审批、权限与沙箱：模型动作的闸门

示例本次示例：模型要联网时的升级审批

# 沙箱化 shell 下，模型想 curl 一个外网 URL：
# bash({command:'curl ...', sandbox_permissions:['network']})
# → tool-bash 能力探针：ctx.shell.sandboxMode 非 undefined（17 页 192 行）
# → approveEscalation（17 页 223-227 行）→ approver.request
# → approval/request waterfall（user-approval/src/index.ts:192 的服务）
# → 用户在 UI 看到「模型请求 network 权限」→ 批准/拒绝
# → 批准：本次调用带升级权限执行；拒绝：按原沙箱权限（无网络）执行或失败
# 这是「默认沙箱 + 升级要审批」两段式的完整实例

# 模型：bash('ls -la')（本地 shell，无沙箱升级）
# 14 页 pre-execute → permission-presets（inject=['shell','approval','sessions']）：
#   读命令类型 → 「只读命令」→ 预设规则命中 → allow（免审）
# 模型：bash('rm -rf build/') → 「破坏性命令」→ 预设要求审批
#   → PreToolDecision: ask → approval/request → 用户确认
# 预设的「会话记忆」：本会话已批准过的同类命令可跳过（sessions 依赖的用途）

§1挂载条目

• approval → @deepseek-ai/dsh-user-approval——审批服务
• permission → @deepseek-ai/dsh-permission-presets——权限预设（175 行）
• sandbox → dsh-sandbox-local——本地沙箱
• sandbox-policy → dsh-sandbox-policy——沙箱策略
• bash-sandbox / pwsh-sandbox——沙箱化 shell provider（15 页 sandboxMode 的 override 实现）

§2包文件地图

§3机制：审批链 → 权限预设 → 沙箱升级

1. 审批链（14 页的 ask）：tools/pre-execute 返回 ask 时，走 approval/request waterfall——用户批准/拒绝。17 页的 approveEscalation（sandbox_permissions 升级）也走它。
2. 权限预设（免审清单）：permission-presets 决定哪些动作默认允许（如只读文件命令）、哪些必审（如写文件）。它的 inject 里同时有 shell 和 approval——预设既看动作类型，也调审批。
3. 沙箱（执行限制）：sandbox-policy 解析当前沙箱模式；bash-sandbox 是沙箱化的 shell provider（override 15 页的 sandboxMode）。Windows 上还有 ACL 沙箱（sandbox-windows-acl，2530 行——平台级能力）。

§4关键代码

175export class PermissionPresetService extends Service {
196  static inject = ['shell', 'approval', 'sessions']

91export class SandboxPolicyService extends Service {

§5易错点