Windows 上 AI 执行命令时屏幕闪现控制台窗口（子进程未带 CREATE_NO_WINDOW）

[Chen0407-en]

• 环境：Windows 11 x64，DeepSeek Harness 桌面版 0.2.1-rc.3（Electron 44）
• 版本频道：nightly

现象

AI 每执行一条 PowerShell 命令，屏幕上会闪出一个黑色控制台窗口，标题是 cmd / powershell 的完整路径（例如 C:\WINDOWS\system32\cmd.exe）；偶尔是蓝色的 Windows PowerShell 窗口。窗口会盖在其它全屏/娱乐程序上面，一闪即没。

只在这个 AI 干活时出现，正常聊天、浏览时不出现。

成因（读包后定位）

真正起子进程的那几处调用 CreateProcessW / CreateProcessAsUserW，creationFlags 里没有带 CREATE_NO_WINDOW（0x08000000）。

STARTUPINFO 那边虽然设了 STARTF_USESHOWWINDOW + wShowWindow = SW_HIDE，但对控制台子系统程序来说，SW_HIDE 只能让窗口"先建出来再藏起来"，创建时那一帧挡不住，所以屏幕上仍然会闪。

建议修复：在上述进程创建处的 creationFlags 补上 0x08000000。这些目标的 stdio 全部走管道，不需要控制台，加上不会影响功能。

复现与验收

用 SetWinEventHook 监听 EVENT_OBJECT_SHOW，过滤类名为 ConsoleWindowClass 的窗口，统计次数：

• 修复前：每执行一次命令会产生数次 ConsoleWindowClass 的 SHOW 事件
• 建议把「一次命令执行期间不产生任何 ConsoleWindowClass SHOW 事件」作为 Windows 端的启动冒烟断言

这条断言不需要用户肉眼盯着屏幕，可以直接进 CI。

附带一条（同一个问题域）

这台机器没有安装 PowerShell 7，pwsh-local 会静默回落到 Windows PowerShell 5.1（C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe）。用户看到的"蓝底窗口"就是它。而 5.1 默认按 OEM 代码页输出。

建议：检测不到 PowerShell 7 时给出可见提示，或优先引导安装 PS7，而不是无声回落。

[PerryLink]

现象你判断对了，但那个 flag 加不上去——它正好是这套东西特意绕开的。

先确认你看到的部分：受限 token 那条路径用 CreateProcessAsUserW 创建子进程，creationFlags 是 CREATE_SUSPENDED | CREATE_UNICODE_ENVIRONMENT（packages/subprocess/win32-process/src/process.ts:567），确实没有 CREATE_NO_WINDOW；STARTUPINFO 只设了 STARTF_USESHOWWINDOW + SW_HIDE（:451-456）。所以控制台子进程的窗口是"建出来再藏"，创建那一帧看得见。

为什么不能直接补 0x08000000：packages/sandbox/sandbox-windows-acl/src/index.ts:26-31 把这条写成已知边界了——

 *  - console isolation is unavailable — children share the host console
 *    (CREATE_NO_WINDOW / CREATE_NEW_CONSOLE children die with
 *    STATUS_DLL_INIT_FAILED under the restriction);

也就是带了 CREATE_NO_WINDOW 的受限子进程会在 DLL 初始化阶段挂掉（就是那堆 0xC0000142 报告）。闪一下和"命令根本跑不起来"之间，现在选的是前者。

换个角度看，非受限那条路径不闪：packages/subprocess/subprocess-local/src/spawn.ts:472 是 windowsHide: platform === 'win32'。所以闪烁只出现在 workspace-write 的受限 token 下。

能提的三种形状（都不是一行 flag）：

1. 把它写成文档里的已知限制，别让下一个人再花一晚找 flag；
2. 只在非受限 token 下用 CREATE_NO_WINDOW，受限 token 维持现状——需要 sandbox 把"当前是否受限"传进 spawn 层，属于接口改动；
3. 由一个已经隐藏控制台的代理进程去创建子进程，代价是多一层。

附带那条是独立的、而且可以单独修：packages/shell/pwsh-local/src/resolve.ts:34-35 确实把 System32\WindowsPowerShell\v1.0\powershell.exe 放在候选列表最后当兜底，静默回落；蓝底窗口就是它。这条建议（检测不到 pwsh 时给可见提示）和闪烁不是同一个问题，分开报更容易被受理。

想验证我这条判断：切到 danger-full-access 再跑几条命令，不闪就说明闪的是受限 token 那条路径。

只读了 master ce7073d5 的源码，没在 Windows 上跑过。