@v587d/capital-generation 2.7.11 → 2.8.0

package/CHANGELOG.md

@@ -7,6 +7,72 @@
 - **第三位（patch）**：不破坏既有工具 / 配置 / 会话的新增与修复（如 2.1.1、2.1.2）。
 - **第二位（minor）**：有需要用户知晓的行为变更，且段内附迁移说明（如 2.1.0 的图表呈现通道重做、2.2.0 的数据源与检索来源扩容、2.4.0 的**必须换宿主版本**——本插件自己的工具与数据契约没变，所以只抬第二位）。
 
+## [2.8.0] - 2026-10-15
+
+主 Agent 的工具面按用户决策调整为「**开 read、同时保留 bash**」，三个平台的口径终于一致。宿主要求与
+2.7.11 相同（DSH`@0.2.0-rc.2`），**不必换宿主版本**。
+
+### Changed
+
+- **主 Agent 现在能直接读文件**（新增 `read`）：读精选 Skill 的方法论分册、读工作区里的文件都走它。
+  此前主 Agent 没有读文件的工具，真机上都是拿 `bash` 的 `cat` 绕——能力等价，但现在是正路。此前几版
+  「入口册 + 分册」的分层阅读，也从这一版起有了产品内的正式通道。
+- **主 Agent 保留 `bash` / `pwsh`**（各平台二选一，和数据角色用的是同一颗）：用于纯计算兜底。此前
+  Linux / Web 平面上它被整体拿掉、而 Windows 桌面端因为已知宿主差异实际没拦住——同一个产品两种行为。
+  现在三端一致：主 Agent 都有 shell。
+- **主 Agent 仍然不能写文件**（`write` / `edit` 不开放，调用时拒绝并指回正路）：数据与产物继续走工具
+  回传，落盘由工具实现完成；子 Agent 也一样不直接写文件。读文件的口子开了，写文件的没开——这是刻意的。
+- **通用子会话收掉文件口**：临时子会话读不到原始数据文件（原始行永不出工具层），也写不了文件。
+- **`read` 的读侧纪律写在人设里，而不是写成一道闸门**：主 Agent 不读原始行落盘目录、不读宿主配置与
+  凭据，引用 Skill 分册要整册读完再引用。原因很直白——shell 仍然开着，`cat` 同一个文件不需要任何
+  权限，而沙箱实测只拦写、不拦读；按参数拦路径只会得到一个看起来严、实际绕得开的边界。这一条有回归
+  点名（四条断言），管不住的地方说清楚是谁在管，比假装管住了强。
+
+### 迁移说明
+
+- 不需要任何动作：密钥、卡片设置、精选 Skills 勾选、自选股与持仓标记全部照旧读得到。
+- 行为变化只在工具可见性（上面四条）；取数、出图、检索的契约都没变。
+- Windows 桌面端那条[已知宿主差异](README.md)依旧存在（主 Agent 的部分工具限制可能不生效）；由于 shell
+  本版起对主 Agent 正式开放，这条差异的暴露面缩小为"出图与检索的限制"，请继续留意它实际调用了哪些工具。
+
+## [2.7.12] - 2026-10-14
+
+内部整理，治的是同一件事：**正文长过一次的加载窗口，宿主就从中间把它剪掉**。DSH 对任何一次工具结果只
+保留开头 4,096 与结尾 1,024 字符（阈值 8,192），中间换成一行"结果中段已剪除"的标记——模型不会报错，
+它照着读到的那半本继续答题。本插件自己写的协议手册、以及你在「精选 Skills」里勾选的第三方研究手册，
+都撞在同一条线上。
+
+宿主要求与 2.7.11 相同（DSH`@0.2.0-rc.2`），**不必换宿主版本**。这一版没有改任何组件的目录名或包名：
+四把 API Key、已保存的卡片设置、「精选 Skills」的勾选、自选股清单与持仓标记都原样读得到，不需要重设。
+
+### Changed
+
+- **内置协议手册按"册"重切**（你这边无需任何动作）：数据协议原先是一册 16,264 字符的正文，`data_junior`
+  按它自己的职责该读的取数与派生细则恰好整段落在被剪掉的中间；现在拆成三册——`capital-data-protocol`
+  （取数契约与回传边界）、`capital-data-profile`（profile 回传怎么读）、`capital-data-query`（怎么写查询
+  请求与派生算术）。检索协议（10,324 字符）拆成两册——`capital-web-protocol`（来源边界、收敛法则、
+  降级口径）与 `capital-web-evidence`（回传格式、域名核验清单、抓取失败处置、文档解析）。角色第一条
+  职责点名该读哪一册，章节编号跨册连续。**一册装不下的东西不叫长，叫丢**：要长就再加一册。
+- **7 颗精选 Skill 现在能整本读完**：`buffett-investment-framework`（入口 11,296 → 6,605 字符，
+  参考文件 9 → 22 份）、三颗 A 股研究 `china-idea-generation` / `china-sector-overview` /
+  `china-catalyst-calendar`、InvestSkill 的 `bear-case` 与 `stock-screener`、`peter-lynch-skill`
+  （入口之外，上游自交的 4 份厚指南也超阈值，两层一起切）。做法是「入口册 + 分册」：勾选后加载的仍是
+  变薄的入口册，方法论分册由 Agent 按入口点名的文件名去打开，一次带回一整册。**内容一条没删**——
+  逐行核对原正文零行丢失（只有指向分册的那几行指针需要改写，7 颗共 16 行），分册总量只准变大。
+- **配置卡片里的「看原文」口径不变**：仍然只给入口那一份正文，分层出来的分册不并进来。想看某颗分册的
+  原文，直接问 Agent 要那一册。
+- **入口正文不再允许宣称"我读过全文了"**：真机样本里模型只加载了入口册，却回答"已经读入全文"，还把
+  入口里那段需要本机执行环境的脚本示例当作能力报给用户。现在入口明文要求说清开了哪几册、点名没开的，
+  本轮没读过的检查卡与步骤一律不许上报；那段可执行示例整体搬进参考文件，入口不再挂跑不了的操作。
+
+### 还没解决（不粉饰）
+
+- 还剩 **25 颗**精选条目超限（全是 InvestSkill 的单文件厚册，两万到三万二千字符），勾选后拿到的仍是
+  节选。回归里有一条棘轮拦的是"**别再加新的超限条目**"，那份存量清单只准变短。
+- 分层只是把剪枝从"加载这一本"挪到"打开那一册"，两条通道各自的上限不同（按渲染后的长度算，不按文件
+  大小算）。分册切得不对，用户看到的还是那句"中段已剪除"。
+- 回归能拦体积、拦不住**模型会不会真去开分册**——那一半只能靠真实会话复验，目前还没有样本。
+
 ## [2.7.11] - 2026-10-14
 
 内部整理：插件包里两颗 host 平面组件的目录与包名收短了——`capital-config/` → `config/`（`@v587d/config`）、
@@ -16,9 +82,16 @@
 已勾选的精选 Skills、自选股清单与你自己标的持仓比例**全部原样读得到**——那两行的身份、配置的命名空间、
 自选股的存储域名和 `/capital-watchlist` 路由都刻意没改，就是为了升级不产生迁移。
 
-宿主要求与 2.7.10 相同（DSH`@0.2.0-rc.2`），升级无需迁移。唯一要自己动手的情形：如果你手改过 profile
-文件、在里面写了 `./capital-config/index.js` 这类路径，改成 `./config/index.js`（自选股那颗同理）；
-由宿主自己生成的那份会在重装时重写，不用管。
+宿主要求与 2.7.10 相同（DSH`@0.2.0-rc.2`），不必换宿主版本。
+
+> **更正（发布当天实测后补，2026-10-14）**：本条这一节原先写的是"升级无需迁移……已勾选的精选
+> Skills 全部原样读得到"，**那句只说对了一半**，实测把它推翻。成立的一半：四把 API Key（它们另存在
+> 宿主的凭据域，不在插件配置里）、自选股清单、你标的持仓标记与比例都没有动。不成立的一半：凡是
+> **保存过这张卡片**的人，DSH 在 profile 文件里记那份设置时是**连同当时解析出的模块路径一起**记下
+> 的；目录一改名，宿主对这一行是整行跳过、也不提示，于是「精选 Skills」的勾选、附加人设与
+> 「本机直连」开关会**静默回到默认值**。两种恢复方式任选其一：① 在卡片里重新设一次并保存；
+> ② 打开 `~/.dsh/profiles/<你在用的 profile>/cordis.patch.yml`，把 `capital-config` 那一行的路径从
+> `…/capital-config/index.js` 改成 `…/config/index.js`，再重启宿主。首页常见问题已同步这一条。
 
 ### Changed
 

package/README.md

@@ -15,7 +15,7 @@
 <p align="center">
   <a href="https://awesome-dsh-plugin.com"><img src="https://awesome-dsh-plugin.com/badge.svg" alt="awesome · DSH plugin"></a>
   <a href="LICENSE"><img src="https://img.shields.io/badge/License-MIT-green" alt="License"></a>
-  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.7.11-9cf" alt="Version"></a>
+  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.8.0-9cf" alt="Version"></a>
   <a href="https://www.npmjs.com/package/@v587d/capital-generation"><img src="https://img.shields.io/npm/v/%40v587d%2Fcapital-generation" alt="npm version"></a>
 </p>
 
@@ -167,10 +167,12 @@ https://github.com/v587d/capital-generation
 
 - **安装后找不到 Capital 模式？** 确认插件出现在「插件」→ 已安装列表；Web / CLI profile 安装后要重启该 profile，并在新会话选择模式。
 - **配置在哪？** 打开「插件」→ 已安装的 **Capital Generation**，页面顶部就是「数据源 / 精选 Skills / 包含的组件」三格，四把密钥都在第一格；不在 DSH 的普通「设置」页面，也不用点进任何一行组件。保存密钥后新建会话再试。
-- **桌面端升级后仍是旧版？** 桌面端安装时会固定所解析的版本，不会自动升级。卸载后重新安装，再到插件详情查看版本号；如需指定版本，可在地址末尾加 `#v2.7.11` 或 `@2.7.11`。
+- **升级到 2.7.11 后，卡片里的开关回到默认值了？** 这一版把插件内部两个组件换了目录名，宿主按旧路径记住的那份保存值因此接不上。四把 API Key、你的自选股清单与持仓标记都不受影响；「精选 Skills」的勾选、附加人设与「本机直连」开关需要重新设一次并保存，之后就稳定了。已经设过的话，旧的那份仍写在 DSH 的 profile 文件里，手改那一行的路径也能取回来。
+- **桌面端升级后仍是旧版？** 桌面端安装时会固定所解析的版本，不会自动升级。卸载后重新安装，再到插件详情查看版本号；如需指定版本，可在地址末尾加 `#v2.8.0` 或 `@2.8.0`。
 - **刚发布的新版本装不到？** 桌面端取包时会跳过**刚发布不久**的版本（宿主侧包管理器的发布冷却策略，实测会静默装成上一个版本），国内镜像的同步也可能滞后一段时间。急着用最新代码，改用仓库地址安装最直接。
 - **网页抓取失败？** 配置卡片中的「允许启动本地提取网页内容」默认开启：AnySearch 提取失败时可尝试本机直连。关闭后，本机直连的具名来源查询也不可用；请检查该开关和网络连接。
 - **Wind 那部分会消耗积分？** 会。公告与新闻检索、宏观 / 行业 / 汇率指标、按日期区间取的历史 K 线都按次消耗你在 Wind 侧的额度；额度与条款以 Wind 为准，插件不做用量封顶。没配 `WIND_API_KEY` 时这几类不可用，其余功能照常。
+- **运行时主 Agent没有加载已打开的精选 Skill？** 由 LLM 判断是否值得加载精选 Skill， 如果你需要强制使用某一种技能，可通过 `/技能名称` 斜杠命令的形式手动加载已在设置中打开的 Skill。
 
 目前 Windows 桌面端有一项[已知宿主差异](CHANGELOG.md)：主 Agent 的部分工具限制可能不生效。请特别留意它实际调用了哪些工具；结构化数据的取数限制仍由工具自身执行。
 

package/chart-ui/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/capital-charts",
-  "version": "2.7.11",
+  "version": "2.8.0",
   "description": "Capital 模式的图表前端组件（浏览器半边 + 序列旁路路由）：由 @v587d/capital-generation 随包携带并作为 host 平面行挂载。",
   "license": "MIT",
   "type": "module",

package/config/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/config",
-  "version": "2.7.11",
+  "version": "2.8.0",
   "description": "Capital 模式的取数凭据与偏好配置行：卡片坐在 @v587d/capital-generation 插件主页的「配置」段，点这一行本身没有表单。",
   "license": "MIT",
   "type": "module",

package/lib/agents/bash-guard.d.ts

@@ -1,5 +1,5 @@
 /**
- * data_junior 的 shell 调用闸门（`bash` / `pwsh` 两个名字都认，两层，都是**可靠判定**，不看命令内容）。
+ * shell 调用闸门（`bash` / `pwsh` 两个名字都认，只拦**必然失败的沙箱升级**，不看命令内容）。
  *
  * 背景与边界（设计理由全文在 preset/capital-generation/README.md）：
  *  - bash 不是计算器，是一台完整终端。本仓实测：沙箱**只拦写**（workspace + /tmp 之外
@@ -14,15 +14,17 @@
  *    的会话钉成 read-only 会直接打断 `describe_dataset` 的 profile 落盘
  *    （`workspace_not_writable`）。bash 与 Dataset 管线共用同一把尺子（session policy）。
  *
- * 两层规则：
- *  A 结构层：shell 只对**被委派**的子会话开放（镜像 src/tool-exec.ts 的 delegatedSession）——
- *    即使哪天 ROOT_AGENT_DENIED_TOOLS 或 allow 过滤被改坏，执行层仍然拒绝根会话。
- *    docs/dev/bash-gate.md「工具可见性不是权限隔离」。
- *  B UX 层：委派子会话的审批策略由框架固定为 `never`（dsh-subagent 的
- *    `captureDelegatedPolicyOverrides` → `approval/policy: never`，`dsh-user-approval.decide()`
- *    在 never 时**直接返回 rejected、根本不调用 answerer**），所以 `sandbox_permissions`
- *    必然失败，而且模型会收到「the user rejected…」这种**把系统拒绝说成用户拒绝**的文案。
- *    这里提前拦下并给出正确路径：省一次必然白跑的往返 + 纠正归因。
+ * 规则只留一层（2026-10-15 用户决策「开 read、同时保留 bash」后）：
+ *  A 结构层（**已随决策移除**）：曾拒绝根会话的 shell 调用（"只对被委派子会话开放"）。
+ *    现在主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；shell 归谁由可见性收敛——
+ *    `ROOT_AGENT_DENIED_TOOLS` 不再含 shell 名，子会话侧由委派行的 `toolFilter` 把 shell
+ *    只给 data_junior。迁移的断言在 `test/bash-guard.test.mjs`（根会话放行是**新契约**）。
+ *  B UX 层（保留，收窄到"被委派 / 身份不可考的调用方"）：委派子会话的审批策略由框架固定为
+ *    `never`（dsh-subagent 的 `captureDelegatedPolicyOverrides` → `approval/policy: never`，
+ *    `dsh-user-approval.decide()` 在 never 时**直接返回 rejected、根本不调用 answerer**），
+ *    所以 `sandbox_permissions` 必然失败，而且模型会收到「the user rejected…」这种
+ *    **把系统拒绝说成用户拒绝**的文案。这里提前拦下并给出正确路径：省一次必然白跑的往返 +
+ *    纠正归因。主 Agent 自己的升级照常走 ask 审批（那正是 escalation 的正当用途）。
  *
  * 为什么用 `tools.guard` 而不是 `tools/pre-execute`：guard 是**单调**的（没有 allow 结果，
  * 任何监听顺序都无法把别人的 deny 翻回 allow），同步、拿到解析后的 `arguments`，且
@@ -32,20 +34,23 @@
 import { type GuardedExecution, type PolicyContext } from './root-tool-policy.js';
 /** 闸门看到的调用形状：guard 拿到的是解析后的 arguments，不是一个 shell 字符串。 */
 export type BashGuardExecution = GuardedExecution;
-/** A 结构层拒绝文案：模型可据此改走委派。 */
-export declare const SHELL_DELEGATED_ONLY: string;
-/** B UX 层拒绝文案：说清"这不是用户拒绝"，并给出正确路径。 */
+/**
+ * 沙箱升级拒绝文案：说清"这不是用户拒绝"，并给出正确路径。
+ * （A 结构层文案 `SHELL_DELEGATED_ONLY` 随 2026-10-15 决策删除，断言迁移到
+ * `test/bash-guard.test.mjs` 的"根会话放行"用例。）
+ */
 export declare const SHELL_ESCALATION_UNREACHABLE: string;
 /**
  * 单次 shell 调用的判定：返回拒绝理由，或 undefined 放行。
  *
- * 判定顺序是"先身份、后能力"：身份不对时不该让模型以为问题出在参数上。
- * 注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
- * 绝不解析 `command`——理由见文件头。
+ * 2026-10-15 起主 Agent 的 shell 调用一律放行（A 层随决策移除）；被拦的只有**升级参数**
+ * ——注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
+ * 绝不解析 `command`——理由见文件头。升级判不了身份时 fail closed：根会话的形状是
+ * "有 session 且无 parentSession"，证明不了就当最坏打算，不给"拿不到身份就放行"的口子。
  */
 export declare function bashGuardReason(exec: BashGuardExecution | undefined): string | undefined;
 /**
- * 注册 bash 闸门：对**本 preset 的每个 agent** 在它自己的 scope 上装一次 guard。
+ * 注册 shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在它自己的 scope 上装一次 guard。
  *
  * 监听位置与 `registerRootToolPolicy` 同因：`agent/created` 的路由键是 agent 对象本身，
  * 注册在 standing scope（打了标签）的监听器**收不到且不报错**，必须挂 `ctx.root`。

package/lib/agents/bash-guard.js

@@ -1,5 +1,5 @@
 /**
- * data_junior 的 shell 调用闸门（`bash` / `pwsh` 两个名字都认，两层，都是**可靠判定**，不看命令内容）。
+ * shell 调用闸门（`bash` / `pwsh` 两个名字都认，只拦**必然失败的沙箱升级**，不看命令内容）。
  *
  * 背景与边界（设计理由全文在 preset/capital-generation/README.md）：
  *  - bash 不是计算器，是一台完整终端。本仓实测：沙箱**只拦写**（workspace + /tmp 之外
@@ -14,15 +14,17 @@
  *    的会话钉成 read-only 会直接打断 `describe_dataset` 的 profile 落盘
  *    （`workspace_not_writable`）。bash 与 Dataset 管线共用同一把尺子（session policy）。
  *
- * 两层规则：
- *  A 结构层：shell 只对**被委派**的子会话开放（镜像 src/tool-exec.ts 的 delegatedSession）——
- *    即使哪天 ROOT_AGENT_DENIED_TOOLS 或 allow 过滤被改坏，执行层仍然拒绝根会话。
- *    docs/dev/bash-gate.md「工具可见性不是权限隔离」。
- *  B UX 层：委派子会话的审批策略由框架固定为 `never`（dsh-subagent 的
- *    `captureDelegatedPolicyOverrides` → `approval/policy: never`，`dsh-user-approval.decide()`
- *    在 never 时**直接返回 rejected、根本不调用 answerer**），所以 `sandbox_permissions`
- *    必然失败，而且模型会收到「the user rejected…」这种**把系统拒绝说成用户拒绝**的文案。
- *    这里提前拦下并给出正确路径：省一次必然白跑的往返 + 纠正归因。
+ * 规则只留一层（2026-10-15 用户决策「开 read、同时保留 bash」后）：
+ *  A 结构层（**已随决策移除**）：曾拒绝根会话的 shell 调用（"只对被委派子会话开放"）。
+ *    现在主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；shell 归谁由可见性收敛——
+ *    `ROOT_AGENT_DENIED_TOOLS` 不再含 shell 名，子会话侧由委派行的 `toolFilter` 把 shell
+ *    只给 data_junior。迁移的断言在 `test/bash-guard.test.mjs`（根会话放行是**新契约**）。
+ *  B UX 层（保留，收窄到"被委派 / 身份不可考的调用方"）：委派子会话的审批策略由框架固定为
+ *    `never`（dsh-subagent 的 `captureDelegatedPolicyOverrides` → `approval/policy: never`，
+ *    `dsh-user-approval.decide()` 在 never 时**直接返回 rejected、根本不调用 answerer**），
+ *    所以 `sandbox_permissions` 必然失败，而且模型会收到「the user rejected…」这种
+ *    **把系统拒绝说成用户拒绝**的文案。这里提前拦下并给出正确路径：省一次必然白跑的往返 +
+ *    纠正归因。主 Agent 自己的升级照常走 ask 审批（那正是 escalation 的正当用途）。
  *
  * 为什么用 `tools.guard` 而不是 `tools/pre-execute`：guard 是**单调**的（没有 allow 结果，
  * 任何监听顺序都无法把别人的 deny 翻回 allow），同步、拿到解析后的 `arguments`，且
@@ -38,33 +40,35 @@ import { agentSessionId, isCapitalAgent, SHELL_TOOL_NAMES } from './root-tool-po
  * 一次都不触发，且不报错（2026-09-30 实测发现，症状是"§1.6 那道闸门在 Windows 上是死代码"）。
  */
 const shellToolNames = new Set(SHELL_TOOL_NAMES);
-/** A 结构层拒绝文案：模型可据此改走委派。 */
-export const SHELL_DELEGATED_ONLY = 'shell 工具（bash / pwsh）只对被委派的数据子 Agent 开放，当前调用方不是被委派的子会话；'
-    + '数据与统计请由主 Agent 委派 data_collector / data_junior。';
-/** B UX 层拒绝文案：说清"这不是用户拒绝"，并给出正确路径。 */
-export const SHELL_ESCALATION_UNREACHABLE = 'shell 工具（bash / pwsh）的沙箱升级在子 Agent 会话里永远无法获批（框架把委派会话的审批策略固定为 never，不会去问用户），不要重试：'
-    + '缺数值用 describe_dataset / query_dataset，缺数据用 send_message 发 data_gap 回主 Agent。';
+/**
+ * 沙箱升级拒绝文案：说清"这不是用户拒绝"，并给出正确路径。
+ * （A 结构层文案 `SHELL_DELEGATED_ONLY` 随 2026-10-15 决策删除，断言迁移到
+ * `test/bash-guard.test.mjs` 的"根会话放行"用例。）
+ */
+export const SHELL_ESCALATION_UNREACHABLE = 'shell 工具（bash / pwsh）的沙箱升级只有主 Agent 的会话能拿到用户审批：被委派的子会话拿不到'
+    + '（框架把委派会话的审批策略固定为 never，不会去问用户），当前调用方也不是可确认的主 Agent 会话。'
+    + '不要重试升级：缺数值用 describe_dataset / query_dataset，缺数据用 send_message 发 data_gap 回主 Agent。';
 function isRecord(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 /**
  * 单次 shell 调用的判定：返回拒绝理由，或 undefined 放行。
  *
- * 判定顺序是"先身份、后能力"：身份不对时不该让模型以为问题出在参数上。
- * 注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
- * 绝不解析 `command`——理由见文件头。
+ * 2026-10-15 起主 Agent 的 shell 调用一律放行（A 层随决策移除）；被拦的只有**升级参数**
+ * ——注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
+ * 绝不解析 `command`——理由见文件头。升级判不了身份时 fail closed：根会话的形状是
+ * "有 session 且无 parentSession"，证明不了就当最坏打算，不给"拿不到身份就放行"的口子。
  */
 export function bashGuardReason(exec) {
     if (exec === undefined || typeof exec.name !== 'string' || !shellToolNames.has(exec.name))
         return undefined;
-    const parent = exec.agent?.session?.header?.parentSession;
-    if (typeof parent !== 'string' || parent.length === 0)
-        return SHELL_DELEGATED_ONLY;
     const args = isRecord(exec.arguments) ? exec.arguments : undefined;
-    if (args !== undefined && (args.sandbox_permissions !== undefined || args.justification !== undefined)) {
-        return SHELL_ESCALATION_UNREACHABLE;
-    }
-    return undefined;
+    const escalated = args !== undefined && (args.sandbox_permissions !== undefined || args.justification !== undefined);
+    if (!escalated)
+        return undefined;
+    const parent = exec.agent?.session?.header?.parentSession;
+    const knownRoot = exec.agent?.session !== undefined && (typeof parent !== 'string' || parent.length === 0);
+    return knownRoot ? undefined : SHELL_ESCALATION_UNREACHABLE;
 }
 /** 在某个 agent 自己的 scope 上安装 guard，返回 disposer（不可用时返回 undefined）。 */
 function installAgentGuard(agent) {
@@ -86,7 +90,7 @@ function installAgentGuard(agent) {
     }
 }
 /**
- * 注册 bash 闸门：对**本 preset 的每个 agent** 在它自己的 scope 上装一次 guard。
+ * 注册 shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在它自己的 scope 上装一次 guard。
  *
  * 监听位置与 `registerRootToolPolicy` 同因：`agent/created` 的路由键是 agent 对象本身，
  * 注册在 standing scope（打了标签）的监听器**收不到且不报错**，必须挂 `ctx.root`。
@@ -107,7 +111,7 @@ export function registerBashGuard(ctx) {
                     return;
                 const dispose = installAgentGuard(agent);
                 if (dispose === undefined) {
-                    ctx.logger?.warn('capital-generation: bash 闸门未生效（agent scope 上没有 tools.guard）：data_junior 的 bash 只剩 persona 软约束');
+                    ctx.logger?.warn('capital-generation: shell 闸门未生效（agent scope 上没有 tools.guard）：沙箱升级拦截只剩 persona 软约束');
                     return;
                 }
                 const id = agentSessionId(agent);

package/lib/agents/root-tool-policy.d.ts

@@ -47,11 +47,15 @@ export declare function rootOcrGuardReason(exec: GuardedExecution | undefined):
  * `tool-pwsh`，靠 `process.platform === 'win32'` 互斥 `disabled`），所以名字由平台决定。
  *
  * ⛔ 但**闸门必须认全集**：只认本平台那一个，另一端就是静默放行——同一个能力两个入口，
- * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。根侧 deny 与
- * `bash-guard.ts` 的子会话 guard 都从这里取名字，不再各写一份。
+ * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。`bash-guard.ts` 的升级闸门
+ * 从这里取名字，不再各写一份。
+ *
+ * 2026-10-15 用户决策「开 read、同时保留 bash」：shell **不再**进 {@link ROOT_AGENT_DENIED_TOOLS}
+ * ——主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；子会话侧仍由委派行的 `toolFilter`
+ * 与 `bash-guard.ts` 的升级闸门收敛。
  */
 export declare const SHELL_TOOL_NAMES: readonly ["bash", "pwsh"];
-export declare const ROOT_AGENT_DENIED_TOOLS: readonly ["render_chart", "subagent_visualization_specialist", "prepare_chart_source", "anysearch_search", "web_retriever_fetch", "wind_docs_announcements", "wind_docs_news", "cls_telegraph", "wscn_lives", "cninfo_irm", "sseinfo_qa", "eastmoney_724", "eastmoney_stock_news", "eastmoney_reports", "sina_reports", "ths_eps_forecast", "bash", "pwsh"];
+export declare const ROOT_AGENT_DENIED_TOOLS: readonly ["render_chart", "subagent_visualization_specialist", "prepare_chart_source", "anysearch_search", "web_retriever_fetch", "wind_docs_announcements", "wind_docs_news", "cls_telegraph", "wscn_lives", "cninfo_irm", "sseinfo_qa", "eastmoney_724", "eastmoney_stock_news", "eastmoney_reports", "sina_reports", "ths_eps_forecast", "write", "edit"];
 /** 本 preset 的 id（`composedPreset` 的返回值）。 */
 export declare const CAPITAL_PRESET_ID = "capital-generation";
 interface ToolRestriction {
@@ -154,6 +158,28 @@ export declare function restrictRootAgentTools(agent: AgentLike | undefined, rec
  * 已经完成的 deny 收敛（宁可少一层闸门，不能挡住建 agent）。
  */
 export declare function installRootOcrGuard(agent: AgentLike | undefined): (() => void) | undefined;
+/** `tool-fs` 的写口工具名（唯一一份）：`read` / `read_image` 是只读口，不在名单。 */
+export declare const FS_WRITE_TOOL_NAMES: readonly ["write", "edit"];
+/** fs 写口拒绝文案：指回正确路径（读用 read，落盘走工具回传），并留可恢复的余地。 */
+export declare const FS_WRITE_READ_ONLY: string;
+/**
+ * `tool-fs` 写口的调用级闸门（**全局**装在插件 ctx 上，一次安装管住本 preset 所有 agent）。
+ *
+ * 为什么装全局而不是像 `ocr` 那样按 agent 装：`agent/created` 的落层时机随宿主形状漂移
+ * （桌面端 restrict 不写进链路层，见 `docs/dev/bash-gate.md` 的实测记录），而 guard 按
+ * `exec.agent` 取链路、与实例绑哪层无关——这正是那份文档里声明的备选方向，先在写口上落地。
+ *
+ * ⛔ 全局 guard 会吃到本进程**所有**调用，所以判据必须 fail-**open**：registry 读不到、
+ * `composedPreset` 抛错、拿不到 agent 的形状一律放行——宁可少拦一层（`ROOT_AGENT_DENIED_TOOLS`
+ * 还在视图层兜着），也绝不能把别的 preset（开发会话的 read / write / edit）吃掉。
+ * 拒绝只发生在"能确证调用方属于本 preset"时。
+ */
+export declare function fsWriteGuardReasonFor(ctx: PolicyContext): (execution: GuardedExecution) => string | undefined;
+/**
+ * 装 {@link fsWriteGuardReasonFor}。guard 不可用或安装异常都不外抛（调用方是装配路径）；
+ * disposer 由 `ctx.effect` 持有，随本 fiber 释放。
+ */
+export declare function registerFsWriteGuard(ctx: PolicyContext): void;
 /**
  * 注册 `agent/created` 监听。监听器只做一件事：对本 preset 的根 Agent 收敛一次。
  *

package/lib/agents/root-tool-policy.js

@@ -64,8 +64,12 @@ export function rootOcrGuardReason(exec) {
  * `tool-pwsh`，靠 `process.platform === 'win32'` 互斥 `disabled`），所以名字由平台决定。
  *
  * ⛔ 但**闸门必须认全集**：只认本平台那一个，另一端就是静默放行——同一个能力两个入口，
- * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。根侧 deny 与
- * `bash-guard.ts` 的子会话 guard 都从这里取名字，不再各写一份。
+ * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。`bash-guard.ts` 的升级闸门
+ * 从这里取名字，不再各写一份。
+ *
+ * 2026-10-15 用户决策「开 read、同时保留 bash」：shell **不再**进 {@link ROOT_AGENT_DENIED_TOOLS}
+ * ——主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；子会话侧仍由委派行的 `toolFilter`
+ * 与 `bash-guard.ts` 的升级闸门收敛。
  */
 export const SHELL_TOOL_NAMES = ['bash', 'pwsh'];
 export const ROOT_AGENT_DENIED_TOOLS = [
@@ -91,10 +95,19 @@ export const ROOT_AGENT_DENIED_TOOLS = [
      */
     ...RETRIEVAL_DENIED_TOOLS,
     /**
-     * bash 只给 data_junior（它是数据侧的"纯计算兜底"）。主 Agent 不需要它，而且一旦拥有
-     * 就等于拿到通用执行 + 整机读 + 出网能力，会绕过数据调度与出图两道结构 gate。
+     * 文件写口收敛：preset 挂 `tool-fs` 一颗（read / write / edit），主 Agent 只留 `read`
+     * （2026-10-15 用户决策「开 read、同时保留 bash」）。`write` / `edit` 这里逐名 deny 是
+     * **视图层**（restrict 落对层的形状里主 Agent 根本看不见写口）；由于 restrict 落层依赖
+     * 宿主形状（桌面端不写进链路层，见 `docs/dev/bash-gate.md`），调用层还有
+     * {@link fsWriteGuardReasonFor} 兜底——两层拦同一件事：业务落盘只走工具实现
+     * （`store.writeContext` 等），模型不直接写文件。
+     *
+     * `read_image` 刻意不点名：它只读、且条件注册（依赖宿主 `attachments` 服务），照
+     * `web_search` / `web_fetch` 的教训不该在名单里养 `failed` 记录。`tool-fs-search`
+     * （glob / grep）本轮不挂：需求只是"读得动"，发现面等真需求再开。
      */
-    ...SHELL_TOOL_NAMES,
+    'write',
+    'edit',
 ];
 /** 本 preset 的 id（`composedPreset` 的返回值）。 */
 export const CAPITAL_PRESET_ID = 'capital-generation';
@@ -110,26 +123,38 @@ export function agentSessionId(agent) {
     const id = agent?.session?.id;
     return typeof id === 'string' && id.length > 0 ? id : undefined;
 }
-/** 只有本 preset 的 agent 才收敛：别的 preset 的 agent 不该被我们碰。 */
-export function isCapitalAgent(ctx, agent) {
+/** registry 认领结果：字符串 = `composedPreset` 的原样返回值，`'no-registry'` = registry 或方法不在。 */
+const NO_REGISTRY = 'no-registry';
+/**
+ * 读 `agentPresets` registry 对某个 agent 的认领结果——**registry 读取只此一份**
+ * （两个判据的差异只在"读不到时认领还是放行"，见各自调用点）。
+ * `composedPreset` 抛错按"不认领"返回 undefined（不能吞进 `'no-registry'`：那会改变缺省方向）。
+ */
+function presetClaimOf(ctx, agent) {
     let presets;
     try {
         presets = ctx.get?.('agentPresets');
     }
     catch {
-        presets = undefined;
-    }
-    if (presets === undefined || typeof presets.composedPreset !== 'function') {
-        // 读不到 registry 时保守放行：逐名 restrict 本身会拒绝未知工具名，不会误伤别的 preset。
-        return true;
+        return NO_REGISTRY;
     }
+    if (presets === undefined || typeof presets.composedPreset !== 'function')
+        return NO_REGISTRY;
     try {
-        return presets.composedPreset(agent?.ctx) === CAPITAL_PRESET_ID;
+        return presets.composedPreset(agent?.ctx);
     }
     catch {
-        return false;
+        return undefined;
     }
 }
+/** 只有本 preset 的 agent 才收敛：别的 preset 的 agent 不该被我们碰。 */
+export function isCapitalAgent(ctx, agent) {
+    const claim = presetClaimOf(ctx, agent);
+    // 读不到 registry 时保守**认领**：逐名 restrict 本身会拒绝未知工具名，不会误伤别的 preset。
+    if (claim === NO_REGISTRY)
+        return true;
+    return claim === CAPITAL_PRESET_ID;
+}
 const probes = [];
 const MAX_PROBES = 8;
 /** 最近 {@link MAX_PROBES} 条收敛现场（进程内；不落盘，随宿主进程生灭）。 */
@@ -215,6 +240,67 @@ export function installRootOcrGuard(agent) {
         return undefined;
     }
 }
+/** `tool-fs` 的写口工具名（唯一一份）：`read` / `read_image` 是只读口，不在名单。 */
+export const FS_WRITE_TOOL_NAMES = ['write', 'edit'];
+const fsWriteNames = new Set(FS_WRITE_TOOL_NAMES);
+/** fs 写口拒绝文案：指回正确路径（读用 read，落盘走工具回传），并留可恢复的余地。 */
+export const FS_WRITE_READ_ONLY = 'write / edit 不开放（主 Agent 与子会话都不直接写文件）：读文件用 read；'
+    + '数据与产物走工具回传（DatasetRef / chart_ref / send_message），需要落盘的由工具实现完成。'
+    + '若你判断确需写文件，用 send_message 把 data_gap 与已有证据发回主 Agent 协调。';
+/**
+ * `tool-fs` 写口的调用级闸门（**全局**装在插件 ctx 上，一次安装管住本 preset 所有 agent）。
+ *
+ * 为什么装全局而不是像 `ocr` 那样按 agent 装：`agent/created` 的落层时机随宿主形状漂移
+ * （桌面端 restrict 不写进链路层，见 `docs/dev/bash-gate.md` 的实测记录），而 guard 按
+ * `exec.agent` 取链路、与实例绑哪层无关——这正是那份文档里声明的备选方向，先在写口上落地。
+ *
+ * ⛔ 全局 guard 会吃到本进程**所有**调用，所以判据必须 fail-**open**：registry 读不到、
+ * `composedPreset` 抛错、拿不到 agent 的形状一律放行——宁可少拦一层（`ROOT_AGENT_DENIED_TOOLS`
+ * 还在视图层兜着），也绝不能把别的 preset（开发会话的 read / write / edit）吃掉。
+ * 拒绝只发生在"能确证调用方属于本 preset"时。
+ */
+export function fsWriteGuardReasonFor(ctx) {
+    return (execution) => {
+        const name = execution?.name;
+        if (typeof name !== 'string' || !fsWriteNames.has(name))
+            return undefined;
+        if (presetClaimOf(ctx, execution.agent) !== CAPITAL_PRESET_ID)
+            return undefined;
+        return FS_WRITE_READ_ONLY;
+    };
+}
+/**
+ * 装 {@link fsWriteGuardReasonFor}。guard 不可用或安装异常都不外抛（调用方是装配路径）；
+ * disposer 由 `ctx.effect` 持有，随本 fiber 释放。
+ */
+export function registerFsWriteGuard(ctx) {
+    const install = () => {
+        let tools;
+        try {
+            const direct = ctx.tools;
+            const viaGet = typeof ctx.get === 'function' ? ctx.get('tools') : undefined;
+            const candidate = direct !== undefined ? direct : viaGet;
+            tools = candidate;
+        }
+        catch {
+            return undefined;
+        }
+        if (tools === undefined || typeof tools.guard !== 'function')
+            return undefined;
+        try {
+            const dispose = tools.guard(fsWriteGuardReasonFor(ctx));
+            return typeof dispose === 'function' ? dispose : undefined;
+        }
+        catch {
+            return undefined;
+        }
+    };
+    if (typeof ctx.effect === 'function') {
+        ctx.effect(() => install() ?? (() => { }), 'capital-generation.fs-write-guard()');
+        return;
+    }
+    install();
+}
 /**
  * 注册 `agent/created` 监听。监听器只做一件事：对本 preset 的根 Agent 收敛一次。
  *

package/lib/index.js

@@ -11,7 +11,7 @@ import { registerTimeTool } from './time/tools.js';
 import { registerWatchlistTool } from './watchlist/tools.js';
 import { registerChartTool } from './chart/tool.js';
 import { createChartEventPublisher } from './chart/events.js';
-import { registerRootToolPolicy, rootPolicyProbes } from './agents/root-tool-policy.js';
+import { registerRootToolPolicy, registerFsWriteGuard, rootPolicyProbes } from './agents/root-tool-policy.js';
 import { registerBashGuard } from './agents/bash-guard.js';
 import { registerRootSelectedSkills, SELECTED_SKILL_CATALOG } from './agents/selected-skills-provider.js';
 import { ChartSourceTokenStore, registerChartSourceTool } from './chart/source-token.js';
@@ -362,16 +362,22 @@ export function apply(ctx, config) {
         chartEvents: () => createChartEventPublisher(chartEventContext),
     });
     // 根 Agent 工具收敛：`agent/created` 里对**主 Agent**（无 parentSession）在其自己的
-    // scope 上 deny render_chart / subagent_visualization_specialist / prepare_chart_source。
+    // scope 上逐名 deny `ROOT_AGENT_DENIED_TOOLS`（出图三件套 + 十三个出网工具 + `write` /
+    // `edit`；2026-10-15 用户决策「开 read、同时保留 bash」后 shell 名已移出名单）。
     // 子 Agent 的 scope parent 是 standing key（兄弟），因此不受影响。
     registerRootToolPolicy(ctx);
-    // data_junior 的 bash 闸门：对**本 preset 的每个 agent** 在其自己的 scope 上装一次单调 guard。
-    // 两层可靠判定——A 只对**被委派**子会话开放（镜像 tool-exec.ts 的 delegatedSession）；
-    // B 拦掉必然失败的 `sandbox_permissions`（委派会话的审批策略由框架固定为 never，
-    // answerer 根本不会被调用），并给出正确路径。**不解析命令内容**：正则挡不住
-    // `node -e`，而 node/python 正是引入 bash 的目的；禁区纪律走 data_junior 的 persona。
-    // 理由全文见 src/agents/bash-guard.ts 与 docs/dev/bash-gate.md §1.6「data_junior 的 bash 闸门」。
+    // shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在其自己的 scope 上装一次单调 guard，
+    // 只拦**必然失败的沙箱升级**（`sandbox_permissions` / `justification`：被委派会话的审批策略
+    // 由框架固定为 never，answerer 根本不会被调用），并给出正确路径。主 Agent 的 shell 保留
+    // （2026-10-15 决策），它的升级走正常 ask 审批。**不解析命令内容**：正则挡不住 `node -e`，
+    // 而 node/python 正是引入 bash 的目的；禁区纪律走 data_junior 的 persona。
+    // 理由全文见 src/agents/bash-guard.ts 与 docs/dev/bash-gate.md §1.6。
     registerBashGuard(ctx);
+    // fs 写口闸门：**全局**装一次（guard 按 `exec.agent` 取链路，与实例绑哪层无关——
+    // docs/dev/bash-gate.md §1.6 里声明的备选方向在写口上落地），调用期拦本 preset 的
+    // `write` / `edit`；`read` 开放给主 Agent 读 skill 分册与工作区文件。判据 fail-open
+    // （别的 preset 的会话照常读写），见 src/agents/root-tool-policy.ts。
+    registerFsWriteGuard(ctx);
     ctx.effect(() => {
         const sources = createTencentSources();
         const disposers = sources.map((dataSource) => hub.registerSource(dataSource));

package/lib/web-retriever/local-fetch.d.ts

@@ -6,7 +6,7 @@
  * between validation and connect. Closing that window would require a custom
  * dispatcher; this module keeps the same explicit trade-off as dsh-search-first.
  */
-export declare const LOCAL_FETCH_CLIENT_VERSION = "2.7.11";
+export declare const LOCAL_FETCH_CLIENT_VERSION = "2.8.0";
 export declare const LOCAL_FETCH_MAX_URL_LENGTH = 2048;
 export type LocalFetchErrorCode = 'ABORTED' | 'TIMEOUT' | 'INVALID_URL' | 'BLOCKED_URL' | 'DNS' | 'REDIRECT' | 'HTTP' | 'TOO_LARGE' | 'UNSUPPORTED_CONTENT_TYPE';
 export declare class LocalFetchError extends Error {

package/lib/web-retriever/local-fetch.js

@@ -7,7 +7,7 @@
  * dispatcher; this module keeps the same explicit trade-off as dsh-search-first.
  */
 import { htmlToMarkdown, stripInvisibleText } from './html-markdown.js';
-export const LOCAL_FETCH_CLIENT_VERSION = '2.7.11';
+export const LOCAL_FETCH_CLIENT_VERSION = '2.8.0';
 export const LOCAL_FETCH_MAX_URL_LENGTH = 2048;
 export class LocalFetchError extends Error {
     code;

package/lib/web-retriever/wind-client.d.ts

@@ -52,7 +52,7 @@ export interface WindCallResult {
  * `test/chart-composition.test.mjs` 守着（会因漂移而失败），这里原本是写死的第二处，
  * 一次发版就得记得改两遍。所以本常量由测试一并核对（见 `test/wind-client.test.mjs`）。
  */
-export declare const WIND_CLIENT_VERSION = "2.7.11";
+export declare const WIND_CLIENT_VERSION = "2.8.0";
 export interface WindClient {
     callTool(toolName: string, args: Record<string, unknown>, signal?: AbortSignal): Promise<WindCallResult>;
 }

package/lib/web-retriever/wind-client.js

@@ -35,7 +35,7 @@ export const WIND_SERVER_ENDPOINTS = {
  * `test/chart-composition.test.mjs` 守着（会因漂移而失败），这里原本是写死的第二处，
  * 一次发版就得记得改两遍。所以本常量由测试一并核对（见 `test/wind-client.test.mjs`）。
  */
-export const WIND_CLIENT_VERSION = '2.7.11';
+export const WIND_CLIENT_VERSION = '2.8.0';
 function errorText(error) {
     return error instanceof Error ? error.message : String(error);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/capital-generation",
-  "version": "2.7.11",
+  "version": "2.8.0",
   "description": "Capital Generation：面向中国散户的 AI 投资助手插件(Capital mode Agent Preset）",
   "icon": "assets/cg-icon.png",
   "author": "v587d",