dsh-chat-loli 1.0.0 → 1.1.0

package/README.md

@@ -13,15 +13,51 @@ DSH 自定义 Agent 预设「**鲸鱼娘捆绑模式**」（preset id `dsh-chat-
 
 人设正文来自 [dsh-whale-loli](https://www.npmjs.com/package/dsh-whale-loli)（MIT）的 `src/persona-v3-naughty.md`，原文照搬；只把 `{{whale_memory_v3}}` 占位符替换为「（本预设未挂载记忆文件）」，因为记忆插件被去掉了。
 
+## 宿主级工具收窄（`lib/guard.js`）
+
+上面那张表只覆盖**预设管得着的那一半**。DSH 的 Web 界面在 `dsh-web-app` 这一层只把 23 个「agent 平面」的工具行交给预设；**不在这份名单里的行留在宿主平面**，注册进进程级全局工具层，任何预设的会话都继承。
+
+所以只声明 `persona + tool-web` 的预设，实际会话里仍然看得见：
+
+| 来源 | 工具 |
+|---|---|
+| `dsh-experimental-terminal-bundle` | `terminal_open` / `terminal_send` / `terminal_read` / `terminal_close` / `terminal_signal` / `terminal_list` |
+| `dsh-cua-drive` | `cua_*` |
+| `dsh-browser-use` | `browser_*` |
+| `dsh-config-manager` | `config_*` |
+| `dsh-experimental-session-search` | `session_search` 等 |
+| `dsh-lan-gateway` | `lan_gateway` |
+| `dsh-base` 宿主行 | `working_directory` / `*_mcp_resource*` / `load_workspace_dependencies` |
+
+其中 `terminal_*` 等价于一个完整 shell —— 对「防 prompt 注入」这个卖点是致命的。
+
+本包因此附带一个宿主级插件 `lib/guard.js`：在 `agent/created` 时判定 agent 绑定的预设，命中 `dsh-chat-loli` 就调 `agent.ctx.tools.restrict({ deny })` 把当前全局工具集合整体遮掉。依据是 `dsh-agent` 的契约 —— *`Agent.ctx` 是该 agent 的 scoped context，通过它做的注册（含 restrictions）只作用于该 agent*。遮罩只作用于全局层，预设自己 scoped 注册的 `web_search` / `web_fetch` 不受影响。
+
+工具名是运行时现算的（`ctx.tools.schemas()` 省略 scope = 全局视图），因为 `restrict` 对未知名字会直接抛错。
+
+配置（`cordis.patch.yml` 内）：
+
+```yaml
+- id: chat-loli-guard
+  name: 'dsh-chat-loli/guard'
+  config:
+    preset: dsh-chat-loli   # 要收窄的预设 id
+    keep: []                # 额外保留的全局工具名
+```
+
+边界：
+
+- 只对**新建 / resume** 的 agent 生效；插件装上之前就在跑的会话需要新开。
+- 判定拿不到预设 id 时**放行**（宁可不动作，也不误伤别的会话），所以它是兜底，不替代把宿主 bundle 关掉这种硬隔离。
+- 晚注册的全局工具（运行中才连上的 MCP server）不会被追认。
+
 ## 适用场景
 
 给 QQ / 微信这类**群聊机器人**用的聊天预设：即使被 prompt 注入改了人设，它也碰不到文件和 shell，只能说话和上网搜索——不会出现「把工作区打包发到群里」这种事故。
 
-注意：宿主级工具（例如 `qqbot_send_file`、`lan_gateway`）不受预设控制，仍会对所有 agent 可见。
-
 ## 安装
 
-在 DSH 里把本包作为 bundle 安装（profile 级，重启 Host 后可用），或在插件市场里点安装。
+在 DSH 里把本包作为 bundle 安装（profile 级），或在插件市场里点安装。
 
 安装后在 Agent 预设下拉里出现「鲸鱼娘捆绑模式」，开新会话或 `/new` 后生效；已有会话保持原预设（started 锁定）。
 

package/cordis.patch.yml

@@ -12,6 +12,26 @@
 #
 # 预设 id: dsh-chat-loli，显示名: 鲸鱼娘捆绑模式，order: 8。
 # 安装后在 Agent 预设下拉里出现，开新会话即用。
+#
+# ── 工具收窄守卫（lib/guard.js）──────────────────────────────────────────────
+#
+# 预设只控制「agent 平面」的 23 个工具行；宿主进程级的全局工具
+# （terminal_* / browser_* / cua_* / lan_gateway / *_mcp_resource 等）不在预设
+# 管辖范围，任何会话都继承。对一个对外承诺「没有 shell、没有文件读写」的预设
+# 来说，那条 terminal_* 就是完整 shell。
+#
+# 这个宿主级行补上剩下的那一半：agent 创建时判定它绑的预设，命中就把当前
+# 全局工具集合整体 deny 掉（agent.ctx.tools.restrict，只对那一个 agent 生效）。
+# 遮罩只作用于全局层，本预设自己 scoped 注册的 web_search / web_fetch 不受影响。
+
+- insert:
+    - id: chat-loli-guard
+      name: 'dsh-chat-loli/guard'
+      config:
+        # 要收窄的预设 id。本包只服务一个预设，保持默认即可。
+        preset: dsh-chat-loli
+        # 想额外保留的全局工具名（宿主级）。留空 = 全部隐藏。
+        keep: []
 
 - insert:
     - id: preset-dsh-chat-loli

package/lib/guard.js

@@ -0,0 +1,128 @@
+/**
+ * dsh-chat-loli 的工具收窄守卫。
+ *
+ * 为什么这个文件在预设包里：预设只控制「agent 平面」的工具行（bash / fs /
+ * skill / todo / subagent …），宿主进程级的全局工具（terminal_* / browser_* /
+ * cua_* / lan_gateway / MCP 资源 …）不在预设的管辖范围，任何会话都继承。
+ * 这个预设对外承诺「没有 shell、没有文件读写」，那个承诺有一半得靠这里兑现。
+ *
+ * 做法：在 `agent/created` 时判定 agent 绑定的预设；命中目标预设就给该 agent
+ * 加一层工具遮罩。依据是 dsh-agent 的文档契约：
+ *
+ *   Agent.ctx 是这个 agent 的 scoped context —— 通过它做的注册（tools、prompt
+ *   sections、variables、event listeners、restrictions）只作用于该 agent，
+ *   并在销毁时自动撤销。
+ *
+ * 遮罩只作用于「全局层」，预设自己 scoped 注册的工具不受影响，所以本预设的
+ * web_search / web_fetch 仍然可见。
+ *
+ * 名字清单在运行时用 ctx.tools.schemas()（省略 scope = 全局视图）现算，
+ * 而不是硬编码：`restrict` 对未知名字会抛错，这样进程里装了什么就遮什么。
+ */
+
+/** Cordis 插件名（loader 诊断用）。 */
+export const name = 'chat-loli-guard'
+
+/** 需要的宿主服务。 */
+export const inject = ['tools', 'agentPresets', 'agents']
+
+const DEFAULTS = {
+  preset: 'dsh-chat-loli',
+  keep: [],
+}
+
+/**
+ * 读取一个活着的 agent 用的是哪个预设。
+ *
+ * 主路径是 `composedPreset`；退回 `inspectCompositions` 是因为它按 agent 的
+ * 绑定查精确 revision，语义更窄但也更可靠。两条都拿不到就当没绑定，
+ * 直接放行（宁可不动，也不要误伤别的会话）。
+ *
+ * @param ctx - 插件所在的宿主 context。
+ * @param agent - 目标 agent。
+ * @returns 预设 id，或 undefined。
+ */
+function presetOf(ctx, agent) {
+  try {
+    const id = ctx.agentPresets.composedPreset(agent.ctx)
+    if (id) return id
+  } catch {
+    /* 落到下面的兜底 */
+  }
+  try {
+    return ctx.agentPresets.inspectCompositions(agent.ctx)[0]?.id
+  } catch {
+    return undefined
+  }
+}
+
+/**
+ * 给一个 agent 装上工具遮罩。
+ *
+ * @param ctx - 插件所在的宿主 context。
+ * @param agent - 刚创建（或刚切换预设）的 agent。
+ * @param presetId - 要收窄的预设 id。
+ * @param keep - 额外保留的全局工具名。
+ * @param applied - 已经处理过的 agent 集合，避免重复叠加。
+ * @returns 是否真的装了遮罩。
+ */
+function tighten(ctx, agent, presetId, keep, applied) {
+  if (!agent || typeof agent !== 'object' || applied.has(agent)) return false
+  if (presetOf(ctx, agent) !== presetId) return false
+
+  let deny
+  try {
+    // 省略 scope 参数 = 全局视图，所以这里拿到的是「宿主级」工具，不含
+    // 预设 scoped 注册的名字（那些名字传给 restrict 会直接报错）。
+    deny = ctx.tools
+      .schemas()
+      .map((schema) => schema.name)
+      .filter((toolName) => !keep.has(toolName))
+  } catch (error) {
+    ctx.logger?.warn?.('chat-loli-guard: 读取全局工具失败：%s', String(error?.message ?? error))
+    return false
+  }
+
+  if (deny.length === 0) return false
+
+  try {
+    agent.ctx.tools.restrict({ deny })
+  } catch (error) {
+    ctx.logger?.warn?.('chat-loli-guard: 收窄失败（preset=%s）：%s', presetId, String(error?.message ?? error))
+    return false
+  }
+
+  applied.add(agent)
+  ctx.logger?.info?.('chat-loli-guard: 已对预设 %s 隐藏 %d 个宿主级工具', presetId, deny.length)
+  return true
+}
+
+/**
+ * 注册监听。
+ *
+ * 监听器在 `agent/created` 这一轮里执行，AgentLoop 会等到监听器全部结束才
+ * 放行排队输入，所以遮罩在第一次请求之前就已就位。任何异常都被吞掉：
+ * `agent/created` 里抛出会让创建失败，不该为了收窄工具把会话弄挂。
+ *
+ * @param ctx - 宿主 context。
+ * @param config - `{ preset?, keep? }`。
+ */
+export function apply(ctx, config = {}) {
+  const presetId = typeof config.preset === 'string' && config.preset ? config.preset : DEFAULTS.preset
+  const keep = new Set(Array.isArray(config.keep) ? config.keep : DEFAULTS.keep)
+  const applied = new WeakSet()
+
+  // 新建或 resume 出来的 agent —— 这是主要入口。
+  ctx.on('agent/created', ({ agent }) => {
+    tighten(ctx, agent, presetId, keep, applied)
+  })
+
+  // 会话从别的预设切进目标预设。切换不会重新触发 agent/created，所以补这条。
+  ctx.on('agent-preset/selected', (sessionId, agentPreset) => {
+    if (agentPreset !== presetId) return
+    const agent = ctx.agents.get(sessionId)
+    if (agent) tighten(ctx, agent, presetId, keep, applied)
+  })
+}
+
+export default { name, inject, apply }

package/package.json

@@ -1,8 +1,9 @@
 {
   "name": "dsh-chat-loli",
-  "version": "1.0.0",
-  "description": "DSH agent preset 「鲸鱼娘捆绑模式」：鲸鱼娘人设 + 仅 web_search / web_fetch，无 shell、无文件读写、无 glob/grep、无记忆写入（persona 来自 dsh-whale-loli，MIT）。",
+  "version": "1.1.0",
+  "description": "DSH agent preset 「鲸鱼娘捆绑模式」：鲸鱼娘人设 + 仅 web_search / web_fetch，并用 ctx.tools.restrict 收窄该预设继承的宿主级全局工具（shell / 文件读写 / glob/grep / 记忆写入 一个都不挂，宿主层的 terminal_* / cua_* / browser_* 等也一并隐藏）。人设来自 dsh-whale-loli，MIT。",
   "type": "module",
+  "main": "lib/guard.js",
   "license": "MIT",
   "keywords": [
     "deepseek-harness",
@@ -11,12 +12,18 @@
     "cordis",
     "agent-preset",
     "chat",
-    "persona"
+    "persona",
+    "tool-restriction"
   ],
   "exports": {
-    "./icon": "./icon.webp"
+    ".": "./lib/guard.js",
+    "./guard": "./lib/guard.js",
+    "./cordis.patch.yml": "./cordis.patch.yml",
+    "./icon": "./icon.webp",
+    "./package.json": "./package.json"
   },
   "files": [
+    "lib",
     "cordis.patch.yml",
     "icon.webp",
     "README.md",