dsh-bash-guard：给 Agent 画红线的权限插件（4 范围 × 3 权限位，12 个开关）

[lloydzhou]

一个独立的 DSH Web 插件，把"完全权限"和"什么都不管"之间的灰度地带交还给你。12 个权限开关直接嵌在原生权限菜单里，另配可选的 Jev 语义判断层。当前版本 0.2.1-rc.2，跟随运行时版本。

大家好，分享一个我做了一段时间的插件：dsh-bash-guard。

动机

DSH 原生权限预设是"只读 / 工作区内修改 / 完全权限"三档。真实工作里我常想要更细的粒度：比如允许读系统目录、但禁止写；网络只许读不许推；工作区全开。这类策略三档预设表达不了，完全权限又等于裸奔。

于是写了这个插件：借鉴 Linux 文件权限的表达方式，把工具操作策略拆成 4 个范围 × 3 种权限位：

模式：       4       6       6       7
范围：     系统     外部     网络    工作区
           system  external network workspace

每位：读 = 4，写 = 2，执行 = 1，按位相加

12 个独立开关，支持全部 4096 种组合，直接以内联矩阵的形式展开在 DSH 原生权限菜单里——不新增入口、不破坏原生菜单，点一格切一个位，点范围名整行全选/清空。

核心特性

• 原生集成：注入 tools/execute，与原生权限选项同菜单展示；激活时走原生 Full access 基线（与官方 auto-review 插件同思路：拿掉重叠的沙箱限制，换成自己的审查层）
• 本地分类器：词法扫描 bash 命令与文件工具的目标路径，累计所需权限位，与配置比较——免费、瞬时、可解释（拒绝时给出 required=2067 allowed=4667）
• 可选 Jev 语义层：接 TypeSafe Jev，一次请求 12 个校准概率问题（每范围 × 读写执行），组装出 required 权限数字后走同一位比较——本地分类器搞不定的 shell 语法（如 result=$?; exit $result 被保守高估）由 Jev 给出更准确的需求位。失败/超时/敏感输入自动回退本地规则
• subagent 继承：子代理通过 session.header.parentSession 沿父链继承最近的激活配置（只读生效），主会话画的红线子代理同样受约束
• 7777 全放行：模式设为 7777 时不做任何审查，不调用 Jev
• 中英文界面：跟随 DSH 语言设置，无需单独配置
• 安全的密钥处理：Jev API key 只存服务端、不回显；更换服务端点必须重新输入密钥

安装

dsh plugin --profile desktop add dsh-bash-guard
# 或指定版本
dsh plugin --profile desktop add dsh-bash-guard@0.2.1-rc.2

Web profile 同理（--profile web）。版本号跟随 DSH 运行时的 rc 体系，当前 0.2.1-rc.2 对应 dsh 0.2.1-rc.2。

一点设计说明

• 它不是沙箱：分类器是保守词法扫描 + 可选语义分类，不证明程序运行时行为；未接管的工具（浏览器、MCP 等）继续走宿主原生策略
• Fail-safe 优先：Jev 不可用回退本地；输入含敏感内容不发送、直接按本地规则判断；配置中途变更的调用拒绝并要求重试，不放行旧策略
• 拒绝可解释：无论本地还是 Jev 判定，拒绝信息统一是 source=xxx; required=<需求位> allowed=<当前模式>，缺哪个位一目了然

链接

• GitHub：https://github.com/lloydzhou/dsh-bash-guard （MIT，含中英文 README 与 安全/隐私说明）
• npm：https://www.npmjs.com/package/dsh-bash-guard
• 权限模型参考了 bash-agent 的 Bash 工具权限策略；语义判断层借鉴了我另一个项目 bash-guard（Claude Code / Codex 的 Hook 版）

欢迎试用、提 issue，或者聊聊你希望的权限粒度——尤其是哪些工具值得纳入接管范围。