关于dsh不能运行，dsh next需要加--no‑sandbox后缀才可以启动，但是不能控制文件的一个可能的解决方法（故障修复记录：路径触发的低完整性级别降权导致启动失败与 EPERM）（DeepSeek Harness Repair Record: Path-Triggered Low Integrity Level Downgrade Causing Startup Failure and EPERM）

[xcs-1065]

DeepSeek Harness 故障修复全记录

• 日期：2026-10-28
• 对象：稳定版「DeepSeek Harness」（E:\AI\deepseek\dsh\DeepSeek Harness.exe，app @deepseek-ai/dsh-desktop 0.2.1-rc.3，Electron 44.7.0）
• 结果：已修复并验证。应用迁至 E:\deepseek harness\，桌面快捷方式已更新，正常启动。

---

一、背景

用户 10/27 将旧版 E:\AI\dsh 移动至 E:\AI\deepseek\dsh 并安装了新版 E:\AI\deepseek\dshnext\DSH NEXT。此后两个版本均异常：稳定版无法启动（10/27 起从未成功开过机），DSH NEXT 反复 0xc0000005 崩溃或满屏 EPERM（加 --no-sandbox 可运行但写不了文件）。用户提供昨日修 DSH NEXT 的笔记 E:\AI\deepseek\1.txt，其中已锁定根因方向：DSH 进程被以低完整性级别（Low IL 0x1000）创建 → 文件沙箱与 Chromium 沙箱同时失效。

二、症状

版本	现象
稳定版 Harness	不带参启动约 10 秒内退出，退出码 0x80000003；带 --no-sandbox --disable-gpu 时进程存活，但弹窗报 EPERM；渲染进程 launch-failed
DSH NEXT	大量 AppCrash_DSH NEXT.exe（0xc0000005）；Temp mkdtemp/写入全部 EPERM；带 --no-sandbox 可运行但写不了文件

关键报错原文：
EPERM: operation not permitted, open 'C:\Users\小巴\.dsh\profiles\desktop\lock'（errno -4048）
崩溃栈：DesktopProjectManager.withLock (main.js:3607) ← applyRelease (3592) ← main.js:12314

三、排查过程（按步骤）

1. 结构与日志分析

   • 稳定版数据分两处：Electron user-data 在 C:\Users\小巴\AppData\Roaming\@deepseek-ai\dsh-desktop（只有 renderer launch-failed 崩溃日志）；应用 HOME 数据在 C:\Users\小巴\.dsh（profiles\desktop\lock 所在）。
   • DSH NEXT 数据在 E:\AI\deepseek\.dsh。两版本共用 profile 名 desktop。

2. 复现实验

   • 多种启动参数、全新 --user-data-dir（E:\AI\dsh-fresh-profile / dsh-fresh2）结果一致；
   • 锁文件不存在时精确复现 EPERM；同一用户身份手动 open 成功 → 只有应用进程被拒。

3. 排除项

   • Windows Defender 完全关闭；目录 ACL 全部正常；路径链无 reparse point；无 Singleton/lock 残留；
   • 火绒+管家信任区加白（dsh、dsh next、整个 E:\AI）后重试仍失败 → 非按路径的杀毒拦截（与昨日笔记一致）。

4. 进程令牌验证（决定性之一）

   • 读取稳定版进程令牌：完整性级别 IL=0x1000（Low）；记事本/explorer/普通 PowerShell 均为 0x2000（Medium）；
   • 令牌特权/组与普通标准用户完全一致（6 项特权、15 组）→ 不是"受限沙箱令牌"，只是单纯被降到 Low IL；
   • 机制链：Low IL 进程无法写入带中完整性标签的目录（%TEMP%、Roaming、C:\Users\小巴\.dsh 均默认 Medium）→ mkdtemp/CreateFile/原子写全 EPERM；Chromium 在低完整性下无法建立沙箱 → 渲染进程起不来 → 启动即崩。

5. 逆向与配置排查（排除"应用自身降权"）

   • exe 无内嵌 manifest（PE 资源扫描 7 项、无 RT_MANIFEST）；
   • 无 IFEO 条目、无 AppCompat 兼容层条目、AppInit_DLLs 为空、父进程无注入第三方 DLL；
   • 从 app.asar 提取 lib/main.js（516,716 字节）全文检索：无任何令牌/完整性操纵代码；
   • 火绒 hips.db / user.db / 各配置库、管家配置文件与注册表：无该路径的降权规则（火绒仅一条 aiagent 应用分类条目 E:\AI\deepseek\dsh\DeepSeek Harness.exe）；
   • 运行中的内核驱动：火绒 sysdiag.sys、管家 QQSysMonX64/TSSysKit64/TsNetHlpX64/QMUdisk64/QQPCHW。降权发生在进程创建时、应用外部（内核层）。

6. 决定性实验（路径对照）

   • 将整个安装原样复制到不同路径，用同一二进制（MD5 一致）启动：

     路径	完整性级别	结果
     E:\AI\deepseek\dsh（原位置）	0x1000（Low）	崩溃/EPERM
     E:\AI\dsh2、E:\AI\deepseek\dsh2（复制）	未及采集，250~600ms 内崩溃	与原位置相同
     E:\dsh-copy-test（E 盘根，复制）	0x2000（Medium）	正常启动
     E:\deepseek harness（新位置，复制）	0x2000（Medium）	正常启动

   • 结论：降权规则按路径前缀覆盖 E:\AI\ 区域，与二进制内容无关；用户加白名单对该拦截无效。

四、根因结论

稳定版 Harness 本身无故障。某安全软件/驱动按路径（覆盖 E:\AI\ 区域）在进程创建时将 Harness 强制降为低完整性级别（Low IL 0x1000），由此产生连锁失效：文件写入全 EPERM + Chromium 沙箱无法建立 → 应用无法启动。DSH NEXT 同源（同一机制，路径 E:\AI\deepseek\dshnext 同样被降权，加 --no-sandbox 只能绕过 Chromium 沙箱，文件写入依旧失败）。具体是哪家驱动的规则尚未定位（候选：火绒 sysdiag 或管家 QQSysMonX64，磁盘配置中均无对应规则）。

五、修复方案与验证

1. 将安装复制到 E:\deepseek harness\（E:\AI 之外，已验证不受降权；exe 246MB，resources 齐全）；
2. 桌面快捷方式「DeepSeek Harness」目标改为 E:\deepseek harness\DeepSeek Harness.exe，工作目录同步；
3. 验证结果：启动后 6 秒、14 秒均存活，窗口标题 "DeepSeek Harness"，完整性级别 0x2000（正常），无新崩溃日志，数据目录 C:\Users\小巴\.dsh 未改动、原 profile 直接可用。

日常使用：直接双击桌面「DeepSeek Harness」即可。

六、遗留与清理

本轮已清理（排查产物）：

• E:\dsh-copy-test、E:\AI\dsh2、E:\AI\deepseek\dsh2（路径对照实验副本）；
• E:\AI\dsh-fresh-profile、E:\AI\dsh-fresh2（测试 user-data 目录）；
• E:\AI\deepseek\dsh\startup-debug*.log（测试启动日志）；
• %TEMP%\dsh-*.txt / dsh-main.js / dsh-hr-copy（脚本输出）、%TEMP%\t1、E:\AI\deepseek\.dsh\tmp（历史遗留临时目录）。

保留、由用户决定是否删除：

• 原安装 E:\AI\deepseek\dsh（建议确认新位置稳定一段时间后再删）；
• E:\AI\deepseek\dshnext（DSH NEXT，待修）。

七、DSH NEXT 待修记录（之后再修）

• 现象：加 --no-sandbox 可运行，但写不了文件（mkdtemp / 配置写入全部 EPERM）。
• 根因（与稳定版同源）：进程被降权为 Low IL（0x1000），文件沙箱与 Chromium 沙箱同时失效。桌面快捷方式已带 --no-sandbox（治标）。
• 待办：与稳定版相同的根因排查路径（定位降权驱动 → 正确排除）；临时可用方案：将 HOME/临时目录指到 E 盘无完整性标签位置。

八、后续（可选，抓根因）

1. 重启后关闭火绒/管家自启，再启动原路径应用，观察完整性级别是否恢复 0x2000；
2. 或逐个停止火绒/管家服务做对照，定位降权驱动；
3. 定位后在其正确位置添加排除（当前白名单设置不覆盖该拦截）；
4. 顺带建议：修复 PATH 缺 System32 的问题；火绒与管家同时常驻有冲突风险。

附：关键路径速查

项目	路径
修复后安装	E:\deepseek harness\DeepSeek Harness.exe
原安装（待删）	E:\AI\deepseek\dsh\
DSH NEXT（待修）	E:\AI\deepseek\dshnext\DSH NEXT\DSH NEXT.exe
应用 HOME 数据	C:\Users\小巴\.dsh\（lock: profiles\desktop\lock）
Electron user-data	C:\Users\小巴\AppData\Roaming\@deepseek-ai\dsh-desktop\
DSH NEXT 数据	E:\AI\deepseek\.dsh\（含 .credentials.yaml、logs）
桌面快捷方式	C:\Users\小巴\Desktop\DeepSeek Harness.lnk（已指向新位置）