dsh-perm-gate 0.2.0

package/INSTALL.zh.md

@@ -0,0 +1,147 @@
+# 安装指南
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+`dsh-perm-gate` 版本 **0.1.0**。裁决链、规则文件格式与 Permissive 档位请见
+[中文 README](./README.zh.md)。
+
+## 前置条件
+
+- 已安装 [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness)。
+- Node.js **>= 20**（见 `package.json` 的 `engines`）。
+- `dsh` CLI 已在 `PATH` 中。
+- 需要一个目标 profile —— 浏览器端只为 `web` profile 构建（`package.json`
+  里 `dsh.client.platform = "web"`）。
+
+## 用官方 CLI 安装
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+该命令会拉取已发布的包、应用 `cordis.patch.yml`（Permissive 会话档位 + 插件条目），
+并装配 host / client 两半。
+
+## 从源码安装
+
+```sh
+git clone https://github.com/drscrewdriver/dsh-perm-gate.git
+cd dsh-perm-gate
+npm install
+npm run build      # tsc -> lib/*.js + lib/*.d.ts，tsdown -> lib/client.js
+dsh plugin --profile web add .
+```
+
+`npm run build` 同时是 `prepublishOnly` 步骤，所以发布时不会带出过期的 `lib/`。
+
+## 启用与配置
+
+在 profile 的 `cordis.yml` 中加入插件：
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # 可选；留空则按 defaultAction 兜底
+    dshHome: $DSH_HOME              # 受保护目标检查的钉死根目录
+    defaultAction: ask              # allow | ask | deny
+```
+
+可从 [examples/permissions.example.yaml](./examples/permissions.example.yaml) 起步，
+然后重载 profile。
+
+## 升级
+
+```sh
+dsh plugin --profile web update dsh-perm-gate
+```
+
+随后重新应用 profile 以重读补丁文件：
+
+```sh
+dsh profile reload --profile web
+```
+
+## 从分裂的插件迁移
+
+`dsh-perm-gate` 把原先散落在 `dsh-permission-rules`、`dsh-auto-mode`、
+`dsh-auto-review`、`dsh-movein-permissions` 中的门禁、审批接缝与（可选）分类器
+合并为一个包。
+
+1. 导出既有规则列表（deny / allow / ask），合并到同一个 `permissions.yaml`。
+2. 从 `cordis.yml` 删除上述四个插件，只加入唯一的 `dsh-perm-gate` 条目。
+3. 删除这些插件贡献的 preset 覆盖 —— `cordis.patch.yml` 是**整体替换**
+   `permission.config.presets`，其他插件遗留的逐 key 补丁可能静默抹掉
+   Permissive 或 Auto 档。
+4. 重载 profile，并用下面的 `--list` 验证。
+
+## 验证
+
+```sh
+# 汇总已加载的规则集（无需 harness）
+dsh-perm-gate --rules permissions.yaml --list
+
+# 对单次调用 dry-run
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+```
+
+`--list` 的输出形如：
+
+```json
+{
+  "rulesFile": "/abs/path/permissions.yaml",
+  "defaultAction": "ask",
+  "ruleCount": 8,
+  "permissive": false,
+  "permissiveStrategies": { "trustAutoAllow": true, "alwaysConfirm": false, "llmAssist": false }
+}
+```
+
+UI 里 **设置 → 插件 → Permissive 审批档** 应渲染出一个开关加三个后台策略开关。
+
+## 卸载
+
+```sh
+dsh plugin --profile web remove dsh-perm-gate
+dsh profile reload --profile web
+```
+
+移除插件也会移除它的补丁贡献，Permissive 档位会重新从会话权限下拉框消失。
+
+## 排查
+
+**权限下拉框里没有 Permissive 档。**
+DSH 的 bundle patch 是整体替换 `permission.config.presets`，而非逐 key 合并。
+请重载 profile 让 `cordis.patch.yml` 重新生效，并确认没有更晚加载的插件覆盖了
+`presets`。
+
+**规则文件存在但 `--list` 显示 `ruleCount: 0`。**
+`rulesFile` 按 harness 进程的 CWD 解析，而不是插件目录。建议使用绝对路径，
+或确认 shell 的 CWD。格式错误的文档在加载时 loud fail，绝不会静默失效。
+
+**`llmAssist` 从不触发。**
+需要配置 `classifierEndpoint`、`classifierModel`、`classifierApiKey`
+（在 **设置 → 插件 → Permissive 审批档** 或 `cordis.yml` 中填写）。
+任一缺失或网络错误都会回退到人工接缝 —— 门禁按设计 fail-closed。
+
+**设置卡片显示「设置命名空间不可用」。**
+该插件未装配进当前 profile。执行 `dsh plugin --profile web add dsh-perm-gate`
+并重载。
+
+**选择 `ja` / `ko` 报 `locale "<id>" is not registered`。**
+官方 DSH 的 `LocaleRuntime` 只暴露 `zh` / `en`，详见
+[中文 README](./README.zh.md) 的兼容性说明。
+
+## 许可证
+
+[MIT](./LICENSE)

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 drscrewdriver
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.ja.md

@@ -0,0 +1,197 @@
+# dsh-perm-gate
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+> **互換性に関する注記:** v0.1.0 は `ja` / `ko` 辞書を同梱しますが、公式 DSH の
+> `LocaleRuntime` が公開するのは `zh` / `en` のみです（`LOCALE_IDS = ["zh", "en"]`）。
+> 素の DSH で `ja` / `ko` を選択すると `locale "<id>" is not registered` になります。
+> `LOCALE_IDS`（locale-settings.ts）と `LOCALES` ラベル（client/index.ts）を更新した
+> DSH fork を使って再ビルドしてください。
+
+バージョン **0.1.0** — 変更履歴は [日本語 changelog](./CHANGELOG.ja.md) を参照。
+
+DeepSeek Harness 向けの、単一・自己完結・決定論優先・fail-closed な権限ゲートです。
+
+ツール呼び出しごとに固定の優先チェーンで判定します：
+
+| 段階 | 判定 | 内容 |
+| ---- | ---- | ---- |
+| **P0** | `deny` | 決定論的ハード拒否：資格情報の material / 保護パスの変更 / 危険な shell |
+| **P1** | `allow` | 精密で有界な**セッション許可** grant |
+| **P2** | `deny/allow/ask` | 静的ルール連鎖：ブラックリスト → allow → ask の順 |
+| **P3** | `allow/deny/ask` | 任意の LLM 意味分類器（既定**オフ**） |
+| **P4** | `ask` | 公式の approval seam |
+
+fail-closed を徹底します：P0 の判定は、grant・ルール・分類器・人間のいずれにも
+上書きされません。
+
+## 背景
+
+DSH の安全まわりのエコシステムでは、この役割が `dsh-permission-rules` /
+`dsh-auto-mode` / `dsh-auto-review` / `dsh-movein-permissions` の複数プラグインに
+分散しています。`dsh-perm-gate` はゲート・承認・（任意の）分類器を 1 パッケージに
+統合し、監査ログを 1 本にまとめ、プラグイン間のバージョン結合をなくします。
+
+## 主な機能
+
+- **コマンド ホワイト/ブラックリスト** — 生文字列ではなく **argv 分解**で照合
+  （`sh -c`/`bash -c` の再帰降下、パイプライン検出、リダイレクト先の検査、
+  再帰/強制（`rm -rf`）の認識）。
+- **拒否優先** — 拒否ルールはどの allow ルールにも勝ります。
+- **セッション許可** — `(ツール, 正準フィンガープリント)` 単位の精密な許可
+  （TTL＋maxUses。対象が変われば権限は再利用されません。サブエージェントは継承
+  できますが自ら発行はできません）。
+- **純関数ルール エンジン** — glob/regex コンパイル＋ReDoS 上限、不正ルールは
+  loud fail、ソースの内容ハッシュによるコンパイル キャッシュ。
+- **監査** — すべての判定を `callId` 付きの `{ignorable:true}` イベントとして記録。
+  モデルに見える理由と記録される結果は常に一致します。
+- **Permissive ティア** — read-only / full-access / whitelist とは別の**独立した承認
+  モード**。「自動承認」でもなく、包括的な権限付与でもありません。フロントが露出する
+  のは**単一スイッチ**（`permissive`）だけで、バックエンドの 3 つの戦略は**組み合わせ
+  可能**でプラグイン設定から制御されます。P0 に対しては依然 fail-closed です。
+
+## インストール
+
+[DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) が導入済みである
+必要があります。
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+インストール・アップグレード・移行・トラブルシューティングの詳細は
+[日本語インストールガイド](./INSTALL.ja.md)（[English](./INSTALL.md) /
+[中文](./INSTALL.zh.md) / [한국어](./INSTALL.ko.md)）にあります。
+
+## 設定
+
+`cordis.yml` に追加します：
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # 任意。空なら defaultAction に従う
+    dshHome: $DSH_HOME              # 保護対象チェックのルート固定
+    defaultAction: ask              # allow | ask | deny
+```
+
+### ルール ファイル
+
+```yaml
+permissions:
+  defaultAction: ask
+  deny:
+    - command: [rm#recursive]
+      reason: no recursive rm
+    - paths: [.dsh/**]
+      reason: protect harness metadata
+  allow:
+    - command: [pnpm, node]
+      reason: dev tools
+    - command: [curl, wget]
+      args: ["https://*.example.com/*"]
+      reason: allowed endpoint
+  ask:
+    - command: [bash, sh]
+      reason: ask shells
+```
+
+コマンド項目の `word#flag` は、コマンド語 `word` に修飾子 `recursive` または
+`force` を付けて照合します。つまり `rm#recursive` は `rm -rf`、`env rm -rf`、
+`sh -c "rm -rf /"` に一致します。
+
+完全な例: [examples/permissions.example.yaml](./examples/permissions.example.yaml)
+
+## Permissive ティア
+
+Permissive は権限ピッカーの中で Read Only / Workspace Write / Full access /
+Whitelist と並ぶ**独立した承認ティア**です。「自動承認」ではなく、包括的な権限を
+発行することもありません。人間/LLM のシーム**の前**で判定を狭めたり広めたりする
+だけで、P0 ハード拒否は単調かつ交渉不能のままです。
+
+`cordis.yml` では：
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml
+    defaultAction: ask
+    permissive: true            # フロント唯一のスイッチ（独立ティア ON）
+    permissiveStrategies:        # バックエンド戦略、組み合わせ可
+      trustAutoAllow: true       # スコープ内安全操作は自動許可、危険/不明は ask
+      alwaysConfirm: false       # すべて ask。許可コントロールに拡張ボタン 2 つ
+      llmAssist: false           # まず LLM が分類、ask/失敗時は人手へ
+```
+
+`trustAutoAllow` は中間ティアのベースラインです（rule-allow は自動通過）。
+`alwaysConfirm` はすべての境界で承認パネルを表示し、その「許可コントロール」に
+2 つの拡張ボタンを追加します — **このセッションで当該種別を繰り返し許可**
+（`approveRepeat`、有界なセッション許可）と**すべての発生を許可**
+（`approveAllowEverywhere`、コマンド語を `permissions.yaml` の allow ホワイトリストへ
+永続化して再読込）。`llmAssist` は設定済みの実際の LLM
+（`classifierEndpoint` / `classifierModel`。OpenAI 互換 API なら何でも可）に
+`ask` の自動判定を委ね、`ask`/エラー時は人手のシームへフォールバックします —
+常に fail-closed です。`permissive` がオフなら、ゲートの挙動は以前と完全に同じです。
+
+### 選択可能なセッション ティア
+
+`cordis.patch.yml` は DSH の `permission.config.presets` を拡張し、Workspace Write と
+Full access の間に `permissive` preset（`sandbox: workspace-write`、`approval: ask`、
+名称 **Permissive**）を追加します。Auto モードと同じ仕組みです。したがって
+セッションの権限ピッカーには「auto-approval」ではなく、**独立して選択できる承認
+ティア**として Permissive が並びます。
+
+### UI から設定可能
+
+このティアは実行時にも **設定 → プラグイン → Permissive 承認ティア** から調整できます
+（プラグインのブラウザ側が描画する `settings.plugins.tab` ページ）。1 つのスイッチが
+`permissive` を切り替え、3 つのトグルがバックエンドの `permissiveStrategies` を編集
+します。host は名前空間を live に読むため、変更は再起動なしで次のツール呼び出しから
+適用されます。これは独立した承認クラスであり、DSH の「auto-approval」モードでは
+**ありません**。
+
+### リスク判定 llmAssist、裁決学習、イベントフィード
+
+`llmAssist` 有効時、設定された LLM（OpenAI 互換エンドポイントなら任意——`classifierEndpoint` / `classifierModel` / `classifierApiKey` を自分の API に向けてください）が構造化プロトコルで `ask` を 1 件ずつ判定します：
+
+- `safe` → 自動許可（監査ソースは `classifier`）。
+- `risky` + **ハードリスクカテゴリ**（`deletion`、`credential`、`remote`、`system`、`bulk`）→ 常に人手へ。ハードリスクは自動許可も学習もされません。
+- `risky:neutral` → `riskLearning` 有効時（設定カード内、既定オフ）、人手で承認され実際に実行された neutral リスクは `tool|カテゴリ` ごとにカウントされ、`riskThreshold`（既定 3）到達かつ新呼び出しの操作指紋（コマンド語＋対象の基底名）が確認済みサンプルに一致した場合、**同一操作のみ**自動許可されます。
+- タイムアウト（`riskTimeoutMs`、既定 20 秒、1 回リトライ）、通信失敗、プロトコル外出力は元の `ask` を維持します。
+
+学習状態はプラグイン所有の JSON（`$DSH_HOME/perm-gate/learning.json` または `learningFile`）に永続化され、YAML ルールには書き込みません。各決定は `$DSH_HOME/perm-gate/events.jsonl`（または `eventsFile`）に追記され、`GET /api/dsh-perm-gate/events?sessionId=&since=` で提供されます。ブラウザ側はこれをポーリングし、入力欄の上に最新の決定を通知バーで表示します。Permissive ティアは権限ピッカーに盾アイコンを保持します（メニュー項目と折りたたみトリガーの両方）。
+
+
+## CLI（スタンドアロン dry-run）
+
+Harness なしで 1 件の呼び出しをルール ファイルに対して評価できます：
+
+```sh
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+dsh-perm-gate --rules permissions.yaml --list
+dsh-perm-gate --permissive --tool bash --args '{"command":"pnpm install"}'
+```
+
+## 開発
+
+```sh
+npm run typecheck
+npm test
+npm run build
+```
+
+## ライセンス
+
+[MIT](./LICENSE)

package/README.ko.md

@@ -0,0 +1,195 @@
+# dsh-perm-gate
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+> **호환성 안내:** v0.1.0은 `ja` / `ko` 사전을 포함하지만, 공식 DSH의 `LocaleRuntime`은
+> `zh` / `en`만 노출합니다(`LOCALE_IDS = ["zh", "en"]`). 기본 DSH에서 `ja` / `ko`를
+> 선택하면 `locale "<id>" is not registered` 오류가 발생합니다. `LOCALE_IDS`
+> (locale-settings.ts)와 `LOCALES` 라벨(client/index.ts)을 갱신한 DSH fork를 사용해
+> 다시 빌드하세요.
+
+버전 **0.1.0** — 변경 내역은 [한국어 changelog](./CHANGELOG.ko.md)를 참고하세요.
+
+DeepSeek Harness용 단일·자족적·결정론 우선·fail-closed 권한 게이트입니다.
+
+도구 호출마다 고정된 우선순위 체인으로 판정합니다:
+
+| 단계 | 판정 | 내용 |
+| ---- | ---- | ---- |
+| **P0** | `deny` | 결정론적 하드 거부: 자격 증명 material / 보호 경로 변경 / 위험한 shell |
+| **P1** | `allow` | 정밀하고 유계인 **세션 허용** grant |
+| **P2** | `deny/allow/ask` | 정적 규칙 체인: 블랙리스트 → allow → ask 순서 |
+| **P3** | `allow/deny/ask` | 선택적 LLM 의미 분류기(기본 **꺼짐**) |
+| **P4** | `ask` | 공식 approval seam |
+
+엄격하게 fail-closed입니다: P0 판정은 grant·규칙·분류기·사람 누구에게도
+덮어써지지 않습니다.
+
+## 배경
+
+DSH 안전 생태계에서는 이 역할이 `dsh-permission-rules` / `dsh-auto-mode` /
+`dsh-auto-review` / `dsh-movein-permissions` 등 여러 플러그인에 흩어져 있습니다.
+`dsh-perm-gate`는 게이트·승인·선택적 분류기를 하나의 패키지로 합쳐 감사 로그를
+단일화하고 플러그인 간 버전 결합을 없앱니다.
+
+## 주요 기능
+
+- **명령 화이트/블랙리스트** — 원시 문자열이 아니라 **argv 분해**로 매칭
+  (`sh -c`/`bash -c` 재귀 하강, 파이프라인 감지, 리다이렉트 대상 검사,
+  재귀/강제(`rm -rf`) 인식).
+- **거부 우선** — 거부 규칙은 어떤 allow 규칙보다 우선합니다.
+- **세션 허용** — `(도구, 정규화 지문)` 단위의 정밀 허용(TTL + maxUses. 대상이
+  달라지면 권한을 재사용하지 않습니다. 서브 에이전트는 상속할 수 있지만 스스로
+  발행할 수 없습니다).
+- **순수 함수 규칙 엔진** — glob/regex 컴파일 + ReDoS 상한, 잘못된 규칙은 loud fail,
+  소스 콘텐츠 해시 기반 컴파일 캐시.
+- **감사** — 모든 판정을 `callId`와 함께 `{ignorable:true}` 이벤트로 기록합니다.
+  모델에 보이는 이유와 기록된 결과는 항상 일치합니다.
+- **Permissive 티어** — read-only / full-access / whitelist와 구별되는 **독립 승인
+  모드**. "자동 승인"도 아니고 포괄적 권한 부여도 아닙니다. 프론트는 **단일 스위치**
+  (`permissive`)만 노출하고, 백엔드의 세 가지 전략은 **조합 가능**하며 플러그인
+  설정으로 제어됩니다. P0에 대해서는 여전히 fail-closed입니다.
+
+## 설치
+
+[DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness)가 설치되어 있어야
+합니다.
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+설치·업그레이드·이전·문제 해결의 전체 절차는
+[한국어 설치 안내](./INSTALL.ko.md)([English](./INSTALL.md) /
+[中文](./INSTALL.zh.md) / [日本語](./INSTALL.ja.md))에 있습니다.
+
+## 설정
+
+`cordis.yml`에 추가합니다:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # 선택. 비우면 defaultAction을 따름
+    dshHome: $DSH_HOME              # 보호 대상 검사의 고정 루트
+    defaultAction: ask              # allow | ask | deny
+```
+
+### 규칙 파일
+
+```yaml
+permissions:
+  defaultAction: ask
+  deny:
+    - command: [rm#recursive]
+      reason: no recursive rm
+    - paths: [.dsh/**]
+      reason: protect harness metadata
+  allow:
+    - command: [pnpm, node]
+      reason: dev tools
+    - command: [curl, wget]
+      args: ["https://*.example.com/*"]
+      reason: allowed endpoint
+  ask:
+    - command: [bash, sh]
+      reason: ask shells
+```
+
+명령 항목의 `word#flag`는 명령어 `word`에 수식어 `recursive` 또는 `force`를 붙여
+매칭합니다. 즉 `rm#recursive`는 `rm -rf`, `env rm -rf`, `sh -c "rm -rf /"`에
+일치합니다.
+
+전체 예시: [examples/permissions.example.yaml](./examples/permissions.example.yaml)
+
+## Permissive 티어
+
+Permissive는 권한 선택기에서 Read Only / Workspace Write / Full access / Whitelist와
+나란한 **독립 승인 티어**입니다. "자동 승인"이 아니며 포괄적 권한을 발행하지도 않습니다.
+사람/LLM 심 **이전에** 판정을 좁히거나 넓힐 뿐이고, P0 하드 거부는 단조롭고 협상
+불가능하게 유지됩니다.
+
+`cordis.yml`에서:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml
+    defaultAction: ask
+    permissive: true            # 프론트의 유일한 스위치(독립 티어 켜기)
+    permissiveStrategies:        # 백엔드 전략, 조합 가능
+      trustAutoAllow: true       # 범위 내 안전 작업 자동 허용, 위험/미확인은 ask
+      alwaysConfirm: false       # 매번 ask. 허용 컨트롤에 확장 버튼 2개
+      llmAssist: false           # 먼저 LLM이 분류, ask/실패 시 사람에게
+```
+
+`trustAutoAllow`는 중간 티어의 기준선입니다(rule-allow는 자동 통과). `alwaysConfirm`은
+모든 경계에서 승인 패널을 띄우며, 그「허용 컨트롤」에 두 개의 확장 버튼을 추가합니다 —
+**이 세션에서 해당 유형 반복 허용**(`approveRepeat`, 유계 세션 허용)과 **모든 발생
+허용**(`approveAllowEverywhere`, 명령어를 `permissions.yaml`의 allow 허용 목록에
+영속 기록 후 재로드). `llmAssist`는 설정된 실제 LLM(`classifierEndpoint` /
+`classifierModel`, OpenAI 호환 API면 무엇이든 가능)에 `ask` 자동 판정을 맡기고,
+`ask`/오류 시 사람의 승인 심으로 폴백합니다 — 항상 fail-closed입니다.
+`permissive`가 꺼져 있으면 게이트는 이전과 완전히 동일하게 동작합니다.
+
+### 선택 가능한 세션 티어
+
+`cordis.patch.yml`은 DSH의 `permission.config.presets`를 확장해 Workspace Write와
+Full access 사이에 `permissive` preset(`sandbox: workspace-write`, `approval: ask`,
+이름 **Permissive**)을 추가합니다. Auto 모드와 같은 메커니즘입니다. 따라서 세션 권한
+선택기에는 "auto-approval"이 아니라 **독립적으로 선택 가능한 승인 티어**인 Permissive가
+놓입니다.
+
+### UI에서 설정 가능
+
+이 티어는 실행 중에도 **설정 → 플러그인 → Permissive 승인 티어**에서 조정할 수 있습니다
+(플러그인 브라우저 절반이 렌더링하는 `settings.plugins.tab` 페이지). 스위치 하나가
+`permissive`를 토글하고, 토글 세 개가 백엔드 `permissiveStrategies`를 편집합니다.
+host는 네임스페이스를 live로 읽으므로 변경은 재시작 없이 다음 도구 호출부터 적용됩니다.
+이것은 독립적인 승인 클래스이며 DSH의 "auto-approval" 모드가 **아닙니다**.
+
+### 위험 등급 llmAssist, 판정 학습, 이벤트 피드
+
+`llmAssist`가 켜져 있으면 설정된 LLM(OpenAI 호환 엔드포인트라면 무엇이든 — `classifierEndpoint` / `classifierModel` / `classifierApiKey`을 자신의 API로 지정)이 구조화된 프로토콜로 `ask`를 하나씩 판정합니다:
+
+- `safe` → 자동 허용(감사 소스 `classifier`).
+- `risky` + **하드 위험 카테고리**(`deletion`, `credential`, `remote`, `system`, `bulk`) → 항상 사람에게 전달. 하드 위험은 자동 허용도 학습도 되지 않습니다.
+- `risky:neutral` → `riskLearning` 활성 시(설정 카드, 기본 꺼짐), 사람이 승인하고 실제 실행된 neutral 위험은 `tool|카테고리` 키로 카운트되며, `riskThreshold`(기본 3) 도달 및 새 호출의 작업 지문(명령어 단어 + 대상 기본 이름)이 확인된 샘플과 일치하면 **동일 작업만** 자동 허용됩니다.
+- 시간 초과(`riskTimeoutMs`, 기본 20초, 1회 재시도), 전송 실패, 프로토콜 외 출력은 원래 `ask`를 유지합니다.
+
+학습 상태는 플러그인 소유 JSON(`$DSH_HOME/perm-gate/learning.json` 또는 `learningFile`)에 영속화되며 YAML 규칙 파일에는 기록되지 않습니다. 모든 결정은 `$DSH_HOME/perm-gate/events.jsonl`(또는 `eventsFile`)에 추가되고 `GET /api/dsh-perm-gate/events?sessionId=&since=`로 제공됩니다. 브라우저 절반이 이를 폴링하여 입력창 위에 최신 결정을 알림 바로 표시합니다. Permissive 티어는 권한 선택기에서 방패 아이콘을 유지합니다(메뉴 항목과 축소 트리거 모두).
+
+
+## CLI(독립 실행 dry-run)
+
+Harness 없이 규칙 파일에 대해 호출 하나를 평가할 수 있습니다:
+
+```sh
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+dsh-perm-gate --rules permissions.yaml --list
+dsh-perm-gate --permissive --tool bash --args '{"command":"pnpm install"}'
+```
+
+## 개발
+
+```sh
+npm run typecheck
+npm test
+npm run build
+```
+
+## 라이선스
+
+[MIT](./LICENSE)