# dsh-approval-review [English](README.md) | [简体中文](README-zh.md) **DeepSeek Harness 的 Codex 风格 Agent 自动审批。** 当某个动作要越过沙箱自身覆盖不到的边界时，由一个独立的复核模型阅读待执行的动作并给出裁决——减少常规操作的人工确认，模型判断仍可能出错。每一次裁决都会在独立的「审批」页签里留下完整理由。 本插件实现的是 Codex [Auto-review](https://learn.chatgpt.com/docs/sandboxing/auto-review) 的形态：把交互式审批请求交给复核者而不是人；复核者返回结构化裁决；否决不是一句干巴巴的报错，而是把理由交还给调用模型；同一回合内的连续否决会触发熔断，避免 Agent 在升级请求上打转。 > **它只是换了"谁来审"，没有放宽任何权限。** 插件不会扩大沙箱、不会凭空发放授权，也不会把本该由人决定的事从人手里拿走。它不负责的请求一律通过 `next()` 原样交还给应答链。 ## 0.5：可选 Jev 复核引擎 `reviewer.engine` 现在决定**由谁复核**：原有的 LLM 路由，或 [TypeSafe 的 Jev](https://docs.typesafe.ai/)（System One）。Jev 是决策模型——用类型化答案与概率作答、不写散文——因此一次复核就是一次 HTTP 调用，没有工具循环。在本插件自带的用例集上实测：约 0.9 s/次，而 LLM 复核为 4–12 s；策略结果 16/16 与预期一致。verdict 之后的一切——风险闸门、断路器、缓存、台账、审批页签——两个引擎共用。 **使用 Jev 的步骤：** 1. **存密钥**到 harness 能解析凭据的地方：harness 凭据设置，或 `$DSH_HOME/.env` 里的 `TYPESAFE_API_KEY=…`。插件先问凭据存储（它本身已按序叠好启动环境、托管存储与各层 `.env`），取不到再回落进程环境；并且**按次解析**，所以轮换密钥下一次裁决即生效，无需重启。 2. **打开引擎**（写进你的 profile patch）。按 id 覆盖会整行替换 bundle 行的 config，所以要重述你仍需要的键： ```yaml - id: approval-review config: reviewer: engine: jev jev: allowEgress: true ``` 3. **重启** harness（引擎在挂载时读取），然后运行 `/approval-review status`。它会打印引擎、访问模式门控与模型，台账为空时总有可见原因。 两条边界是有意为之：`allowEgress: true` 必须显式确认，因为 Jev 是第三方端点、证据包会离开本机；与当前引擎不匹配的选择会被记录而不是转发。在审批页签里可以任选某个 Jev 模型或某条 LLM 路由——选择自带引擎，且只对本会话生效。完整契约（含两个引擎各自的能与不能）见[复核引擎：`llm` 与 `jev`](#复核引擎llm-与-jev)。 ## 能力一览 | | | |---|---| | **走官方缝** | 注册在 `approval/request` 上的应答者，用 `prepend: true` 排在人类 UI 应答者之前，只认领自己策略范围内的请求，其余全部交还。 | | **第二个模型复核** | 默认 `direct`：接收审批策略、明确构造的证据包，并可调用受限的本地只读检查。可选 `subagent/spawn` 只读检查工作区，但仍受 DSH preset 继承限制。 | | **失败不静默** | 复核崩溃、超时、输出被截断或不符合 schema 时永远不会变成放行：走配置的失败策略，默认 `delegate`，即把请求交回人工链。要 fail-closed 就显式设 `onReviewerFailure: rejected`。证据不足永远不会变成放行。 | | **理由回到模型** | 否决理由会追加到被拒的工具结果里，并明确要求模型不得绕道重试同一目标。**放行理由走同一条通道**（受 `recordAllowedVerdicts` 控制）：审批结果是封闭词表，装不下任何文字，工具结果是插件唯一能持久写入的地方——没有它，页签只能显示"放行了"，永远显示不了"为什么放行"。 | | **风险闸门** | 裁决为 `allow` 但风险高于 `maxAutoAllowRisk` 时不会自动放行，而是转人工。 | | **熔断** | 连续否决与滑动窗口否决双阈值，对齐 Codex 的同回合熔断；默认在触发拒绝结果落盘后停止宿主回合，并保留待处理的用户输入。 | | **预算** | 每回合复核调用上限，避免死循环把复核费用刷爆。 | | **一次性放行** | `/approval-review approve [n]` 为人工作一次重试授权。复核者仍独立裁决，只是会看到这条人工授权。 | | **访问模式第四项** | 在 仅可查看 / 工作区内修改 / 完全权限 旁边多一个「替我审批」。它和「工作区内修改」共享同一套沙箱与审批 knobs，差别只在**谁来裁决**——所以菜单项本身就是开关，选中它插件才接管。靠 `PermissionPresetService.derive()` 先认记录选中项这一点，两者可并存且保持选中。该菜单项的**盾牌+眼睛图标**由插件自己补上，见下。 | | **裁决缓存** | 默认关闭，避免文件状态或用户授权变化后复用旧批准；需要时可显式启用有限的 direct 缓存。 | | **失败预算** | 每回合复核**失败**次数上限，避免复核持续崩溃时无限重试、把请求卡住。 | | **复核证据隔离与递归防护** | 证据包被显式标注为**数据而非指令**，且这条规则由代码追加、无法被 `policyText` 覆盖；复核子代理一建立就被登记为"复核者会话"，它自己发出的审批请求一律交还人工链，不会递归回它正在服务的应答者。 | | **审批页签** | 会话视图里的整页账本，逐条展示工具、裁决、风险等级、理由、更安全的替代建议、**路由策略**、复核路由、耗时，以及实时的预算与熔断状态，并带真正可用的开/关与一次性放行按钮。 | ## 0.4 审批策略与边界 风险和用户授权分别判断：低/中风险的常规操作通常放行；高风险需要中/高授权、范围受限且无禁止项；严重风险拒绝。沙箱提权、工作区外路径和正常凭据认证本身不等于高风险。超时、缺证据、操作参数被截断或无法解析的答案默认交还人工。 这不是 Codex Guardian 的完整复刻：默认独立复核最多调用四次本地只读检查，可读取元数据、最多 100 项目录条目或 16 KiB 文本。检查范围为工作区及动作明确点名的外部路径，排除凭据存储，不执行 shell；证据仍不足时转人工。可选子代理仍继承 DSH preset。默认熔断在拒绝工具结果落盘后中断宿主回合，并保留待处理的用户输入。只有宿主发出的 approval/request 能被本插件处理。自定义 policyText 替换语义策略，但不能取消代码中的严重风险拒绝和高风险授权门槛。 升级会改变默认复核模式、风险上限与缓存开关；已有 profile 显式覆盖继续生效。审批理由保留写入时的语言，界面标签随当前语言变化。 [审批策略对照与验证证据](docs/approval-parity.md) ## 安装 > 仓库里**带了构建产物**（`lib/`），并且 `package.json` 里没有 `prepare` 脚本 —— 因为 pnpm 会拦下 > git 依赖的 `prepare`/`install` 构建脚本（`ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED`），那会让整次安装直接失败。 > 所以 `dsh plugin add github:...` 开箱即用，不需要往 profile 的 `pnpm-workspace.yaml` 加 `allowBuilds`。 > > 只有你**从源码 clone 自己改**时才需要构建：`pnpm build`（发布前由 `prepack: tsdown` 自动跑）。 ```sh # npm 发布版 dsh plugin --profile add dsh-approval-review # 本地目录 dsh plugin --profile add /path/to/dsh-approval-review # git 钉版本 dsh plugin --profile add "github:LAwLi3tCoding/dsh-approval-review#" ``` 重启后确认配置行已经组装进去： ```sh dsh --profile --dump-config | grep -A6 'id: approval-review' ``` 桌面 profile 由 Electron 应用独占管理，会拒绝 `dsh plugin`；请手动添加依赖与 bundle 条目，或用应用内的插件管理入口。 ## 配置 所有可调项都在 bundle 的 `cordis.patch.yml` 那一行里，不必改代码。**按 id 覆盖会整行替换配置**——要保留的键必须全部重述，否则省略的键会静默回到 schema 默认值。 | 键 | 默认值 | 含义 | |---|---|---| | `enabled` | `true` | 总开关。`false` 时插件仍挂载但不认领任何请求。 | | `enabledByDefault` | `true` | 会话初始的运行时开关状态。 | | `reviewTools` | `['*']` | 默认复核所有工具的审批请求。 | | `defaultPolicy` | `ai` | 未匹配工具的默认策略。 | | `rules` | `[]` | 有序的 `{pattern, policy, field?, note?}` 正则规则，优先于工具表求值。`field` 可为 `reason`（默认）、`toolName`、`arguments`。 | | `reviewer.engine` | `llm` | 复核引擎：默认原有 LLM 复核，或 TypeSafe 的 Jev。见[复核引擎：llm 与 jev](#复核引擎llm-与-jev)。 | | `reviewer.mode` | `direct` | 默认独立模型调用，不继承父会话提示词、历史、skills 或记忆；可选 `subagent` 读取工作区。仅适用于 `engine: llm`。 | | `reviewer.provider` / `.model` | *(继承)* | 复核路由；不填则继承调用 Agent 自己的路由。会话内可用 `/approval-review model [/]` 覆盖（**「审批」页签右上角可以直接选**：点开即列出本机配置的模型，候选来自客户端自己的模型目录服务 `modelDirectories`——和 `/model` 选择器、输入框里的模型座位读的是同一份目录。列表由插件自己渲染（原生 `datalist`/`select` 的弹层字号字重无法用 CSS 控制，会显得比页面吵），支持输入过滤、方向键+回车，也可以手打目录里没有的 id）。 | | `reviewer.subagentProvider` | `spawn` | 可选子代理后端；`spawn` 不复制父会话历史，但仍继承宿主 preset。 | | `reviewer.inspectLocalState` | `true` | 为 direct 模式启用受限本地只读检查。 | | `reviewer.tools` | `[read, glob, grep]` | 复核子代理的工具白名单。留空会回退到只读默认，而不是继承父代理的全部工具。 | | `reviewer.timeoutMs` | `120000` | 单次复核的硬超时。慢路由 + 推理型复核者实测要 ~50 秒；超时不是「否决」，而是按失败策略处理——出厂设置是转回人工链。 | | `reviewer.maxTokens` | 模型路由默认值 | 可选输出上限；默认不覆盖适配器或模型配置。 | | `reviewer.temperature` | `0` | 采样温度。 | | `reviewer.policyText` | *(内置策略)* | 替换裁决策略正文。 | | `reviewer.guidance` | *(无)* | 追加在策略之后的部署专属指引。 | | `reviewer.argumentMaxChars` | `4000` | 单个参数值的字符上限。 | | `reviewer.argumentsBudgetChars` | `16000` | 整份参数文档的字符上限；`0` 关闭。 | | `context.turns` | `2` | 作为证据的历史回合数；`0` 不发送近期轨迹，但仍提供筛选后的原始与最新用户意图。 | | `context.maxChars` | `6000` | 证据片段字符预算。 | | `context.includeAssistant` | `true` | 是否包含助手消息。 | | `context.includeToolActivity` | `true` | 是否包含工具调用与结果。 | | `maxAutoAllowRisk` | `high` | 高风险还必须有中/高用户授权和明确受限范围；严重风险始终拒绝。 | | `onRiskExceeded` | `delegate` | 超过该上限时：`allow` / `delegate` / `deny`。 | | `onUncertain` | `delegate` | 复核者表示无法判断时。 | | `onReviewerFailure` | `delegate` | 复核崩溃、超时或输出不合 schema 时。默认**转人工**：复核者跑不起来是基础设施问题，不是裁决；会拒的部署请显式设成 `rejected`。 | | `budget.maxReviewsPerTurn` | `20` | 每回合复核调用上限。 | | `budget.onExhausted` | `delegate` | 预算耗尽后：`delegate` / `deny`。 | | `maxFailuresPerTurn` | `10` | 每回合复核**失败**次数上限，超过即转人工。 | | `verdictCache.ttlMs` | `0` | 默认关闭。仅 direct、context.turns=0 且 inspectLocalState=false 可显式启用；缓存键含会话、授权证据和模型。 | | `verdictCache.maxEntries` | `256` | 缓存指纹条数上限，超出自淘汰最旧。 | | `circuitBreaker.consecutiveDenials` | `3` | 连续否决多少次触发熔断。 | | `circuitBreaker.windowDenials` | `10` | 滑动窗口内否决多少次触发；`0` 关闭该规则。 | | `circuitBreaker.windowSize` | `50` | 滑动窗口大小。 | | `circuitBreaker.action` | `stop` | 拒绝落盘后停止宿主回合；仍支持 `delegate` / `deny`。 | | `override.ttlMs` | `300000` | `/approval-review approve` 的有效期；`0` 表示不过期。 | | `override.maxPending` | `10` | 放行指令最多能指向多少条最近的否决记录。 | | `reasonMaxChars` | `2000` | 插件输出理由的字符上限。 | | `feedReasonToModel` | `true` | 是否把理由追加到被拒的工具结果。 | | `recordAllowedVerdicts` | `true` | 是否把**放行**裁决也追加到被接受的工具结果。关掉后页签只显示"放行了"、不显示理由；打开的成本是每次自动放行多一小段标记进入模型上下文。 | | `language` | `auto` | 插件对外输出的**散文语言**——`/approval-review` 的命令输出，以及复核模型的 `reason`/`suggestion` 两个字段。`auto` 跟随 DSH 语言设置（设置 → 通用 → 语言），`en`/`zh` 强制指定。每次调用时解析，切换后下一条命令、下一次裁决即生效。边界：`decision`/`risk` 等枚举值始终是英文 token（解析器按英文校验），已写入转录的文本（旧裁决的理由、旧命令输出）不会被改写。 | ### 复核引擎：`llm` 与 `jev` `reviewer.engine` 决定由谁复核。`llm`（默认）是原有路径：一次模型调用（或只读子代理）读证据包并返回裁决 JSON。`jev` 把同一份证据包 POST 到 [TypeSafe 的 System One 端点](https://docs.typesafe.ai/api)，读回类型化答案，判定（禁令命中、不确定、范围是否有界）由代码做出。verdict 之后的一切——风险闸门、断路器、缓存、台账、审批卡片——两个引擎共用。 Jev 不经过 DSH 的模型路由：它是一次带 Bearer 密钥的直连 HTTP 调用，因此不出现在模型选择器里，也不需要注册 provider。台账里的 `typesafe/` 是插件为自己审计记录合成的标签，不是 DSH 路由；`/approval-review model ` 仍然有效，覆盖的就是发给 TypeSafe 的模型名或版本。 选择器里的每一项**自带引擎**：`typesafe/` 用 Jev 复核，`/` 用该 LLM 路由复核，裸 `` 保持当前引擎只换模型，`default` 回到部署自己的复核者。这才让列表里每一行都有意义——包括把 Jev 部署临时切回某条 LLM 路由，表头与台账都会跟着变。两条边界仍然生效：只有在部署确认过出境（`jev.allowEgress`）时会话才能切到 Jev；Jev 端点收到的是裸模型名，因此去掉 `typesafe/` 标记后仍含 `/` 的值会被记录并忽略，而不是转发出去。 | 键 | 默认值 | 含义 | |---|---|---| | `reviewer.jev.endpoint` | `https://api.typesafe.ai/v1/systemone` | 证据包的 POST 目标。若不允许直接出境，指向自建网关。 | | `reviewer.jev.model` | `jev-latest` | 模型名或别名。响应会回报实际作答的版本（如 `jev-1.13.0`），台账记录的是该版本。 | | `reviewer.jev.apiKeyEnv` | `TYPESAFE_API_KEY` | 存放密钥的环境变量名。密钥不从配置读取、不进日志、不写入审批记录。 | | `reviewer.jev.timeoutMs` | `8000` | 单次 HTTP 调用的硬超时，独立于 `reviewer.timeoutMs`。 | | `reviewer.jev.permitProbMin` | `0.6` | permit 答案的最高概率低于此值即判为 `uncertain`。 | | `reviewer.jev.prohibitedAt` | `0.5` | 四条禁令任一达到此概率即直接否决，不考虑授权等级。刻意不对称：误拒的代价低于误放。 | | `reviewer.jev.scopeBoundedAt` | `0.5` | 范围问题达到此概率才算「有界」。 | | `reviewer.jev.allowEgress` | `false` | 必须显式置 `true` 才能挂载，否则加载期失败，并在错误信息里写明证据会发往哪个端点。 | | `reviewer.jev.rubric` | `{}` | 按问题 id 覆盖 `instructions`（问题 id 见 `src/jev-questions.ts`）。 | 实际差异： - **一次复核一次 HTTP 调用，没有工具循环。** Jev 无法检查本地状态，决定性事实不在证据里时只能判为 `uncertain` 并走 `onUncertain`（出厂设置是转人工），而不是自行取证。`reviewer.mode` 与 `reviewer.inspectLocalState` 对它不生效。 - **`reason` 由代码从答案拼装**，例如 `Denied: prohibition "disclosure of secrets or private data" (0.97); risk critical; authorization unknown; permit 1.00`， 并按配置的输出语言本地化。`reviewer.policyText` 对它不生效：裁决策略写在逐题 rubric 里。 - **证据包会离开本机**，这正是 `allowEgress` 所确认的事。脱敏逻辑不变（按 key 名匹配，外加对不可解析载荷的兜底），它不会从自由文本里清理密钥。 - **配置错误在加载期失败**（Jev 配 `mode: subagent`、端点不是 https、未确认出境），而不是等到第一次审批时才表现为「转人工」。 - **密钥先经 harness 凭据存储解析，其次才是环境变量。** 存进凭据设置、写进 `$DSH_HOME/.env`，或者启动前导出都可以：凭据接缝本身已把这几层按序叠好（启动环境 → 托管存储 → 项目 `.env` → harness home `.env`），并按次解析，所以轮换密钥无需重启。GUI 启动的 harness 不会执行你的 shell 启动文件，这正是"存进凭据"比 `~/.zshenv` 有效的原因。 没有配置 Jev、或只配了一半时会怎样： | 状态 | 结果 | |---|---| | `reviewer.engine` 保持 `llm`（默认） | 走 LLM 复核。不会有请求发往 TypeSafe，不需要密钥，也不会打 Jev 相关警告。 | | `engine: jev` 但没写 `jev.allowEgress: true` | 拒绝挂载，错误信息点明证据会发往哪个端点；不会有任何自动复核。 | | `engine: jev`、已确认出境，但凭据存储与环境都解析不到密钥 | 未挂载凭据存储时启动即打警告；挂了存储时则第一次复核以「缺少凭据」失败。两种情况都按 `onReviewerFailure` 处理——默认 `delegate`，请求转人工而不是被静默放行。失败达到 `maxFailuresPerTurn` 后本回合不再询问复核器。 | | `engine: jev` 配 `mode: subagent`，或端点不是 https | 拒绝挂载。 | | 密钥无效（`401`/`403`）、限流（`429`）、`5xx`、超时、非 JSON、答案缺字段 | 记为复核失败；不重试，也不采纳残缺答案。 | | 会话当前访问模式不是 `reviewerPreset` | 插件按设计不认领任何请求——台账保持为空，`/approval-review status` 会点名门控。 | #### 新装用户启用 Jev 1. **存密钥**到 harness 能解析的地方：harness 凭据设置，或 `$DSH_HOME/.env` 里的 `TYPESAFE_API_KEY=…`。两者都按次读取；`process.env` 是不挂凭据行的部署的兜底。 2. **打开引擎**（写进你的 profile patch）。按 id 覆盖会整行替换 bundle 行的 config，所以要重述你仍需要的键： ```yaml - id: approval-review config: reviewer: engine: jev jev: allowEgress: true ``` 3. **重启** harness（引擎在挂载时读取），然后运行 `/approval-review status`：它会打印引擎、门控与模型，台账为空时总有可见原因。 启用前先验证连通性——该探针只发送合成证据，不发送仓库内容： ```bash export TYPESAFE_API_KEY=… # 与插件复核时解析到的是同一个密钥 npx vitest run tests/jev-live.test.ts tests/jev-policy-live.test.ts ``` ### 三种工具策略 - **`ai`** —— 由本插件的复核者裁决，结果只会是 `allowed-once` 或 `rejected`。 - **`human`** —— 用 `next()` 交还给应答链，也就是原本的审批弹窗。插件不会短路它。 - **`never`** —— 直接 `rejected` 并附说明，不调复核、不弹窗。用于对某类工具做硬禁用。 **出厂立场是「任何审批请求都先交给复核者」**（`reviewTools: ['*']` + `defaultPolicy: ai`），包括 `edit`、`web_fetch`、以及别的插件（如 `dsh-permission-rules` 的网络/路径规则）触发的 `ask`。风险不高就放行、风险高或复核者不确定才找人，闸门分别是 `maxAutoAllowRisk`、`onRiskExceeded`、`onUncertain`。 代价是**每个请求一次复核模型调用**（十几秒到几十秒 + token），所以每回合的 `budget.maxReviewsPerTurn` 才是真正的刹车；想更保守的部署可以把 `reviewTools` 收窄回工具白名单，或把 `defaultPolicy` 设回 `human`。 注意 `never` 规则（以及别的插件的确定性 `deny`）仍然在进入应答链**之前**硬拦——它们不是"审批请求"，是硬禁用。 ### 示例：更严格的部署 ```yaml - insert: - id: approval-review name: dsh-approval-review config: reviewTools: ['bash', 'pwsh', 'write', 'edit'] defaultPolicy: human rules: - pattern: '(?i)(rm\s+(-[a-z]+\s+)*/|git\s+push\s+--force)' policy: never note: destructive - pattern: 'curl|wget|nc\s' policy: ai field: arguments reviewer: model: '<更便宜的复核模型>' timeoutMs: 30000 maxAutoAllowRisk: low onRiskExceeded: delegate circuitBreaker: { consecutiveDenials: 2, windowDenials: 5, windowSize: 20, action: deny } ``` ## 会话命令 ``` /approval-review on|off|status|approve [n]|model [/] ``` - **`on` / `off`** —— 持久化的会话开关。重启与恢复后依然有效，因为开关是从命令自身的会话事件里折叠出来的，而不是存在内存里。 - **`status`** —— 当前开关、本回合复核预算、连续否决数、累计次数、熔断是否打开、还有几条一次性放行待用，以及最近一次裁决。 - **`approve [n]`** —— 为最近第 n 条否决记录（1 为最近）登记一次性授权。仅同一会话中同一工具、字节完全相同参数的下一次复核可消费授权；复核者仍独立裁决。默认 5 分钟过期，重启后不保留待消费授权，旧授权不会复活。 - **`model [/]`** —— 本会话复核模型覆盖，`model default` 恢复继承。写成 `provider/model` 时两半一起写入（**换 provider 意味着证据包发给另一家**）；只写模型 id 会清掉旧的 provider 覆盖，避免拿 A 家的型号去问 B 家。与开关一样是从命令事件折叠出来的，重启/恢复后仍有效。 ## 审批页签 包里的 `dsh.client` 声明会自动注册浏览器半边；只要 profile 提供会话投影能力，宿主侧就会注册 `approvalReview` 投影。不需要额外的 patch 行。 页签在会话视图里，与 轨迹 / 上下文 / 费用 并列，逐条展示：工具名、裁决、**路由策略**、风险等级、复核理由、可选的更安全替代建议、请求方自己的理由、复核路由与耗时、风险与不确定标记、可展开的参数视图，以及对最近否决记录的一键放行按钮。同时展示实时预算、连续否决数与熔断状态，以及等价的斜杠命令。 **会话头部不再有卡片按钮。** 它和这个页签读同一份投影，只是把同一份账本塞进一个浮层，而头部是所有会话控件争抢最厉害的一条——页签已经整页展示，卡片就是重复。 **每一行都标出它是不是本插件裁决的。** 投影折叠的是宿主自己的 `approval/asked` 事件，所以页签里会出现本插件**没有**裁决的请求——比如被 `defaultPolicy: human` 交还人工的 `web_fetch`，或 `dsh-permission-rules` 网络规则触发的 `ask`。这类行会带上「交还人工」/「硬禁用」标签，并显示真实的 `policy · policySource`（由部署配置在折叠时重新推导），而不是一律冒充成 `ai · unrecorded`。缺失理由时也按路由策略分开措辞，不再把"没记录"说成"没裁决"。 **只列审批请求，不列工具调用。** 沙箱内直接放行、从未发起审批请求的工具调用不会出现在这里；反过来，只要发起了审批请求（哪怕来自别的插件），就会有一行。 没有投影能力时，页签会自报不可用，应答者不受影响。 ## 访问模式图标 访问模式菜单的图标表在 `@deepseek-ai/dsh-client-ui-conversation` 里是**封闭的设计集**：只有内置三个 key 有盾牌图标，`permissions` 投影也只带 value/name/description，宿主问不出图标。于是「替我审批」这一项默认没有图标。 插件用 `src/client/access-mode-glyph.ts` 在浏览器侧补上它：给访问模式触发器和对应菜单行打一个 `data-dsh-approval-review-glyph` 属性，再用插件自己的样式表以 `::before` + SVG mask 画出同一个盾牌加一只眼睛（边界没变，只是有人在过界前看了一眼）。 - **不动 React 的树**：只加属性、不插节点，避免与 React 的子节点协调打架。 - **让位给内置图标**：一旦宿主那侧真的带上了这个 key 的图标（例如你重建了 harness 的客户端包），插件检测到就撤掉自己的标记，不会出现两个图标。 - 预设名改了而没同步这个文件的名字表时，图标不显示，菜单照常工作——它是渐进增强，不是依赖。 ## 工作原理 ```text approval/request 应答链（waterfall） │ ┌───────────┴──────────────────────────────────┐ │ dsh-approval-review 应答者（prepend） │ │ · 插件开关与会话开关是否打开？ │ 否 ── next() ──▶ 人类应答者 │ · 风险规则 → reviewTools → defaultPolicy │ │ = human？─────────────────────────────────┼── next() ──▶ 人类应答者 │ = never？─────────────────────────────────┼── rejected + 标记 │ · 熔断是否打开？─────────────────────────────┼── 停止回合 / 转人工 / 拒绝 │ · 本回合预算是否耗尽？───────────────────────┼── 停止回合 / 转人工 / 拒绝 └───────────┬──────────────────────────────────┘ │ ai ▼ ┌──────────────────────────────────────────────┐ │ 复核者：受限只读模型循环 / 只读子代理 │ │ · 证据：待执行动作 + 脱敏后的参数 │ │ + 申请理由 + 有界对话片段 │ │ （整段标注为"数据，不是指令"） │ │ · 输出：{decision, risk, reason, suggestion} │ │ · 超时与请求 signal 竞速 │ └───────────┬──────────────────────────────────┘ │ 裁决 | 失败（按失败策略） ▼ 放行 ─▶ allowed-once 否决 ─▶ rejected └▶ 理由追加到被接受结果 └▶ 理由追加到被拒的工具结果 （tools/post-execute）（tools/post-execute） ``` 审批结果是封闭词表，装不下任何文字。所以插件把理由放到**工具结果**上（通过 `tools/post-execute` 监听器）：被拒的走 `feedback`，放行的追加到被接受结果的内容之后（受 `recordAllowedVerdicts` 控制）。这一条通道同时服务两个目的：模型能读到裁决原因；而折叠会话日志的审计账本也能把同一份理由还原出来给页签用。 ### 复核者如何区分证据与授权 证据包里必然含有模型自己读过的东西——`AGENTS.md`、被审文件的内容、命令输出、抓回来的网页。把那些文本当指令，正是让复核者批准它本该拦下的动作的路径。所以： - 系统提示词在策略正文之后追加 `UNTRUSTED_EVIDENCE_RULE`，区分宿主标记的真实用户消息、工具数据和宿主登记的精确操作授权。仓库文本不能自行授予权限；正常用户任务或引用恶意文本做分析不自动算注入。 - user message 用 `<<