@goodandready/dsh-approval-gate 0.1.3

package/CHANGELOG.md

@@ -0,0 +1,23 @@
+# Changelog
+
+## 0.1.3
+
+- First public npmjs release under the canonical @goodandready/dsh-approval-gate identity.
+
+- Extend bounded shell analysis to command and process substitutions, backticks, common redirects and here-documents; inspect nested commands.
+- Allow ordinary safe reads and route uncertain syntax or execution targets through DSH approval with a visible rule reason and redacted excerpt.
+- Keep recognized destructive commands and protected-file writes denied, and request approval before shell-expanded Authorization values reach curl.
+- Keep security hooks active when the optional locale service is unavailable.
+
+
+## 0.1.2
+
+- Inspect bash argv after quote concatenation instead of regex over the raw string.
+- Fail closed on unparseable shell (`$IFS`, command substitution, heredoc, unclosed quotes).
+- Guard file-write tools against secret paths.
+- Tests for block/pass cases. Denial text no longer names a person.
+- Ignore `openwiki/` in git.
+
+## 0.1.1
+
+- Initial distribution used an internal package route before the public npmjs identity introduced in 0.1.3.

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 GooDAnDReaDY
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,153 @@
+# 📦 @goodandready/dsh-approval-gate
+
+<div align="center">
+
+<h3>Last-line command gate for DeepSeek Harness</h3>
+
+<p align="center">
+  <a href="https://www.npmjs.com/package/@goodandready/dsh-approval-gate"><img src="https://img.shields.io/npm/v/@goodandready/dsh-approval-gate.svg?style=for-the-badge&color=6366f1&labelColor=1e1b4b" alt="npm version"></a>
+  <a href="LICENSE"><img src="https://img.shields.io/github/license/GooDAnDReaDY/dsh-approval-gate.svg?style=for-the-badge&color=10b981&labelColor=064e3b" alt="license"></a>
+  <a href="https://github.com/topics/dsh-plugin"><img src="https://img.shields.io/badge/DSH-Plugin-8b5cf6.svg?style=for-the-badge&labelColor=2e1065" alt="DSH Plugin"></a>
+  <a href="https://nodejs.org"><img src="https://img.shields.io/badge/Node-20%2B-f59e0b.svg?style=for-the-badge&labelColor=451a03" alt="Node version"></a>
+</p>
+
+<p align="center">
+  <a href="https://goodandready.app/"><img src="https://img.shields.io/badge/All_projects-goodandready.app-ff4500.svg?style=for-the-badge&logo=rocket&logoColor=white&labelColor=1a1a2e" alt="GoodAndReady Showcase"></a>
+</p>
+
+<p align="center">
+  <a href="README.md"><b>English</b></a> ·
+  <a href="README.zh.md"><b>中文说明</b></a> ·
+  <a href="README.ru.md"><b>Русский</b></a>
+</p>
+
+<table align="center">
+  <tr>
+    <td align="center">
+      ⭐ <strong>If you like this plugin, please star it on GitHub</strong> — it shows me that the plugin is useful to you and motivates me to keep developing it.
+      <br><br>
+      🐛 <strong>If you find a bug or would like to request a feature</strong>, open a GitHub issue in any language — I will review your proposal and implement useful suggestions in a future plugin version.
+    </td>
+  </tr>
+</table>
+
+</div>
+
+---
+
+## Overview
+
+DeepSeek Harness can still let an agent run a dangerous tool call when sandbox mode is loose. This host-only plugin registers a monotonic `tools.guard` and denies the call before the tool body runs.
+
+Commands the guard cannot fully inspect are routed through DSH’s native approval flow. This plugin does not implement a separate approval word.
+
+## How it works
+
+```mermaid
+graph LR
+  A[bash / file-write tool] --> B[dsh-approval-gate]
+  B -->|known safe| C[tool runs]
+  B -->|known dangerous| D[denial string]
+  B -->|uncertain syntax or target| E[DSH approval request]
+```
+
+`lib/inspect.js` tokenizes the bash `command` (quotes, backslashes, pipelines, wrappers) and inspects the real argv. File-write tools are classified by path, not by regex over prose.
+
+## Architecture and modules
+
+| Module | Responsibility |
+|---|---|
+| lib/index.js | Registers the monotonic tools.guard and pre-execution approval hook; wires the shell and file-write inspectors into DSH. |
+| lib/inspect.js | Tokenizes bounded Bash syntax, inspects command argv and expansions, applies destructive-command and protected-write rules, and returns pass, deny, or ask decisions. |
+| lib/messages.js | Provides English and Simplified Chinese rule names, explanations, and redacted-result labels. |
+| cordis.patch.yml | Declares the host-side plugin bundle and optional tool configuration. |
+
+The guard runs before the tool body. A recognized dangerous action is denied even if a prompt could otherwise be shown. Uncertain syntax or targets are sent to DSH approval; DSH policy still decides whether a prompt is available.
+
+## Coverage
+
+| Call | Result |
+|---|---|
+| `rm -rf /tmp/x`, `sudo rm -r ...` | block |
+| `kill` / `pkill` / `killall` as the command | block |
+| `k''ill -9 1` (quoted fragments) | block |
+| `systemctl restart\|stop\|disable ...` | block |
+| `systemctl is-active dsh-web` | pass |
+| `service name stop\|restart` | block |
+| `sqlite3 ... DROP/ALTER/...` | block |
+| `echo x > .env`, `tee`/`sed -i` on secret files | block |
+| `write`/`edit` to `.env`, `credentials.yaml`, `settings.yaml`, `cordis.patch.yml` | block |
+| `grep kill-all docs/`, `echo 'do not rm -rf'` | pass |
+| `python3 -c "print('rm -rf')"` | pass |
+| `$IFS`, `$(...)`, backticks, unclosed quotes, heredoc `<<` | request DSH approval |
+| `bash -c "rm -rf /tmp/x"` | block (nested shell) |
+| empty / missing `command` | pass (nothing to run) |
+| non-string `command` | block (unknown format) |
+
+## What it does not guarantee
+
+- It is not a full bash parser. Unknown or incomplete syntax requests approval; if approval is unavailable or approval=never is configured, DSH denies the call.
+- Interpreter `-c`/`-e` is not a second language parser. Nested `bash -c` is inspected.
+- Cron and systemd never pass through `tools.guard`.
+- A script file created earlier and then executed as `bash ./run.sh` is not opened and scanned.
+
+## Install
+
+Install from the public npm registry:
+
+```sh
+dsh plugin --profile web add @goodandready/dsh-approval-gate@0.1.3
+```
+
+Keep the guard enabled in profiles that need command-safety protection.
+
+## Configuration
+
+Optional fields on the Cordis patch entry:
+
+| Field | Type | Default | Meaning |
+|---|---|---|---|
+| `toolName` | string | `bash` | Tool whose `command` argument is inspected |
+| `fileWriteTools` | string[] | `write`, `edit`, `Write`, `Edit`, `str_replace`, `apply_patch` | Tools classified by path |
+
+
+
+Example Cordis patch configuration:
+
+<pre><code>- insert:
+    - id: dsh-approval-gate
+      name: @goodandready/dsh-approval-gate
+      config:
+        toolName: bash
+        fileWriteTools:
+          - write
+          - edit
+          - Write
+          - Edit
+          - str_replace
+          - apply_patch
+</code></pre>
+
+## HTTP routes and CLI
+
+The plugin adds no HTTP routes and no standalone CLI. Install and remove it through the DSH plugin CLI. The plugin only guards supported DSH tool calls; it is not an operating-system sandbox.
+
+## License
+
+MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)
+
+## Changes in v0.1.3
+
+This is the first public npmjs release under the canonical @goodandready/dsh-approval-gate identity.
+
+Changed in v0.1.3: earlier internal instructions described a separate operator confirmation word. The public package routes uncertain commands through DSH native approval and does not define its own word. Earlier builds used internal distribution; new installs use the public npmjs identity.
+
+This release adds bounded shell syntax analysis and routes uncertain cases through DSH approval while preserving denies for recognized destructive operations and protected-file writes.
+
+The shell analyzer now understands command substitutions, backticks, process substitutions, common redirects including 2> and &>, pipelines, and here-documents. It recursively checks nested shell commands and executable expansions. Ordinary safe reads can pass. Shell-expanded authorization headers request approval because curl receives the credential as a process argument. This package does not provide a credential-safe API helper; keep tokenized API calls out of command-line arguments.
+
+The locale service is optional; the security hooks remain active with English fallback messages when it is unavailable.
+
+Recognized destructive commands and writes to protected files remain denied. This includes recursive rm, process signals, service stop/restart operations, destructive SQL, protected-file writes, git reset --hard, forced git clean, mkfs, device-targeted dd, and downloaded content piped to a shell.
+
+Unsupported or incomplete syntax, dynamic command names or redirect targets, and script files whose contents cannot be inspected request approval through DSH. If approval is unavailable or approval=never is configured, DSH rejects the request. The plugin does not read script files or implement a separate approval word. Messages identify the rule and include a redacted excerpt. This is a bounded shell analyzer, not a complete Bash grammar.

package/README.ru.md

@@ -0,0 +1,126 @@
+# 📦 @goodandready/dsh-approval-gate
+
+<div align="center">
+
+<h3>Дополнительная защита командных инструментов DSH</h3>
+
+<p align="center">
+  <a href="https://www.npmjs.com/package/@goodandready/dsh-approval-gate"><img src="https://img.shields.io/npm/v/@goodandready/dsh-approval-gate.svg?style=for-the-badge&color=6366f1&labelColor=1e1b4b" alt="npm version"></a>
+  <a href="LICENSE"><img src="https://img.shields.io/github/license/GooDAnDReaDY/dsh-approval-gate.svg?style=for-the-badge&color=10b981&labelColor=064e3b" alt="license"></a>
+  <a href="https://github.com/topics/dsh-plugin"><img src="https://img.shields.io/badge/DSH-Plugin-8b5cf6.svg?style=for-the-badge&labelColor=2e1065" alt="DSH Plugin"></a>
+  <a href="https://nodejs.org"><img src="https://img.shields.io/badge/Node-20%2B-f59e0b.svg?style=for-the-badge&labelColor=451a03" alt="Node version"></a>
+</p>
+
+<p align="center">
+  <a href="https://goodandready.app/"><img src="https://img.shields.io/badge/Все_проекты-goodandready.app-ff4500.svg?style=for-the-badge&logo=rocket&logoColor=white&labelColor=1a1a2e" alt="GoodAndReady Showcase"></a>
+</p>
+
+<p align="center">
+  <a href="README.md"><b>🇬🇧 English</b></a> •
+  <a href="README.zh.md"><b>🇨🇳 中文说明</b></a> •
+  <a href="README.ru.md"><b>🇷🇺 Русский</b></a>
+</p>
+
+<table align="center">
+  <tr><td align="center">⭐ <strong>Если вам нравится этот плагин, поставьте ему Star на GitHub</strong> — это покажет, что он полезен, и мотивирует продолжать его развитие.<br><br>🐛 <strong>Если вы нашли ошибку или хотите предложить функцию</strong>, создайте Issue на GitHub на любом языке — полезные предложения будут рассмотрены для следующих версий.</td></tr>
+</table>
+
+</div>
+
+---
+
+## Обзор
+
+Плагин безопасности для хоста DSH: до запуска тела инструмента блокирует опасные вызовы bash и запись в защищённые файлы. Неопределённые команды передаются штатному механизму подтверждения DSH; плагин не вводит отдельное слово подтверждения.
+
+Таблица покрытия, ограничения и конфигурация — в [README.md](README.md).
+
+Установка (публичный пакет npm):
+
+```sh
+dsh plugin --profile web add @goodandready/dsh-approval-gate@0.1.3
+```
+
+## Изменения в v0.1.3
+
+Первый публичный выпуск под идентичностью @goodandready/dsh-approval-gate.
+
+Изменено в v0.1.3: прежние внутренние инструкции описывали отдельное слово подтверждения оператора. Публичная версия передаёт неопределённые команды штатному подтверждению DSH и не определяет собственное слово; новые установки используют публичный пакет npmjs.
+
+Выпуск добавляет ограниченный разбор shell-синтаксиса и передаёт неопределённые случаи в запрос подтверждения DSH, сохраняя запреты на распознанные разрушительные команды и запись в защищённые файлы.
+
+Анализатор shell-команд теперь понимает подстановки команд, обратные кавычки, подстановки процессов, основные перенаправления, включая 2> и &>, конвейеры и here-document. Он рекурсивно проверяет вложенные shell-команды и исполняемые раскрытия. Обычные безопасные чтения разрешены. Подстановка секрета в заголовок Authorization требует подтверждения: curl получает его как аргумент процесса. В этом пакете пока нет безопасного помощника для работы с учётными данными; не передавайте токен в аргументах команды.
+
+Сервис локализации необязателен: если его нет, защитные хуки работают с английскими сообщениями.
+
+Известные разрушительные команды и записи в защищённые файлы по-прежнему запрещены. К ним относятся рекурсивный rm, сигналы процессам, остановка и перезапуск служб, разрушительный SQL, запись в защищённые файлы, git reset --hard, принудительный git clean, mkfs, запись dd на устройство и передача загруженного содержимого shell.
+
+Для незакрытого или неподдерживаемого синтаксиса, динамического имени команды или цели перенаправления, а также файла скрипта, содержимое которого невозможно проверить, DSH запрашивает подтверждение. Если подтверждение недоступно или задано approval=never, DSH отклоняет запрос. Плагин не читает файлы скриптов и не вводит отдельное слово подтверждения. Сообщение называет правило и показывает обезличенный фрагмент команды. Это ограниченный анализатор shell, а не полный парсер Bash.
+
+## Архитектура и возможности
+
+| Модуль | Назначение |
+|---|---|
+| lib/index.js | Регистрирует монотонный tools.guard и штатный pre-execution approval hook DSH, подключает проверки shell и файловых записей. |
+| lib/inspect.js | Разбирает ограниченный shell-синтаксис, проверяет argv и подстановки, применяет правила опасных команд и защищённых записей, возвращает pass, deny или ask. |
+| lib/messages.js | Содержит английские и китайские названия правил, пояснения и подписи для обезличенного фрагмента. |
+| cordis.patch.yml | Объявляет host-пакет плагина и необязательную конфигурацию инструментов. |
+
+```mermaid
+graph LR
+  A[Вызов инструмента агентом] --> B[dsh-approval-gate]
+  B -->|Команда распознана и безопасна| C[Запуск инструмента]
+  B -->|Известное опасное действие| D[Запрет]
+  B -->|Синтаксис или цель неясны| E[Подтверждение DSH]
+```
+
+Распознанные опасные действия запрещаются. Если нельзя проверить синтаксис, имя команды, аргументы, цель перенаправления или записи, плагин передаёт запрос штатному подтверждению DSH. При approval=never DSH отклоняет неопределённый запрос. Безопасные и полностью проверенные команды проходят.
+
+### Что проверяется
+
+| Пример вызова | Результат |
+|---|---|
+| rm -rf /tmp/x, sudo rm -r ... | Запрет |
+| kill, pkill, killall | Запрет |
+| systemctl stop/restart/disable | Запрет; systemctl is-active проходит |
+| service name stop/restart | Запрет |
+| Разрушительные DROP/ALTER и подобный SQL | Запрет |
+| Запись в .env, credentials.yaml, settings.yaml или cordis.patch.yml | Запрет |
+| Чтение защищённой настройки и упоминание опасной команды в обычном тексте | Разрешено |
+| Незакрытый heredoc, динамическое имя команды или непроверяемый файл скрипта | Запрос подтверждения DSH |
+
+### Настройка
+
+В элементе плагина в Cordis patch можно задать поля:
+
+| Поле | Тип | По умолчанию | Назначение |
+|---|---|---|---|
+| toolName | string | bash | Имя инструмента, аргумент command которого проверяется |
+| fileWriteTools | string[] | write, edit, Write, Edit, str_replace, apply_patch | Инструменты записи, проверяемые по целевому пути |
+
+### Пример Cordis-конфигурации
+
+<pre><code>- insert:
+    - id: dsh-approval-gate
+      name: @goodandready/dsh-approval-gate
+      config:
+        toolName: bash
+        fileWriteTools:
+          - write
+          - edit
+          - Write
+          - Edit
+          - str_replace
+          - apply_patch
+</code></pre>
+
+### Установка и ограничения
+
+<pre><code>dsh plugin --profile web add @goodandready/dsh-approval-gate@0.1.3</code></pre>
+
+Плагин не добавляет HTTP-маршруты или отдельную CLI-команду и не читает содержимое файлов скриптов. Это не системная песочница: команды cron и systemd, запущенные отдельно от инструментов DSH, он не перехватывает.
+
+
+## Лицензия
+
+MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)

package/README.zh.md

@@ -0,0 +1,126 @@
+# 📦 @goodandready/dsh-approval-gate
+
+<div align="center">
+
+<h3>DSH shell 命令的最后一道安全防线</h3>
+
+<p align="center">
+  <a href="https://www.npmjs.com/package/@goodandready/dsh-approval-gate"><img src="https://img.shields.io/npm/v/@goodandready/dsh-approval-gate.svg?style=for-the-badge&color=6366f1&labelColor=1e1b4b" alt="npm version"></a>
+  <a href="LICENSE"><img src="https://img.shields.io/github/license/GooDAnDReaDY/dsh-approval-gate.svg?style=for-the-badge&color=10b981&labelColor=064e3b" alt="license"></a>
+  <a href="https://github.com/topics/dsh-plugin"><img src="https://img.shields.io/badge/DSH-Plugin-8b5cf6.svg?style=for-the-badge&labelColor=2e1065" alt="DSH Plugin"></a>
+  <a href="https://nodejs.org"><img src="https://img.shields.io/badge/Node-20%2B-f59e0b.svg?style=for-the-badge&labelColor=451a03" alt="Node version"></a>
+</p>
+
+<p align="center">
+  <a href="https://goodandready.app/"><img src="https://img.shields.io/badge/所有项目-goodandready.app-ff4500.svg?style=for-the-badge&logo=rocket&logoColor=white&labelColor=1a1a2e" alt="GoodAndReady Showcase"></a>
+</p>
+
+<p align="center">
+  <a href="README.md"><b>🇬🇧 English</b></a> •
+  <a href="README.zh.md"><b>🇨🇳 中文说明</b></a> •
+  <a href="README.ru.md"><b>🇷🇺 Русский</b></a>
+</p>
+
+<table align="center">
+  <tr><td align="center">⭐ <strong>如果您喜欢这个插件，请在 GitHub 上为它点亮 Star</strong> — 这能让我知道插件对您有用，并鼓励我继续开发和维护它。<br><br>🐛 <strong>如果您发现 Bug 或希望增加功能</strong>，请使用任意语言在 GitHub 上提交 Issue — 我会评估您的建议，并在后续版本中实现有价值的改进。</td></tr>
+</table>
+
+</div>
+
+---
+
+## 概述
+
+仅运行于 DSH 主机的安全插件：在工具正文运行前拦截危险的 bash 调用以及对受保护文件的写入。无法完整检查的命令会通过 DSH 原生审批流程请求确认；本插件不实现单独的审批口令。
+
+完整覆盖表、限制和配置见 [README.md](README.md)。
+
+从公开 npm registry 安装：
+
+```sh
+dsh plugin --profile web add @goodandready/dsh-approval-gate@0.1.3
+```
+
+## v0.1.3 变更
+
+这是以 @goodandready/dsh-approval-gate 身份发布到公开 npm registry 的首个版本。
+
+变更说明：早期内部说明曾提到单独的操作者确认词。从 v0.1.3 起，无法确认的命令由 DSH 原生审批流程处理，本插件不定义自己的确认口令；新安装使用公开 npmjs 包。
+
+本节说明 0.1.3 中的行为：扩展有界 shell 语法分析，并在无法确定语法或执行目标时请求 DSH 审批，同时保留对已识别破坏性操作和受保护文件写入的拒绝规则。
+
+shell 分析器现在支持命令替换、反引号、进程替换、常见重定向（包括 2> 和 &>）、管道和 here-document，并递归检查嵌套 shell 命令及可执行展开。普通安全读取可以通过。展开的 Authorization 请求头需要审批，因为 curl 会把凭据作为进程参数接收。本包暂不提供安全的凭据 API 助手；请勿将令牌放入命令行参数。
+
+语言服务是可选的；如果服务不可用，安全钩子仍会使用英文回退消息运行。
+
+已识别的破坏性操作和受保护文件写入仍会被拒绝，包括递归 rm、进程信号、服务停止或重启、破坏性 SQL、受保护文件写入、git reset --hard、强制 git clean、mkfs、写入设备的 dd，以及将下载内容传给 shell。
+
+未闭合或不支持的语法、动态命令名或重定向目标，以及无法检查内容的脚本文件，会通过 DSH 请求审批。审批不可用或配置为 approval=never 时，DSH 会拒绝请求。本插件不会读取脚本文件，也不实现独立审批口令。提示会显示规则名称和脱敏后的命令片段。这是有界 shell 分析器，并非完整 Bash 语法解析器。
+
+## 架构与功能
+
+| 模块 | 职责 |
+|---|---|
+| lib/index.js | 注册单调的 tools.guard 和 DSH 原生预执行审批钩子，并连接 shell 与文件写入检查器。 |
+| lib/inspect.js | 对有界 shell 语法进行分词，检查 argv 和展开内容，应用危险命令与受保护写入规则，并返回通过、拒绝或请求审批的结果。 |
+| lib/messages.js | 提供英文和简体中文规则名称、说明及脱敏提示。 |
+| cordis.patch.yml | 声明 host 端插件包和可选工具配置。 |
+
+```mermaid
+graph LR
+  A[Agent tool call] --> B[dsh-approval-gate]
+  B -->|Safe and inspected| C[Tool runs]
+  B -->|Known dangerous| D[Denied]
+  B -->|Uncertain syntax or target| E[DSH approval]
+```
+
+已识别的危险操作会被拒绝。无法确认语法、命令名、参数、重定向目标或写入目标时，插件请求 DSH 审批。approval=never 时，DSH 仍会拒绝不确定请求。普通、安全且可检查的命令会通过。
+
+### 覆盖范围
+
+| 调用示例 | 结果 |
+|---|---|
+| rm -rf /tmp/x、sudo rm -r ... | 拒绝 |
+| kill、pkill、killall | 拒绝 |
+| systemctl stop/restart/disable | 拒绝；systemctl is-active 可通过 |
+| service name stop/restart | 拒绝 |
+| sqlite3 中的 DROP、ALTER 等破坏性 SQL | 拒绝 |
+| 向 .env、credentials.yaml、settings.yaml 或 cordis.patch.yml 写入 | 拒绝 |
+| 读取受保护配置、在普通文本中提及危险命令 | 通过 |
+| 未闭合 heredoc、动态命令名或无法检查的脚本文件 | 请求 DSH 审批 |
+
+### 配置
+
+在 Cordis patch 的插件项中可选设置以下字段：
+
+| 字段 | 类型 | 默认值 | 说明 |
+|---|---|---|---|
+| toolName | string | bash | 要检查 command 参数的工具名称 |
+| fileWriteTools | string[] | write、edit、Write、Edit、str_replace、apply_patch | 按目标路径检查的文件写入工具 |
+
+### Cordis 配置示例
+
+<pre><code>- insert:
+    - id: dsh-approval-gate
+      name: @goodandready/dsh-approval-gate
+      config:
+        toolName: bash
+        fileWriteTools:
+          - write
+          - edit
+          - Write
+          - Edit
+          - str_replace
+          - apply_patch
+</code></pre>
+
+### 安装与限制
+
+<pre><code>dsh plugin --profile web add @goodandready/dsh-approval-gate@0.1.3</code></pre>
+
+本插件不添加 HTTP 路由或独立 CLI，也不读取脚本文件内容。它不是操作系统沙箱，不会检查 cron 或 systemd 自行执行的命令。
+
+
+## 许可证
+
+MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)

package/cordis.patch.yml

@@ -0,0 +1,6 @@
+# dsh-approval-gate bundle layer: applied automatically when the package is
+# installed as a profile bundle (package.json declares dsh.bundle.patch).
+- insert:
+    - id: dsh-approval-gate
+      name: '@goodandready/dsh-approval-gate'
+      config: {}

package/lib/index.js

@@ -0,0 +1,82 @@
+// dsh-approval-gate - approval gate for DeepSeek Harness.
+//
+// Registers tools.guard on the tool runtime and denies dangerous bash
+// commands and writes to secret files even when sandbox mode would allow
+// them. A guard return value (non-undefined) denies execution, so the
+// dangerous call never runs on its own - it needs an explicit owner
+// Approval is handled by DSH's native flow; no separate word is implemented.
+//
+// Only the agent tool calls pass through the guard (cron/systemd scripts
+// do not), so legitimate unattended operations are unaffected.
+import Schema from "@deepseek-ai/schemastery";
+import {
+  DEFAULT_BASH_TOOL,
+  DEFAULT_FILE_WRITE_TOOLS,
+  askMessage,
+  denyMessage,
+  inspectExecution,
+  sessionTag,
+} from "./inspect.js";
+import { LOCALE_NS, MESSAGES } from "./messages.js";
+
+export const name = "dsh-approval-gate";
+export const inject = ["tools"];
+
+export const Config = Schema.object({
+  /** Name of the tool whose `command` arg is inspected (the DSH bash tool). */
+  toolName: Schema.string().default(DEFAULT_BASH_TOOL),
+  /** Extra tool names treated as file writes; paths are matched against secret files. */
+  fileWriteTools: Schema.array(Schema.string()).default(DEFAULT_FILE_WRITE_TOOLS.slice()),
+});
+
+function logBlocked(ctx, hit, who) {
+  const line = "[dsh-approval-gate] blocked rule=" + (hit.reason || "unknown") + who;
+  if (ctx && ctx.logger && typeof ctx.logger.warn === "function") ctx.logger.warn(line);
+}
+
+export function apply(ctx, config) {
+  const cfg = Config(config || {}) || {};
+  const toolName = cfg.toolName || DEFAULT_BASH_TOOL;
+  const fileWriteTools = cfg.fileWriteTools || DEFAULT_FILE_WRITE_TOOLS.slice();
+  const getLocale = function () {
+    if (ctx && typeof ctx.get === "function") return ctx.get("locale");
+    return ctx && ctx.locale;
+  };
+  const registerLocale = function () {
+    const locale = getLocale();
+    if (locale && typeof locale.register === "function") return locale.register(LOCALE_NS, MESSAGES);
+  };
+  if (ctx && typeof ctx.effect === "function") ctx.effect(registerLocale, "dsh-approval-gate: dictionaries");
+  else registerLocale();
+
+  const translate = function (key) {
+    const locale = getLocale();
+    if (locale && typeof locale.bind === "function") return locale.bind(LOCALE_NS)(key);
+    return key;
+  };
+  const hasPreExecute = ctx && typeof ctx.on === "function";
+  if (hasPreExecute) {
+    ctx.on("tools/pre-execute", function (execution, next) {
+      const hit = inspectExecution(execution, { toolName: toolName, fileWriteTools: fileWriteTools });
+      if (hit.ask) return { kind: "ask", reason: askMessage(hit, sessionTag(execution), translate, ctx && ctx.logger) };
+      return next();
+    });
+  }
+
+  const guard = function (execution) {
+    const hit = inspectExecution(execution, { toolName: toolName, fileWriteTools: fileWriteTools });
+    if (!hit.deny && !(hit.ask && !hasPreExecute)) return undefined;
+    const who = sessionTag(execution);
+    logBlocked(ctx, hit, who);
+    return denyMessage(hit, who, translate, ctx && ctx.logger);
+  };
+
+  const mount = function () {
+    return ctx.tools.guard(guard);
+  };
+  if (ctx && typeof ctx.effect === "function") {
+    ctx.effect(mount, "dsh-approval-gate: tools guard");
+    return;
+  }
+  return mount();
+}