层 PTC 调用逐个送审；run_code 里直接 fs.rm 这类操作由硬闸的 program-fs-mutation 询问兜底。
• 首次 install_bundle 与任何 plugin_manager 调用本身可能触发审批，这是 DSH 的行为，与本插件无关。

7. 开发

cd D:\dev\dsh配置\plugins\dsh-hard-gate
node --test

• 无 schemastery 时：99 通过、1 跳过（Config 相关）。
• 验证 schema：

$env:HARD_GATE_NODE_MODULES = "C:\Users\YYF\.dsh\profiles\desktop\node_modules"
node --test

目录结构：

lib/paths.js          路径身份（大小写折叠、扩展前缀、realpath 祖先、受保护匹配）
lib/commands.js       Shell 命令分类（规则表 + 操作数提取）
lib/read-tracker.js   read 覆盖区间（meta + 页脚回退、区间合并、缺口计算）
lib/state.js          按会话的变更预算
lib/gate.js           三道挂载点的决策逻辑（纯逻辑，可在无 DSH 环境下测试）
lib/auto-review.js    无上下文 Auto 审查（可选，ctx.inject 激活）
lib/backup.js         还原点仓库、zip 打包、回收站副本、还原
lib/zip.js            无依赖 ZIP 写入/读取 + CRC32
lib/restore.js        还原点命令行（list / restore / purge）
lib/index.js          Cordis 插件入口（Config schema + apply）
test/                 100 个用例，覆盖规则表、路径边界、预算、覆盖区间、备份/还原与挂载

设计原则：可解释的拒绝。每条拒绝都带稳定规则 id 和一句"下一步该怎么做"，让模型能自行纠正，而不是反复重试同一条命令。