@morlay/dsh-sandbox-local 0.0.3-alpha.6 → 0.0.3-alpha.7

package/README.md

@@ -93,20 +93,35 @@
 把本包作为**独立 bundle** 采用的部署直接列进 `dsh.profile.bundles` 即可；行不带 config
 （schema 默认是空规则），patch 内容见该文件。
 
-**本部署（`@morlay/dsh-preset`）不走这条路径**：装配（禁用官方两行 + 插入
-`sandbox-local` 行）与 `access` 规则一起维护在 preset 的 bundle patch 里，因此示例 app 的
-`dsh.profile.bundles` 不需要列出本包，只需要 profile 的依赖树能解析模块名
-（`@morlay/dsh-preset` 已在 `dependencies` 声明本包）。patch 层级的合并顺序与放置理由见
-[设计 host 层部署配置](../../preset/dsh-preset/.agents/designs/20260917-host层部署配置.md)。
+**本部署走的就是这条路径**：示例 app 的 `dsh.profile.bundles` 列出了本包（排在
+[`@morlay/dsh-profile`](../../profile/dsh-profile/README.md) 之前），因此"禁用官方两行 + 插入本行"由这份
+patch 负责；`access` 规则的值由 `dsh-profile` 按 id 做 config 覆盖——装配与配置各归一处
+（`@morlay/dsh-profile` 已在 `dependencies` 声明本包）。patch 层级的合并顺序与放置理由见
+[设计 host 层部署配置](../../profile/dsh-profile/.agents/designs/20260917-host层部署配置.md)。
 两种采用方式互斥：同时上线会重复插入同一行。
 
+## 接管 `sandbox:policy`
+
+换了 `ctx.sandbox` / `ctx.fs`，模型看到的那段运行时策略文本也得跟着换：上游
+`@deepseek-ai/dsh-sandbox-policy` 在**全局层**注册 `sandbox:policy`，文本只描述官方策略（只读 /
+workspace-write / 全权 + workspace root），不知道本部署追加的 `rw` / `r-` / `--` 规则。
+
+全局层同名注册会抛错（`NamedEntries.insert`），上游给的官方路径是**按 agent 作用域覆盖**：本包在
+`system-prompt/assemble` 时为每个 agent 在它的 `ctx` 上注册同名 context，装配时近的作用域遮蔽全局那条
+（[`src/policy.ts`](./src/policy.ts)）。文本保留官方三种 mode 的语义（重写中文），并在规则非空时追加
+本部署的额外可写根 / 只读项 / 拒绝项；没有 agent 的装配（agentless 调用）保持官方那条。
+
+**升级注意**：这段文本是照上游 `renderPolicyContext` 的语义重写的——上游改了模式集合或措辞时测试不会自动
+发现，同步上游时要读一眼
+`vendor/deepseek-harness/packages/sandbox/sandbox-policy/src/index.ts`。
+
 ## 前提
 
 - 官方 `sandbox` 与 `fs-sandbox` 行必须禁用：同一 scope 内重复注册同名服务会 fail loud
   （`service "sandbox" has been registered at …`），而不是覆盖。
 - 启用规则的层必须同时做三件事——禁用官方两行、插入本包行、写规则：只做后两件时官方
   实现仍在提供 `ctx.sandbox` / `ctx.fs`，规则没有生效点，沙箱静默退回「只有工作区 +
-  `/tmp` 可写」（命令照常跑，没有报错）。装配守卫见 `@morlay/dsh-preset` 的
+  `/tmp` 可写」（命令照常跑，没有报错）。装配守卫见 `@morlay/dsh-profile` 的
   `patch.spec.ts`。
 - 规则与 `runnerCommand` 互斥：自定义 runner 的 argv 方言无法识别，此时配了规则会在
   `confine` 抛错（宁可失败也不让规则静默失效）。

package/cordis.patch.yml

@@ -8,8 +8,10 @@
 #   拦住读与写、`r-` / `rw` 条目参与写判定）。
 #
 # 这组 patch 供把本包作为独立 bundle 采用的部署使用：行不带 config，schema 默认是空规则。
-# 本部署（`@morlay/dsh-preset`）不走这条路径——它的 patch 自己禁用官方两行、插入本行
-# 并写上规则，因此不会加载本 bundle；两种采用方式同时上线会重复插入同一行。
+# 行不带 config（schema 默认是空规则）：规则的**值**由配置层给——本部署由 `@morlay/dsh-profile`
+# 按 id 做 config 覆盖。两层都住 app 的 `dsh.profile.bundles`，本包排在前面（配置层要能找到这一行）。
+#
+# 若别处再自行"禁官方两行 + 插入本行"，就会与本 bundle 重复插入同一行——采用方式二选一。
 
 - id: sandbox
   disabled: true

package/dist/index.mjs

@@ -242,6 +242,76 @@ var ConfigurableFileSystem = class extends LocalFileSystem {
 	}
 };
 //#endregion
+//#region src/policy.ts
+/**
+* 接管 `sandbox:policy` 那条运行时上下文。
+*
+* 上游 [`@deepseek-ai/dsh-sandbox-policy`] 在**全局层**注册它，文本只描述官方策略（只读 /
+* workspace-write / 全权 + workspace root）——它不知道本部署追加的 `rw` / `r-` / `--` 规则，
+* 模型因此拿不到"哪些额外路径可写、哪些被拒"。本包替换了 `ctx.sandbox` / `ctx.fs`，这条文本也得跟着换。
+*
+* 全局层同名注册会抛错（`NamedEntries.insert`），上游给的官方路径是**按 agent 作用域覆盖**：
+* `systemPrompt.context()` 在 scope 上注册同名项，装配时近的作用域遮蔽全局那条
+* （`ScopedLayers.merge`）。所以这里在每个 agent 的 `ctx` 上注册一次。
+*/
+/** 上游注册的运行时上下文名：同名才叫接管。 */
+const SANDBOX_POLICY_CONTEXT = "sandbox:policy";
+/**
+* 策略文本：官方三种 mode 的语义（重写中文，与其它注入文案一致）+ 本部署追加的规则。
+* @param policy - 该会话解析出来的策略（模式与 workspace root）。
+* @param rules - 本部署解析后的访问规则（已展开环境变量模板）。
+* @returns 给模型看的一段文本。
+*/
+function renderPolicyContext(policy, rules) {
+	const base = (() => {
+		switch (policy.mode) {
+			case "read-only": return "当前 DSH 文件策略：只读。任何可用的操作都不能修改 standing 模式下的文件。别仅凭这条策略就拒绝必需的修改：照常尝试可用工具，并遵循它给出的拒绝与升级指引。";
+			case "workspace-write": return `当前 DSH 文件策略：workspace-write（工作区可写）。任何可用的操作都可修改会话工作区 ${JSON.stringify(policy.workspaceRoot)} 下的文件；部分平台临时目录同样可写。`;
+			case "danger-full-access": return "当前 DSH 文件策略：danger-full-access（全权）。DSH 文件沙箱不再限制可用操作对文件的修改。";
+		}
+	})();
+	const extras = [];
+	if (rules.allowWrite.length > 0) extras.push(`本部署额外授权的可写根：${rules.allowWrite.join("、")}。`);
+	if (rules.readOnly.length > 0) extras.push(`只读（一律不可写）：${rules.readOnly.join("、")}。`);
+	if (rules.deny.length > 0) extras.push(`拒绝访问（读与写都拒）：${rules.deny.join("、")}。`);
+	return extras.length === 0 ? base : `${base} ${extras.join("")}`;
+}
+/**
+* 在给定作用域注册同名策略文本（agent 的 `ctx`，或 preset 子树）。
+* @param scope - 拥有这次注册的 ctx；它的 scope 因此遮蔽全局那条。
+* @param rules - 本部署的访问规则。
+* @param resolve - 按会话解析策略（生产传 `ctx.sandboxPolicy.resolve`）。
+*/
+function registerPolicyContext(scope, rules, resolve) {
+	scope.inject(["systemPrompt"], (scoped) => {
+		scoped.systemPrompt.context({
+			name: SANDBOX_POLICY_CONTEXT,
+			order: scoped.systemPrompt.getContextOrder("SANDBOX_POLICY"),
+			text: (context) => {
+				const session = context.agent?.session;
+				return session === void 0 ? "" : renderPolicyContext(resolve(session), rules);
+			}
+		});
+	});
+}
+/**
+* 每个 agent 注册一次（装配期做，与 scope 出口同一时机与理由：创建期服务可用性还在变）。
+* @param ctx - 本插件的 ctx（host 平面）。
+* @param rules - 本部署的访问规则。
+* @param resolve - 按会话解析策略。
+*/
+function installPolicyContext(ctx, rules, resolve) {
+	const registered = /* @__PURE__ */ new WeakSet();
+	ctx.on("system-prompt/assemble", (_assembly, context, next) => {
+		const agent = context.agent;
+		if (agent !== void 0 && !registered.has(agent)) {
+			registered.add(agent);
+			registerPolicyContext(agent.ctx, rules, resolve);
+		}
+		return next();
+	});
+}
+//#endregion
 //#region src/dialects.ts
 const SEPARATOR = "--";
 function separatorIndex(argv) {
@@ -353,8 +423,7 @@ const Config = z.object({
 //#region src/index.ts
 const name = "sandbox-local";
 const inject = ["sandboxPolicy"];
-function warnAboutDegradedRules(ctx, config) {
-	const rules = ruleSourceOf(config, process.env);
+function warnAboutDegradedRules(ctx, rules) {
 	const grants = rules.allowWrite.length > 0;
 	const readOnly = rules.readOnly.length > 0;
 	const denials = rules.deny.length > 0;
@@ -364,9 +433,11 @@ function warnAboutDegradedRules(ctx, config) {
 	if (grants && process.platform === "win32") ctx.logger.warn("sandbox-local: \"rw\" entries cannot be granted to confined subprocesses on win32; ctx.fs covers the extra roots, the Windows ACL runner does not");
 }
 function apply(ctx, config) {
-	warnAboutDegradedRules(ctx, config);
+	const rules = ruleSourceOf(config, process.env);
+	warnAboutDegradedRules(ctx, rules);
 	new ConfigurableSandboxProvider(ctx, config);
 	new ConfigurableFileSystem(ctx, config);
+	installPolicyContext(ctx, rules, (session) => ctx.sandboxPolicy.resolve({ session }));
 }
 //#endregion
 export { Config, apply, inject, name };

package/locale/en.json

@@ -0,0 +1,6 @@
+{
+  "meta": {
+    "title": "Configurable Sandbox",
+    "description": "Replaces the shipped process sandbox and filesystem fence with implementations that add extra writable roots and access denials."
+  }
+}

package/locale/zh.json

@@ -0,0 +1,6 @@
+{
+  "meta": {
+    "title": "可配置沙箱",
+    "description": "替换官方的进程沙箱与文件系统围栏：在官方语义之上追加额外可写根与拒绝项。"
+  }
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@morlay/dsh-sandbox-local",
-  "version": "0.0.3-alpha.6",
+  "version": "0.0.3-alpha.7",
   "description": "Configurable sandbox bundle: replaces the shipped process-sandbox provider and filesystem fence with implementations that add extra writable roots and access denials on top of the upstream semantics.",
   "keywords": [
     "dsh",
@@ -15,6 +15,7 @@
     "url": "https://github.com/morlay/dsh-plugin.git"
   },
   "files": [
+    "locale/*.json",
     "dist",
     "src",
     "cordis.patch.yml",
@@ -24,26 +25,34 @@
   "exports": {
     ".": "./dist/index.mjs",
     "./package.json": "./package.json",
-    "./cordis.patch.yml": "./cordis.patch.yml"
+    "./cordis.patch.yml": "./cordis.patch.yml",
+    "./locale/*.json": "./locale/*.json"
   },
   "devDependencies": {
-    "@deepseek-ai/cordis": "4.0.3",
-    "@deepseek-ai/dsh-fs": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-fs-local": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-fs-sandbox": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox-local": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox-policy": "0.1.7-alpha.1"
+    "@deepseek-ai/cordis": "4.0.4",
+    "@deepseek-ai/dsh-agent": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs-local": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs-sandbox": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox-local": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox-policy": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-scope": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-session": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-system-prompt": "0.1.7-alpha.2"
   },
   "peerDependencies": {
-    "@deepseek-ai/cordis": "4.0.3",
-    "@deepseek-ai/dsh-fs": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-fs-local": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-fs-sandbox": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox-local": "0.1.7-alpha.1",
-    "@deepseek-ai/dsh-sandbox-policy": "0.1.7-alpha.1",
-    "@deepseek-ai/schemastery": "3.18.3"
+    "@deepseek-ai/cordis": "4.0.4",
+    "@deepseek-ai/dsh-agent": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs-local": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-fs-sandbox": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox-local": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-sandbox-policy": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-session": "0.1.7-alpha.2",
+    "@deepseek-ai/dsh-system-prompt": "0.1.7-alpha.2",
+    "@deepseek-ai/schemastery": "3.18.4"
   },
   "dsh": {
     "bundle": {

package/src/index.ts

@@ -1,7 +1,8 @@
 import type { Context } from "@deepseek-ai/cordis";
 import type { Config } from "./config.ts";
 import { ConfigurableFileSystem } from "./fs.ts";
-import { ruleSourceOf } from "./rules.ts";
+import { installPolicyContext } from "./policy.ts";
+import { ruleSourceOf, type RuleSource } from "./rules.ts";
 import { ConfigurableSandboxProvider } from "./sandbox.ts";
 
 export { Config } from "./config.ts";
@@ -10,8 +11,7 @@ export const name = "sandbox-local";
 
 export const inject = ["sandboxPolicy"];
 
-function warnAboutDegradedRules(ctx: Context, config: Config): void {
-  const rules = ruleSourceOf(config, process.env);
+function warnAboutDegradedRules(ctx: Context, rules: RuleSource): void {
   const grants = rules.allowWrite.length > 0;
   const readOnly = rules.readOnly.length > 0;
   const denials = rules.deny.length > 0;
@@ -34,7 +34,10 @@ function warnAboutDegradedRules(ctx: Context, config: Config): void {
 }
 
 export function apply(ctx: Context, config: Config): void {
-  warnAboutDegradedRules(ctx, config);
+  const rules = ruleSourceOf(config, process.env);
+  warnAboutDegradedRules(ctx, rules);
   new ConfigurableSandboxProvider(ctx, config);
   new ConfigurableFileSystem(ctx, config);
+  // 替换了 ctx.sandbox / ctx.fs，`sandbox:policy` 那段运行时文本也要跟着换（见 policy.ts）。
+  installPolicyContext(ctx, rules, (session) => ctx.sandboxPolicy.resolve({ session }));
 }

package/src/policy.ts

@@ -0,0 +1,98 @@
+import type { Agent } from "@deepseek-ai/dsh-agent";
+import type { Context } from "@deepseek-ai/cordis";
+import type { SandboxExecutionPolicy } from "@deepseek-ai/dsh-sandbox";
+import type { Session } from "@deepseek-ai/dsh-session";
+import type {} from "@deepseek-ai/dsh-system-prompt";
+import type { RuleSource } from "./rules.ts";
+
+/**
+ * 接管 `sandbox:policy` 那条运行时上下文。
+ *
+ * 上游 [`@deepseek-ai/dsh-sandbox-policy`] 在**全局层**注册它，文本只描述官方策略（只读 /
+ * workspace-write / 全权 + workspace root）——它不知道本部署追加的 `rw` / `r-` / `--` 规则，
+ * 模型因此拿不到"哪些额外路径可写、哪些被拒"。本包替换了 `ctx.sandbox` / `ctx.fs`，这条文本也得跟着换。
+ *
+ * 全局层同名注册会抛错（`NamedEntries.insert`），上游给的官方路径是**按 agent 作用域覆盖**：
+ * `systemPrompt.context()` 在 scope 上注册同名项，装配时近的作用域遮蔽全局那条
+ * （`ScopedLayers.merge`）。所以这里在每个 agent 的 `ctx` 上注册一次。
+ */
+
+/** 上游注册的运行时上下文名：同名才叫接管。 */
+export const SANDBOX_POLICY_CONTEXT = "sandbox:policy";
+
+/**
+ * 策略文本：官方三种 mode 的语义（重写中文，与其它注入文案一致）+ 本部署追加的规则。
+ * @param policy - 该会话解析出来的策略（模式与 workspace root）。
+ * @param rules - 本部署解析后的访问规则（已展开环境变量模板）。
+ * @returns 给模型看的一段文本。
+ */
+export function renderPolicyContext(policy: SandboxExecutionPolicy, rules: RuleSource): string {
+  const base = ((): string => {
+    switch (policy.mode) {
+      case "read-only":
+        return "当前 DSH 文件策略：只读。任何可用的操作都不能修改 standing 模式下的文件。别仅凭这条策略就拒绝必需的修改：照常尝试可用工具，并遵循它给出的拒绝与升级指引。";
+      case "workspace-write":
+        return `当前 DSH 文件策略：workspace-write（工作区可写）。任何可用的操作都可修改会话工作区 ${JSON.stringify(policy.workspaceRoot)} 下的文件；部分平台临时目录同样可写。`;
+      case "danger-full-access":
+        return "当前 DSH 文件策略：danger-full-access（全权）。DSH 文件沙箱不再限制可用操作对文件的修改。";
+    }
+  })();
+
+  const extras: string[] = [];
+  if (rules.allowWrite.length > 0) {
+    extras.push(`本部署额外授权的可写根：${rules.allowWrite.join("、")}。`);
+  }
+  if (rules.readOnly.length > 0) {
+    extras.push(`只读（一律不可写）：${rules.readOnly.join("、")}。`);
+  }
+  if (rules.deny.length > 0) {
+    extras.push(`拒绝访问（读与写都拒）：${rules.deny.join("、")}。`);
+  }
+  return extras.length === 0 ? base : `${base} ${extras.join("")}`;
+}
+
+/**
+ * 在给定作用域注册同名策略文本（agent 的 `ctx`，或 preset 子树）。
+ * @param scope - 拥有这次注册的 ctx；它的 scope 因此遮蔽全局那条。
+ * @param rules - 本部署的访问规则。
+ * @param resolve - 按会话解析策略（生产传 `ctx.sandboxPolicy.resolve`）。
+ */
+export function registerPolicyContext(
+  scope: Context,
+  rules: RuleSource,
+  resolve: (session: Session) => SandboxExecutionPolicy,
+): void {
+  // 回调参数 ctx 才是解锁了 `systemPrompt` 的那个 ctx，注册也就落在它的 scope 上。
+  scope.inject(["systemPrompt"], (scoped) => {
+    scoped.systemPrompt.context({
+      name: SANDBOX_POLICY_CONTEXT,
+      order: scoped.systemPrompt.getContextOrder("SANDBOX_POLICY"),
+      text: (context) => {
+        const session = context.agent?.session;
+        return session === undefined ? "" : renderPolicyContext(resolve(session), rules);
+      },
+    });
+  });
+}
+
+/**
+ * 每个 agent 注册一次（装配期做，与 scope 出口同一时机与理由：创建期服务可用性还在变）。
+ * @param ctx - 本插件的 ctx（host 平面）。
+ * @param rules - 本部署的访问规则。
+ * @param resolve - 按会话解析策略。
+ */
+export function installPolicyContext(
+  ctx: Context,
+  rules: RuleSource,
+  resolve: (session: Session) => SandboxExecutionPolicy,
+): void {
+  const registered = new WeakSet<Agent>();
+  ctx.on("system-prompt/assemble", (_assembly, context, next) => {
+    const agent = context.agent as Agent | undefined;
+    if (agent !== undefined && !registered.has(agent)) {
+      registered.add(agent);
+      registerPolicyContext(agent.ctx, rules, resolve);
+    }
+    return next();
+  });
+}