@m2canvas/connect 0.7.1 → 0.7.2

package/dist/bridge/acp-guard.js

@@ -13,20 +13,41 @@
  *   session/list 必须带 cwd（不带时 Claude / Codex 会列出全机所有项目的会话标题）。
  * - 白名单内的任何请求：params 里出现 `cwd` 必须等于会话目录；`mcpServers` 只能是空数组或不带；不允许 `_meta`、
  *   不允许非空 `additionalDirectories`。
+ * - 无人值守模式（change bridge-reject-unattended-modes）：`session/set_mode` 的 `modeId`、`session/set_config_option` 的
+ *   `value` 落在 `BRIDGE_UNATTENDED_MODE_VALUES` 的并集里就拒收（D1，按取值、不看 configId —— 这里分不出哪个 configId
+ *   是模式）；页面对权限请求的回答选了会切到无人值守模式的选项（`UNATTENDED_PERMISSION_OPTION_IDS`）也拒收（D6）。
  * - 形状：不是 JSON 对象的行一律拒收（含 JSON-RPC 批量数组 —— ACP SDK 会把数组逐条入队）；有 `method` 键但不是字符串的拒收
- *   （不能当成响应放行）；消息或 params 自带 `__proto__` / `constructor` / `prototype` 键的拒收。
+ *   （不能当成响应放行）；消息、params、回答的 result / outcome 自带 `__proto__` / `constructor` / `prototype` 键的拒收。
  *
  * 边界（不要把它当成安全的全部）：这是纵深防御，不改变「配对 = 授权该页面以你的身份驱动本机 agent」——
- * 页面仍可以用提示词让 agent 执行命令、替用户回答审批、切换到不审批的工作模式。真正的门槛是 security.ts / pairing.ts 的准入。
+ * 页面仍可以用提示词让 agent 执行命令（包括改它自己的配置文件）、替用户回答审批（含「本会话 / 永久允许」，FU-2026-10-08-009）；
+ * 这里只拒收**已知的**切到无人值守模式的请求与回答（两份清单随适配器 / CLI 版本重核）。Cursor、OpenCode 没有无人值守模式；
+ * OpenCode 默认的 build 模式在工作区内执行命令本来就不请示。真正的门槛是 security.ts / pairing.ts 的准入。
  * 前提：agent 解析 JSON 的结果与这里一致（例如重复键都取最后一个）。2026-10-03 核实：两个适配器经 ACP SDK 1.5.1 的
  * stream.js 用 JSON.parse；Cursor 是 node bundle；OpenCode、Qoder 是 Bun 单文件可执行（证据见 change 的 verification §13）。
- * 哪家换了解析器，要重新核这一条。
+ * 哪家换了解析器，要重新核这一条。两份清单依赖各家的模式名与 optionId 字面量：升级适配器或 CLI 后要重核，改名只会漏拦、不会误伤。
  */
-import { BRIDGE_PAGE_ACP_METHODS } from './protocol.js';
+import { BRIDGE_PAGE_ACP_METHODS, BRIDGE_UNATTENDED_MODE_VALUES } from './protocol.js';
 /** 页面可以发给 agent 的方法：change 3 实际用到的方法 + JSON-RPC 层的取消请求（定义在 protocol.ts，前端也能 import） */
 export const PAGE_ACP_METHODS = BRIDGE_PAGE_ACP_METHODS;
 /** cwd 由 bridge 决定的会话类方法（必须带 cwd） */
 export const SESSION_SCOPE_METHODS = ['session/new', 'session/load', 'session/resume', 'session/list'];
+/** 所有 agent 的无人值守模式取并集：守卫按行检查、不知道对面是哪家，且 Qoder 认 Claude 的取值 */
+const UNATTENDED_MODES = Object.values(BRIDGE_UNATTENDED_MODE_VALUES).flat();
+/**
+ * 权限回答里会把会话切到无人值守模式的 optionId（change bridge-reject-unattended-modes D6）= 全部无人值守模式取值 ∪
+ * Claude 适配器 0.84.0 退出计划的 `exit-plan-bypass` / `exit-plan-clear-bypass`（dist/permissions/options/shared.js，切到 bypassPermissions）。
+ * 必须包含全部模式取值：qodercli 1.1.65 处理退出计划回答时，把 optionId 交给与切模式同一个别名映射后直接切模式，
+ * 不核对它是不是给出的选项 —— 回答 `yolo` 或 Claude 的 `bypassPermissions` 都会切到 yolo（review r1 B1）。
+ * Claude 适配器会核对回答是否为给出的选项。这些都是 `allow_always` 或根本不在选项里，页面只发 `allow_once` / `reject_once`，
+ * 正常不会发它们。只有 bridge 用，页面按 kind 挑选、不需要这份。
+ */
+const UNATTENDED_PERMISSION_OPTION_IDS = [...UNATTENDED_MODES, 'exit-plan-bypass', 'exit-plan-clear-bypass'];
+/** 取值可能是模式的字段：`session/set_mode` 的 modeId、`session/set_config_option` 的 value */
+const MODE_VALUE_FIELDS = {
+    'session/set_mode': 'modeId',
+    'session/set_config_option': 'value',
+};
 /** JSON.parse 会把这些键建成普通自有属性；agent 侧的对象合并 / 校验可能对它们另有处理，一律不放行 */
 const FORBIDDEN_KEYS = ['__proto__', 'constructor', 'prototype'];
 function isObject(value) {
@@ -60,6 +81,37 @@ function scopeViolation(params, cwd, sessionScoped) {
         return '_meta is not allowed';
     return null;
 }
+/**
+ * 切模式的目标值是无人值守模式时返回原因。只看字符串：有无人值守模式的三家（Claude / Codex / Qoder）ACP 层都要求
+ * 字符串取值，非字符串切不过去；Claude 有合法的 boolean 配置项，拒收非字符串会误伤。
+ */
+function modeViolation(method, params) {
+    const field = MODE_VALUE_FIELDS[method];
+    if (field === undefined)
+        return null;
+    const value = params[field];
+    return typeof value === 'string' && UNATTENDED_MODES.includes(value) ? `mode ${value} is not allowed from the page` : null;
+}
+/**
+ * 页面对 agent 请求的回答（没有 method 键）：选了会切到无人值守模式的权限选项时返回原因。
+ * 不论 `outcome.outcome` 是什么都查 optionId（页面回 cancelled 时从不带 optionId，从严不会误伤）。
+ */
+function answerViolation(message) {
+    const result = message.result;
+    if (!isObject(result))
+        return null;
+    if (hasForbiddenKey(result))
+        return 'result must not contain __proto__ / constructor / prototype';
+    const outcome = result.outcome;
+    if (!isObject(outcome))
+        return null;
+    if (hasForbiddenKey(outcome))
+        return 'outcome must not contain __proto__ / constructor / prototype';
+    const optionId = outcome.optionId;
+    return typeof optionId === 'string' && UNATTENDED_PERMISSION_OPTION_IDS.includes(optionId)
+        ? `permission option ${optionId} is not allowed from the page`
+        : null;
+}
 export function checkPageAcpLine(line, cwd) {
     let message;
     try {
@@ -74,9 +126,12 @@ export function checkPageAcpLine(line, cwd) {
     const reject = (reason) => ({ ok: false, reason, method, rpcId: rpcIdOf(message) });
     if (hasForbiddenKey(message))
         return reject('message must not contain __proto__ / constructor / prototype');
-    // 没有 method 键的是页面对 agent 请求的响应（例如审批结果），不涉及方法与会话范围
-    if (!hasOwn(message, 'method'))
-        return { ok: true };
+    // 没有 method 键的是页面对 agent 请求的响应（例如审批结果），不涉及方法与会话范围，只查 D6。
+    // 被拒时 method 为 null：页面不会为它合成错误响应（rpcId 是 agent 编的号，会误结束页面自己同号的请求）
+    if (!hasOwn(message, 'method')) {
+        const violation = answerViolation(message);
+        return violation ? reject(violation) : { ok: true };
+    }
     if (method === null)
         return reject('method must be a string');
     if (!PAGE_ACP_METHODS.includes(method))
@@ -87,6 +142,6 @@ export function checkPageAcpLine(line, cwd) {
         return { ok: true };
     if (!isObject(params))
         return reject('params must be an object');
-    const violation = scopeViolation(params, cwd, sessionScoped);
+    const violation = scopeViolation(params, cwd, sessionScoped) ?? modeViolation(method, params);
     return violation ? reject(violation) : { ok: true };
 }

package/dist/bridge/protocol.js

@@ -9,7 +9,7 @@
  *   所以只能有类型和常量：不 import 任何模块、不用 enum、不用 Node 或 DOM 专有类型。
  * - 同一协议版本内只做加法（新方法、新事件、新可选字段、新枚举值）。删除字段或改变语义要升 BRIDGE_PROTOCOL_VERSION，
  *   bridge 至少同时支持前一个版本。页面必须忽略不认识的字段 / 事件，把不认识的 state 当成 unknown。
- * - bridge 不翻译 ACP：agent → 页面的 `acp` 行原样转发（不保证是 JSON）；页面 → agent 的行只做方法白名单与会话范围检查（acp-guard.ts），
+ * - bridge 不翻译 ACP：agent → 页面的 `acp` 行原样转发（不保证是 JSON）；页面 → agent 的行只做方法白名单、会话范围与无人值守模式检查（acp-guard.ts），
  *   翻译全部在页面做。
  * - 配对 = 授权该页面以用户的身份驱动本机 agent（包括让它执行命令）；页面代码与 token 的保管要按这个级别对待。
  */
@@ -46,6 +46,23 @@ export const BRIDGE_PAGE_ACP_METHODS = [
     'session/close',
     '$/cancel_request',
 ];
+/**
+ * 不经批准执行一切的工作模式（change bridge-reject-unattended-modes D2，页面与 bridge 共用这一份）：
+ * Claude `bypassPermissions`「Accepts all permissions」；Codex `agent-full-access`「Unrestricted access to the internet and any
+ * file on your computer」；Qoder `yolo`「Auto-approves all tools」。Qoder `dontAsk` 是「不询问、直接拒绝」，不在此列；
+ * Claude `auto` 由分类器代为决定，用户 2026-10-03 拍板时未列入。
+ * - 页面：模式下拉不提供、`setLocalMode` 拒绝（用户自己的配置已是这种模式时照实显示）。
+ * - bridge：`session/set_mode` / `session/set_config_option` 的取值落在**所有 agent 的并集**里就拒收（acp-guard.ts）——
+ *   Qoder 会把 Claude 的 `bypassPermissions` 映射成自己的 `yolo`，只查本家挡不住。
+ * 某家新增同类模式、或升级适配器 / CLI 时，按本 change evidence/mode-paths.md 的复核方法重核并加在这里（bridge 要发版）。
+ */
+export const BRIDGE_UNATTENDED_MODE_VALUES = {
+    claude: ['bypassPermissions'],
+    codex: ['agent-full-access'],
+    cursor: [],
+    opencode: [],
+    qoder: ['yolo'],
+};
 export const BRIDGE_METHODS = [
     'pair',
     'agents/list',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@m2canvas/connect",
-  "version": "0.7.1",
+  "version": "0.7.2",
   "description": "Connect your local agent clients (Claude Code, Codex, Cursor, OpenCode, Qoder) to M2 Canvas over MCP in one command, and run the local bridge that lets M2 drive them over ACP.",
   "type": "module",
   "bin": {