dsh-perm-gate 5.0.1 → 5.0.3

package/README.ru.md

@@ -0,0 +1,478 @@
+# dsh-perm-gate
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Français README](./README.fr.md)
+- [Deutsch README](./README.de.md)
+- [Italiano README](./README.it.md)
+- [Русский README](./README.ru.md)
+- [Español README](./README.es.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Guide d'installation](./INSTALL.fr.md)
+- [Installationsanleitung](./INSTALL.de.md)
+- [Guida all'installazione](./INSTALL.it.md)
+- [Руководство по установке](./INSTALL.ru.md)
+- [Guía de instalación](./INSTALL.es.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+- [Français changelog](./CHANGELOG.fr.md)
+- [Deutsch changelog](./CHANGELOG.de.md)
+- [Italiano changelog](./CHANGELOG.it.md)
+- [Русский changelog](./CHANGELOG.ru.md)
+- [Español changelog](./CHANGELOG.es.md)
+
+> **Примечание о совместимости:** в v2.0.0 входят словари `ja` / `ko`, однако официальный DSH
+> предоставляет через `LocaleRuntime` только `zh` / `en` (`LOCALE_IDS = ["zh", "en"]`). На
+> стандартном DSH выбор `ja` / `ko` завершается ошибкой `locale "<id>" is not registered`.
+> Используйте форк DSH, который обновляет `LOCALE_IDS` (locale-settings.ts) и подписи `LOCALES`
+> (client/index.ts), и выполните пересборку.
+
+> **▼ Совместимость версий DSH**
+>
+> Две линии DSH обслуживаются двумя долгоживущими ветками, каждая со своей серией версий, своим
+> `engines.dsh` и своим npm dist-tag ([схема релизов](./RELEASING.md)):
+>
+> | Версия DSH | Ветка | Версия | npm-тег |
+> | --- | --- | --- | --- |
+> | 0.1.0-rc.7 ~ 0.1.1-rc.x | `legacy` | `1.x` | `@legacy` |
+> | 0.1.2-alpha.1+ (вкл. 0.1.5-rc.2) | `main` | `2.x` | `@latest` / `@dsh-0.1.2` (`@2.x` — это диапазон) |
+> | 0.2.0-rc.1 (линия 0.2.0) | `compat/0.2.0` | `5.x` | `@dsh-0.2.0` |
+>
+> Номер серии следует за **линией DSH** (`1.x` = DSH ≤ 0.1.1, `2.x` = DSH 0.1.2+), а мажорные
+> версии отгорожены друг от друга: установка `^1.x` никогда не разрешится в релиз `2.x`, и
+> наоборот. `engines.dsh` фиксирует то же разделение, но DSH его никогда не читает — старый DSH
+> удерживают на `1.x` именно диапазоны и dist-теги.
+>
+> `@deepseek-ai/dsh-client-runtime` был **удалён** в `0.1.2-alpha.1` — он не просто переехал.
+> Линия `legacy` по-прежнему получает `ctx.slots` через него; `main` берёт то же объявление из
+> `@deepseek-ai/dsh-client-ui-renderer/client`. Два чувствительных к версии стыка обрабатываются
+> пробами возможностей, а не проверками версии: (1) регистрация настроек использует `register`,
+> который есть в обеих линиях (`installSection` — дополнение, а не замена); (2) `effectivePolicy`
+> — **приватный** метод сервиса пользовательского одобрения в обеих линиях, поэтому он читается
+> через пробу `typeof` и деградирует до «политика неизвестна», когда метода нет или он бросает
+> исключение.
+
+Версия **2.6.0** — см. [список изменений](./CHANGELOG.ru.md).
+
+Единые, самодостаточные, детерминированные в первую очередь и fail-closed ворота разрешений
+(gate) для DeepSeek Harness.
+
+`dsh-perm-gate` выносит решение по каждому вызову инструмента по фиксированной цепочке
+приоритетов:
+
+| Этап | Решение | Что это |
+| ---- | ---- | ---- |
+| **P0** | `deny` | детерминированный жёсткий запрет: учётные данные, изменение защищённых путей, опасный shell |
+| **P1** | `allow` | точная ограниченная **сессионная выдача** (grant) |
+| **P2** | `deny/allow/ask` | статическая цепочка правил: сначала blacklist, затем allow, затем ask |
+| **P3** | `allow/deny/ask` | опциональный семантический LLM-классификатор (**выключен** по умолчанию) |
+| **P4** | `ask` | официальный шов одобрения (approval seam) |
+
+Строго fail-closed: решение P0 никогда не отменяется выдачей, правилом, классификатором или
+человеком.
+
+## Зачем
+
+Экосистема безопасности DSH размазывает это по нескольким плагинам (`dsh-permission-rules`,
+`dsh-auto-mode`, `dsh-auto-review`, `dsh-movein-permissions`). `dsh-perm-gate` объединяет ворота +
+одобрение + (опциональный) классификатор в одном пакете — с единой аудиторской тропой и без
+перекрёстной связности версий между плагинами.
+
+## Возможности
+
+- **Белый/чёрный список команд** — сопоставление по **декомпозиции argv** (а не по сырой строке),
+  с рекурсивным спуском в `sh -c`/`bash -c`, обнаружением конвейеров, проверкой целей
+  перенаправления и распознаванием recursive/force (`rm -rf`).
+- **Приоритет запрета** — совпавшее правило deny побеждает любое правило allow.
+- **Сессионные выдачи** — точные выдачи `(инструмент, канонический отпечаток)` с `TTL` +
+  `maxUses`; повторный запуск с другой целью никогда не переиспользует полномочия. Субагенты
+  наследуют их, но не могут создавать.
+- **Движок правил на чистых функциях** — компиляция glob/regex с пределом ReDoS, громкий отказ на
+  некорректных правилах и кэш компиляции по хэшу исходника.
+- **Аудит** — каждое решение пишется в журнал как событие `{ignorable:true}` со своим `callId`;
+  причина, видимая модели, совпадает с записанным исходом.
+- **Уровень 自动审查** (`permissive`, плюс `permissive-full`) — **независимый режим одобрения**
+  (отдельный от уровней «только чтение», «полный доступ» и белого списка), не являющийся ни
+  «автоодобрением», ни слепым доверием. Фронтенд предоставляет **один переключатель**
+  (`permissive`); четыре серверные стратегии **комбинируются** и управляются настройками плагина —
+  по-прежнему fail-closed против P0. И селектор разрешений, и строка настроек показывают его под
+  продуктовым названием 自动审查, без иконки. Вариант `permissive-full` сохраняет то же поведение
+  одобрения, но убирает встроенную файловую «песочницу», которая в остальном запрещает именованные
+  каналы, нужные `git clone` / Cygwin / ConPTY.
+- **Автоответ на эскалацию песочницы** (`trustEscalation`) — эскалация песочницы запрашивается
+  *изнутри* тела инструмента shell / pwsh / edit, после `tools/pre-execute`, так что ворота её
+  никогда не видели, и вызов, который они автоматически разрешили, всё равно предлагал вам
+  подтвердить расширение. Когда стратегия включена, именно тот вызов, который ворота пропустили
+  (опознанный по `callId`), получает ответ здесь.
+- **`llmAssist` с градацией риска** — собственная LLM, совместимая с OpenAI, оценивает каждый
+  `ask` как `safe` / `risky:<категория>`; жёсткие категории (удаление, учётные данные, удалённый
+  доступ, система, массовые операции) **всегда спрашивают**, нейтральные питают обучение вердиктов,
+  и любой сбой остаётся fail-closed.
+- **Обучение вердиктов** — нейтральные по риску `ask`, одобренные человеком и реально
+  исполненные, накапливаются; после порога *та же самая операция* (совпадение по отпечатку)
+  разрешается автоматически.
+- **Лента событий решений** — каждое решение дописывается в JSONL-ленту и показывается
+  браузерной половиной в виде полосы уведомления над полем ввода беседы, плюс вкладка журнала
+  одобрений (новейшие сверху) в окне беседы.
+
+Предустановленный **чёрный список deny-ключевых слов** (унаследован от `DEFAULT_DENY_KEYWORDS`
+dsh-approval-gate: `rm -rf`, `push --force`, `drop table`, `mkfs`, `git reset --hard`,
+`docker system prune`, …) накладывает вето на любой вызов, чей текст содержит ключевое слово —
+подстрока без учёта регистра, применяется раньше белого списка, выдач и LLM. Он редактируется как
+список в карточке настроек (предустановленные записи помечены, есть восстановление в один клик);
+не задан или пуст — применяется предустановка — чёрный список никогда не отключается молча.
+
+## Установка
+
+Требуется существующая установка [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness).
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+Полные шаги установки, обновления, миграции и устранения неполадок живут в
+[Руководстве по установке](./INSTALL.ru.md) — также доступном на
+[English](./INSTALL.md) / [中文](./INSTALL.zh.md) / [日本語](./INSTALL.ja.md) /
+[한국어](./INSTALL.ko.md) / [Français](./INSTALL.fr.md) / [Deutsch](./INSTALL.de.md) /
+[Italiano](./INSTALL.it.md) / [Español](./INSTALL.es.md).
+
+## Конфигурация
+
+Добавьте плагин в `cordis.yml`:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # optional; defaults to $DSH_HOME/perm-gate/rules.yml
+    dshHome: $DSH_HOME              # root pinned for protected-target checks
+    defaultAction: ask              # allow | ask | deny
+    gatePresets: [permissive, permissive-full]   # tiers where the gate is active (default)
+    sessionSweep: true              # hourly cleanup of archived/dead sessions' gate data
+```
+
+### Сессионная уборка (session sweep)
+
+При запуске и каждый час ворота читают хранилище рабочих пространств DSH
+(`$DSH_HOME/storages/workspace.json`, только чтение) и классифицируют каждую сессию, по которой
+держат данные цепочки авторизации. Сессии, которые DSH архивировал
+(`global.archivedSessionIds`) или вообще больше не отслеживает, теряют свои события решений из
+`$DSH_HOME/perm-gate/events.jsonl`, а их снимки до изменения удаляются из
+`$DSH_HOME/perm-gate/snapshots/` — история, которой страница обзора больше не может достать, для
+данных, которые сам харнесс считает исчезнувшими. Живые сессии не затрагиваются, неатрибутируемые
+строки (пустой идентификатор сессии) никогда не удаляются, а любой сбой — fail-open: проход
+пропускается и повторяется через час. Задайте `sessionSweep: false`, чтобы отключить;
+`workspaceStoreFile` переопределяет путь к хранилищу. Восстановление архивированной сессии не
+возвращает её вычищенную историю.
+
+### Файл правил
+
+```yaml
+permissions:
+  defaultAction: ask
+  deny:
+    - command: [rm#recursive]
+      reason: no recursive rm
+    - command: [ssh]
+      reason: no direct ssh
+    - paths: [.dsh/**]
+      reason: protect harness metadata
+  allow:
+    - command: [pnpm, node]
+      reason: dev tools
+    - command: [curl, wget]
+      args: ["https://*.example.com/*"]
+      reason: allowed endpoint
+  ask:
+    - command: [bash, sh]
+      reason: ask shells
+```
+
+Запись команды `word#flag` сопоставляет слово команды (`word`) с модификатором `recursive` или
+`force` — так `rm#recursive` соответствует `rm -rf`, `env rm -rf` и `sh -c "rm -rf /"`.
+
+### Сетевая политика (opt-in)
+
+Локальный HTTP/CONNECT-прокси, который разбирает исходящий трафик **подпроцессов shell** по тому
+же файлу правил, плюс путь одобрения для целей, которых не покрывает ни одно правило. **По
+умолчанию выключено** — включение занимает loopback-порт и переписывает прокси-окружение
+дочерних процессов, поэтому никогда не включается неявно.
+
+```yaml
+- id: dsh-perm-gate
+  config:
+    networkEnabled: false          # master switch (default false)
+    networkMode: whitelist         # deny-all | whitelist | allow-all
+    networkUnlisted: ask           # ask | deny  — unlisted target handling
+    networkUnattributed: allow     # allow | deny — traffic with no shell attribution
+    networkInjectEnv: true         # rewrite HTTP(S)_PROXY/ALL_PROXY for children
+    networkAskTimeoutMs: 120000    # approval wait before failing closed
+    networkGrantTtlMs: 1800000     # how long one approval covers its target
+```
+
+**Поуровневое поведение.** Ничто не достигает сети без правила allow. Незарегистрированная цель
+эскалируется в интерактивный шов одобрения, поднятый от имени команды shell, открывшей
+соединение; одобрение расширяет охват этой цели на сессию. Правило `deny` **никогда** не
+эскалируется — одобрение может расширить то, чего незарегистрированная цель может достичь, но оно
+никогда не отменит правило, говорящее «нет».
+
+**Граница — прочтите это, прежде чем полагаться.** Прокси — *кооперативный* слой политики, а не
+граница принуждения. Он видит только трафик клиентов, читающих прокси-окружение:
+
+| Клиент | Покрыт? |
+|--------|----------|
+| `curl`, `wget`, `git`, Go `net/http`, Python `requests` | да |
+| **Node.js `http`/`https`/`fetch`** | **нет — подключается напрямую** |
+| Java (без флагов прокси `-D`), .NET `HttpClient` | нет |
+| Сырые сокеты, собственный TCP | нет |
+| DNS, QUIC/HTTP3, не-HTTP протоколы | нет |
+| Соединения с литеральным IP | нет |
+
+Так что команда shell вида `node -e "require('http').get('http://host/')"` не перехватывается.
+Считайте это ограждением от случайностей и местом, где фиксируется намерение, а не герметичной
+песочницей.
+
+**Собственный** сетевой трафик DSH — встроенные сетевые инструменты и LLM-транспорт — намеренно
+оставлен в покое. Эти соединения не несут shell-атрибуции, и `networkUnattributed: allow`
+(значение по умолчанию) пропускает их без проверки: проверять их значило бы позволить хосту
+заблокировать *самого себя* — провал хуже пропущенной блокировки. Задавайте
+`networkUnattributed: deny`, только если знаете, что клиенты вашего хоста игнорируют
+прокси-окружение.
+
+Живое состояние запрашивается на `GET /api/dsh-perm-gate/network` (режим, привязка, порт,
+живость прокси, состояние инъекции окружения, счётчики блокировок, недавние блокировки).
+
+## Уровень 自动审查 (машинное значение `permissive`)
+
+自动审查 — **независимый уровень одобрения** в селекторе разрешений DSH, наравне с «Только
+чтение» / «Запись в рабочем пространстве» / «Полный доступ» / «Белый список». Это **не** общее
+«автоодобрение», и он никогда не чеканит слепые полномочия: он лишь сужает или расширяет шов
+*до* шага человек/LLM, пока жёсткий запрет P0 остаётся монотонным и не подлежащим обсуждению
+**внутри собственного охвата ворот**.
+
+> **P0 ограничен по охвату, а не глобален.** Ворота действуют, только пока пресет разрешений
+> сессии входит в `gatePresets` (по умолчанию `permissive` / `permissive-full`). Под любым другим
+> пресетом — «Только чтение», «Запись в рабочем пространстве» или «Полный доступ» — **весь**
+> набор ворот отступает, включая жёсткий запрет P0, потому что собственной политикой выбранного
+> уровня управляется эта сессия. Это сделано сознательно (см. `gatePresets` в таблице
+> конфигурации), но означает, что «P0 не подлежит обсуждению» верно *внутри* уровней ворот, а не
+> на каждом уровне. Отступление не беззвучно: ворота записывают одно событие `stand-down` на
+> переход сессия/пресет, а браузер показывает липкую полосу **GATE OFF** над полем ввода. Задайте
+> `gatePresets: ['*']`, чтобы снова сделать P0 глобальным.
+
+**Поставляются два варианта**, потому что `sandbox` и `approval` пресета — независимые ручки, и их
+связка вынуждала к плохому компромиссу:
+
+| Подпись в селекторе | Машинное значение | sandbox | approval |
+|--------------|---------------|---------|----------|
+| 自动审查 | `permissive` | `workspace-write` | `ask` |
+| 自动审查（高权限） | `permissive-full` | `danger-full-access` | `ask` |
+
+Простой уровень сохраняет встроенную файловую песочницу. Та песочница запрещает и именованные
+каналы, которые нужны дочернему процессу для старта, поэтому `git clone`, `sh.exe` MSYS2/Cygwin и
+ConPTY под ней падают с `Win32 error 5` / `couldn't create signal pipe`. Поскольку ворота активны
+**только** на уровнях, перечисленных в `gatePresets`, желать ворота значило принимать это
+ограничение. 自动审查（高权限） убирает связку: то же поведение одобрения, без ограничения
+файловой песочницы. Собственное описание уровня говорит о компромиссе прямо — рабочий процесс
+глаже, одобрения по-прежнему применяются к каждому вызову, но **системной песочницы как страховки
+больше нет**. Оба уровня входят в `gatePresets` по умолчанию, так что любой из них даёт полную
+цепочку P0–P4 — ворота читают только **имя** пресета, но не режим песочницы.
+
+Подпись в селекторе — **строка продукта, передаваемая хостом**, а не словарная запись для
+конкретной локали: DSH рендерит `name:` уровня плагина дословно на обеих поверхностях разрешений
+(строка по умолчанию в общих настройках и селектор композера) и даёт собственные локализованные
+подписи только трём встроенным значениям, поэтому `cordis.patch.yml` поставляет китайскую подпись
+для каждой сессии.
+
+С **иконкой** история иная. Карта глифов композера закрыта, и её собственный комментарий
+формулирует правило: *host-configured names outside the design set get none.* `permissive` —
+встроенное значение, поэтому у 自动审查 уже есть глиф «щит+глаз»; `permissive-full` получает тот
+же глиф только потому, что `npx dsh-perm-gate-patch-glyph` добавляет его в эту карту. Тот патч
+правит пакет **хоста**, поэтому теряется при каждом обновлении DSH — см.
+[После обновления DSH](./INSTALL.ru.md).
+
+В `cordis.yml`:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml
+    defaultAction: ask
+    permissive: true            # single front-facing switch (independent tier on)
+    permissiveStrategies:        # backend, combinable
+      trustAutoAllow: true       # in-scope safe ops auto-allow; dangerous/unknown ask
+      alwaysConfirm: false       # every crossing asks; allow-controls add repeat-allow / wl-migrate buttons
+      llmAssist: false           # LLM classify first, human fallback on ask/failure
+      trustEscalation: true      # a cleared call's own sandbox escalation needs no prompt
+```
+
+`trustAutoAllow` — базовый средний уровень (allow по правилу проходит автоматически).
+`alwaysConfirm` показывает панель одобрения при каждом пересечении; его «allow-кнопки» добавляют
+две расширенные кнопки — **повторно разрешить этот тип в этой сессии** (ограниченная сессионная
+выдача) и **разрешить каждое вхождение** (она сохраняет слово команды в белый список `allow` файла
+`permissions.yaml` через `approveAllowEverywhere`). `llmAssist` обращается к настоящей
+настраиваемой LLM (`classifierEndpoint` / `classifierModel`, любой OpenAI-совместимый API), чтобы
+автоматически решить `ask`, и возвращается к человеческому шову при `ask`/ошибке — всегда
+fail-closed. `trustEscalation` (включён по умолчанию, когда включён уровень) отвечает на
+эскалацию `sandbox_permissions`, поднятую изнутри вызова, который ворота уже разрешили; см. ниже.
+Когда `permissive` выключен, ворота ведут себя ровно как раньше.
+
+### Эскалация песочницы: почему вердикт `safe` всё равно показывал запрос
+
+Вызов инструмента может поднять **два независимых одобрения**. Первым владеют ворота — их
+собственный `ask` в водопаде `tools/pre-execute`. Второе приходит от `approveEscalation`
+**внутри тела инструмента**, в момент `tools/execute`, всякий раз, когда модель передала
+`sandbox_permissions` + `justification`; к тому моменту `tools/pre-execute` уже завершён, так что
+allow ворот до него не доходит. Вызов, оценённый LLM как `safe` и автоматически разрешённый
+воротами, всё равно показывал запрос подтвердить расширение песочницы.
+
+`trustEscalation` закрывает эту брешь. Ворота помнят каждый вызов, который они положительно
+разрешили (ключ — `callId` хоста, который запрос эскалации повторяет), и сами отвечают на
+эскалацию `allowed-once`. Применяется только когда выполняется **всё**:
+
+- уровень 自动审查 включён и `trustEscalation` включён;
+- запрос несёт `callId`, который ворота пропустили, с совпадающим именем инструмента;
+- причина — распознанная эскалация, называющая `workspace-write` или `danger-full-access`.
+
+Всё остальное — нераспознанная причина, другой вызов, вызов, который ворота спрашивали или
+запретили, сквозной проход `approval: never` — неизменно делегируется человеку, так что будущая
+смена формулировок DSH завершится закрыто, а не открыто. Автоответ фиксируется в ленте событий
+(`verdict: "escalation-auto"`, `mode: <цель>`). Выключите переключатель, чтобы расширение
+песочницы оставалось под контролем человека, пока остальные allow остаются автоматическими.
+
+### llmAssist с градацией риска, обучение вердиктов и лента событий
+
+Когда `llmAssist` включён, настроенная LLM оценивает по одному `ask` за раз по структурному
+протоколу. Оценка происходит **внутри водопада `tools/pre-execute` ворот, до того как решение
+вернётся хосту**: вердикт `safe` проводит вызов напрямую, так что панель одобрения вообще не
+появляется; до вас доходит только по-настоящему неопределённый вердикт. В карточке настроек
+выбираются два источника приёмника: **собственный API** (любой OpenAI-совместимый endpoint —
+`classifierEndpoint` / `classifierModel` / `classifierApiKey`, с пресетами, включающими Xiaomi
+MiMo `https://api.xiaomimimo.com/v1`), либо **группа моделей хоста DSH** (настроенный сервис
+`llm` сессии, через `agentDefaultModel.currentSelection`, с возможной подменой через
+`classifierProvider` / `classifierModel`). Кнопка **проверки здоровья**
+(`POST /api/dsh-perm-gate/health`) выполняет минимальную completion и сообщает задержку.
+
+- `safe` → вызов разрешается автоматически (в аудите — источник `classifier`); панель не
+  показывается.
+- `risky` + **жёсткая категория** (`deletion`, `credential`, `remote`, `system`, `bulk`) → вызов
+  **сохраняет человеческий ask**. Классификатор **никогда не запрещает**: путь запрета
+  принадлежит одним лишь детерминированным слоям (жёсткий запрет P0, чёрный список ключевых слов,
+  явные правила `deny:`), так что неверно оценённая категория всегда остаётся переговорной, а не
+  становится блокировкой без права обжалования. Жёсткие категории отличаются от `neutral` одним
+  важным образом: они **никогда не выучиваются**, поэтому повторные человеческие одобрения не
+  могут осадить их в авто-allow.
+  (Запрет на слове модели был измерен вживую: безобидный `git commit -F …`, оценённый как
+  `remote`, дал авто-запрет без панели и без выдачи для повторной попытки.)
+- `risky:neutral` → при включённом `riskLearning` (карточка настроек, по умолчанию выключено)
+  каждое человеческое одобрение, реально исполненное (учитывается через событие `tools/result`
+  хоста), идёт в счёт ключа `инструмент|категория`; как только счётчик достигает `riskThreshold`
+  (по умолчанию 3) **и** отпечаток операции нового вызова (слово команды + имя файла цели)
+  совпадает с подтверждённым образцом, та же самая операция разрешается автоматически. Другая
+  цель никогда не переиспользует эти полномочия. С осадкой (`riskSediment`, по умолчанию
+  включена) подтверждённые образцы ключа, достигшего порога, становятся
+  **детерминированными правилами allow**: точное совпадение разрешает сразу, без нового вызова
+  LLM — даже при выключенном `llmAssist` — а осевшие правила видимы и управляемы (завершить /
+  удалить) в карточке настроек.
+- Таймауты (`riskTimeoutMs`, по умолчанию 20 с, одна повторная попытка), транспортные сбои и
+  выход за пределы протокола оставляют ask нетронутым — ворота никогда не угадывают.
+
+Состояние обучения сохраняется в принадлежащем плагину JSON (`$DSH_HOME/perm-gate/learning.json`
+или `learningFile`), но никогда в ваш YAML-файл правил. Каждое решение дописывается в
+`$DSH_HOME/perm-gate/events.jsonl` (или `eventsFile`) и раздаётся на
+`GET /api/dsh-perm-gate/events?sessionId=&since=`; браузерная половина опрашивает её и показывает
+последнее решение полосой уведомления над полем ввода беседы (ask остаётся видимым до следующего
+события) и перечисляет все решения сессии от новейших во вкладке **Approvals** окна беседы.
+
+Затронутые файлы каждого решения снимаются в снапшот до того, как изменение приземлится
+(≤ 5 файлов, ≤ 256 КБ каждый), под `$DSH_HOME/perm-gate/snapshots/`; во вкладке **Approvals**
+каждый чип файла открывает построчный дифф (`GET /api/dsh-perm-gate/diff`) с действием
+**отката**, которое доставляет инструкцию восстановления в беседу
+(`POST /api/dsh-perm-gate/revert`). Панель инвентаря снапшотов очищает их по сессии или целиком
+(`GET /api/dsh-perm-gate/snapshots-stats` / `POST /api/dsh-perm-gate/snapshots-clear`).
+
+`ask`, который ворота направили человеку, отслеживается до ответа человека: пассивный
+наблюдатель `approval/request` записывает закрытый исход (`allowed-once` → **одобрено**,
+`rejected` → **отклонено**, `cancelled` → **отменено**, `unavailable` → отказ, поскольку канала
+одобрения не существовало), причём `tools/result` закрывает тот же ask как запасной механизм,
+когда наблюдатель не может его сопоставить. Одобрения сообщают прогресс обучения после
+одобрения (`n`/порог), а полоса уведомления подписывает все три терминальных состояния.
+
+自动审查 и 自动审查（高权限） оба рисуют в селекторе глиф «щит+глаз» — первый из встроенной карты
+DSH, второй из хостового патча, который описывает руководство по установке. Без того патча второй
+уровень на всех поверхностях показывается текстом; его подпись и регулирование не затронуты.
+
+### Выбираемый уровень сессии
+
+`cordis.patch.yml` добавляет пресет `permissive` (`sandbox: workspace-write`, `approval: ask`,
+имя **自动审查**) между «Записью в рабочем пространстве» и «Полным доступом». Патч бандла DSH
+заменяет всю карту `permission.config.presets`, а не сливает по ключам, поэтому файл также
+повторяет три встроенных (`read-only` / `workspace-write` / `danger-full-access`, из
+`@deepseek-ai/dsh-base/cordis.patch.yml`); `test/patch-presets.spec.ts` фиксирует этот набор
+ключей. Так селектор разрешений сессии предлагает 自动审查 как независимый выбираемый уровень
+одобрения, а не общий режим «автоодобрения».
+
+Ворота активны **только на уровнях, перечисленных в `gatePresets`** (по умолчанию
+`['permissive', 'permissive-full']` — два уровня, добавляемых этим плагином). На любом другом
+уровне — «Только чтение», «Запись в рабочем пространстве», «Полный доступ», `custom` — поток
+решений ворот не запускается вовсе: ни allow, ни ask, ни deny, ни жёсткого запрета P0, ни вето
+ключевых слов, ни события аудита. Выбранный уровень регулирует вызов собственной политикой, и в
+этом смысл: встроенный `danger-full-access` определён как «полный доступ без запросов одобрения»,
+так что перебить его ask'ом (там неответимым — шов одобрения отклоняет прежде, чем любой
+ответчик запустится, выдавая `the user rejected tool "..."` без панели) или жёстким запретом —
+значило бы молча противоречить выбранному пользователем уровню. `gatePresets: ['*']` снова
+делает ворота глобальными (включая жёсткий запрет); внутри активного уровня `ask` по-прежнему
+деградирует до сквозного прохода, когда действующая политика одобрения сессии — `never`, — вот
+почему оба уровня 自动审查 объявляют `approval: ask`.
+
+### Настраивается в интерфейсе
+
+Уровень также регулируется во время выполнения через **Настройки → Плагины → 自动审查**
+(страница `settings.plugins.tab`, которую рендерит браузерный клиент плагина): один переключатель
+переключает `permissive`, четыре — правят серверные `permissiveStrategies`. Хост читает
+пространство имён вживую, поэтому изменение применяется к следующему вызову инструмента без
+перезапуска. Это независимый класс одобрения, а НЕ общий режим «автоодобрения».
+
+### Тест правила (dry-run)
+
+На той же странице есть панель **теста правила**: введите имя инструмента и команду, нажмите
+«Тест», и ворота вынесут вердикт по этому вызову против текущего набора правил — ничего не
+запуская и не записывая правил. Вы получите вердикт, совпавшее правило (индекс и действие),
+размерности, которые оно ограничивает, и причину.
+
+Панель сообщает и эффективный вердикт (вся цепочка P0 → P1 → P2 → P3 → P4), *и* собственный ответ
+слоя правил, а это не одно и то же: жёсткий запрет P0 или deny-ключевое слово пресета срабатывают
+до цепочки правил и не оставляют после себя индекса правила, поэтому панель говорит «ни одно
+правило не совпало», вместо того чтобы называть постороннее правило. Пометка «загружено 0 правил»
+означает, что путь `rulesFile` не разрешился ни во что.
+
+Панель общается с `POST /api/dsh-perm-gate/dry-run`, который **по построению доступен только для
+чтения** — у него вообще нет формы записи, так что тест правила никогда не сможет его изменить.
+
+## CLI
+
+Прогон одного вызова по файлу правил (без харнесса):
+
+```sh
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+dsh-perm-gate --rules permissions.yaml --list
+```
+
+## Разработка
+
+```sh
+npm run typecheck
+npm test
+npm run build
+```
+
+## Лицензия
+
+[MIT](./LICENSE)

package/README.zh.md

@@ -4,13 +4,28 @@
 - [中文 README](./README.zh.md)
 - [日本語 README](./README.ja.md)
 - [한국어 README](./README.ko.md)
+- [Français README](./README.fr.md)
+- [Deutsch README](./README.de.md)
+- [Italiano README](./README.it.md)
+- [Русский README](./README.ru.md)
+- [Español README](./README.es.md)
 - [Installation guide](./INSTALL.md)
 - [中文安装指南](./INSTALL.zh.md)
 - [日本語インストールガイド](./INSTALL.ja.md)
 - [한국어 설치 안내](./INSTALL.ko.md)
+- [Guide d'installation](./INSTALL.fr.md)
+- [Installationsanleitung](./INSTALL.de.md)
+- [Guida all'installazione](./INSTALL.it.md)
+- [Руководство по установке](./INSTALL.ru.md)
+- [Guía de instalación](./INSTALL.es.md)
 - [Changelog](./CHANGELOG.md)
 - [日本語 changelog](./CHANGELOG.ja.md)
 - [한국어 changelog](./CHANGELOG.ko.md)
+- [Français changelog](./CHANGELOG.fr.md)
+- [Deutsch changelog](./CHANGELOG.de.md)
+- [Italiano changelog](./CHANGELOG.it.md)
+- [Русский changelog](./CHANGELOG.ru.md)
+- [Español changelog](./CHANGELOG.es.md)
 
 > **兼容性说明：** v2.0.0 自带 `ja` / `ko` 字典，但官方 DSH 的 `LocaleRuntime`
 > 只暴露 `zh` / `en`（`LOCALE_IDS = ["zh", "en"]`）。在原版 DSH 上选择 `ja` / `ko`
@@ -74,7 +89,9 @@ dsh plugin --profile web add dsh-perm-gate
 ```
 
 完整的安装、升级、迁移与排查步骤见[中文安装指南](./INSTALL.zh.md)（另有
-[English](./INSTALL.md) / [日本語](./INSTALL.ja.md) / [한국어](./INSTALL.ko.md)）。
+[English](./INSTALL.md) / [日本語](./INSTALL.ja.md) / [한국어](./INSTALL.ko.md) /
+[Français](./INSTALL.fr.md) / [Deutsch](./INSTALL.de.md) / [Italiano](./INSTALL.it.md) /
+[Русский](./INSTALL.ru.md) / [Español](./INSTALL.es.md)）。
 
 ## 配置
 

package/dsh.plugin.json

@@ -1,7 +1,7 @@
 {
   "id": "dsh-perm-gate",
   "name": "dsh-perm-gate",
-  "version": "4.2.0-beta.7",
+  "version": "5.0.2",
   "description": {
     "en": "Deterministic-first, fail-closed permission gate for DeepSeek Harness 0.1.2+: a P0 hard-deny -> P1 precise session grant -> P2 static allow/deny rule chain -> P3 optional LLM classifier -> P4 ask pipeline over the tools/pre-execute waterfall, with a standalone CLI dry-run evaluator and an auditable decision log. It only vetoes with deny/ask and always delegates otherwise, and unknown or malformed rules fail loud instead of silently standing the gate down.",
     "zh": "面向 DeepSeek Harness 0.1.2+ 的确定性优先、失败即拒的权限闸门：在 tools/pre-execute 瀑布上串起 P0 硬拒绝 → P1 精确会话授权 → P2 静态 allow/deny 规则链 → P3 可选 LLM 语义分类 → P4 ask，并附带独立 CLI 干跑评估器与可审计的决策日志。只以 deny/ask 否决、其余一律放行，规则未知或非法时直接报错，绝不静默失效。"
@@ -13,7 +13,7 @@
   },
   "license": "MIT",
   "engines": {
-    "dsh": ">=0.1.7-rc.1 <0.1.8-0"
+    "dsh": ">=0.2.0-rc.1 <0.2.1-0"
   },
   "components": {
     "host": "lib/index.js",