dsh-use-codex 0.3.0 → 0.4.1

package/README.en.md

@@ -262,6 +262,16 @@ Reports:
 - timeout and output limits
 - a summary of the most recent run in the current DSH process
 
+### `codex_danger`
+
+Runtime toggle for `danger-full-access` (effective when the host config sets `allowDangerFullAccess: true`).
+
+| Param | Type | Required | Description |
+|---|---|---|---|
+| `enabled` | `boolean` | yes | `true` enables danger mode (default sandbox becomes `danger-full-access`), `false` disables it (back to `workspace-write`) |
+
+When enabled, the **next** `codex_run` defaults to `danger-full-access` (no sandbox: unrestricted read/write, network access, arbitrary commands). This only changes the default; an explicit `sandbox` argument is untouched. The state persists across DSH restarts.
+
 ### `codex_switch`
 
 | Argument | Type | Required | Description |

package/README.md

@@ -29,11 +29,11 @@
 ## 功能特性
 
 - **自然语言委派**：在 DSH 中说“让 Codex 做……”或“交给 Codex 执行……”。
-- **三个内置工具**：任务执行、状态检查、即时开关。
+- **四个内置工具**：任务执行、状态检查、危险模式开关、即时启停开关。
 - **工作目录白名单**：只允许 Codex 在显式授权的真实目录中运行。
 - **软链逃逸防护**：同时解析工作目录与白名单的真实路径。
 - **默认安全沙箱**：默认使用 Codex 的 `workspace-write` 模式。
-- **危险模式双重授权**：`danger-full-access` 必须由宿主配置显式允许。
+- **危险模式双重授权**：`danger-full-access` 必须由宿主配置 `allowDangerFullAccess: true` 允许，再由 `codex_danger` 运行时开关打开。
 - **无 shell 拼接**：任务正文作为单个 argv 参数传递，避免 shell 注入。
 - **进程组清理**：超时或取消时终止完整 Codex 进程组。
 - **输出限长**：限制 stdout/stderr，避免单次结果淹没会话。
@@ -248,7 +248,12 @@ DSH 的模型会按需调用 `codex_run`。任务应写清目标、范围、约
 | `sandbox` | `string` | 否 | `read-only`、`workspace-write` 或 `danger-full-access` |
 | `timeoutSec` | `number` | 否 | 本次超时，不能超过插件配置的 `timeoutSec` |
 
-默认沙箱为 `workspace-write`。`danger-full-access` 默认拒绝，只有在宿主配置中设置 `allowDangerFullAccess: true` 后才可选择。
+默认沙箱由两层开关共同决定：
+
+1. **宿主配置** `allowDangerFullAccess: true|false`（profile 补丁，重启生效）——这是硬性许可，`false` 时任何方式都无法使用 `danger-full-access`
+2. **运行时开关** `codex_danger`（即时生效，持久化到状态文件）——宿主允许后，用它切换"默认沙箱"是 `danger-full-access` 还是 `workspace-write`
+
+省略 `sandbox` 参数时：宿主允许且 `codex_danger` 处于打开状态 → `danger-full-access`；否则 → `workspace-write`。显式传入的 `sandbox` 始终优先于默认值。
 
 ### `codex_status`
 
@@ -262,6 +267,16 @@ DSH 的模型会按需调用 `codex_run`。任务应写清目标、范围、约
 - 超时与输出限制
 - 当前 DSH 进程内最近一次调用的结果摘要
 
+### `codex_danger`
+
+切换 `danger-full-access` 的运行时开关（宿主 `allowDangerFullAccess: true` 时有效）。
+
+| 参数 | 类型 | 必填 | 说明 |
+|---|---|---|---|
+| `enabled` | `boolean` | 是 | `true` 打开危险模式（默认沙箱变 `danger-full-access`），`false` 关闭（回到 `workspace-write`） |
+
+打开后**下一次** `codex_run` 默认以 `danger-full-access` 运行（无沙箱：可读写任意路径、访问网络、执行任意命令）。此开关只影响默认沙箱，不影响显式传入的 `sandbox` 参数。状态持久化，重启 DSH 后保留。
+
 ### `codex_switch`
 
 | 参数 | 类型 | 必填 | 说明 |

package/lib/index.js

@@ -3,7 +3,7 @@
  *
  * 安全边界：
  *   1. 工作目录必须是白名单内的真实绝对路径；软链逃逸会被拒绝。
- *   2. 默认使用 workspace-write，危险模式需由宿主配置显式开启。
+ *   2. 沙箱默认 workspace-write；宿主配置 allowDangerFullAccess 后可用 codex_danger 运行时开关切到 danger-full-access。
  *   3. 不经过 shell，任务作为单个 argv 传给 Codex。
  *   4. 超时或取消时终止 Codex 进程组，并限制输出大小。
  *   5. 不持久化任务正文、工作目录或输出；状态文件只记录即时开关。
@@ -220,6 +220,31 @@ function textTool({ name: toolName, description, parameters, timeoutMs, execute
   };
 }
 
+/** Settings-page schema builder; returns null when schemastery is unavailable. */
+let _Config = null;
+try {
+  const { default: z } = await import('@deepseek-ai/schemastery');
+  _Config = z.object({
+    enabled: z.boolean().default(true)
+      .description('启动时是否注册 Codex 委派工具（改为 false 并重启可完全停用）。'),
+    bin: z.string().default('codex')
+      .description('Codex CLI 可执行文件路径；留空用 PATH 中的 codex。'),
+    defaultCwd: z.string().default('')
+      .description('默认工作目录；留空用 DSH 进程当前目录。'),
+    allowedRoots: z.array(z.string()).role('textarea').default([])
+      .description('允许 Codex 工作的目录白名单，每行一个绝对路径。'),
+    allowDangerFullAccess: z.boolean().default(false)
+      .description('完全权限总许可：开启后可用 codex_danger 开关让 codex_run 默认以 danger-full-access（无沙箱）运行。关闭则任何方式都无法使用危险模式。'),
+    timeoutSec: z.number().min(1).max(3600).step(1).default(900)
+      .description('单次任务超时上限（秒）。'),
+    maxOutputChars: z.number().min(1000).max(200000).step(500).default(20000)
+      .description('返回输出的最大字符数。'),
+  }).description('Codex 委派');
+} catch {}
+
+/** DSH settings UI renders this panel; null schema = no settings page. */
+export const Config = _Config;
+
 export function apply(ctx, config = {}) {
   if (config.enabled === false) {
     ctx.logger?.info?.('[use-codex] disabled by configuration');
@@ -266,6 +291,13 @@ export function apply(ctx, config = {}) {
   }
 
   const enabledNow = () => readState().enabled !== false;
+  // Runtime danger-mode switch: defaults to the host config; codex_danger toggles it per session.
+  const dangerNow = () => {
+    const state = readState();
+    if (typeof state.dangerFullAccess === 'boolean') return state.dangerFullAccess;
+    return allowDanger;
+  };
+  const defaultSandbox = () => (dangerNow() ? 'danger-full-access' : 'workspace-write');
   let lastRun = null;
 
   const resolveRunCwd = (input) => {
@@ -287,7 +319,7 @@ export function apply(ctx, config = {}) {
       description:
         '让本机 OpenAI Codex CLI 执行一段独立任务并返回结果。'
         + '当用户说“让 Codex 做……”“交给 Codex 执行……”，或希望把编码、排障、批量文件处理任务委派出去时调用。'
-        + '工作目录必须在 DSH 配置的白名单内；默认使用 workspace-write 沙箱；失败时如实返回失败原因。',
+        + '工作目录必须在 DSH 配置的白名单内；默认沙箱由宿主配置与运行时开关共同决定；失败时如实返回失败原因。',
       parameters: {
         type: 'object',
         additionalProperties: false,
@@ -305,7 +337,7 @@ export function apply(ctx, config = {}) {
           sandbox: {
             type: 'string',
             enum: ['read-only', 'workspace-write', 'danger-full-access'],
-            description: 'Codex 沙箱模式，默认 workspace-write；danger-full-access 需宿主配置显式允许。',
+            description: 'Codex 沙箱模式；省略时用 defaultSandbox()（宿主 allowDangerFullAccess 与 codex_danger 运行时开关共同决定）。',
           },
           timeoutSec: {
             type: 'number',
@@ -324,13 +356,16 @@ export function apply(ctx, config = {}) {
         if (!task) return '❌ 任务不能为空。';
         if (task.length > MAX_TASK_CHARS) return `❌ 任务过长，最多 ${MAX_TASK_CHARS} 字符。`;
 
-        const sandbox = String(args?.sandbox || 'workspace-write');
+        const sandbox = String(args?.sandbox || defaultSandbox());
         if (!['read-only', 'workspace-write', 'danger-full-access'].includes(sandbox)) {
           return `❌ 不支持的沙箱模式：${sandbox}`;
         }
         if (sandbox === 'danger-full-access' && !allowDanger) {
           return '❌ danger-full-access 未获宿主配置许可，拒绝执行。';
         }
+        if (sandbox === 'danger-full-access' && !dangerNow()) {
+          return '🛡 danger-full-access 已被 codex_danger 关闭；请先用 codex_danger 打开，或显式传 workspace-write。';
+        }
 
         let cwd;
         try {
@@ -412,7 +447,7 @@ export function apply(ctx, config = {}) {
           `📦 Codex：${version.ok ? version.stdout : `不可用（${version.error || version.stderr || version.code}）`}`,
           `🔑 认证：${login.stdout || login.stderr || (login.ok ? '未知' : login.code)}`,
           `📁 白名单：${allowedRoots.length ? allowedRoots.join('、') : '（空）'}`,
-          `🛡 危险模式：${allowDanger ? '允许（危险）' : '禁止'}`,
+          `🛡 危险模式：${allowDanger ? (dangerNow() ? '允许且当前打开' : '允许但当前关闭') : '禁止'}`,
           `⏱ 超时上限：${maxTimeoutSec}s`,
           `📏 输出上限：${maxOutputChars} 字符`,
         ];
@@ -424,6 +459,38 @@ export function apply(ctx, config = {}) {
       },
     }),
 
+    textTool({
+      name: 'codex_danger',
+      description: '切换 danger-full-access 运行时开关。'
+        + '仅在宿主配置 allowDangerFullAccess: true 时有效；'
+        + '打开后 codex_run 默认使用 danger-full-access（无沙箱），关闭则回到 workspace-write。'
+        + '此开关影响下一次 codex_run 的默认沙箱，不影响显式传入的 sandbox 参数。',
+      parameters: {
+        type: 'object',
+        additionalProperties: false,
+        properties: {
+          enabled: {
+            type: 'boolean',
+            description: 'true 为打开危险模式（默认沙箱变 danger-full-access），false 为关闭（回到 workspace-write）。',
+          },
+        },
+        required: ['enabled'],
+      },
+      timeoutMs: 10_000,
+      async execute(args) {
+        if (!allowDanger) {
+          return '❌ 宿主配置未开启 allowDangerFullAccess，此开关无效。';
+        }
+        const danger = args?.enabled === true;
+        if (!writeState({ dangerFullAccess: danger })) {
+          return '❌ 无法写入 Codex 危险模式状态，请检查 DSH 状态目录权限。';
+        }
+        return danger
+          ? '🔓 危险模式已打开：codex_run 默认沙箱为 danger-full-access。'
+          : '🛡 危险模式已关闭：codex_run 默认沙箱为 workspace-write。';
+      },
+    }),
+
     textTool({
       name: 'codex_switch',
       description: '即时打开或关闭 Codex 委派，不需要重启 DSH；关闭后 codex_run 会拒绝执行。',
@@ -458,7 +525,7 @@ export function apply(ctx, config = {}) {
     }
   }
 
-  ctx.logger?.info?.(`[use-codex] registered ${tools.length} tools; allowed roots=${allowedRoots.length}; enabled=${enabledNow()}`);
+  ctx.logger?.info?.(`[use-codex] registered ${tools.length} tools; allowed roots=${allowedRoots.length}; enabled=${enabledNow()}; danger=${dangerNow()}`);
 }
 
 export default { name, inject, apply };

package/package.json

@@ -1,8 +1,8 @@
 {
   "name": "dsh-use-codex",
   "displayName": "DSH Use Codex",
-  "description": "通过 DeepSeek Harness 工具调用本机 Codex CLI 执行独立任务。",
-  "version": "0.3.0",
+  "description": "通过 DeepSeek Harness 工具调用本机 Codex CLI 执行独立任务；danger-full-access 支持宿主许可 + 运行时开关双重授权。",
+  "version": "0.4.1",
   "type": "module",
   "main": "lib/index.js",
   "exports": {
@@ -52,5 +52,8 @@
   "homepage": "https://github.com/chaorenzeng/dsh-use-codex#readme",
   "bugs": {
     "url": "https://github.com/chaorenzeng/dsh-use-codex/issues"
+  },
+  "dependencies": {
+    "@deepseek-ai/schemastery": "^3.18.4"
   }
 }