dsh-sun-space 0.2.3 → 0.2.5

package/bundle.patch.yml

@@ -1,4 +1,7 @@
 # sun-space bundle 补丁（npm 包分发形态，package.json dsh.bundle.patch 指向本文件）。
+# 本层不覆写任何基础组件行——DSH 运行期间安装/升级/卸载均可用（无 bundle-in-use 拦截）。
+# dws 锁文件（~/.dws/.data.lock）的沙箱 EPERM 由 Worker persona 的 DWS_CONFIG_DIR 自愈指示兜底
+# （凭证在 Keychain，换配置目录不影响认证；0.2.4 起生效，体验优先于全局白名单）。
 # 与 cordis.patch.yml（本机开发态，绝对路径直挂仓库文件）内容等价，差异两处：
 #   ① 插件与工具模块用包名引用（安装后由 loader 从 profile node_modules 解析）；
 #   ② 沙箱白名单 HOME 化（跨机器）。
@@ -6,14 +9,6 @@
 - insert:
     # dws CLI 需写自身数据锁（~/.dws/.data.lock）——沙箱白名单放行（E2E R4 发现）。
     # HOME 化以支持跨机器分发；覆盖行必须带 name 且 config 需完整复刻 base（否则行被禁用）。
-    - id: sandbox-policy
-      name: '@deepseek-ai/dsh-sandbox-policy'
-      config:
-        mode: !!js process.env.DSH_PERMISSION_MODE ?? 'workspace-write'
-        workspaceRoot: !!js process.cwd()
-        additionalWritableRoots:
-          - !!js process.env.HOME + '/.dws'
-
     - id: sun-space
       name: 'dsh-sun-space'
 
@@ -67,6 +62,7 @@
               prefix: >-
                 You are a Sun Worker executor. 专注完成单一任务：读、检索、执行、验证。
                 你没有面向人的工具——结论只写给 Router。查询自由；写操作先 --dry-run；
+                dws 命令若报 open ~/.dws/.data.lock EPERM：export DWS_CONFIG_DIR=$(mktemp -d) 后重试一次（沙箱无白名单环境的标准自愈，凭证在 Keychain 不受影响）；
                 禁止 dws oa task approve|reject、rm -rf、dws api POST/DELETE。
                 任务产物一律用 sun_artifact_write 落库（task_id 由 Router 给出），
                 不要用相对路径写文件。

package/cordis.patch.yml

@@ -3,7 +3,9 @@
 # 双预设：sun-router（只分派）/ sun-worker（只执行）。工具白名单由组合本身保证
 # （Spike A 结论），guard 由 worker-guard 在组合内挂载。
 - insert:
-    # dws CLI 需写自身数据锁（~/.dws/.data.lock）——沙箱白名单放行（E2E R4 发现；
+    # 本文件含 dsh-sandbox-policy 覆写行：仅本机开发/生产态保留（dws 白名单，免去 Worker 自愈）；
+# 分发形态（bundle.patch.yml）已移除覆写以保证运行期可装可卸，EPERM 由 Worker persona 自愈。
+# dws CLI 需写自身数据锁（~/.dws/.data.lock）——沙箱白名单放行（E2E R4 发现；
     # Router 临场自愈方案为 DWS_CONFIG_DIR 临时目录，此为正式修复，二选一即可）。
     # 覆盖行必须带 name 且 config 需完整复刻 base（否则行被禁用，连锁 15 服务失效）
     - id: sandbox-policy
@@ -67,6 +69,7 @@
               prefix: >-
                 You are a Sun Worker executor. 专注完成单一任务：读、检索、执行、验证。
                 你没有面向人的工具——结论只写给 Router。查询自由；写操作先 --dry-run；
+                dws 命令若报 open ~/.dws/.data.lock EPERM：export DWS_CONFIG_DIR=$(mktemp -d) 后重试一次（沙箱无白名单环境的标准自愈，凭证在 Keychain 不受影响）；
                 禁止 dws oa task approve|reject、rm -rf、dws api POST/DELETE。
                 任务产物一律用 sun_artifact_write 落库（task_id 由 Router 给出），
                 不要用相对路径写文件。

package/lib/index.mjs

@@ -1,5 +1,6 @@
-import { mkdir, readFile, readdir, rm, writeFile } from "node:fs/promises";
+import { readFileSync, writeFileSync } from "node:fs";
 import { join } from "node:path";
+import { mkdir, readFile, readdir, rm, writeFile } from "node:fs/promises";
 import { execFile } from "node:child_process";
 // \0rolldown/runtime.js
 var __defProp = Object.defineProperty;
@@ -12,6 +13,38 @@ var __exportAll = (all, no_symbols) => {
 	if (!no_symbols) __defProp(target, Symbol.toStringTag, { value: "Module" });
 	return target;
 };
+// src/vault-path.ts
+/**
+* vault 路径解析——唯一事实源，全插件共享（source/router-tools/worker-vault/worker-watchdog）。
+*
+* 解析优先级：
+*   ① 环境变量 SUN_VAULT（启动命令注入，随进程生效）
+*   ② 实例启动目录下的 sun-space.config.json 的 vault 字段（持久化配置，重启不丢）
+*   ③ 默认约定 ~/Workspace/sun-vault
+*
+* 解析结果同时写入 <实例cwd>/sun-space.json（仅 vault 字段），作为浏览器端（孙学空间）
+* 的发现通道——浏览器读不到进程环境，靠这个文件拿到真实 vault 路径（workspaceFiles
+* 的相对路径读取以会话工作区根为基准，即实例 cwd，两者同目录）。
+*
+* 注意：本文件不携带任何个人路径；个人 vault 位置只存在于①/②（均不入库）。
+*/
+const DEFAULT_VAULT_DIRNAME = "sun-vault";
+/** 解析 vault 绝对路径（① env ② 实例目录配置文件 ③ 默认约定）。 */
+function resolveVaultPath(cwd = process.cwd(), home = process.env.HOME ?? "") {
+	if (process.env.SUN_VAULT && process.env.SUN_VAULT.trim() !== "") return process.env.SUN_VAULT;
+	try {
+		const cfg = JSON.parse(readFileSync(join(cwd, "sun-space.config.json"), "utf8"));
+		if (typeof cfg?.vault === "string" && cfg.vault.startsWith("/")) return cfg.vault;
+	} catch {}
+	return join(home, "Workspace", DEFAULT_VAULT_DIRNAME);
+}
+const VAULT = resolveVaultPath();
+/** 把解析结果落盘为客户端发现文件（apply 时调用，尽力而为）。 */
+function publishVaultForClient(cwd = process.cwd()) {
+	try {
+		writeFileSync(join(cwd, "sun-space.json"), JSON.stringify({ vault: VAULT }, null, 2), "utf8");
+	} catch {}
+}
 // src/dws.ts
 /**
 * dws 执行器：单次命令调用（无长连接）。供 sun_notify / Source 轮询使用。
@@ -121,7 +154,7 @@ var source_exports = /* @__PURE__ */ __exportAll({
 	CREDENTIAL_ALERT_COOLDOWN_MS: () => CREDENTIAL_ALERT_COOLDOWN_MS,
 	CREDENTIAL_ALERT_STREAK: () => 2,
 	TRIGGER_TTL_MS: () => TRIGGER_TTL_MS,
-	VAULT: () => VAULT$1,
+	VAULT: () => VAULT,
 	apply: () => apply$2,
 	inject: () => inject$2,
 	parseTriggerTs: () => parseTriggerTs,
@@ -129,11 +162,10 @@ var source_exports = /* @__PURE__ */ __exportAll({
 	shouldAlertCredential: () => shouldAlertCredential
 });
 const inject$2 = ["timer"];
-const VAULT$1 = process.env.SUN_VAULT ?? `${process.env.HOME}/Workspace/云顶天宫`;
 /** 轮询周期（毫秒）：纯程序层，可调密。 */
 const POLL_MS = 18e5;
-const TRIGGER_DIR$1 = `${VAULT$1}/90-Meta/triggers`;
-const SNAPSHOT_FILE = `${VAULT$1}/90-Meta/mock-data/last-snapshot.json`;
+const TRIGGER_DIR$1 = `${VAULT}/90-Meta/triggers`;
+const SNAPSHOT_FILE = `${VAULT}/90-Meta/mock-data/last-snapshot.json`;
 /** trigger 文件 TTL：超过即视为已消费/过期，轮询成功路径顺带清理。 */
 const TRIGGER_TTL_MS = 6048e5;
 const CREDENTIAL_ALERT_COOLDOWN_MS = 36e5;
@@ -286,7 +318,6 @@ var worker_watchdog_exports = /* @__PURE__ */ __exportAll({
 });
 const name$1 = "worker-watchdog";
 const inject$1 = ["timer"];
-const VAULT = process.env.SUN_VAULT ?? `${process.env.HOME}/Workspace/云顶天宫`;
 const TRIGGER_DIR = `${VAULT}/90-Meta/triggers`;
 /** 默认停滞阈值 15 分钟：长思考/长命令完成后即重置计时，真卡死撑不到这么久。 */
 const DEFAULT_STALL_MS = 9e5;
@@ -430,6 +461,7 @@ function apply$1(ctx) {
 const name = "sun-space";
 const inject = ["timer", "tools"];
 function apply(ctx) {
+	publishVaultForClient();
 	ctx.plugin(source_exports);
 	ctx.plugin(worker_watchdog_exports);
 }

package/lib/router-tools.mjs

@@ -1,6 +1,7 @@
 import { appendFile, mkdir, readFile, readdir, writeFile } from "node:fs/promises";
 import { join, resolve, sep } from "node:path";
 import { execFile } from "node:child_process";
+import { readFileSync } from "node:fs";
 // src/vault.ts
 /**
 * vault 访问：路径守卫 + frontmatter 解析/序列化。纯函数为主，可单测。
@@ -183,9 +184,34 @@ async function dingSelf(userId, content, type = "app") {
 	]);
 	return { ok: data?.ok === true || data?.success === true || data?.data?.success === true };
 }
+// src/vault-path.ts
+/**
+* vault 路径解析——唯一事实源，全插件共享（source/router-tools/worker-vault/worker-watchdog）。
+*
+* 解析优先级：
+*   ① 环境变量 SUN_VAULT（启动命令注入，随进程生效）
+*   ② 实例启动目录下的 sun-space.config.json 的 vault 字段（持久化配置，重启不丢）
+*   ③ 默认约定 ~/Workspace/sun-vault
+*
+* 解析结果同时写入 <实例cwd>/sun-space.json（仅 vault 字段），作为浏览器端（孙学空间）
+* 的发现通道——浏览器读不到进程环境，靠这个文件拿到真实 vault 路径（workspaceFiles
+* 的相对路径读取以会话工作区根为基准，即实例 cwd，两者同目录）。
+*
+* 注意：本文件不携带任何个人路径；个人 vault 位置只存在于①/②（均不入库）。
+*/
+const DEFAULT_VAULT_DIRNAME = "sun-vault";
+/** 解析 vault 绝对路径（① env ② 实例目录配置文件 ③ 默认约定）。 */
+function resolveVaultPath(cwd = process.cwd(), home = process.env.HOME ?? "") {
+	if (process.env.SUN_VAULT && process.env.SUN_VAULT.trim() !== "") return process.env.SUN_VAULT;
+	try {
+		const cfg = JSON.parse(readFileSync(join(cwd, "sun-space.config.json"), "utf8"));
+		if (typeof cfg?.vault === "string" && cfg.vault.startsWith("/")) return cfg.vault;
+	} catch {}
+	return join(home, "Workspace", DEFAULT_VAULT_DIRNAME);
+}
+const VAULT = resolveVaultPath();
 // src/router-tools.ts
 const inject = ["tools", "subagents"];
-const VAULT = process.env.SUN_VAULT ?? `${process.env.HOME}/Workspace/云顶天宫`;
 const text = (s) => [{
 	type: "text",
 	text: s
@@ -519,7 +545,7 @@ function apply(ctx) {
 			},
 			cwd: {
 				type: "string",
-				description: "可选：Worker 的工作目录（绝对路径）。不传则随当前工作区。代码开发等 vault 外任务必传（如 /Users/40huo/Workspace/<repo>）"
+				description: "可选：Worker 的工作目录（绝对路径）。不传则随当前工作区。代码开发等 vault 外任务必传（如 ~/Workspace/<repo>）"
 			}
 		},
 		required: ["task_id", "prompt"]

package/lib/worker-vault.mjs

@@ -1,5 +1,6 @@
 import { mkdir, writeFile } from "node:fs/promises";
 import { join, resolve, sep } from "node:path";
+import { readFileSync } from "node:fs";
 // src/vault.ts
 /**
 * vault 访问：路径守卫 + frontmatter 解析/序列化。纯函数为主，可单测。
@@ -26,9 +27,34 @@ function resolveWithin(vaultRoot, rel, roots, kind) {
 function resolveSafe(vaultRoot, rel) {
 	return resolveWithin(vaultRoot, rel, WRITABLE_ROOTS, "writable");
 }
+// src/vault-path.ts
+/**
+* vault 路径解析——唯一事实源，全插件共享（source/router-tools/worker-vault/worker-watchdog）。
+*
+* 解析优先级：
+*   ① 环境变量 SUN_VAULT（启动命令注入，随进程生效）
+*   ② 实例启动目录下的 sun-space.config.json 的 vault 字段（持久化配置，重启不丢）
+*   ③ 默认约定 ~/Workspace/sun-vault
+*
+* 解析结果同时写入 <实例cwd>/sun-space.json（仅 vault 字段），作为浏览器端（孙学空间）
+* 的发现通道——浏览器读不到进程环境，靠这个文件拿到真实 vault 路径（workspaceFiles
+* 的相对路径读取以会话工作区根为基准，即实例 cwd，两者同目录）。
+*
+* 注意：本文件不携带任何个人路径；个人 vault 位置只存在于①/②（均不入库）。
+*/
+const DEFAULT_VAULT_DIRNAME = "sun-vault";
+/** 解析 vault 绝对路径（① env ② 实例目录配置文件 ③ 默认约定）。 */
+function resolveVaultPath(cwd = process.cwd(), home = process.env.HOME ?? "") {
+	if (process.env.SUN_VAULT && process.env.SUN_VAULT.trim() !== "") return process.env.SUN_VAULT;
+	try {
+		const cfg = JSON.parse(readFileSync(join(cwd, "sun-space.config.json"), "utf8"));
+		if (typeof cfg?.vault === "string" && cfg.vault.startsWith("/")) return cfg.vault;
+	} catch {}
+	return join(home, "Workspace", DEFAULT_VAULT_DIRNAME);
+}
+const VAULT = resolveVaultPath();
 // src/worker-vault.ts
 const inject = ["tools"];
-const VAULT = process.env.SUN_VAULT ?? `${process.env.HOME}/Workspace/云顶天宫`;
 const TASK_ID = /^T-\d{8}-\d{2}$/;
 /** 纯函数：拼装受控产物路径；非法输入抛 VaultPathError。可单测。 */
 function artifactPath(taskId, filename) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-sun-space",
-  "version": "0.2.3",
+  "version": "0.2.5",
   "type": "module",
   "description": "Sun Space：DeepSeek Harness 个人超智能体插件——Router/Worker 双预设工具白名单、钉钉待办轮询、Obsidian 知识库落库、会话工作台与定时任务管理。",
   "exports": {

package/src/client.js

@@ -17,7 +17,7 @@ window.__ModuleLoader__.load({
       let hostCtx = null
 
       const PANEL_ID = 'sun-space'
-      const VAULT_DIRNAME = '云顶天宫' // vault 目录名约定；绝对路径动态发现，见 resolveVault
+      const VAULT_DIRNAME = 'sun-vault' // vault 目录名约定；绝对路径动态发现，见 resolveVault
       // 架构 §4.1 不变量：呈现层不得持有会话 id / vault 绝对路径常量（Router 会话会轮换，机器会换）。
       // 会话解析链：session/list（sun-router 会话）→ 90-Meta/system/state.json 裁决 → updatedAt 最新兜底。
       // vault 解析链：会话 cwd 推 HOME → 约定布局探测 state.json → state.json 的 vault 字段裁决（跨机自愈）。
@@ -96,13 +96,20 @@ window.__ModuleLoader__.load({
       }).then(v => v.text || '')
 
       // ===== vault 绝对路径发现（跨机器；呈现层不持常量，架构 §4.1 同款不变量）=====
-      // 链：会话 cwd 推 HOME → 约定布局 <HOME>/Workspace/云顶天宫 探测 state.json → state.json.vault 字段裁决。
+      // 链：会话 cwd 推 HOME → 约定布局 <HOME>/Workspace/sun-vault 探测 state.json → state.json.vault 字段裁决。
       // state.json.vault 由 Router 自登记/晨报自检维护（server 端 VAULT 是唯一事实源）。
       async function resolveVault() {
         const v = await gw('session/list', {})
         const items = Array.isArray(v?.items) ? v.items : Object.values(v?.items ?? v ?? {})
         const scope = items.find(s => s?.projections?.values?.agentPreset === 'sun-router')?.sessionId ?? items[0]?.sessionId
         if (!scope) return null
+        // ① 插件落盘的运行配置（实例 cwd 的 sun-space.json；相对路径以会话工作区根解析，即实例 cwd）
+        try {
+          const raw = await readVaultFile(scope, 'sun-space.json', 4)
+          const cfg = JSON.parse(raw)
+          if (cfg?.vault && cfg.vault.startsWith('/')) return cfg.vault
+        } catch { /* 无发现文件 → 走约定探测 */ }
+        // ② 约定布局探测（默认 ~/Workspace/sun-vault；自定义 vault 路径由①覆盖）
         const homes = [...new Set(items.map(s => String(s.cwd || '')).filter(c => c.startsWith('/')).map(c => c.split('/').slice(0, 3).join('/')))]
         const candidates = [...new Set(homes.map(h => `${h}/Workspace/${VAULT_DIRNAME}`))]
         for (const cand of candidates) {
@@ -380,7 +387,7 @@ window.__ModuleLoader__.load({
         const steps = [
           { n: 1, ok: checks.presets, title: '确认依赖插件', desc: checks.presets ? '智能体协作 / 子智能体插件已启用' : '打开插件面板，启用 sun-space / 智能体协作相关插件后重启实例', action: checks.presets ? null : 'plugins' },
           { n: 2, ok: !!checks.routerSession, title: '创建 Router 会话', desc: checks.routerSession ? `已就绪：${checks.routerSession.slice(0, 28)}…` : '一键创建 sun-router 预设会话并自动登记（孙学空间与定时任务都挂在这上面）', action: checks.presets && !checks.routerSession ? 'create-router' : null },
-          { n: 3, ok: checks.vault, title: '知识库就绪', desc: checks.vault ? `已就绪：${checks.vaultPath}` : `用 Obsidian 打开（或创建）~/Workspace/云顶天宫 并放好 90-Meta 骨架；自定义位置让 Router 把绝对路径写进 state.json 的 vault 字段`, action: null },
+          { n: 3, ok: checks.vault, title: '知识库就绪', desc: checks.vault ? `已就绪：${checks.vaultPath}` : `用 Obsidian 打开（或创建）~/Workspace/sun-vault 并放好 90-Meta 骨架；自定义位置让 Router 把绝对路径写进 state.json 的 vault 字段`, action: null },
         ]
         const allOk = steps.every(x => x.ok)
         return h('div', null, [