@v587d/capital-generation 2.7.12 → 2.8.0

package/CHANGELOG.md

@@ -7,6 +7,34 @@
 - **第三位（patch）**：不破坏既有工具 / 配置 / 会话的新增与修复（如 2.1.1、2.1.2）。
 - **第二位（minor）**：有需要用户知晓的行为变更，且段内附迁移说明（如 2.1.0 的图表呈现通道重做、2.2.0 的数据源与检索来源扩容、2.4.0 的**必须换宿主版本**——本插件自己的工具与数据契约没变，所以只抬第二位）。
 
+## [2.8.0] - 2026-10-15
+
+主 Agent 的工具面按用户决策调整为「**开 read、同时保留 bash**」，三个平台的口径终于一致。宿主要求与
+2.7.11 相同（DSH`@0.2.0-rc.2`），**不必换宿主版本**。
+
+### Changed
+
+- **主 Agent 现在能直接读文件**（新增 `read`）：读精选 Skill 的方法论分册、读工作区里的文件都走它。
+  此前主 Agent 没有读文件的工具，真机上都是拿 `bash` 的 `cat` 绕——能力等价，但现在是正路。此前几版
+  「入口册 + 分册」的分层阅读，也从这一版起有了产品内的正式通道。
+- **主 Agent 保留 `bash` / `pwsh`**（各平台二选一，和数据角色用的是同一颗）：用于纯计算兜底。此前
+  Linux / Web 平面上它被整体拿掉、而 Windows 桌面端因为已知宿主差异实际没拦住——同一个产品两种行为。
+  现在三端一致：主 Agent 都有 shell。
+- **主 Agent 仍然不能写文件**（`write` / `edit` 不开放，调用时拒绝并指回正路）：数据与产物继续走工具
+  回传，落盘由工具实现完成；子 Agent 也一样不直接写文件。读文件的口子开了，写文件的没开——这是刻意的。
+- **通用子会话收掉文件口**：临时子会话读不到原始数据文件（原始行永不出工具层），也写不了文件。
+- **`read` 的读侧纪律写在人设里，而不是写成一道闸门**：主 Agent 不读原始行落盘目录、不读宿主配置与
+  凭据，引用 Skill 分册要整册读完再引用。原因很直白——shell 仍然开着，`cat` 同一个文件不需要任何
+  权限，而沙箱实测只拦写、不拦读；按参数拦路径只会得到一个看起来严、实际绕得开的边界。这一条有回归
+  点名（四条断言），管不住的地方说清楚是谁在管，比假装管住了强。
+
+### 迁移说明
+
+- 不需要任何动作：密钥、卡片设置、精选 Skills 勾选、自选股与持仓标记全部照旧读得到。
+- 行为变化只在工具可见性（上面四条）；取数、出图、检索的契约都没变。
+- Windows 桌面端那条[已知宿主差异](README.md)依旧存在（主 Agent 的部分工具限制可能不生效）；由于 shell
+  本版起对主 Agent 正式开放，这条差异的暴露面缩小为"出图与检索的限制"，请继续留意它实际调用了哪些工具。
+
 ## [2.7.12] - 2026-10-14
 
 内部整理，治的是同一件事：**正文长过一次的加载窗口，宿主就从中间把它剪掉**。DSH 对任何一次工具结果只

package/README.md

@@ -15,7 +15,7 @@
 <p align="center">
   <a href="https://awesome-dsh-plugin.com"><img src="https://awesome-dsh-plugin.com/badge.svg" alt="awesome · DSH plugin"></a>
   <a href="LICENSE"><img src="https://img.shields.io/badge/License-MIT-green" alt="License"></a>
-  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.7.12-9cf" alt="Version"></a>
+  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.8.0-9cf" alt="Version"></a>
   <a href="https://www.npmjs.com/package/@v587d/capital-generation"><img src="https://img.shields.io/npm/v/%40v587d%2Fcapital-generation" alt="npm version"></a>
 </p>
 
@@ -168,10 +168,11 @@ https://github.com/v587d/capital-generation
 - **安装后找不到 Capital 模式？** 确认插件出现在「插件」→ 已安装列表；Web / CLI profile 安装后要重启该 profile，并在新会话选择模式。
 - **配置在哪？** 打开「插件」→ 已安装的 **Capital Generation**，页面顶部就是「数据源 / 精选 Skills / 包含的组件」三格，四把密钥都在第一格；不在 DSH 的普通「设置」页面，也不用点进任何一行组件。保存密钥后新建会话再试。
 - **升级到 2.7.11 后，卡片里的开关回到默认值了？** 这一版把插件内部两个组件换了目录名，宿主按旧路径记住的那份保存值因此接不上。四把 API Key、你的自选股清单与持仓标记都不受影响；「精选 Skills」的勾选、附加人设与「本机直连」开关需要重新设一次并保存，之后就稳定了。已经设过的话，旧的那份仍写在 DSH 的 profile 文件里，手改那一行的路径也能取回来。
-- **桌面端升级后仍是旧版？** 桌面端安装时会固定所解析的版本，不会自动升级。卸载后重新安装，再到插件详情查看版本号；如需指定版本，可在地址末尾加 `#v2.7.12` 或 `@2.7.12`。
+- **桌面端升级后仍是旧版？** 桌面端安装时会固定所解析的版本，不会自动升级。卸载后重新安装，再到插件详情查看版本号；如需指定版本，可在地址末尾加 `#v2.8.0` 或 `@2.8.0`。
 - **刚发布的新版本装不到？** 桌面端取包时会跳过**刚发布不久**的版本（宿主侧包管理器的发布冷却策略，实测会静默装成上一个版本），国内镜像的同步也可能滞后一段时间。急着用最新代码，改用仓库地址安装最直接。
 - **网页抓取失败？** 配置卡片中的「允许启动本地提取网页内容」默认开启：AnySearch 提取失败时可尝试本机直连。关闭后，本机直连的具名来源查询也不可用；请检查该开关和网络连接。
 - **Wind 那部分会消耗积分？** 会。公告与新闻检索、宏观 / 行业 / 汇率指标、按日期区间取的历史 K 线都按次消耗你在 Wind 侧的额度；额度与条款以 Wind 为准，插件不做用量封顶。没配 `WIND_API_KEY` 时这几类不可用，其余功能照常。
+- **运行时主 Agent没有加载已打开的精选 Skill？** 由 LLM 判断是否值得加载精选 Skill， 如果你需要强制使用某一种技能，可通过 `/技能名称` 斜杠命令的形式手动加载已在设置中打开的 Skill。
 
 目前 Windows 桌面端有一项[已知宿主差异](CHANGELOG.md)：主 Agent 的部分工具限制可能不生效。请特别留意它实际调用了哪些工具；结构化数据的取数限制仍由工具自身执行。
 

package/chart-ui/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/capital-charts",
-  "version": "2.7.12",
+  "version": "2.8.0",
   "description": "Capital 模式的图表前端组件（浏览器半边 + 序列旁路路由）：由 @v587d/capital-generation 随包携带并作为 host 平面行挂载。",
   "license": "MIT",
   "type": "module",

package/config/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/config",
-  "version": "2.7.12",
+  "version": "2.8.0",
   "description": "Capital 模式的取数凭据与偏好配置行：卡片坐在 @v587d/capital-generation 插件主页的「配置」段，点这一行本身没有表单。",
   "license": "MIT",
   "type": "module",

package/lib/agents/bash-guard.d.ts

@@ -1,5 +1,5 @@
 /**
- * data_junior 的 shell 调用闸门（`bash` / `pwsh` 两个名字都认，两层，都是**可靠判定**，不看命令内容）。
+ * shell 调用闸门（`bash` / `pwsh` 两个名字都认，只拦**必然失败的沙箱升级**，不看命令内容）。
  *
  * 背景与边界（设计理由全文在 preset/capital-generation/README.md）：
  *  - bash 不是计算器，是一台完整终端。本仓实测：沙箱**只拦写**（workspace + /tmp 之外
@@ -14,15 +14,17 @@
  *    的会话钉成 read-only 会直接打断 `describe_dataset` 的 profile 落盘
  *    （`workspace_not_writable`）。bash 与 Dataset 管线共用同一把尺子（session policy）。
  *
- * 两层规则：
- *  A 结构层：shell 只对**被委派**的子会话开放（镜像 src/tool-exec.ts 的 delegatedSession）——
- *    即使哪天 ROOT_AGENT_DENIED_TOOLS 或 allow 过滤被改坏，执行层仍然拒绝根会话。
- *    docs/dev/bash-gate.md「工具可见性不是权限隔离」。
- *  B UX 层：委派子会话的审批策略由框架固定为 `never`（dsh-subagent 的
- *    `captureDelegatedPolicyOverrides` → `approval/policy: never`，`dsh-user-approval.decide()`
- *    在 never 时**直接返回 rejected、根本不调用 answerer**），所以 `sandbox_permissions`
- *    必然失败，而且模型会收到「the user rejected…」这种**把系统拒绝说成用户拒绝**的文案。
- *    这里提前拦下并给出正确路径：省一次必然白跑的往返 + 纠正归因。
+ * 规则只留一层（2026-10-15 用户决策「开 read、同时保留 bash」后）：
+ *  A 结构层（**已随决策移除**）：曾拒绝根会话的 shell 调用（"只对被委派子会话开放"）。
+ *    现在主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；shell 归谁由可见性收敛——
+ *    `ROOT_AGENT_DENIED_TOOLS` 不再含 shell 名，子会话侧由委派行的 `toolFilter` 把 shell
+ *    只给 data_junior。迁移的断言在 `test/bash-guard.test.mjs`（根会话放行是**新契约**）。
+ *  B UX 层（保留，收窄到"被委派 / 身份不可考的调用方"）：委派子会话的审批策略由框架固定为
+ *    `never`（dsh-subagent 的 `captureDelegatedPolicyOverrides` → `approval/policy: never`，
+ *    `dsh-user-approval.decide()` 在 never 时**直接返回 rejected、根本不调用 answerer**），
+ *    所以 `sandbox_permissions` 必然失败，而且模型会收到「the user rejected…」这种
+ *    **把系统拒绝说成用户拒绝**的文案。这里提前拦下并给出正确路径：省一次必然白跑的往返 +
+ *    纠正归因。主 Agent 自己的升级照常走 ask 审批（那正是 escalation 的正当用途）。
  *
  * 为什么用 `tools.guard` 而不是 `tools/pre-execute`：guard 是**单调**的（没有 allow 结果，
  * 任何监听顺序都无法把别人的 deny 翻回 allow），同步、拿到解析后的 `arguments`，且
@@ -32,20 +34,23 @@
 import { type GuardedExecution, type PolicyContext } from './root-tool-policy.js';
 /** 闸门看到的调用形状：guard 拿到的是解析后的 arguments，不是一个 shell 字符串。 */
 export type BashGuardExecution = GuardedExecution;
-/** A 结构层拒绝文案：模型可据此改走委派。 */
-export declare const SHELL_DELEGATED_ONLY: string;
-/** B UX 层拒绝文案：说清"这不是用户拒绝"，并给出正确路径。 */
+/**
+ * 沙箱升级拒绝文案：说清"这不是用户拒绝"，并给出正确路径。
+ * （A 结构层文案 `SHELL_DELEGATED_ONLY` 随 2026-10-15 决策删除，断言迁移到
+ * `test/bash-guard.test.mjs` 的"根会话放行"用例。）
+ */
 export declare const SHELL_ESCALATION_UNREACHABLE: string;
 /**
  * 单次 shell 调用的判定：返回拒绝理由，或 undefined 放行。
  *
- * 判定顺序是"先身份、后能力"：身份不对时不该让模型以为问题出在参数上。
- * 注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
- * 绝不解析 `command`——理由见文件头。
+ * 2026-10-15 起主 Agent 的 shell 调用一律放行（A 层随决策移除）；被拦的只有**升级参数**
+ * ——注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
+ * 绝不解析 `command`——理由见文件头。升级判不了身份时 fail closed：根会话的形状是
+ * "有 session 且无 parentSession"，证明不了就当最坏打算，不给"拿不到身份就放行"的口子。
  */
 export declare function bashGuardReason(exec: BashGuardExecution | undefined): string | undefined;
 /**
- * 注册 bash 闸门：对**本 preset 的每个 agent** 在它自己的 scope 上装一次 guard。
+ * 注册 shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在它自己的 scope 上装一次 guard。
  *
  * 监听位置与 `registerRootToolPolicy` 同因：`agent/created` 的路由键是 agent 对象本身，
  * 注册在 standing scope（打了标签）的监听器**收不到且不报错**，必须挂 `ctx.root`。

package/lib/agents/bash-guard.js

@@ -1,5 +1,5 @@
 /**
- * data_junior 的 shell 调用闸门（`bash` / `pwsh` 两个名字都认，两层，都是**可靠判定**，不看命令内容）。
+ * shell 调用闸门（`bash` / `pwsh` 两个名字都认，只拦**必然失败的沙箱升级**，不看命令内容）。
  *
  * 背景与边界（设计理由全文在 preset/capital-generation/README.md）：
  *  - bash 不是计算器，是一台完整终端。本仓实测：沙箱**只拦写**（workspace + /tmp 之外
@@ -14,15 +14,17 @@
  *    的会话钉成 read-only 会直接打断 `describe_dataset` 的 profile 落盘
  *    （`workspace_not_writable`）。bash 与 Dataset 管线共用同一把尺子（session policy）。
  *
- * 两层规则：
- *  A 结构层：shell 只对**被委派**的子会话开放（镜像 src/tool-exec.ts 的 delegatedSession）——
- *    即使哪天 ROOT_AGENT_DENIED_TOOLS 或 allow 过滤被改坏，执行层仍然拒绝根会话。
- *    docs/dev/bash-gate.md「工具可见性不是权限隔离」。
- *  B UX 层：委派子会话的审批策略由框架固定为 `never`（dsh-subagent 的
- *    `captureDelegatedPolicyOverrides` → `approval/policy: never`，`dsh-user-approval.decide()`
- *    在 never 时**直接返回 rejected、根本不调用 answerer**），所以 `sandbox_permissions`
- *    必然失败，而且模型会收到「the user rejected…」这种**把系统拒绝说成用户拒绝**的文案。
- *    这里提前拦下并给出正确路径：省一次必然白跑的往返 + 纠正归因。
+ * 规则只留一层（2026-10-15 用户决策「开 read、同时保留 bash」后）：
+ *  A 结构层（**已随决策移除**）：曾拒绝根会话的 shell 调用（"只对被委派子会话开放"）。
+ *    现在主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；shell 归谁由可见性收敛——
+ *    `ROOT_AGENT_DENIED_TOOLS` 不再含 shell 名，子会话侧由委派行的 `toolFilter` 把 shell
+ *    只给 data_junior。迁移的断言在 `test/bash-guard.test.mjs`（根会话放行是**新契约**）。
+ *  B UX 层（保留，收窄到"被委派 / 身份不可考的调用方"）：委派子会话的审批策略由框架固定为
+ *    `never`（dsh-subagent 的 `captureDelegatedPolicyOverrides` → `approval/policy: never`，
+ *    `dsh-user-approval.decide()` 在 never 时**直接返回 rejected、根本不调用 answerer**），
+ *    所以 `sandbox_permissions` 必然失败，而且模型会收到「the user rejected…」这种
+ *    **把系统拒绝说成用户拒绝**的文案。这里提前拦下并给出正确路径：省一次必然白跑的往返 +
+ *    纠正归因。主 Agent 自己的升级照常走 ask 审批（那正是 escalation 的正当用途）。
  *
  * 为什么用 `tools.guard` 而不是 `tools/pre-execute`：guard 是**单调**的（没有 allow 结果，
  * 任何监听顺序都无法把别人的 deny 翻回 allow），同步、拿到解析后的 `arguments`，且
@@ -38,33 +40,35 @@ import { agentSessionId, isCapitalAgent, SHELL_TOOL_NAMES } from './root-tool-po
  * 一次都不触发，且不报错（2026-09-30 实测发现，症状是"§1.6 那道闸门在 Windows 上是死代码"）。
  */
 const shellToolNames = new Set(SHELL_TOOL_NAMES);
-/** A 结构层拒绝文案：模型可据此改走委派。 */
-export const SHELL_DELEGATED_ONLY = 'shell 工具（bash / pwsh）只对被委派的数据子 Agent 开放，当前调用方不是被委派的子会话；'
-    + '数据与统计请由主 Agent 委派 data_collector / data_junior。';
-/** B UX 层拒绝文案：说清"这不是用户拒绝"，并给出正确路径。 */
-export const SHELL_ESCALATION_UNREACHABLE = 'shell 工具（bash / pwsh）的沙箱升级在子 Agent 会话里永远无法获批（框架把委派会话的审批策略固定为 never，不会去问用户），不要重试：'
-    + '缺数值用 describe_dataset / query_dataset，缺数据用 send_message 发 data_gap 回主 Agent。';
+/**
+ * 沙箱升级拒绝文案：说清"这不是用户拒绝"，并给出正确路径。
+ * （A 结构层文案 `SHELL_DELEGATED_ONLY` 随 2026-10-15 决策删除，断言迁移到
+ * `test/bash-guard.test.mjs` 的"根会话放行"用例。）
+ */
+export const SHELL_ESCALATION_UNREACHABLE = 'shell 工具（bash / pwsh）的沙箱升级只有主 Agent 的会话能拿到用户审批：被委派的子会话拿不到'
+    + '（框架把委派会话的审批策略固定为 never，不会去问用户），当前调用方也不是可确认的主 Agent 会话。'
+    + '不要重试升级：缺数值用 describe_dataset / query_dataset，缺数据用 send_message 发 data_gap 回主 Agent。';
 function isRecord(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 /**
  * 单次 shell 调用的判定：返回拒绝理由，或 undefined 放行。
  *
- * 判定顺序是"先身份、后能力"：身份不对时不该让模型以为问题出在参数上。
- * 注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
- * 绝不解析 `command`——理由见文件头。
+ * 2026-10-15 起主 Agent 的 shell 调用一律放行（A 层随决策移除）；被拦的只有**升级参数**
+ * ——注意这里**只读两个字段**（调用方身份、`sandbox_permissions`/`justification`），
+ * 绝不解析 `command`——理由见文件头。升级判不了身份时 fail closed：根会话的形状是
+ * "有 session 且无 parentSession"，证明不了就当最坏打算，不给"拿不到身份就放行"的口子。
  */
 export function bashGuardReason(exec) {
     if (exec === undefined || typeof exec.name !== 'string' || !shellToolNames.has(exec.name))
         return undefined;
-    const parent = exec.agent?.session?.header?.parentSession;
-    if (typeof parent !== 'string' || parent.length === 0)
-        return SHELL_DELEGATED_ONLY;
     const args = isRecord(exec.arguments) ? exec.arguments : undefined;
-    if (args !== undefined && (args.sandbox_permissions !== undefined || args.justification !== undefined)) {
-        return SHELL_ESCALATION_UNREACHABLE;
-    }
-    return undefined;
+    const escalated = args !== undefined && (args.sandbox_permissions !== undefined || args.justification !== undefined);
+    if (!escalated)
+        return undefined;
+    const parent = exec.agent?.session?.header?.parentSession;
+    const knownRoot = exec.agent?.session !== undefined && (typeof parent !== 'string' || parent.length === 0);
+    return knownRoot ? undefined : SHELL_ESCALATION_UNREACHABLE;
 }
 /** 在某个 agent 自己的 scope 上安装 guard，返回 disposer（不可用时返回 undefined）。 */
 function installAgentGuard(agent) {
@@ -86,7 +90,7 @@ function installAgentGuard(agent) {
     }
 }
 /**
- * 注册 bash 闸门：对**本 preset 的每个 agent** 在它自己的 scope 上装一次 guard。
+ * 注册 shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在它自己的 scope 上装一次 guard。
  *
  * 监听位置与 `registerRootToolPolicy` 同因：`agent/created` 的路由键是 agent 对象本身，
  * 注册在 standing scope（打了标签）的监听器**收不到且不报错**，必须挂 `ctx.root`。
@@ -107,7 +111,7 @@ export function registerBashGuard(ctx) {
                     return;
                 const dispose = installAgentGuard(agent);
                 if (dispose === undefined) {
-                    ctx.logger?.warn('capital-generation: bash 闸门未生效（agent scope 上没有 tools.guard）：data_junior 的 bash 只剩 persona 软约束');
+                    ctx.logger?.warn('capital-generation: shell 闸门未生效（agent scope 上没有 tools.guard）：沙箱升级拦截只剩 persona 软约束');
                     return;
                 }
                 const id = agentSessionId(agent);

package/lib/agents/root-tool-policy.d.ts

@@ -47,11 +47,15 @@ export declare function rootOcrGuardReason(exec: GuardedExecution | undefined):
  * `tool-pwsh`，靠 `process.platform === 'win32'` 互斥 `disabled`），所以名字由平台决定。
  *
  * ⛔ 但**闸门必须认全集**：只认本平台那一个，另一端就是静默放行——同一个能力两个入口，
- * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。根侧 deny 与
- * `bash-guard.ts` 的子会话 guard 都从这里取名字，不再各写一份。
+ * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。`bash-guard.ts` 的升级闸门
+ * 从这里取名字，不再各写一份。
+ *
+ * 2026-10-15 用户决策「开 read、同时保留 bash」：shell **不再**进 {@link ROOT_AGENT_DENIED_TOOLS}
+ * ——主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；子会话侧仍由委派行的 `toolFilter`
+ * 与 `bash-guard.ts` 的升级闸门收敛。
  */
 export declare const SHELL_TOOL_NAMES: readonly ["bash", "pwsh"];
-export declare const ROOT_AGENT_DENIED_TOOLS: readonly ["render_chart", "subagent_visualization_specialist", "prepare_chart_source", "anysearch_search", "web_retriever_fetch", "wind_docs_announcements", "wind_docs_news", "cls_telegraph", "wscn_lives", "cninfo_irm", "sseinfo_qa", "eastmoney_724", "eastmoney_stock_news", "eastmoney_reports", "sina_reports", "ths_eps_forecast", "bash", "pwsh"];
+export declare const ROOT_AGENT_DENIED_TOOLS: readonly ["render_chart", "subagent_visualization_specialist", "prepare_chart_source", "anysearch_search", "web_retriever_fetch", "wind_docs_announcements", "wind_docs_news", "cls_telegraph", "wscn_lives", "cninfo_irm", "sseinfo_qa", "eastmoney_724", "eastmoney_stock_news", "eastmoney_reports", "sina_reports", "ths_eps_forecast", "write", "edit"];
 /** 本 preset 的 id（`composedPreset` 的返回值）。 */
 export declare const CAPITAL_PRESET_ID = "capital-generation";
 interface ToolRestriction {
@@ -154,6 +158,28 @@ export declare function restrictRootAgentTools(agent: AgentLike | undefined, rec
  * 已经完成的 deny 收敛（宁可少一层闸门，不能挡住建 agent）。
  */
 export declare function installRootOcrGuard(agent: AgentLike | undefined): (() => void) | undefined;
+/** `tool-fs` 的写口工具名（唯一一份）：`read` / `read_image` 是只读口，不在名单。 */
+export declare const FS_WRITE_TOOL_NAMES: readonly ["write", "edit"];
+/** fs 写口拒绝文案：指回正确路径（读用 read，落盘走工具回传），并留可恢复的余地。 */
+export declare const FS_WRITE_READ_ONLY: string;
+/**
+ * `tool-fs` 写口的调用级闸门（**全局**装在插件 ctx 上，一次安装管住本 preset 所有 agent）。
+ *
+ * 为什么装全局而不是像 `ocr` 那样按 agent 装：`agent/created` 的落层时机随宿主形状漂移
+ * （桌面端 restrict 不写进链路层，见 `docs/dev/bash-gate.md` 的实测记录），而 guard 按
+ * `exec.agent` 取链路、与实例绑哪层无关——这正是那份文档里声明的备选方向，先在写口上落地。
+ *
+ * ⛔ 全局 guard 会吃到本进程**所有**调用，所以判据必须 fail-**open**：registry 读不到、
+ * `composedPreset` 抛错、拿不到 agent 的形状一律放行——宁可少拦一层（`ROOT_AGENT_DENIED_TOOLS`
+ * 还在视图层兜着），也绝不能把别的 preset（开发会话的 read / write / edit）吃掉。
+ * 拒绝只发生在"能确证调用方属于本 preset"时。
+ */
+export declare function fsWriteGuardReasonFor(ctx: PolicyContext): (execution: GuardedExecution) => string | undefined;
+/**
+ * 装 {@link fsWriteGuardReasonFor}。guard 不可用或安装异常都不外抛（调用方是装配路径）；
+ * disposer 由 `ctx.effect` 持有，随本 fiber 释放。
+ */
+export declare function registerFsWriteGuard(ctx: PolicyContext): void;
 /**
  * 注册 `agent/created` 监听。监听器只做一件事：对本 preset 的根 Agent 收敛一次。
  *

package/lib/agents/root-tool-policy.js

@@ -64,8 +64,12 @@ export function rootOcrGuardReason(exec) {
  * `tool-pwsh`，靠 `process.platform === 'win32'` 互斥 `disabled`），所以名字由平台决定。
  *
  * ⛔ 但**闸门必须认全集**：只认本平台那一个，另一端就是静默放行——同一个能力两个入口，
- * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。根侧 deny 与
- * `bash-guard.ts` 的子会话 guard 都从这里取名字，不再各写一份。
+ * 本地测试只覆盖了接好的那个（AGENTS.md §9.7 的第三种形状）。`bash-guard.ts` 的升级闸门
+ * 从这里取名字，不再各写一份。
+ *
+ * 2026-10-15 用户决策「开 read、同时保留 bash」：shell **不再**进 {@link ROOT_AGENT_DENIED_TOOLS}
+ * ——主 Agent 保留 bash / pwsh（读 skill 分册、纯计算）；子会话侧仍由委派行的 `toolFilter`
+ * 与 `bash-guard.ts` 的升级闸门收敛。
  */
 export const SHELL_TOOL_NAMES = ['bash', 'pwsh'];
 export const ROOT_AGENT_DENIED_TOOLS = [
@@ -91,10 +95,19 @@ export const ROOT_AGENT_DENIED_TOOLS = [
      */
     ...RETRIEVAL_DENIED_TOOLS,
     /**
-     * bash 只给 data_junior（它是数据侧的"纯计算兜底"）。主 Agent 不需要它，而且一旦拥有
-     * 就等于拿到通用执行 + 整机读 + 出网能力，会绕过数据调度与出图两道结构 gate。
+     * 文件写口收敛：preset 挂 `tool-fs` 一颗（read / write / edit），主 Agent 只留 `read`
+     * （2026-10-15 用户决策「开 read、同时保留 bash」）。`write` / `edit` 这里逐名 deny 是
+     * **视图层**（restrict 落对层的形状里主 Agent 根本看不见写口）；由于 restrict 落层依赖
+     * 宿主形状（桌面端不写进链路层，见 `docs/dev/bash-gate.md`），调用层还有
+     * {@link fsWriteGuardReasonFor} 兜底——两层拦同一件事：业务落盘只走工具实现
+     * （`store.writeContext` 等），模型不直接写文件。
+     *
+     * `read_image` 刻意不点名：它只读、且条件注册（依赖宿主 `attachments` 服务），照
+     * `web_search` / `web_fetch` 的教训不该在名单里养 `failed` 记录。`tool-fs-search`
+     * （glob / grep）本轮不挂：需求只是"读得动"，发现面等真需求再开。
      */
-    ...SHELL_TOOL_NAMES,
+    'write',
+    'edit',
 ];
 /** 本 preset 的 id（`composedPreset` 的返回值）。 */
 export const CAPITAL_PRESET_ID = 'capital-generation';
@@ -110,26 +123,38 @@ export function agentSessionId(agent) {
     const id = agent?.session?.id;
     return typeof id === 'string' && id.length > 0 ? id : undefined;
 }
-/** 只有本 preset 的 agent 才收敛：别的 preset 的 agent 不该被我们碰。 */
-export function isCapitalAgent(ctx, agent) {
+/** registry 认领结果：字符串 = `composedPreset` 的原样返回值，`'no-registry'` = registry 或方法不在。 */
+const NO_REGISTRY = 'no-registry';
+/**
+ * 读 `agentPresets` registry 对某个 agent 的认领结果——**registry 读取只此一份**
+ * （两个判据的差异只在"读不到时认领还是放行"，见各自调用点）。
+ * `composedPreset` 抛错按"不认领"返回 undefined（不能吞进 `'no-registry'`：那会改变缺省方向）。
+ */
+function presetClaimOf(ctx, agent) {
     let presets;
     try {
         presets = ctx.get?.('agentPresets');
     }
     catch {
-        presets = undefined;
-    }
-    if (presets === undefined || typeof presets.composedPreset !== 'function') {
-        // 读不到 registry 时保守放行：逐名 restrict 本身会拒绝未知工具名，不会误伤别的 preset。
-        return true;
+        return NO_REGISTRY;
     }
+    if (presets === undefined || typeof presets.composedPreset !== 'function')
+        return NO_REGISTRY;
     try {
-        return presets.composedPreset(agent?.ctx) === CAPITAL_PRESET_ID;
+        return presets.composedPreset(agent?.ctx);
     }
     catch {
-        return false;
+        return undefined;
     }
 }
+/** 只有本 preset 的 agent 才收敛：别的 preset 的 agent 不该被我们碰。 */
+export function isCapitalAgent(ctx, agent) {
+    const claim = presetClaimOf(ctx, agent);
+    // 读不到 registry 时保守**认领**：逐名 restrict 本身会拒绝未知工具名，不会误伤别的 preset。
+    if (claim === NO_REGISTRY)
+        return true;
+    return claim === CAPITAL_PRESET_ID;
+}
 const probes = [];
 const MAX_PROBES = 8;
 /** 最近 {@link MAX_PROBES} 条收敛现场（进程内；不落盘，随宿主进程生灭）。 */
@@ -215,6 +240,67 @@ export function installRootOcrGuard(agent) {
         return undefined;
     }
 }
+/** `tool-fs` 的写口工具名（唯一一份）：`read` / `read_image` 是只读口，不在名单。 */
+export const FS_WRITE_TOOL_NAMES = ['write', 'edit'];
+const fsWriteNames = new Set(FS_WRITE_TOOL_NAMES);
+/** fs 写口拒绝文案：指回正确路径（读用 read，落盘走工具回传），并留可恢复的余地。 */
+export const FS_WRITE_READ_ONLY = 'write / edit 不开放（主 Agent 与子会话都不直接写文件）：读文件用 read；'
+    + '数据与产物走工具回传（DatasetRef / chart_ref / send_message），需要落盘的由工具实现完成。'
+    + '若你判断确需写文件，用 send_message 把 data_gap 与已有证据发回主 Agent 协调。';
+/**
+ * `tool-fs` 写口的调用级闸门（**全局**装在插件 ctx 上，一次安装管住本 preset 所有 agent）。
+ *
+ * 为什么装全局而不是像 `ocr` 那样按 agent 装：`agent/created` 的落层时机随宿主形状漂移
+ * （桌面端 restrict 不写进链路层，见 `docs/dev/bash-gate.md` 的实测记录），而 guard 按
+ * `exec.agent` 取链路、与实例绑哪层无关——这正是那份文档里声明的备选方向，先在写口上落地。
+ *
+ * ⛔ 全局 guard 会吃到本进程**所有**调用，所以判据必须 fail-**open**：registry 读不到、
+ * `composedPreset` 抛错、拿不到 agent 的形状一律放行——宁可少拦一层（`ROOT_AGENT_DENIED_TOOLS`
+ * 还在视图层兜着），也绝不能把别的 preset（开发会话的 read / write / edit）吃掉。
+ * 拒绝只发生在"能确证调用方属于本 preset"时。
+ */
+export function fsWriteGuardReasonFor(ctx) {
+    return (execution) => {
+        const name = execution?.name;
+        if (typeof name !== 'string' || !fsWriteNames.has(name))
+            return undefined;
+        if (presetClaimOf(ctx, execution.agent) !== CAPITAL_PRESET_ID)
+            return undefined;
+        return FS_WRITE_READ_ONLY;
+    };
+}
+/**
+ * 装 {@link fsWriteGuardReasonFor}。guard 不可用或安装异常都不外抛（调用方是装配路径）；
+ * disposer 由 `ctx.effect` 持有，随本 fiber 释放。
+ */
+export function registerFsWriteGuard(ctx) {
+    const install = () => {
+        let tools;
+        try {
+            const direct = ctx.tools;
+            const viaGet = typeof ctx.get === 'function' ? ctx.get('tools') : undefined;
+            const candidate = direct !== undefined ? direct : viaGet;
+            tools = candidate;
+        }
+        catch {
+            return undefined;
+        }
+        if (tools === undefined || typeof tools.guard !== 'function')
+            return undefined;
+        try {
+            const dispose = tools.guard(fsWriteGuardReasonFor(ctx));
+            return typeof dispose === 'function' ? dispose : undefined;
+        }
+        catch {
+            return undefined;
+        }
+    };
+    if (typeof ctx.effect === 'function') {
+        ctx.effect(() => install() ?? (() => { }), 'capital-generation.fs-write-guard()');
+        return;
+    }
+    install();
+}
 /**
  * 注册 `agent/created` 监听。监听器只做一件事：对本 preset 的根 Agent 收敛一次。
  *

package/lib/index.js

@@ -11,7 +11,7 @@ import { registerTimeTool } from './time/tools.js';
 import { registerWatchlistTool } from './watchlist/tools.js';
 import { registerChartTool } from './chart/tool.js';
 import { createChartEventPublisher } from './chart/events.js';
-import { registerRootToolPolicy, rootPolicyProbes } from './agents/root-tool-policy.js';
+import { registerRootToolPolicy, registerFsWriteGuard, rootPolicyProbes } from './agents/root-tool-policy.js';
 import { registerBashGuard } from './agents/bash-guard.js';
 import { registerRootSelectedSkills, SELECTED_SKILL_CATALOG } from './agents/selected-skills-provider.js';
 import { ChartSourceTokenStore, registerChartSourceTool } from './chart/source-token.js';
@@ -362,16 +362,22 @@ export function apply(ctx, config) {
         chartEvents: () => createChartEventPublisher(chartEventContext),
     });
     // 根 Agent 工具收敛：`agent/created` 里对**主 Agent**（无 parentSession）在其自己的
-    // scope 上 deny render_chart / subagent_visualization_specialist / prepare_chart_source。
+    // scope 上逐名 deny `ROOT_AGENT_DENIED_TOOLS`（出图三件套 + 十三个出网工具 + `write` /
+    // `edit`；2026-10-15 用户决策「开 read、同时保留 bash」后 shell 名已移出名单）。
     // 子 Agent 的 scope parent 是 standing key（兄弟），因此不受影响。
     registerRootToolPolicy(ctx);
-    // data_junior 的 bash 闸门：对**本 preset 的每个 agent** 在其自己的 scope 上装一次单调 guard。
-    // 两层可靠判定——A 只对**被委派**子会话开放（镜像 tool-exec.ts 的 delegatedSession）；
-    // B 拦掉必然失败的 `sandbox_permissions`（委派会话的审批策略由框架固定为 never，
-    // answerer 根本不会被调用），并给出正确路径。**不解析命令内容**：正则挡不住
-    // `node -e`，而 node/python 正是引入 bash 的目的；禁区纪律走 data_junior 的 persona。
-    // 理由全文见 src/agents/bash-guard.ts 与 docs/dev/bash-gate.md §1.6「data_junior 的 bash 闸门」。
+    // shell 闸门：对**本 preset 的每个 agent**（含主 Agent）在其自己的 scope 上装一次单调 guard，
+    // 只拦**必然失败的沙箱升级**（`sandbox_permissions` / `justification`：被委派会话的审批策略
+    // 由框架固定为 never，answerer 根本不会被调用），并给出正确路径。主 Agent 的 shell 保留
+    // （2026-10-15 决策），它的升级走正常 ask 审批。**不解析命令内容**：正则挡不住 `node -e`，
+    // 而 node/python 正是引入 bash 的目的；禁区纪律走 data_junior 的 persona。
+    // 理由全文见 src/agents/bash-guard.ts 与 docs/dev/bash-gate.md §1.6。
     registerBashGuard(ctx);
+    // fs 写口闸门：**全局**装一次（guard 按 `exec.agent` 取链路，与实例绑哪层无关——
+    // docs/dev/bash-gate.md §1.6 里声明的备选方向在写口上落地），调用期拦本 preset 的
+    // `write` / `edit`；`read` 开放给主 Agent 读 skill 分册与工作区文件。判据 fail-open
+    // （别的 preset 的会话照常读写），见 src/agents/root-tool-policy.ts。
+    registerFsWriteGuard(ctx);
     ctx.effect(() => {
         const sources = createTencentSources();
         const disposers = sources.map((dataSource) => hub.registerSource(dataSource));

package/lib/web-retriever/local-fetch.d.ts

@@ -6,7 +6,7 @@
  * between validation and connect. Closing that window would require a custom
  * dispatcher; this module keeps the same explicit trade-off as dsh-search-first.
  */
-export declare const LOCAL_FETCH_CLIENT_VERSION = "2.7.12";
+export declare const LOCAL_FETCH_CLIENT_VERSION = "2.8.0";
 export declare const LOCAL_FETCH_MAX_URL_LENGTH = 2048;
 export type LocalFetchErrorCode = 'ABORTED' | 'TIMEOUT' | 'INVALID_URL' | 'BLOCKED_URL' | 'DNS' | 'REDIRECT' | 'HTTP' | 'TOO_LARGE' | 'UNSUPPORTED_CONTENT_TYPE';
 export declare class LocalFetchError extends Error {

package/lib/web-retriever/local-fetch.js

@@ -7,7 +7,7 @@
  * dispatcher; this module keeps the same explicit trade-off as dsh-search-first.
  */
 import { htmlToMarkdown, stripInvisibleText } from './html-markdown.js';
-export const LOCAL_FETCH_CLIENT_VERSION = '2.7.12';
+export const LOCAL_FETCH_CLIENT_VERSION = '2.8.0';
 export const LOCAL_FETCH_MAX_URL_LENGTH = 2048;
 export class LocalFetchError extends Error {
     code;

package/lib/web-retriever/wind-client.d.ts

@@ -52,7 +52,7 @@ export interface WindCallResult {
  * `test/chart-composition.test.mjs` 守着（会因漂移而失败），这里原本是写死的第二处，
  * 一次发版就得记得改两遍。所以本常量由测试一并核对（见 `test/wind-client.test.mjs`）。
  */
-export declare const WIND_CLIENT_VERSION = "2.7.12";
+export declare const WIND_CLIENT_VERSION = "2.8.0";
 export interface WindClient {
     callTool(toolName: string, args: Record<string, unknown>, signal?: AbortSignal): Promise<WindCallResult>;
 }

package/lib/web-retriever/wind-client.js

@@ -35,7 +35,7 @@ export const WIND_SERVER_ENDPOINTS = {
  * `test/chart-composition.test.mjs` 守着（会因漂移而失败），这里原本是写死的第二处，
  * 一次发版就得记得改两遍。所以本常量由测试一并核对（见 `test/wind-client.test.mjs`）。
  */
-export const WIND_CLIENT_VERSION = '2.7.12';
+export const WIND_CLIENT_VERSION = '2.8.0';
 function errorText(error) {
     return error instanceof Error ? error.message : String(error);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@v587d/capital-generation",
-  "version": "2.7.12",
+  "version": "2.8.0",
   "description": "Capital Generation：面向中国散户的 AI 投资助手插件(Capital mode Agent Preset）",
   "icon": "assets/cg-icon.png",
   "author": "v587d",

package/preset/capital-generation/README.md

@@ -120,33 +120,40 @@
   coding 工具；插件注册 `read_profile`（allow 里的名字必须先真实存在）；更新 `AGENTS.md` 与 `docs/dev/data-roles.md`
   的角色边界与 `test/persona.test.mjs` 的预留期断言。
 
-## 5.1 bash：为什么只给 data_junior，以及它到底能做什么
+## 5.1 shell 与文件口：开 read、保留 bash、不给写（2026-10-15 用户决策）
 
 - **动机**：`query_dataset` 只有 `count/min/max/avg/sum`，变化量 / 增幅 / CAGR / 比值这类派生
   指标没有宿主工具；模型只能拿 `time_facts.first/last` 心算——那正是 §1.3 那次 41,961 字符
   时间戳心算的同型浪费。所以给 data_junior 一个纯计算兜底。**不是**给它开取数通道。
-- **为什么主 Agent 不给**：主 Agent 今天没有任何通用执行 / 文件 / 网络工具（Web 平面把 host 层
-  的 `tool-bash` / `tool-fs` / `tool-web` 都 `disabled` 了，本 preset 也不挂回来）。这是一条
-  结构性事实，不是 persona 约定：主 Agent 唯一对用户说话、又会读到子 Agent 回传（含网页材料），
-  一旦拥有 bash 就等于拿到"注入 → 执行 → 读凭据 → 出网"的完整链路。收敛靠
-  `ROOT_AGENT_DENIED_TOOLS`（含 `bash` / `pwsh`）。
+- **2026-10-15 起主 Agent 也持有 shell 与 `read`**（用户决策「开 read、同时保留 bash」，推翻
+  2026-09-30 的"主 Agent 不给 shell"）：主 Agent 需要 `read` 读 skill 分册与工作区文件
+  （此前只能 `bash cat`，能力等价但绕远），shell 保留纯计算兜底。`ROOT_AGENT_DENIED_TOOLS`
+  里的 `bash` / `pwsh` 随之移出，名单改为出图三件套 + 十三个出网工具 + `write` / `edit`。
+- **文件写口不开**：`write` / `edit` 被两层拦住——根侧逐名收敛（主 Agent 视图层）+ 全局
+  `tools.guard()`（`registerFsWriteGuard`，调用期按 `composedPreset` 认领，fail-open，细节见
+  `docs/dev/bash-gate.md` §1.6）。理由：主 Agent 唯一对用户说话、又会读到子 Agent 回传（含网页
+  材料），写文件等于给"注入 → 落盘 → 被别的环节读回"开口；业务落盘本来就有正路
+  （`store.writeContext` 等工具实现），模型手里的写口没有正当用途。通用 `subagent` 行的
+  `toolFilter.deny` 同步含 `read` / `write` / `edit`（通用 child 不得读 raw.json，原始 rows
+  永不出工具层）。
 - **平台成对挂载**：Windows 上 host 层挂的是 `pwsh-sandbox`，没有 `bash-sandbox`；只挂
   `tool-bash` 会让名为 bash 的工具实际执行 PowerShell。所以两行互补 `disabled`，allow / deny
   里的名字用 `!!js` 三元表达式按平台选。`tools.restrict()` 对未注册名字报错，所以表达式与行必须
   同进同退（回归：`test/persona.test.mjs`「shell 行：平台成对挂载……」）。
 - **不给后台执行**：`enableRunInBackground: false`。本 preset 不挂 `tool-jobs`，开着后台只会让
   模型拿到一个永远读不回来的 jobId（`job_output` / `job_kill` 不在任何 allow 里）。
-- **闸门只有两层，且都不是安全边界**（`src/agents/bash-guard.ts`）：
-  ① 只对**被委派**子会话开放（镜像 `tool-exec.ts` 的 `delegatedSession`，执行层兜住可见性被改坏）；
-  ② 拦掉 `sandbox_permissions`——委派会话的审批策略由框架固定为 `never`，升级必然失败，而且模型
-  会收到「the user rejected…」这种把系统拒绝说成用户拒绝的文案。
-  **刻意不解析 `command`**：本仓实测沙箱只拦写、不拦读（`~/.dsh/.credentials.yaml` 与
-  `sessions/**` 整机可读）、不拦网络（`curl` 直连 200），而正则挡不住 `node -e` / `python3 -c`
-  ——那正是引入 bash 的目的。禁区与出网纪律是 data_junior persona 的 `# BASH DISCIPLINE` 软约束。
-- **写边界收不窄**：`store.writeContext()` 用**调用方 session** 的 policy 且要求
+- **shell 闸门只剩一层，且不是安全边界**（`src/agents/bash-guard.ts`）：拦掉
+  `sandbox_permissions` / `justification`——被委派会话的审批策略由框架固定为 `never`，升级必然
+  失败，而且模型会收到「the user rejected…」这种把系统拒绝说成用户拒绝的文案；被委派或身份
+  不可考的调用方 fail closed。主 Agent 的升级走正常 ask 审批（2026-10-15 前的"只对被委派子会话
+  开放"一层随决策移除，断言迁移见 `test/bash-guard.test.mjs`）。**刻意不解析 `command`**：本仓
+  实测沙箱只拦写、不拦读（`~/.dsh/.credentials.yaml` 与 `sessions/**` 整机可读）、不拦网络
+  （`curl` 直连 200），而正则挡不住 `node -e` / `python3 -c`——那正是引入 bash 的目的。禁区与
+  出网纪律是 data_junior persona 的 `# BASH DISCIPLINE` 软约束。
+- **写边界收不窄到会话**：`store.writeContext()` 用**调用方 session** 的 policy 且要求
   `mode ∈ {workspace-write, danger-full-access}`，而 `describe_dataset` 会用 data_junior 的会话写
   `profile.json`；把它的会话钉成 `read-only` 会直接打断 describe_dataset。bash 与 Dataset 管线
-  共用同一把尺子（session policy）。
+  共用同一把尺子（session policy），所以模型侧写口只能靠上一条的调用期闸门收。
 - **要真正收紧**只有两条路：换掉 `ctx.shell`（容器 / 微 VM / 远端执行器），或给 dsh 进程做出网
   限制。两者都不是 `ctx.sandbox` 能提供的。