focus-guard 0.0.0-stage → 3.0.6

package/src/core/profileLoader.mjs

@@ -0,0 +1,122 @@
+// FocusGuard 母版层 · 画像加载器（3.0.5）
+//
+// 职责：① modelId → 画像对象；② 层 → 子开关映射；③ 开关判定；④ 未实现开关登记。
+// 纪律：**只做数据查表**，禁止按 modelId 做全等判断的硬编码分支；
+//      匹配不到一律回落 default 画像（最严治理）。
+// 层→开关的拆分依据：领导 2026-10-09 批复——L1 拆成 stalledFuse 与 budgetGate 两个子判据；
+//      reasoningWatch / emotionFilter 只登记、不绑定执行（trace 报 skipped 并注明原因）。
+
+import defaultProfile from '../profiles/default.mjs'
+import deepseekFlash from '../profiles/deepseek-flash.mjs'
+import deepseekPro from '../profiles/deepseek-pro.mjs'
+import glm from '../profiles/glm.mjs'
+import gptAstra from '../profiles/gpt-astra.mjs'
+
+/** 画像注册表：画像 id → 画像对象。新增画像 = 加 profiles/ 文件 + 在此登记一行。 */
+export const PROFILES = {
+  'deepseek-flash': deepseekFlash,
+  'deepseek-pro': deepseekPro,
+  'glm': glm,
+  'gpt-astra': gptAstra,
+  'default': defaultProfile,
+}
+
+/**
+ * 显式别名表：真实模型名 → 画像 id。这是**数据**，不是分支。
+ * 已知真实 modelId 时在此登记一行即可，无需改任何逻辑。
+ */
+export const PROFILE_ALIASES = {
+  // 例：'deepseek-v4.1-flash': 'deepseek-flash',
+}
+
+/**
+ * 层 → 子开关名。与 checkEligibility 的六层对齐；null 表示该层不受画像控制、永不跳过。
+ * L0 申请完整性 / L5 语义探针（由调用方是否注入 model 决定）/ L6 授权：均无画像开关。
+ */
+export const LAYER_SWITCHES = {
+  '0': null,
+  '1-fuse': 'stalledFuse',
+  '1-budget': 'budgetGate',
+  '2': 'redlineGate',
+  '3': 'approvalGate',
+  '4': 'evidenceGate',
+  '5': null,
+  '6': null,
+}
+
+/** 已登记但引擎尚未实现的开关：只进 trace 的 skipped 报告，不参与执行。 */
+export const UNIMPLEMENTED_SWITCHES = {
+  reasoningWatch: 'no engine implementation, TODO',
+  emotionFilter: 'no engine implementation, TODO',
+}
+
+/** modelId 归一化：去空白 + 小写。 */
+export function normalizeModelId(modelId) {
+  return String(modelId ?? '').trim().toLowerCase()
+}
+
+/**
+ * 画像**不可关闭**的开关：审批层（L3）是最后防线。
+ * 若允许画像关掉它，则"decide 跳过 L3 + 闸只认授权表"会把审批端到端绕过
+ * （HANDOFF §十 安全项，子代理实测）。加载时强制启用并留痕，不静默接受。
+ */
+export const FORCED_ON_SWITCHES = ['approvalGate']
+
+/**
+ * 落地画像：浅拷贝 + 标注来源 + 强制不可关闭的开关保持启用。
+ */
+function enforcePolicy(base, source) {
+  const profile = { ...base, profileSource: source }
+  for (const key of FORCED_ON_SWITCHES) {
+    const entry = profile[key]
+    if (entry && typeof entry === 'object' && entry.enabled === false) {
+      console.warn(
+        `[focus-guard] 画像「${profile.id}」试图关闭 ${key} → 已强制启用（审批层不可关，见 HANDOFF §十 安全项）`,
+      )
+      profile[key] = { ...entry, enabled: true, forcedOn: true }
+    }
+  }
+  return profile
+}
+
+/**
+ * modelId → 画像对象（浅拷贝 + 标注来源，避免调用方改到画像本体）。
+ * 匹配顺序：空值 → 显式别名 → 画像 id 精确 → 画像 id 前缀 → default 兜底。
+ */
+export function loadProfile(modelId) {
+  const id = normalizeModelId(modelId)
+  if (!id) return enforcePolicy(defaultProfile, 'default:empty-model-id')
+
+  const alias = PROFILE_ALIASES[id]
+  if (alias && PROFILES[alias]) return enforcePolicy(PROFILES[alias], `alias:${id}`)
+
+  if (PROFILES[id]) return enforcePolicy(PROFILES[id], `exact:${id}`)
+
+  const prefixed = Object.keys(PROFILES).find((key) => key !== 'default' && id.startsWith(key))
+  if (prefixed) return enforcePolicy(PROFILES[prefixed], `prefix:${prefixed}`)
+
+  return enforcePolicy(defaultProfile, `default:unmatched:${id}`)
+}
+
+/**
+ * 该层是否启用。无开关（null）、画像缺字段、字段非对象 → 一律 true（保守优先，不误跳过）。
+ */
+export function layerEnabled(profile, layerKey) {
+  const switchName = LAYER_SWITCHES[layerKey]
+  if (!switchName) return true
+  const entry = profile && profile[switchName]
+  if (!entry || typeof entry !== 'object') return true
+  return entry.enabled !== false
+}
+
+/** 未实现开关清单（供 trace 的 skipped 报告）。 */
+export function unimplementedSwitches(profile) {
+  const out = []
+  for (const [name, reason] of Object.entries(UNIMPLEMENTED_SWITCHES)) {
+    const entry = profile && profile[name]
+    if (entry && typeof entry === 'object') {
+      out.push({ name, enabled: entry.enabled !== false, reason })
+    }
+  }
+  return out
+}

package/src/core/redlines.mjs

@@ -0,0 +1,238 @@
+// FocusGuard 母版层 · 绝对红线（v3.0.5；《资料与代码分层总规范》二·1）
+// 高危命令特征库与判定：六类破坏性命令，完全访问下仍须人类实时审批。
+import { createHash } from "node:crypto";
+
+export const MUTATOR_HEAD_RE = /^(?:rm|rmdir|rd|mv|del|cp|copy|xcopy|robocopy|install|rsync|chmod|chown|kill|taskkill|truncate|mkfs|mkdir|touch|tee|patch|git\s+(?:add|commit|push|pull|merge|rebase|reset|checkout|clean|restore|apply|stash|mv|rm)|npm\s+(?:i|install|ci|uninstall|remove|rm|update|publish)|pnpm\s+(?:add|install|remove|rm|update|publish)|yarn\s+(?:add|install|remove|publish|global)|pip3?\s+(?:install|uninstall)|(?:Set|Add|Remove|New|Copy|Move|Clear)-Content|New-Item|Copy-Item|Move-Item|Remove-Item|Set-ItemProperty|New-ItemProperty|Out-File|sed\s+[^&|;]*-i)\b/i;
+export const CMD_PREFIX_RE = /^(?:sudo|doas|time|nohup|nice|env|xargs|start|call|command|builtin)\s+(?:-[^\s]+\s+|[A-Za-z_][A-Za-z0-9_]*=\S*\s+)*/i;
+export function isMutatingBashCmd(cmd) {
+  for (const seg of String(cmd || "").split(/[;&|]+/)) {
+    let s = seg.trim();
+    for (let i = 0; i < 3; i++) {
+      const next = s.replace(CMD_PREFIX_RE, "");
+      if (next === s) break;
+      s = next;
+    }
+    if (MUTATOR_HEAD_RE.test(s)) return true;
+  }
+  return false;
+}
+export const FILE_REDIRECT_RE = /(^|\s)>{1,2}(?!\s*&)/;
+// 2.4.0 高危命令特征库（六类：破坏性删除/强制推送与历史覆盖/系统权限与配置篡改/全局依赖安装/对外发送与发布/数据库影响）
+// 即使完全访问（yolo）也须人类实时审批；普通单文件 rm、常规构建不在此列。
+// 2.5.2 加固：补别名与长旗标写法（npm i -g / yarn global add / pnpm add -g / rd /s / ri -r /
+//   wget --post-data / Invoke-WebRequest -Method POST / curl -d），并修掉两处误伤
+//   （`--force` 里的字母 r 被当成递归删除；`--dry-run` 只在紧跟子命令时才豁免）。
+export const DANGEROUS_PATTERNS = new RegExp([
+  // 一、破坏性删除：递归旗标必须是旗标本身（-r/-rf/-fr/-R/--recursive），不再用会命中 --force 里 r 的 "-\\w*r"
+  "(?:sudo\\s+)?\\brm\\b[^&|;]*\\s(?:-[a-zA-Z]*[rR][a-zA-Z]*\\b|--recursive\\b)",
+  "(?:^|[;&|]\\s*)(?:rmdir|rd)\\b[^&|;]*/s",
+  "\\bdel\\b[^&|;]*/[fsq]",
+  "Remove-Item\\s[^&|;]*-Recurse",
+  "(?:^|[;&|]\\s*)ri\\b[^&|;]*\\s(?:-[a-zA-Z]*[rR][a-zA-Z]*\\b|-Recurse\\b)",
+  "shutil\\.rmtree",
+  "\\brmSync\\s*\\([^&|;]*recursive",
+  "\\brmdirSync\\s*\\([^&|;]*recursive",
+  "drop\\s+table",
+  "drop\\s+database",
+  "truncate\\s+table",
+  // 二、系统权限与配置篡改
+  "chmod\\s+[^&|;]*\\b777\\b",
+  "chmod\\s+-R",
+  "\\bchown\\b",
+  "\\breg\\s+(?:add|delete)\\b",
+  "\\bnet\\s+user\\b.*\\b(?:add|delete)\\b",
+  // 三、全局依赖安装：npm/pnpm 的 i|install|add|uninstall 与 -g/--global 任意位置；yarn global 无 -g 也拦
+  "\\b(?:npm|pnpm)\\s+(?:i|install|add|uninstall|remove|rm)\\b[^&|;]*(?:\\s-g(?![\\w-])|\\s--global(?![\\w-]))",
+  "\\byarn\\s+(?:global\\s+(?:add|remove|upgrade)|add\\b[^&|;]*\\s-g(?![\\w-]))",
+  "pip3?\\s+install\\s+[^&|;]*(--global|--user)",
+  "apt(?:-get)?\\s+install",
+  "docker\\s+run\\b[^&|;]*--privileged",
+  // 四、对外发送与发布：--dry-run 不发送，整段内出现即豁免
+  "\\b(?:npm|pnpm|yarn)\\s+publish\\b(?![^&|;]*--dry-run)",
+  "docker\\s+push",
+  "curl\\b[^&|;]*(-X\\s*POST|--request\\s+POST)",
+  "wget\\b[^&|;]*(--post-data|--post-file)",
+  "(?:Invoke-WebRequest|Invoke-RestMethod)\\b[^&|;]*-Method\\s+POST",
+  // 五、系统/容器级破坏
+  "docker\\s+(?:system\\s+prune|volume\\s+rm)",
+  "mkfs",
+  "format\\s+[a-z]:",
+  "diskpart",
+  "\\bdd\\s+[^&|;]*of=/dev/",
+  "\\bshutdown\\b",
+  "\\bfind\\b[^&|;]*-delete\\b",
+  "\\brimraf\\b",
+].join("|"), "i");
+export const SQL_NOWHERE_RE = /\bdelete\s+from\s+[\w`."]+|\bupdate\s+[\w`."]+\s+set\b/i; // 2.4.0：无 where 的 DELETE FROM / UPDATE...SET
+// 2.5.2：WHERE 豁免按"单条语句"判定——旧写法只要整行任意位置出现 where，就把同行的无 where 删除一并放过。
+export function sqlNowhere(cmd) {
+  return String(cmd || "")
+    .split(";")
+    .some((s) => SQL_NOWHERE_RE.test(s) && !/\bwhere\b/i.test(s));
+}
+// 2.5.2：curl 的 -d/--data 必须区分大小写（-D 是 dump 响应头，属只读 GET），故单独用无 /i 的正则
+export const CURL_DATA_RE = /curl\b[^&|;]*(\s-d\b|\s--data(?:-raw|-binary|-urlencode)?\b)/;
+export const SCRIPT_FILE_RE = /\.(sh|ps1|bat|cmd|py|pl|rb|mjs|cjs|js)$/i; // 2.4.0：脚本包装检测范围
+
+// 2.5.2 git 高危子命令：逐段取 git 调用 → 剥掉 git 全局选项 → 看子命令。
+// 旧写法用前缀组硬凑 "-C/-c + 取值"，遇到 --git-dir=/x、--no-pager、-C= 之类穿插即绕过；且只看首段会漏 `a && git push`。
+// --dry-run（clean 为 -n）在该命令段内任意位置出现即豁免——dry-run 不产生任何不可逆后果。
+export const GIT_OPT_WITH_VALUE = /(?:^|\s)(?:-[Cc]|--git-dir|--work-tree|--namespace|--exec-path|--config-env)(?:=\S+|\s+\S+)?/g;
+export const GIT_OPT_VALUELESS = /(?:^|\s)(?:--no-pager|--paginate|--bare|--literal-pathspecs|--no-replace-objects|--no-optional-locks)\b/g;
+export function gitHighRisk(cmd) {
+  for (const seg of String(cmd || "").split(/[;&|]+/)) {
+    const m = seg.match(/\bgit\b([\s\S]*)$/i);
+    if (!m) continue;
+    const rest = m[1].replace(GIT_OPT_WITH_VALUE, " ").replace(GIT_OPT_VALUELESS, " ").trim();
+    if (/^push\b/i.test(rest)) {
+      if (!/--dry-run\b/i.test(rest)) return true;
+      continue;
+    }
+    if (/^reset\b/i.test(rest)) {
+      if (/--hard\b/i.test(rest)) return true;
+      continue;
+    }
+    if (/^clean\b/i.test(rest)) {
+      const force = /(?:^|\s)-[a-zA-Z]*f[a-zA-Z]*\b|--force\b/i.test(rest);
+      const dry = /(?:^|\s)-[a-zA-Z]*n[a-zA-Z]*\b|--dry-run\b/i.test(rest);
+      if (force && !dry) return true;
+    }
+  }
+  return false;
+}
+
+// 2.5.2：审批/否决的比对键改用内容哈希。旧写法把命令截断到 300 字符再与原文比对，
+// 于是超过 300 字符的命令永远等不到匹配——人类按 y 白按（highRiskOk 被消耗但仍不匹配）、
+// 按 n 也存不进 rejectedCmds（"彻底阻断"静默失效）。显示文本仍截断，比对用全量哈希。
+export function cmdKey(s) {
+  return createHash("sha256").update(String(s)).digest("hex").slice(0, 24);
+}
+
+export function isDangerousCmd(cmd) {
+  const c = String(cmd || "");
+  if (gitHighRisk(c)) return true;
+  return DANGEROUS_PATTERNS.test(c) || sqlNowhere(c) || CURL_DATA_RE.test(c);
+}
+
+// ───────── 3.0.6 P0 · 绝对红线的上下文豁免（HANDOFF §八 立项）─────────
+// 问题：绝对红线在**文本层**匹配，无法区分「要执行的命令」与「被引用的命令字符串」。
+//   后者是把危险命令当数据——写回归测试、构造安全评测集、引用文献、教学示例——
+//   却会被直接拒绝，护栏因此在伤害它自己的开发。
+// 纪律：豁免只把裁决**降级到第 2 层语义预判**，绝不直接放行；豁免判据必须可审计
+//   （AUDIT.log 记 redline-exempt + 判据名 + 命中片段）。
+// 安全前提（§八 未列、但缺了就是绕过通道）：内容落在引号内**不足以**豁免——
+//   `bash -c "rm -rf /"`、`node -e "...execSync('rm -rf /')"` 的危险内容同样在引号里，
+//   那是真执行。故凡检出执行外壳（shell -c / eval / iex / 解释器 -e|-c 等）一律不豁免。
+//   （解释器一并排除，口径与 R5-3 解释器黑名单一致。）
+
+/** 执行外壳：会把引号内字符串真正执行掉的写法。命中即不得豁免。 */
+export const SHELL_EXEC_WRAPPER_RE =
+  /(?:\b(?:ba|z|k|da|a)?sh\s+-[a-z]*c\b|\b(?:pwsh|powershell)(?:\.exe)?\s+[^|;]*-(?:[a-z]*c|Command)\b|\bcmd(?:\.exe)?\s+\/[ck]\b|\beval\b|\bexec\b|\biex\b|Invoke-Expression|\b(?:node|deno|bun)\s+(?:-e|--eval)\b|\bpython[0-9.]*\s+-c\b|\b(?:perl|ruby|php)\s+-[er]\b)/i;
+
+/** 数据用途标记：命中片段之前出现，表明内容是"被引用的数据"。 */
+export const DATA_MARKER_RES = [
+  /示例[：:]/,
+  /例如[：:]/,
+  /测试数据/,
+  /\btest\s+data\b/i,
+  /\bprompt\s*[:=]/i,
+  /【假设】/,
+  /```/,
+];
+
+/** 只读输出命令：首 token 属此类时，命令本身不产生变更。 */
+export const READONLY_HEAD_RE =
+  /^(?:echo|printf|Write-Output|Write-Host|Write-Verbose|Out-String|Out-Host|Out-File\s+[^|;]*-WhatIf|Get-Content|type|cat|Select-String|findstr)\b/i;
+
+/** 列出字符串中被引号包裹的内容区间 [start, end)。处理反斜杠转义。 */
+export function quotedSpans(s) {
+  const spans = [];
+  const str = String(s || "");
+  let i = 0;
+  while (i < str.length) {
+    const ch = str[i];
+    if (ch === "\\") {
+      i += 2;
+      continue;
+    }
+    if (ch === '"' || ch === "'") {
+      const quote = ch;
+      const start = i + 1;
+      i += 1;
+      while (i < str.length) {
+        if (str[i] === "\\") {
+          i += 2;
+          continue;
+        }
+        if (str[i] === quote) break;
+        i += 1;
+      }
+      spans.push([start, i]);
+      i += 1;
+      continue;
+    }
+    i += 1;
+  }
+  return spans;
+}
+
+/** span 尾部要裁掉的字符：尾随空白与收尾引号（分隔符）。不含 `/`——`rm -rf /` 的 `/` 是目标路径本体。 */
+const SPAN_TAIL_TRIM_RE = /[\s"']/;
+
+/**
+ * 命中片段的本体区间 [start, end)。
+ *
+ * 3.0.7（HANDOFF §十一 缺陷 6）：红线正则尾部常带 `[\/\s"']*` 这类收尾类，贪婪匹配会
+ * 连同尾随空白与收尾引号一起吃掉，使 span 越过引号内容区间 → 判据 1（quoted-literal）
+ * 判空，改由判据 3（readonly-head）命中。豁免结果虽然相同，但审计记录的判据名不稳定。
+ * 裁掉尾随的空白与引号后，span 稳定落在危险片段本体上。
+ * 全裁空时回退原文区间，避免产生零宽 span 引出误判。
+ */
+function redlineSpan(c, m) {
+  const start = m.index;
+  let end = start + m[0].length;
+  while (end > start && SPAN_TAIL_TRIM_RE.test(c[end - 1])) end -= 1;
+  return end > start ? [start, end] : [start, start + m[0].length];
+}
+
+/**
+ * 红线上下文豁免判定。
+ * @param {string} cmd 待检命令原文
+ * @param {{name: string, re: RegExp}} hit 命中的红线条目
+ * @returns {{basis: string, detail: string, span: number[]}|null} 豁免依据；不豁免返回 null
+ */
+export function redlineExempt(cmd, hit) {
+  const c = String(cmd || "");
+  if (!c || !hit || !(hit.re instanceof RegExp)) return null;
+  const m = hit.re.exec(c);
+  if (!m) return null;
+  const span = redlineSpan(c, m);
+
+  // 安全前提：执行外壳一律不豁免（引号内也能被真正执行）
+  if (SHELL_EXEC_WRAPPER_RE.test(c)) return null;
+
+  // 判据 1：命中片段完整落在某个引号字面量内 → 内容是字符串数据
+  const inside = quotedSpans(c).find(([s, e]) => s <= span[0] && span[1] <= e);
+  if (inside) {
+    return {
+      basis: "quoted-literal",
+      detail: `命中片段位于引号字面量内 [${inside[0]},${inside[1]})`,
+      span,
+    };
+  }
+
+  // 判据 2：命中片段之前有显式数据标记，且命令本身非变更类
+  const before = c.slice(0, m.index);
+  const marker = DATA_MARKER_RES.find((re) => re.test(before));
+  if (marker && !isMutatingBashCmd(c)) {
+    return { basis: "data-marker", detail: `片段前有数据标记 ${String(marker)}，且命令非变更类`, span };
+  }
+
+  // 判据 3：首 token 是只读输出命令
+  const head = c.trim().replace(CMD_PREFIX_RE, "").trim();
+  if (READONLY_HEAD_RE.test(head)) {
+    return { basis: "readonly-head", detail: `只读输出命令：${head.split(/\s+/)[0]}`, span };
+  }
+
+  return null;
+}

package/src/core/risk.mjs

@@ -0,0 +1,75 @@
+// FocusGuard 母版层 · risk 启发式（v3.0.5；《资料与代码分层总规范》二·1）
+// 变更/侦查判定、稳定序列化与调用哈希、打回与记罚（独立于 harness 的判定接口）。
+import {
+  readFileSync, writeFileSync, rmSync, statSync, appendFileSync,
+  mkdirSync, existsSync, renameSync, realpathSync, readdirSync, copyFileSync,
+} from "node:fs";
+import { join, dirname, sep, basename, relative } from "node:path";
+import { tmpdir } from "node:os";
+import { createHash } from "node:crypto";
+import { execFileSync } from "node:child_process";
+import { INTERP_EVAL_RE } from "./constants.mjs";
+import { isMutatingBashCmd, FILE_REDIRECT_RE } from "./redlines.mjs";
+import { audit } from "./audit.mjs";
+
+export function isMutating(tool, ti, handoff) {
+  if (tool === "Write" || tool === "Edit") return !handoff;
+  if (tool === "Bash") {
+    const cmd = String(ti.command || "");
+    return isMutatingBashCmd(cmd) || FILE_REDIRECT_RE.test(cmd);
+  }
+  return false;
+}
+
+export function isInvestigation(tool, ti) {
+  if (["Read", "Grep", "Glob", "WebSearch", "WebFetch"].includes(tool)) return true;
+  if (/mcp__.*(web|search)/i.test(tool)) return true;
+  if (tool === "Bash") {
+    const cmd = String(ti.command || "");
+    // 3.0.0 解释器黑名单（R5-3）：`python -c`/`node -e` 等等价任意代码执行，不得因"非变异"混入只读侦查
+    // （否则熔断期白名单放行解释器=熔断失效，侦查池也被 eval 类命令挤占）
+    return !isMutatingBashCmd(cmd) && !FILE_REDIRECT_RE.test(cmd) && !INTERP_EVAL_RE.test(cmd);
+  }
+  return false;
+}
+
+export function stable(v) {
+  if (Array.isArray(v)) return "[" + v.map(stable).join(",") + "]";
+  if (v && typeof v === "object")
+    return "{" + Object.keys(v).sort().map((k) => k + ":" + stable(v[k])).join(",") + "}";
+  return JSON.stringify(v) ?? String(v);
+}
+
+export function callHash(input) {
+  const sig = (input.tool_name || "?") + "|" + stable(input.tool_input ?? {});
+  return sig.slice(0, 500);
+}
+
+export function collectStrings(v, out, budget) {
+  if (typeof v === "string") {
+    if (out.total < budget) {
+      out.parts.push(v);
+      out.total += v.length;
+    }
+  } else if (Array.isArray(v)) {
+    for (const x of v) collectStrings(x, out, budget);
+  } else if (v && typeof v === "object") {
+    for (const x of Object.values(v)) collectStrings(x, out, budget);
+  }
+}
+
+export function block(reason) {
+  process.stdout.write(JSON.stringify({ decision: "block", reason }));
+}
+
+export function penalize(state, sid, trigger, evidence) {
+  state.violations = (state.violations || 0) + 1;
+  const level = Math.min(state.violations, 6);
+  if (level >= 2) state.forcedInvestigate = true;
+  if (level >= 3) state.fused = true;
+  if (level >= 5) state.probation = true;
+  audit(sid, trigger, { level, evidence });
+  return level;
+}
+
+// ===== 3.0.1（七十五条(四)）批量审批：多条待批合并出示、一次批示；批示词容错后缀 =====

package/src/core/session.mjs

@@ -0,0 +1,9 @@
+// FocusGuard 母版层 · 会话上下文（v3.0.5；《资料与代码分层总规范》二·1）
+// 会话 ID 的唯一定义处：母版各模块读活绑定 sid，入口调用 bindSession 注入。
+
+export let sid = "";
+export function bindSession(id) {
+  sid = String(id || "");
+}
+
+