[Feature] workspace-write 沙箱：支持可配置的额外可写缓存目录（~/.cache），跨 workspace 复用依赖缓存

[RelicOfTesla]

dsh生成的isuse：

问题概述

workspace-write 模式下，整个home目录（~/.cache、~/.npm、~/.go、~/.config、~/.local 等）被设为只读；唯一可写的是当前 workspace 与 /tmp。

workspace 按工作目录/项目分配（见 ~/.dsh/sessions/ 下各自独立的 --<user>-<dir>-- 会话目录），换项目即换 workspace。于是 npm / cargo / go / pip 等依赖缓存无法跨 workspace 复用，每次进入新项目都要重新拉全量依赖，反复消耗网络流量与时间。

期望：通过配置（而非改源码）把一个跨 workspace 持久保留的共享目录（典型 ~/.cache）追加进 workspace-write 白名单。

当前行为

# workspace-write 下：
echo x > ~/.cache/t   # Read-only file system（整个home目录只读）
echo x > "$(pwd)/t"   # 成功（仅当前 workspace）
echo x > /tmp/t       # 成功（但会随宿主重启/会话清理丢失）

期望行为

在配置中新增可追加的额外可写根，使 ~/.cache 等目录跨 workspace、跨会话可写且持久，供各包管理器的默认缓存路径（XDG_CACHE_HOME / npm_config_cache / GOMODCACHE / CARGO_HOME / PIP_CACHE_DIR）复用。

相关代码位置（已核实）

可写集合目前硬编码在共享函数 writableRoots()：

• @deepseek-ai/dsh-sandbox/lib/index.js 第 154–161 行：

function writableRoots(policy) {
    if (policy.mode !== "workspace-write") return [];
    return [...new Set([
        policy.workspaceRoot,
        "/tmp",
        tmpdir()
    ].map(canonicalPath))];
}

• 该函数是唯一事实来源，被 dsh-fs-sandbox（文件工具）与 dsh-sandbox-local（bash/Seatbelt 运行器）共同消费，故在此追加即对 bash 与 fs 同时生效。

当前相关配置 schema 没有追加额外可写根的字段：

• SandboxPolicyService.Config（dsh-sandbox-policy/lib/index.js）：{ mode, workspaceRoot }
• PermissionPresetService.Config（dsh-permission-presets/lib/index.js）：{ presets, defaultPreset }

类型 SandboxExecutionPolicy（dsh-sandbox/lib/types/index.d.ts 第 27–39 行）目前仅 mode / workspaceRoot / 可选 sessionId。

---

提议补丁（最小实现）

1) 类型 SandboxExecutionPolicy — dsh-sandbox/lib/types/index.d.ts

 export interface SandboxExecutionPolicy {
     /** The file-effect mode this execution runs under. */
     mode: SandboxMode;
     /** Absolute root directory `workspace-write` may write under. */
     workspaceRoot: string;
+    /**
+     * Optional extra absolute roots `workspace-write` may additionally write
+     * under (e.g. a shared cross-workspace cache directory such as ~/.cache),
+     * surfaced through configuration instead of being hardcoded.
+     */
+    extraWritableRoots?: readonly string[];
     /** ... 原有 sessionId 字段保持不变 ... */
 }

2) 共享可写清单 — dsh-sandbox/lib/index.js 的 writableRoots()

 function writableRoots(policy) {
     if (policy.mode !== "workspace-write") return [];
     return [...new Set([
         policy.workspaceRoot,
         "/tmp",
-        tmpdir()
+        tmpdir(),
+        ...(policy.extraWritableRoots ?? [])
     ].map(canonicalPath))];
 }

canonicalPath 已对每个条目做真实路径解析并去重（Set），与现有的 /tmp / tmpdir() 处理完全一致，因此额外根同样能跨符号链接正确匹配，且不会与工作区根冲突。dsh-fs-sandbox 与 dsh-sandbox-local 无需改动。

3) 配置暴露 — dsh-sandbox-policy/lib/index.js

 static Config = z.object({
     mode: z.union(["read-only", "workspace-write", "danger-full-access"])
         .default("read-only"),
-    workspaceRoot: z.string()
+    workspaceRoot: z.string(),
+    extraWritableRoots: z.array(z.string()).default([])
 });

并在 resolve() 返回的对象中透传：

 resolve(request = {}) {
     const { session } = request;
     return {
         mode: request.mode ?? (session === void 0 ? void 0 : this.overrideOf(session)) ?? this.defaultMode,
         workspaceRoot: resolveWorkspaceRoot(session?.header.cwd ?? this.workspaceRoot),
+        extraWritableRoots: this.extraWritableRoots,   // 来自配置
         ...(session === void 0 ? {} : { sessionId: session.id })
     };
 }

（构造器内 this.extraWritableRoots = config.extraWritableRoots.map(resolveWorkspaceRoot);，复用现有 canonical/realpath 逻辑。）

4) 权限预设（可选，让 preset 也能绑定额外根）— dsh-permission-presets/lib/index.js

 presets: z.dict(z.object({
     sandbox: z.union(SANDBOX_MODES).required(),
     approval: z.union(APPROVAL_POLICIES).required(),
     name: z.string(),
     description: z.string(),
+    extraWritableRoots: z.array(z.string()).optional()   // 追加
 })),

使用示例

# dsh 配置
sandbox:
  mode: workspace-write
  workspaceRoot: /home/user/proj
  extraWritableRoots:
    - /home/user/.cache        # 跨 workspace 共享、持久保留

随后设置：

export XDG_CACHE_HOME=/home/user/.cache          # 通用
export npm_config_cache=/home/user/.cache/npm
export GOMODCACHE=/home/user/.cache/go-mod
export CARGO_HOME=/home/user/.cargo
export PIP_CACHE_DIR=/home/user/.cache/pip

备选 / 可接受的替代方案

若出于安全不愿对持久化home目录开白名单，可考虑：

1. 提供跨 workspace 持久且可配置的缓存卷/数据卷（类似 CI 的共享缓存），供各包管理器指向；
2. 或将 /tmp 提升为跨会话持久，并显式支持包管理器 cache 目录。

环境

• 包：@deepseek-ai/dsh-sandbox 0.1.0-rc.8
• 沙箱模式：workspace-write
• 平台：Linux
• 复现：任意 write/bash 尝试写入 ~/.cache 或home目录，报 Read-only file system

[denial123789]

这个需求成立，但建议不要把 extraWritableRoots: string[] 直接作为最终公共契约。当前 writableRoots() 虽然是共享判定入口，真正的授权仍由不同平台 runner 落地；仅扩展这个数组容易低估几个边界：

1. 跨平台不是同一个 mount 语义：bubblewrap 需要把宿主目录显式 bind 进沙箱；Landlock/Seatbelt 是路径授权；Windows runner 还需要独立的 capability SID/ACL 生命周期。应给每个 backend 加真实 E2E，而不只是测 writableRoots() 返回值。
2. 不要默认允许整个 ~/.cache 或 ~/.config：共享可写根会让一个不可信 workspace 污染另一个 workspace 后续执行的包管理器缓存、hook、二进制或配置。CARGO_HOME 尤其不只是下载缓存，里面还可能有 bin/ 和 credentials。
3. 建议建模为命名 cache resource，例如 { id, hostPath, mountPath, sharing, readOnly }。sharing 至少区分 session / workspace / profile；默认使用 profile + toolchain namespace，而不是所有项目共享一个 home 子树。
4. 配置读取时应要求绝对路径、先创建再 canonicalize、拒绝 workspace 父目录/DSH_HOME/凭据目录，并在实际启动 runner 前重新校验，避免 symlink 交换造成 TOCTOU。
5. 需要明确并发与清理：同一 cache 多写者是否允许、配额/过期策略、损坏后的原子替换，以及 cache 不可用时是降级到私有临时目录还是 fail closed。

一个更窄的第一版可以只支持显式的单用途目录，例如：

sandbox:
  caches:
    - id: npm
      hostPath: /var/cache/dsh/npm
      mountPath: /cache/npm
      sharing: profile

再由 profile 注入 npm_config_cache=/cache/npm。这样 cache 是显式能力，而不是把宿主 home 的一部分变成通用可写文件系统。

建议验收矩阵至少覆盖：bwrap/Landlock/Seatbelt/Windows ACL；cache 内写成功；相邻目录写失败；symlink 逃逸失败；两个 workspace 的共享策略符合配置；read-only 模式不会因为 cache 配置被意外放宽；进程退出后 ACL/mount 正确回收。

披露：我维护 SandBase Harness，也在做 local/Docker/Kubernetes/self-hosted sandbox 边界。我们的经验是把 workspace、上传资源和持久状态分成明确资源类型，比暴露任意额外宿主可写根更容易审计。

Published follow-up: I turned this proposal into a source-backed implementation and acceptance guide, verified against rc.8 commit 141eb6f: canonical guide · visual architecture map. It separates current rc.8 behavior from the proposed contract and adds trust-scope, TOCTOU, concurrency, quota, corruption-recovery, and per-runner gates.