codebee 0.1.97 → 0.1.99

package/CHANGELOG.md

@@ -4,9 +4,19 @@ CodeBee 的用户可感知变更记录。发布新版时：最上面加一节，
 `<!-- relnotes:start -->…<!-- relnotes:end -->` 段（那段会被 `npm view` 的
 README 元数据带回，供老版本在「发现新版本」时展示新版更新内容）。
 
-## 未发布
+## v0.1.99（2026-10-09）
 
-- **蜂巢「3D 场景」重做为真 3D 蜜蜂办公室（WebGL）**：此前的 3D 只是把平面卡片整体斜切（CSS 透视），现换成零依赖 WebGL2 引擎渲染的蜜蜂办公室——每个流水线阶段是一排工位，每个步骤是一只坐在桌前对着显示器的低多边形蜜蜂：运行中的屏幕亮蓝脉动+蜜蜂打字颤翅、完成绿屏、失败红屏+趴桌、排队黑屏打盹；蜂王戴皇冠坐讲台、始终面向当前在干活的工位，巡逻蜂平时绕场巡查、有格子跑起来就飞去悬停督工。左键拖动旋转/滚轮缩放/右键升降/双击空白复位，空闲 8 秒缓慢自转（尊重系统减弱动效设置）；悬停工位出气泡卡（角色/模型/实时输出/思考行），点按直接开日志抽屉；换肤与明暗主题自动跟随；WebGL 不可用或上下文丢失自动回落 2D 列表并记忆视图偏好。
+- **直连对话「本轮失败 NameError」修复**：内置智能体（CodeBee 直连）每轮起跑数秒即失败，根因是沙箱加固提交把 `sandbox=task.get("sandbox")` 误引入无 task 上下文的内置步骤函数——实参求值即 NameError，Mac/Windows 全平台直连对话不可用。现改为显式传参，任务沙箱策略照常透传生效（回归测试锁定形参与全链）
+- **命令执行沙箱闸策略感知**：沙箱加固曾把内置智能体的 run_command 在 Windows/macOS 一律拒跑（「未接入文件系统隔离后端」）——无后端平台上命令工具全死。现与外部 CLI 闸同口径：默认宽策略照常全信任直跑（2026-09-22 拍板档位），进程内无法兑现的收窄仍拒（禁网需 OS 后端；环境变量白名单在子进程侧实际滤不掉，宁拒不假装）；Linux bubblewrap 全策略强制不变
+- **大屏 KPI 长数值不再裁字**：万位级数值（如「2246.7万」）在 KPI 卡被挤到第二行、遭 overflow 裁切只剩半截；现 KPI 数字禁止换行，并按内容长度三档自动降字号，长数值单行完整显示
+- **经验库设置页文案对齐**：注入范围说明「小说类任务」改「同类任务」，与知识注入按任务类型全量覆盖的实现口径一致
+
+## v0.1.98（2026-10-09）
+
+- **连载起草误拒修复（沙箱闸策略感知）**：0.1.97 起任务创建强制落默认执行策略，沙箱闸把非 codex 外部 CLI（claude-code/opencode/kimi-code 等）一律拒跑——89—96 批连载起草整批被拒死、连载停摆。现改为策略感知：默认策略（工作目录白名单+允许网络+无禁用）与外部 CLI 天然权限一致，放行；仅当任务带收窄策略（禁网/禁工具/环境变量白名单/目录白名单不含工作目录）时仍拒绝（fail-closed）。codex 分支语义原样保留
+- **蜂巢「3D 场景」重做为真 3D 蜜蜂办公室（WebGL）**：此前的 3D 只是把平面卡片整体斜切（CSS 透视），现换成零依赖 WebGL2 引擎渲染的蜜蜂办公室——每个流水线阶段是一排工位，每个步骤是一只坐在桌前对着显示器的低多边形蜜蜂：运行中的屏幕亮蓝脉动+蜜蜂打字颤翅、完成绿屏、失败红屏+趴桌、排队黑屏打盹；蜂王戴皇冠坐讲台、始终面向当前在干活的工位，巡逻蜂平时绕场巡查、有格子跑起来就飞去悬停督工。左键拖动旋转/滚轮缩放/右键升降/双击空白复位，空闲 8 秒缓慢自转（尊重系统减弱动效设置）；悬停工位出气泡卡（角色/模型/实时输出/思考行），点按直接开日志抽屉；换肤与明暗主题自动跟随；WebGL 不可用或上下文丢失自动回落 2D 列表并记忆视图偏好
+- **uv 缺失自动补装**：管理页 uv 系安装命令遇到 uv 缺失，从「人话指引」升级为自动补装（Windows 先 winget 后 pip、Mac 先 brew 后官方脚本，全部免 sudo 非交互），补装成功直接接管安装；uv 全家桶命令挂国内镜像兜底
+- **uv 系安装链 Mac 三防**：PATH 快照落点兜底（~/.local/bin 等）+ uv 缺失人话短路 + winget 头识别放宽
 
 ## v0.1.97（2026-10-09）
 

package/README.md

@@ -25,10 +25,12 @@ Trae Agent、OpenClaw……），提供
 ---
 
 <!-- relnotes:start -->
-### 最新版更新内容（v0.1.97）
+### 最新版更新内容（v0.1.99）
 
-- 知识注入扩展到全部任务类型：引擎经验库/知识库全量覆盖，不再只有连载链受益
-- 命中计数不重复累加，修复「从未被读到反而升权」的反馈回路缺陷
+- 修复直连对话每轮起跑即「本轮失败 NameError」：Mac/Windows 全平台直连对话恢复可用
+- 内置智能体命令执行沙箱闸策略感知：默认策略照常直跑，仅收窄策略仍拒绝
+- 大屏 KPI 长数值不再裁字：禁换行 + 按内容长度三档降字号
+- 经验库设置页注入范围文案与全类型实现口径对齐
 <!-- relnotes:end -->
 
 

package/app/core/builtin_agent.py

@@ -98,15 +98,15 @@ def resolve(provider_id="", model="", difficulty="default"):
                 if selected not in enabled_names:
                     return None
             if not selected:
-                selected = (p.get("model_hard") if difficulty == "hard" else
-                            p.get("model_easy") if difficulty == "easy" else
-                            p.get("model") or "").strip()
-            if not selected:
+                # 默认/难度模型键位与 models[] 启停开关不联动：键位指向已停用
+                # 模型时对账启用名单回落，不冒充可用（停用的模型不准用）
                 try:
-                    names = modelhub._enabled_models(p)
+                    selected = modelhub._usable_default_model(
+                        p, (p.get("model_hard") if difficulty == "hard" else
+                            p.get("model_easy") if difficulty == "easy" else
+                            p.get("model")) or "")
                 except Exception:
-                    names = []
-                selected = names[0]["name"] if names else ""
+                    selected = (p.get("model") or "").strip()
             if selected:
                 return {"prov": p, "model": selected,
                         "provider_id": p.get("id") or "",
@@ -125,15 +125,13 @@ def resolve(provider_id="", model="", difficulty="default"):
     for p in modelhub.providers():
         if not p.get("enabled", True) or not p.get("api_key"):
             continue
-        m = ((p.get("model_hard") if difficulty == "hard" else
-              p.get("model_easy") if difficulty == "easy" else
-              p.get("model")) or "").strip()
-        if not m:
-            try:
-                names = modelhub._enabled_models(p)
-            except Exception:
-                names = []
-            m = names[0]["name"] if names else ""
+        try:
+            m = modelhub._usable_default_model(
+                p, (p.get("model_hard") if difficulty == "hard" else
+                    p.get("model_easy") if difficulty == "easy" else
+                    p.get("model")) or "")
+        except Exception:
+            m = (p.get("model") or "").strip()
         if m:
             return {"prov": p, "model": m, "provider_id": p.get("id") or "",
                     "provider_name": p.get("name") or p.get("id") or ""}
@@ -422,7 +420,11 @@ def _tool_run_command(workdir, args, cancel_event=None, deadline=None, sandbox=N
     → cmd /c 或 /bin/sh -c），仓库唯一的 shell 落点，不另起炉灶。全信任档
     （用户拍板 2026-09-22）：无白名单无确认闸，与 codex/claude 全权沙箱同档。
     提权靠模型自己包 Start-Process -Verb RunAs——UAC 必须人点，绕不过也不该绕。
-    输出按字符头尾截断（解码已在 run_process 完成，无残缺多字节问题）。"""
+    输出按字符头尾截断（解码已在 run_process 完成，无残缺多字节问题）。
+    沙箱闸策略感知（与外部 CLI 闸 b267107 同口径）：Linux 有 bwrap 全策略
+    强制；Win/Mac 无 OS 后端，进程内无法兑现的收窄仍拒（禁网、env 白名单
+    ——run_process 的 env 是注入语义滤不掉），默认宽策略保持全信任档直跑，
+    目录闸由 path_allowed 兑现。"""
     cmdline = str(args.get("command") or "").strip()
     if not cmdline:
         return "（命令为空，未执行）"
@@ -432,15 +434,20 @@ def _tool_run_command(workdir, args, cancel_event=None, deadline=None, sandbox=N
     cwd = os.path.abspath(workdir or ".")
     if not policy.path_allowed(cwd, sandbox):
         return "（沙箱拒绝：工作目录不在允许范围内，命令未执行）"
-    # This process runner has no OS-level network/filesystem namespace. Do not
-    # imply network isolation when policy requests it; fail closed instead.
-    if sandbox.get("network") is False:
-        if os.name != "posix" or not shutil.which("bwrap"):
-            return "（沙箱拒绝：当前系统没有可用的网络隔离后端，命令未执行）"
-    # Enforce the declared filesystem boundary at the process boundary too.
-    # bubblewrap is the supported Linux backend. Windows/macOS without an
-    # equivalent backend fail closed rather than pretending cwd is a sandbox.
-    if os.name == "posix" and shutil.which("bwrap"):
+    # Enforce the declared boundary at the process boundary where an OS
+    # backend exists (bubblewrap on Linux). Windows/macOS have no equivalent:
+    # stay policy-aware like the external-CLI gate (b267107) — the narrowings
+    # this in-process runner cannot honor fail closed, while a default wide
+    # policy keeps the user-approved full-trust tier (2026-09-22) instead of
+    # refusing every command.
+    has_bwrap = os.name == "posix" and bool(shutil.which("bwrap"))
+    if sandbox.get("network") is False and not has_bwrap:
+        return "（沙箱拒绝：当前系统没有可用的网络隔离后端，命令未执行）"
+    if sandbox.get("env_allowlist"):
+        # run_process 的 env 是注入语义（合并进完整父环境，供凭据注入），
+        # 不是白名单替换——环境收窄在子进程侧无法兑现，宁拒不假装
+        return "（沙箱拒绝：该任务带环境变量白名单，命令执行无法兑现该策略，未执行）"
+    if has_bwrap:
         argv = ["bwrap", "--die-with-parent", "--new-session", "--tmpfs", "/"]
         # Mount only the runtime needed by ordinary commands. Do not expose the
         # entire host root read-only: read access can still leak user secrets.
@@ -461,18 +468,10 @@ def _tool_run_command(workdir, args, cancel_event=None, deadline=None, sandbox=N
             argv.extend(["--dir", root_path])
             argv.extend(["--bind", root_path, root_path])
         argv.extend(["--chdir", cwd, "--", "/bin/sh", "-lc", cmdline])
-    elif os.name == "posix" and sys.platform == "darwin":
-        return "（沙箱拒绝：当前 macOS 执行器尚未接入文件系统隔离后端，命令未执行）"
-    elif os.name != "posix":
-        return "（沙箱拒绝：当前 Windows 执行器尚未接入文件系统隔离后端，命令未执行）"
     else:
-        return "（沙箱拒绝：未安装 bubblewrap 隔离后端，命令未执行）"
-    env_policy = dict(sandbox)
-    env_policy["env_allowlist"] = list(dict.fromkeys(
-        list(sandbox.get("env_allowlist") or [])
-        + ["PATH", "SYSTEMROOT", "WINDIR", "TEMP", "TMP", "COMSPEC", "HOME", "USERPROFILE"]))
-    r = runner.run_process(argv=argv, cwd=cwd,
-                           env=policy.filter_env(os.environ, env_policy),
+        argv = None   # 全信任档：runner 按平台自包 cmd /c 或 /bin/sh -c
+    r = runner.run_process(argv=argv, shell_cmd=cmdline if argv is None else None,
+                           cwd=cwd, env=None,
                            timeout=min(timeout, CMD_MAX_TIMEOUT),
                            deadline=deadline, cancel_event=cancel_event)
     out = runner.clean_cli_text(

package/app/core/jobs.py

@@ -1013,9 +1013,15 @@ def _do_mgmt(job, ev):
         # 修复智能体面对文件锁只会给出 taskkill 全杀 node 之类白名单必拒的危险
         # 命令，白白烧一轮 300s 诊断（2026-09-18 dsh 同版本重装 EBUSY 案）
         lock_hit = (not ok and op in ("install", "upgrade") and _file_lock_error(res))
+        # uv 缺失同跳 AI 修复：修复链就算装上 uv，复检目标 CLI 仍未装，结论还是
+        # 失败，白烧一轮；人话指路「先装 uv 再点安装」一步到位（2026-10-09 Mac
+        # aider/trae 双装失败实案）
+        uv_missing = bool(res.get("uv_missing"))
         if lock_hit:
             summary = ("失败：安装文件被占用（可能有同名程序在运行，或杀毒软件正在扫描），"
                        "请关闭占用该文件的程序后重试。完整输出见日志。")
+        elif uv_missing:
+            summary = "失败：" + str(res.get("error") or "")[:300]
         else:
             # note 优先：良性收口（如 winget「已装无可升级」复检在装）给用户
             # 看原因，别让「完成」两个字孤零零不带解释
@@ -1026,7 +1032,7 @@ def _do_mgmt(job, ev):
                           summary=summary,
                           exit_code=res.get("exit_code"))
         # AI 修复只针对安装类失败；卸载失败多为权限/程序占用，留给用户看日志处理
-        if not ok and op in ("install", "upgrade") and not lock_hit:
+        if not ok and op in ("install", "upgrade") and not lock_hit and not uv_missing:
             ok = _ai_repair(run_id, entry, ev, entry.get(op), log_abs)
     elif op == "smoke":
         from . import runner as _r
@@ -1129,6 +1135,7 @@ def _ai_repair(run_id, entry, ev, failed_cmd, orig_log):
         "npm: %s" % (shutil.which("npm") or "缺失"),
         "pnpm: %s" % (shutil.which("pnpm") or "缺失"),
         "python: %s" % (shutil.which("python3" if not is_win else "python") or "缺失"),
+        "uv: %s" % (shutil.which("uv") or "缺失"),
     ]
     if not is_win:
         env_lines.append("brew: %s" % (shutil.which("brew") or "缺失"))

package/app/core/manager.py

@@ -91,19 +91,21 @@ def _safe_config_path(raw):
 # ---------------------------------------------------------------- 检测
 
 def _which_cli(cli):
-    """PATH 找 CLI；Windows 上再兜底 winget 便携包两处标准落点。
-
-    winget 装的 CLI（如 Claude Code）把 exe 放进
-    %LOCALAPPDATA%\\Microsoft\\WinGet\\Packages\\<PkgId>_*\\，并把该目录写进
-    注册表用户 PATH——注册表更新后已在跑的进程（本服务）不继承，shutil.which
-    落空 → 卡片「未安装」假象，点安装又被 winget「已装无可升级」非零退出拒掉
-    （2026-09-30 实案）。Links 是便携包符号链接标准目录，Packages 按
-    <cli>.exe 通配兜另一形态；两条都只兜 which 落空的场景，零额外开销。"""
+    """PATH 找 CLI；落空再按平台兜底磁盘已知安装位。
+
+    Windows 兜 winget 便携包两处标准落点：winget 装的 CLI（如 Claude Code）
+    把 exe 放进 %LOCALAPPDATA%\\Microsoft\\WinGet\\Packages\\<PkgId>_*\\，并把
+    该目录写进注册表用户 PATH——注册表更新后已在跑的进程（本服务）不继承，
+    shutil.which 落空 → 卡片「未安装」假象，点安装又被 winget「已装无可升级」
+    非零退出拒掉（2026-09-30 实案）。Links 是便携包符号链接标准目录，Packages
+    按 <cli>.exe 通配兜另一形态。POSIX 兜 runner 同款三落点（~/.local/bin 与
+    brew bin，Mac 服务吃不到 shell rc 里的 PATH 时同样假「未安装」）。
+    两条都只兜 which 落空的场景，零额外开销。"""
     path = shutil.which(cli)
     if path:
         return path
     if os.name != "nt":
-        return None
+        return runner._fallback_probe_cli(cli)
     local = os.environ.get("LOCALAPPDATA")
     if not local:
         return None
@@ -1974,7 +1976,10 @@ def _winget_already_ok(cmd, op, res):
     还要复检 installed 才按成功收口。"""
     if res.get("ok") or op not in ("install", "upgrade"):
         return False
-    if not str(cmd or "").strip().lower().startswith("winget"):
+    # 首 token 可能已被 _resolve_mgmt_tool 换成绝对路径（PATH 快照落空兜底），
+    # 所以按 basename 认 winget，别用 startswith
+    head = str(cmd or "").strip().split()[0] if str(cmd or "").strip() else ""
+    if os.path.basename(head).lower().rstrip(".exe") != "winget":
         return False
     code = res.get("exit_code")
     try:
@@ -1986,6 +1991,85 @@ def _winget_already_ok(cmd, op, res):
     return any(m in out for m in _WINGET_NOOP_MARKERS)
 
 
+def _uv_install_hint():
+    if sys.platform == "darwin":
+        return "brew install uv（或官网 curl -LsSf https://astral.sh/uv/install.sh | sh）"
+    return "winget install astral-sh.uv，或 pip install uv"
+
+
+def _uv_mirror_env():
+    """uv 系命令的镜像兜底 env（用户没自己配才补默认，绝不覆盖）。
+
+    uv tool install --python 3.12 会现场下载 CPython 独立构建（GitHub 直连，
+    国内常断流），包体走 PyPI——npmmirror/清华这对镜像是 2026-09 本机 uv
+    实装验证过的组合。"""
+    env = {}
+    if not os.environ.get("UV_PYTHON_INSTALL_MIRROR"):
+        env["UV_PYTHON_INSTALL_MIRROR"] = (
+            "https://registry.npmmirror.com/-/binary/python-build-standalone")
+    if not os.environ.get("UV_DEFAULT_INDEX"):
+        env["UV_DEFAULT_INDEX"] = "https://pypi.tuna.tsinghua.edu.cn/simple"
+    return env
+
+
+def _cmd_head_is_uv(cmd):
+    stripped = str(cmd or "").strip()
+    if not stripped:
+        return False
+    return os.path.basename(stripped.split()[0]).lower() in ("uv", "uv.exe")
+
+
+def _bootstrap_uv(cancel_event=None, log_path=None):
+    """uv 不在本机时自动补装一个——安装按钮「点了就该装上」的契约兜底。
+
+    按平台选渠道，全部免 sudo 非交互：POSIX 先 brew（在才用）后官方 curl
+    脚本（落 ~/.local/bin，探测表可寻址）；Windows 先 winget 后 pip。装完
+    不指望 PATH 快照自愈——调用方重跑 _resolve_mgmt_tool 用绝对路径接管。
+    返回 {ok, detail}；失败 detail 列出试过的渠道与结局，供人话收口。"""
+    candidates = []
+    if sys.platform == "win32":
+        if shutil.which("winget"):
+            candidates.append(("winget", "winget install -e --id astral-sh.uv --silent"))
+        if shutil.which("py"):
+            candidates.append(("pip(py)", "py -3 -m pip install uv"))
+        elif shutil.which("python"):
+            candidates.append(("pip", "python -m pip install uv"))
+    else:
+        if shutil.which("brew"):
+            candidates.append(("brew", "brew install uv"))
+        if shutil.which("curl"):
+            candidates.append(("curl", "curl -LsSf https://astral.sh/uv/install.sh | sh"))
+    attempts = []
+    for label, cmd in candidates:
+        res = runner.run_process(shell_cmd=cmd, cwd=str(paths.ROOT),
+                                 timeout=900, cancel_event=cancel_event,
+                                 log_path=log_path)
+        if res["ok"]:
+            return {"ok": True, "detail": "已自动补装 uv（%s）" % label}
+        attempts.append("%s 退出码 %s" % (label, res.get("exit_code")))
+    return {"ok": False,
+            "detail": "、".join(attempts) or "本机没有 brew/curl/winget/pip 任一渠道"}
+
+
+def _resolve_mgmt_tool(cmd, op):
+    """install/upgrade 命令首 token 的工具本体解析。
+
+    服务 PATH 是启动快照，本机后装的 uv/npm 不在快照里时 shell 报
+    command not found 退出码 127，零信息量。磁盘已知落点能探到就把首 token
+    原地换成绝对路径（装完即用，不必重启服务）；探不到且是 uv 系安装命令
+    则返回 uv_missing=True——本机连 uv 都没有，包无从装起，人话报错并跳过
+    AI 修复（修复链装上 uv 后复检目标 CLI 仍未装，白烧一轮诊断）。
+    返回 (替换后的命令, uv_missing)。"""
+    stripped = str(cmd or "").strip()
+    first = stripped.split()[0] if stripped else ""
+    if not first or os.path.isabs(first) or shutil.which(first):
+        return cmd, False
+    found = runner._fallback_probe_cli(first)
+    if found:
+        return found + stripped[len(first):], False
+    return cmd, (first == "uv" and op in ("install", "upgrade"))
+
+
 def run_mgmt_command(entry, op, cancel_event=None, log_path=None):
     """执行 install/upgrade/uninstall 命令（由任务执行器异步运行，日志实时落盘）。"""
     if op == "uninstall":
@@ -2000,8 +2084,22 @@ def run_mgmt_command(entry, op, cancel_event=None, log_path=None):
             return {"ok": False,
                     "error": "未配置 %s 命令：请在 data/catalog.json 的 \"%s\" 里补充，或用官方渠道安装"
                              % (op, entry["id"])}
+    cmd, uv_missing = _resolve_mgmt_tool(cmd, op)
+    if uv_missing:
+        # 「提供安装就该能装上」：uv 不在本机先自动补装，装 uv 不该是用户
+        # 操心的事；真补不上才退回人话指引（2026-10-09 Mac 双装失败实案）
+        boot = _bootstrap_uv(cancel_event=cancel_event, log_path=log_path)
+        if boot["ok"]:
+            cmd, uv_missing = _resolve_mgmt_tool(cmd, op)
+        if uv_missing:
+            return {"ok": False, "uv_missing": True,
+                    "error": "自动安装 uv 未成功（%s）。请手动安装：%s；"
+                             "装完重启 CodeBee，再点一次安装。"
+                             % (boot["detail"], _uv_install_hint())}
+    # uv 全家桶命令挂镜像兜底：Python 独立构建/包索引国内直连常断（只补缺不覆盖）
     res = runner.run_process(shell_cmd=cmd, cwd=str(paths.ROOT),
-                             timeout=1800, cancel_event=cancel_event, log_path=log_path)
+                             timeout=1800, cancel_event=cancel_event, log_path=log_path,
+                             env=_uv_mirror_env() if _cmd_head_is_uv(cmd) else None)
     winget_noop = _winget_already_ok(cmd, op, res)
     detect_all(force=True)
     with _LOCK:

package/app/core/modelhub.py

@@ -2177,6 +2177,20 @@ def _model_bindable(prov, model):
     return True
 
 
+def _usable_default_model(prov, model=""):
+    """默认模型键位（model / model_easy / model_hard / 编排者配置）对账启用名单。
+
+    默认/难度模型是自由文本，与 models[] 的启停开关互不联动——键位指向已
+    停用/已删除的模型时不能冒充可用：回落该厂商启用名单首个；全停用返回
+    空串（调用方按「无默认模型」处理）。空键位本身合法（用网关默认），
+    也返回空。"""
+    model = (model or "").strip()
+    if model and _model_bindable(prov, model):
+        return model
+    names = [m.get("name") for m in _enabled_models(prov) if m.get("name")]
+    return names[0] if names else ""
+
+
 def _model_image_in(prov, model):
     """模型是否声明支持图片输入：models[] 条目 image_in；缺省/查不到=False（纯文本）。"""
     for m in ((prov or {}).get("models") or []):
@@ -2591,7 +2605,7 @@ def resolve_binding(agent_kind_or_id, difficulty="default"):
                 if len(entries) >= MAX_CHAIN_ATTEMPTS:
                     break
                 entries.append(_chain_entry_env(
-                    prov, model or prov.get("model") or "",
+                    prov, model or _usable_default_model(prov, prov.get("model")),
                     target=agent_kind_or_id, endpoint=ep, key=kk["key"],
                     key_id=kk.get("id") or "", provider_id=pid))
             if len(entries) >= MAX_CHAIN_ATTEMPTS:
@@ -2662,6 +2676,8 @@ def resolve_binding(agent_kind_or_id, difficulty="default"):
     model = prov.get("model_" + tier) or "" if (routing and tier) else ""
     if not model:
         model = prov.get("model") or ""
+    if model and not _model_bindable(prov, model):
+        model = ""   # 默认/难度模型键位指向停用或已删模型：不冒充可用，回落启用名单
     if not model and names:
         model = names[0] if (not routing or difficulty != "easy") else names[-1]
     if not _evaluation_is_usable(pid, model):
@@ -2724,7 +2740,9 @@ def recommend_binding(agent_kind_or_id, difficulty="default", task_type="", role
         names = [m.get("name") for m in _enabled_models(prov)
                  if isinstance(m, dict) and m.get("name")]
         if not names and prov.get("model"):
-            names = [str(prov.get("model"))]
+            dflt = str(prov.get("model"))
+            if _model_bindable(prov, dflt):   # 默认模型被停用时不再充作唯一候选
+                names = [dflt]
         # 候选阶段不能先截前三个：便宜档往往排在供应商列表后面，easy 任务
         # 需要看到完整启用列表后再按成本与档位评分。最终调用链仍受上限约束。
         for model in names:
@@ -3618,9 +3636,7 @@ def resolve_orchestrator():
     if not prov or not prov.get("enabled", True) or not prov.get("api_key"):
         return None
     model = (cfg.get("model") or "").strip() or prov.get("model") or ""
-    if not model:
-        names = _enabled_models(prov)
-        model = names[0]["name"] if names else ""
+    model = _usable_default_model(prov, model)   # 配置的模型被停用时回落启用名单，不冒充可用
     if not model:
         return None
     if not _evaluation_is_usable(pid, model):

package/app/core/pipeline.py

@@ -574,25 +574,38 @@ def _external_sandbox_block_reason(agent, workdir, sandbox):
     """Reject task policies that this CLI launcher cannot enforce.
 
     Codex is currently the only supported external runner with an OS-backed
-    workspace write sandbox. Other CLI integrations have no equivalent boundary
-    in this launcher and must use the in-process agent/tool executor instead.
+    workspace write sandbox. Other CLI integrations run with their natural
+    permission set (workdir read/write, network allowed): they are rejected
+    only when the task policy is *narrower* than that — fail closed for
+    narrowed policies, not for defaults（实案：create_task 改为强制落默认
+    策略后，本闸把 89—96 批的连载起草整批拒成「没有经验证的 OS 文件隔
+    离」；默认策略与外部 CLI 的天然权限一致，不属于收窄）.
     """
     if (agent or {}).get("mode") == "mock":
         return ""
     from . import policy
-    if (agent or {}).get("kind") != "codex":
-        return "沙箱拒绝：该外部 CLI 没有经验证的 OS 文件隔离；请改用内置 Agent"
     root = os.path.realpath(workdir or ".")
     normalized = policy.normalize_sandbox(sandbox, root)
-    roots = [os.path.realpath(x) for x in normalized.get("allowed_roots") or []]
+    if (agent or {}).get("kind") == "codex":
+        if normalized.get("network") is False:
+            return "沙箱拒绝：该 CLI 后端未接入网络隔离，拒绝运行网络受限任务"
+        if [os.path.realpath(x) for x in normalized.get("allowed_roots") or []] != [root]:
+            return "沙箱拒绝：该 CLI 后端未接入允许目录隔离，拒绝运行目录受限任务"
+        if normalized.get("disabled_tools"):
+            return "权限拒绝：该 CLI 后端无法执行 CodeBee 工具禁用策略，拒绝运行"
+        if normalized.get("env_allowlist"):
+            return "沙箱拒绝：该 CLI 后端未接入环境变量白名单，拒绝运行受限任务"
+        return ""
+    # 非 codex 外部 CLI：默认策略放行，收窄策略拒绝
     if normalized.get("network") is False:
-        return "沙箱拒绝：该 CLI 后端未接入网络隔离，拒绝运行网络受限任务"
-    if roots != [root]:
-        return "沙箱拒绝：该 CLI 后端未接入允许目录隔离，拒绝运行目录受限任务"
+        return "沙箱拒绝：该任务要求禁网，外部 CLI 无法执行网络受限任务"
     if normalized.get("disabled_tools"):
-        return "权限拒绝：该 CLI 后端无法执行 CodeBee 工具禁用策略，拒绝运行"
+        return "权限拒绝：该任务带工具禁用策略，外部 CLI 无法执行"
     if normalized.get("env_allowlist"):
-        return "沙箱拒绝：该 CLI 后端未接入环境变量白名单，拒绝运行受限任务"
+        return "沙箱拒绝：该任务带环境变量白名单，外部 CLI 无法执行受限任务"
+    roots = [os.path.realpath(x) for x in normalized.get("allowed_roots") or []]
+    if roots and root not in roots:
+        return "沙箱拒绝：该任务目录白名单不含工作目录，外部 CLI 无法保证隔离范围"
     return ""
 
 
@@ -615,14 +628,16 @@ def _create_task_from_builtin(payload):
 
 
 def _run_builtin_step(run_id, role, bi, prompt, workdir, ev, note="", images=None,
-                      followups=False):
+                      followups=False, sandbox=None):
     """内置智能体步骤：直连模型 API + 工具循环（builtin_agent），不经 CLI 进程。
 
     与 _run_step 对齐的三件事：暂停/取消闸门、运行中指令 drain 注入、重复调用
     守门；结果同样经 _finish_step_result 落步骤（output=干净回答）并入用量台账。
     日志只有「迭代/工具」摘要行——对话视图吃 output，日志抽屉看工具轨迹。
     followups=True 时从回答末尾解析「建议追问」块（直连对话专用协议）：
-    剥离出结构化列表落步骤记录，正文保持干净。"""
+    剥离出结构化列表落步骤记录，正文保持干净。
+    sandbox：任务沙箱策略由调用方透传（本函数无 task 上下文），builtin_agent
+    内部 normalize 后在工具执行期强制。"""
     _wait_gate(run_id, ev)
     deadline = _ensure_budget(run_id)
     step, log_abs = store.add_step(run_id, role, "builtin", "CodeBee", note=note,
@@ -676,7 +691,7 @@ def _run_builtin_step(run_id, role, bi, prompt, workdir, ev, note="", images=Non
                             on_reason=_on_reason, on_stream=_on_stream,
                             on_activity=_on_activity,
                             task_creator=_create_task_from_builtin,
-                            sandbox=task.get("sandbox"), checkpoint_run_id=run_id)
+                            sandbox=sandbox, checkpoint_run_id=run_id)
     if followups and res.get("ok"):
         clean, fups = _parse_followups(res.get("text") or "")
         if fups:
@@ -2321,7 +2336,7 @@ def _run_direct(run, task, agents, ev, stats, mode):
         if bi is not None:
             res = _run_builtin_step(run_id, "direct" if first else "chat", bi, prompt,
                                     step_wd, ev=ev, note=note, images=images,
-                                    followups=True)
+                                    followups=True, sandbox=task.get("sandbox"))
         else:
             res = _run_step(run_id, "direct" if first else "chat", impl, prompt, step_wd,
                             readonly=False, ev=ev, note=note,