【事故】一条 E2E 脚本把整个用户目录递归删除了（Windows，$home 只读变量陷阱）

[lele530]

摘要

在 Windows 11 上，DSH 会话里执行的一条测试脚本用 Remove-Item $home -Recurse -Force 删除"临时测试目录"，但 $HOME 是 PowerShell 的只读自动变量，赋值静默失败，$home 保持为真实用户目录，导致整个 C:\Users\<user> 被递归删除。删除不经过回收站，全部历史会话记录丢失。

环境

• Windows 11，Windows PowerShell 5.1.26100.9711
• DeepSeek Harness 桌面版（Electron，E:\dp\resources\app.asar；运行时 E:\dp\resources\runtime）
• 事发时该会话配置：danger-full-access，审批策略 never

时间线

时间	事件
20:36	会话 session-f0bcf5b0f5a2 启动（跑 aurabot 插件 E2E）
20:37:37	执行测试脚本，删除用户目录；跑超 120s 被转入后台 job pwsh-02440470a5914884
20:38:18	脚本后续 New-Item (Join-Path $home "profiles") 在真实 home 下创建了 C:\Users\<user>\profiles
20:38:19	同一模板再次执行（事件日志 Event ID 4100 留档）
21:12	桌面版重启，userData / .dsh 均为新建

复现（核心）

powershell.exe -NoProfile -NonInteractive -Command `
  $home = Join-Path $env:TEMP "dsh-aura-test"; `
  if (Test-Path $home) { Remove-Item $home -Recurse -Force }; `
  New-Item -ItemType Directory -Force -Path (Join-Path $home "profiles") | Out-Null

实际行为：

(Get-Variable -Name home) | Select Name,Value,Options
# HOME  C:\Users\<user>  ReadOnly, AllScope

$home = Join-Path $env:TEMP "dsh-aura-test"
# 无法覆盖变量 HOME，因为该变量为只读变量或常量。

# -Command 模式下该错误不中断后续语句：
# $home 仍为 C:\Users\<user> → Test-Path 为 True → Remove-Item -Recurse -Force 命中整个 profile

证据

1. 工具输出 spill：%TEMP%\dsh-spill-46xrjl\session-f0bcf5b0f5a2\6c97689ebf1d-pwsh.txt（261,916 字节，20:37:37）

   • 3,070 行 stderr，446 条 C:\Users\<user>\AppData\... 的 Remove-Item 失败记录（占用/拒绝访问）
   • 报错定位「行:1 字符: 197」，命令上下文为 ... st"; if (Test-Path $home) { Remove-Item $home -Recurse -Force }; New- ...

2. 事件日志 Microsoft-Windows-PowerShell/Operational Event ID 4100（20:38:19）保存了完整命令行，其中 Remove-Item 位于第 196 字符（报错按 1 起算 = 197），与上条逐字吻合。

3. 旁证：C:\Users\<user>\profiles 创建于 20:38:18，正是 New-Item (Join-Path $home "profiles") 落在真实 home 的痕迹。

4. 报错类型全部为 IOException / 「拒绝访问」，没有任何一条是沙箱策略拒绝 —— 说明该删除未被文件沙箱拦截。

影响

• 桌面、下载、图片、音乐、联系人等目录被清空后由系统重建（创建时间 20:38–21:09）
• ~/.dsh/sessions 全部历史会话、~/.dsh/storages、Electron userData 丢失
• 回收站中无任何痕迹（Remove-Item 不进回收站），仅找回 1 个更早导出的会话包

建议修复

1. 递归删除的目标命中 $HOME / $env:USERPROFILE / C:\Users\* / 盘符根目录 / %SystemRoot% 时直接拒绝
2. 删除前输出解析后的绝对路径并要求确认，提供 -WhatIf 预演
3. 检测对只读自动变量（$HOME、$PWD 等）的赋值，视为错误并中止整条命令，不要让脚本带错继续
4. 默认 workspace-write + 审批开启，danger-full-access 需逐次显式确认
5. 超时转后台的命令仍应受策略约束（当前实现等于绕过交互审批）
6. 工具发起的删除应进回收站或先做快照

诉求

1. 针对本次事故的正式说明（哪条命令、哪个环节失效、沙箱与审批为何都没拦住）
2. 修复计划与时间表（至少覆盖第 1–4 条）
3. 数据恢复指导（卷影副本 / 反删除）

---

备注：想复现的人请在隔离虚拟机里做，$HOME 那个赋值一定会失败。

[lele530]

English summary: On Windows, a test script assigned a scratch directory to $home:

$home = Join-Path $env:TEMP "dsh-aura-test"

But $HOME is a read-only automatic variable in PowerShell (Options: ReadOnly, AllScope),
so the assignment silently fails and $home keeps its value: C:\Users\<user>.
In -Command mode the error does not stop execution, so the next statement

if (Test-Path $home) { Remove-Item $home -Recurse -Force }

recursively deleted the entire user profile. No sandbox denial was raised (all errors were
IOException / access-denied), and the session was running with danger-full-access and
approvals disabled.

Reproduction notes: (Get-Variable -Name home).Options returns ReadOnly, AllScope on
Windows PowerShell 5.1. Assigning to it throws "Cannot overwrite variable HOME because it is
read-only or constant", and execution continues with the previous value.

Suggested guardrails: block recursive deletes whose resolved target is $HOME / $env:USERPROFILE /
C:\Users* / drive roots / %SystemRoot%; require a resolved-path confirmation; treat assignment
to read-only automatic variables as a fatal error; keep the sandbox and approvals on by default.

[Hexrotor]

今天早上用创造模式写插件的时候遇到了同款问题，也是给$home赋值，然后最后直接$ Remove-Item -Recurse -Force $home，幸好及时发现了，而创造模式几乎必须要用danger权限，而且涉及到插件，agent就会去访问用户目录.dsh，很容易涉及到$home。幸好我.cargo缓存多，那条命令在递归删这个的时候终止了，但是.a .b开头的目录已经被删完了