[Bug] 沙箱 "denied" 判定依赖英文 GNU 报错文本 —— zh_CN/UOS 默认 locale 下沙箱拒绝被漏判

[qnet-d]

环境

• dsh 源码:0.1.2-alpha.4(master HEAD 4e84901)
• 操作系统:UOS Desktop 20 Professional(内核 Linux 4.19.0-amd64-desktop,glibc 2.28)
• locale:LANG=zh_CN.UTF-8、LANGUAGE=zh_CN(UOS/Deepin 桌面默认)
• 沙箱后端:bwrap(功能探测通过,Linux 链首选;本机无 Landlock)

一句话

bash-sandbox 判定一次失败是否为「沙箱拒绝」(stamp sandbox.denied)时,靠的是在 stderr 里大小写不敏感地匹配英文子串(如 read-only file system、permission denied)。但 GNU bash/coreutils 的报错文本会按 LC_MESSAGES/LANGUAGE 本地化:在 zh_CN 下 bash 输出的是 只读文件系统 / 权限不够,英文 signature 一个都匹配不上 → denied 恒为 false。中文 UOS/Deepin 桌面(以及所有非英文 locale 桌面)必现,而上游英文 CI 永远测不到。

复现

A. 仓库自带单测,同一环境 A/B

packages/shell/bash-sandbox/tests/sandbox.spec.ts:519 用例 reports a real permission failure as a sandbox denial with the mode it ran under(写一个 chmod 0555 目录内文件,期望 sandbox: { mode:'read-only', denied:true, enforcement:'full' })。

# zh_CN(默认)→ 1 failed
pnpm vitest run packages/shell/bash-sandbox/tests/sandbox.spec.ts
#   AssertionError: expected { mode: 'read-only', denied: false, enforcement: 'full' } to equal { ..., denied: true }

# LC_ALL=C → 59 passed
LC_ALL=C LANG=C LANGUAGE=C pnpm vitest run packages/shell/bash-sandbox/tests/sandbox.spec.ts

B. 真实 bwrap runner(本机实际后端)zh vs C

d=$(mktemp -d)
# zh_CN
LANG=zh_CN.UTF-8 LANGUAGE=zh_CN bwrap --die-with-parent --bind / / --ro-bind "$d" "$d" \
  bash -c "echo x > $d/f" 2>&1        # → bash: /tmp/.../f: 只读文件系统   (exit 1)
# LC_ALL=C
LC_ALL=C bwrap --die-with-parent --bind / / --ro-bind "$d" "$d" \
  bash -c "echo x > $d/f" 2>&1        # → bash: /tmp/.../f: Read-only file system (exit 1)

对分类器(签名 ['read-only file system','permission denied'])求值:

stderr 文本	denied
bash: .../f: 只读文件系统	false ← 期望 true
bash: .../f: Read-only file system	true
bash: .../f: 权限不够	false ← 期望 true
bash: .../f: Permission denied	true

根因链(源码级)

1. 子进程环境 = scrubbedParentEnv()(packages/subprocess/subprocess/src/index.ts:60),它刻意保留 locale 变量(同文件 :49 注释:"PATH, HOME, locale, and proxy variables survive")。
2. bash 执行器给子进程的 env 覆盖(packages/shell/bash-local/src/index.ts:27 ENV_OVERRIDES)只有 NO_COLOR/TERM=dumb/PAGER=cat/GIT_PAGER=cat,没有任何 LC_*;bash-sandbox 的 confined 路径复用同一 spawnSpec。
3. 于是被沙箱包住的 bash 继承 zh_CN.UTF-8,写失败时由 gettext 输出本地化诊断(只读文件系统/权限不够)。
4. 拒绝判据 DENIAL_SIGNATURES(packages/sandbox/sandbox-local/src/index.ts:205 附近):bwrap: ['read-only file system']、landlock: ['permission denied']、runnerCommand: ['read-only file system','permission denied'] —— 全英文子串。
5. 判定 classifyDenial → matchesSignature(packages/shell/bash-sandbox/src/helpers.ts:67,112)做大小写不敏感的子串匹配。本地化文本不含英文子串 → denied:false。

影响

• 在非英文 locale 桌面(UOS/Deepin 默认 zh_CN;fr/de/ja/ko/… 同理)上,沙箱在 read-only / 受限写模式下拦截写入后,sandbox.denied 这一结构化信号静默丢失:run 返回非零退出,但 harness 认为是「普通命令失败」而非「策略拒绝」。
• 依赖 denied 的行为全部失效:拒绝提示与引导 UI、基于策略的转述、denial 统计等。
• 更关键的是这对 agent 是安全相关的歧义:agent 分不清「被沙箱策略挡住」和「命令自己失败」,可能反复重试或误判自身工具可用性。

附带问题:该单测套件本身 locale 脆弱

该用例通过与否取决于宿主 locale —— 上游 CI(英文)永远绿,zh_CN 开发机(任何 UOS/Deepin 贡献者)会红。这类平台盲区正好是单靠 CI 抓不到的,建议无论采用哪种修复,都让「工具产物/测试」在确定 locale 下运行。

候选修复(供维护者定夺)

• 方案 1(最省、推荐先做):把被约束子进程的“消息 locale”固定为 C,让 GNU 诊断回归规范英文。可在 bash-local 的 ENV_OVERRIDES 或 bash-sandbox 的 confine env 里加 LC_ALL: 'C'(注意 LANGUAGE 优先级高于 LC_MESSAGES,需一并置空或设 LC_ALL 压制之;glibc 下 LC_ALL 优先于 LANGUAGE)。这与现有「model-friendly environment」覆盖(禁色/禁分页)的意图一致——工具输出本就该可确定解析。代价:子进程整体输出走 C locale(日期/排序等变规范,对 agent 消费反而更可预期)。
• 方案 2(更健壮、改动大):不再从 shell 散文里猜 denial。沙箱边界(ro bind / EACCES)本身就知道这次拦截是策略所致,可在 runner 层输出结构化、与 locale 无关的 denial 标记再判定;对 bwrap 这种“裸 runner”则需包一层。长期最不易碎。
• 不推荐方案 3(在签名表里堆本地化词)——语言与版本组合无界,永远补不齐。

备注

pwsh-sandbox(packages/shell/pwsh-sandbox/src/index.ts:121,167)走同一条 classifyDenial/matchesSignature,若 PowerShell 在目标 locale 下也本地化报错文本则同样受影响;本机未装 pwsh 未实测,供维护者留意。

[argszero]

逐项在 master（49a606bc5 = alpha.5 线）核实完毕——你的报告每个锚点都准确，机制链完整，是我见过最扎实的 locale 类 bug 报告之一。补充一个让修复更简单的结构事实，然后对三个方案给出裁决。

验证结果（全部命中）

• packages/shell/bash-sandbox/tests/sandbox.spec.ts:519 用例存在，断言 sandbox: { mode:'read-only', denied:true, enforcement:'full' }；
• DENIAL_SIGNATURES（packages/sandbox/sandbox-local/src/index.ts:205-213）纯英文子串：bwrap: ['read-only file system']、landlock: ['permission denied']、runnerCommand: ['read-only file system','permission denied']，注释自称 "the case-insensitive stderr substrings"——大小写不敏感但语言不敏感是隐含假设；
• classifyDenial/matchesSignature（packages/shell/bash-sandbox/src/helpers.ts:67,112）确实只做 toLowerCase() 子串匹配，消费点在 bash-sandbox/src/index.ts:161（denied: !runnerFailed && matchesSignature(...)）；
• scrubbedParentEnv()（packages/subprocess/subprocess/src/index.ts:60，:49 注释 "locale variables survive"）保留 locale；bash-local/src/index.ts:27 ENV_OVERRIDES 只有 NO_COLOR/TERM/PAGER/GIT_PAGER。

补充结构事实：bash-sandbox 是 bash-local 的子类 → 单点修复成立

SandboxBashExecutor extends LocalBashExecutor（packages/shell/bash-sandbox/src/index.ts:44）——confined 路径复用父类整个 spawn/env 路径，env 合并只有一处：

// bash-local/src/index.ts:198
env: { ...ENV_OVERRIDES, ...spec.env, ...spec.dshEnv }

所以你的方案 1 具体化为在 ENV_OVERRIDES 加一行 LC_ALL: 'C' 即覆盖全部三条路径（普通 bash、bash-sandbox、persistent bash），不需要在 bash-sandbox 侧再动。两个细节让这个选择比 LC_MESSAGES 稳：

1. glibc 优先级：LANGUAGE > LC_ALL > LC_MESSAGES > LANG。只设 LC_MESSAGES=C 会被 LANGUAGE=zh_CN 击败（UOS 桌面恰好两个都设）；LC_ALL=C 压过 LANGUAGE，正是你要的语义。
2. spread 顺序：:198 是后写覆盖，per-call 的 spec.env 若设 LANG=zh_CN 只能覆盖 LANG，覆盖不了 LC_ALL——调用方几乎不会显式传 LC_ALL，所以这一行在"信任调用方 env 仍可赢"的设计里依然稳。

副作用评估：ENV_OVERRIDES 的既有 doc 意图是 "disable colors, pagers, and interactive terminal features that would garble tool output"——把子进程输出锁到 C locale 与这个意图同向（date/排序/数字格式对 agent 消费反而可预期）。注意它同样作用于 persistent bash 的工具会话（非用户终端），对需要本地化输出的少数场景属可接受的行为收紧；若想最小 blast radius 也可以只钉 confined 路径，但鉴于继承关系那需要在 bash-sandbox 覆写 env 合并点，反而更绕——推荐前者。

方案裁决

• 方案 1：正确且最小，建议作为首个修复。落地形状 = ENV_OVERRIDES + LC_ALL: 'C' + 把 spec:519 用例在 zh_CN 下跑绿（见下）。
• 方案 2：长期正确方向，且树内已有同族先例——runnerFailureRules（sandbox-local 同文件 :215-230 附近）已经是"结构化 runner 事实 + exit-gate + fatal signature"而不是从散文猜；denial 侧未来可从沙箱边界输出 locale 无关的结构化标记，与 runner-failure 判据对齐。改动大，适合作为独立演进而非本次修复。
• 方案 3（签名表堆本地化词）：同意拒绝。语言×工具×版本组合无界，且会把签名表变成 gettext 词典。

测试 locale 脆弱性——你的判断正确，补一个具体做法

spec:519 通过与否确实随宿主 locale 漂移：上游英文 CI 永远绿，zh_CN 开发机永远红——这正是"平台盲区单靠 CI 抓不到"的典型。修复落地后该用例两种 locale 都绿，但在那之前（以及为了防止未来别的用例引入 locale 敏感文本），建议给该 spec 的子进程 env 显式钉 LC_ALL: 'C'（或 fixture 里固化），让"测试结果"与"宿主 locale"解耦——否则每个 UOS/Deepin 贡献者第一轮 pnpm vitest 就红在无关用例上，贡献门槛被无谓抬高。

边界补充

• pwsh-sandbox（packages/shell/pwsh-sandbox/src/index.ts:121,167）共享 classifyDenial/matchesSignature：pwsh on Linux 的 .NET 文化由 ICU/LC_* 决定，报错文本来自资源程序集，zh_CN 下很可能同样本地化。值得在装 pwsh 的 zh_CN 环境 smoke 一次确认影响面；你已正确标注未实测。
• seatbelt（macOS） 的拒绝消息来自内核/sandbox-exec，不经 gettext，不受 locale 影响——此 bug 是 glibc gettext 工具链（bash/coreutils 在 bwrap/landlock 后端下）的 Linux 专属面，但 LC_ALL=C 修复对非英文 locale 的 macOS 用户同样带来确定性收益。
• 安全歧义部分同意：denied 丢失让 agent 无法区分"策略拒绝"与"命令自身失败"。补一个观察——runnerFailed 与 denied 目前是排他关系（denied: !runnerFailed && matchesSignature(...)），本次 bug 让"被拒"整类滑进"普通失败"，恰好是这条排他链上最危险的失效模式：宁可误报 runner 失败也不该把策略拒绝漏成普通失败。

[qnet-d]

补丁完成(含单测,已在当前 master d347e70390 上验证通过)。 因本仓库不接受外部 PR(仓库内 Pull Requests 数为 0、外部账号为 READ 权限),按项目惯例将可直接应用的补丁贴在此处;完整实现也推到了 fork 分支 qnet-d/deepseek-harness@fix/bash-locale-c-diagnostics,如需由维护者转成内部 PR 可直接拉取。

验证:原生 zh_CN 下 A/B——去掉 LC_ALL: C 该行时,bash-sandbox sandbox.spec 的只读目录 denial 测试报 denied:false(漏判)失败;加上后 114 个测试(含 bash-local)全绿,denied:true。回归测试为宿主无关的机制级断言。

补丁(diff 基于当前 master):

diff --git a/packages/shell/bash-local/src/index.ts b/packages/shell/bash-local/src/index.ts
index 064f124a00..833050e2fd 100644
--- a/packages/shell/bash-local/src/index.ts
+++ b/packages/shell/bash-local/src/index.ts
@@ -18,13 +18,20 @@ import type {} from '@deepseek-ai/dsh-settings'
 import { clampTimeout, deadline, MAX_TIMER_DELAY_MS, timeoutOf } from '@deepseek-ai/dsh-timeout'
 
 /**
- * Model-friendly environment overrides: disable colors, pagers, and
- * interactive terminal features that would garble tool output (the same set
- * Codex hardcodes; Claude Code achieves it via TERM=dumb). Bash-tool policy —
- * merged first into the spawn's explicit env, so a trusted caller's own entry
- * still wins; the subprocess service applies its credential scrub independently.
+ * Model-friendly environment overrides: disable colors, pagers, message
+ * localization, and interactive terminal features that would garble tool
+ * output or its diagnostics (the same set Codex hardcodes; Claude Code
+ * achieves it via TERM=dumb). `LC_ALL` takes glibc's top precedence (above
+ * `LANGUAGE`/`LANG`), so GNU tool error text stays the canonical English that
+ * the sandbox's denial classifier matches (`DENIAL_SIGNATURES` in sandbox-local
+ * are English substrings of the shell's stderr) instead of a host-locale
+ * translation that would silently under-report a denial as an ordinary
+ * failure. Bash-tool policy — merged first into the spawn's explicit env, so a
+ * trusted caller's own entry still wins; the subprocess service applies its
+ * credential scrub independently.
  */
 export const ENV_OVERRIDES = {
+  LC_ALL: 'C',
   NO_COLOR: '1',
   TERM: 'dumb',
   PAGER: 'cat',
diff --git a/packages/shell/bash-local/tests/executor.spec.ts b/packages/shell/bash-local/tests/executor.spec.ts
index 0f5b7992f3..89389e1ed6 100644
--- a/packages/shell/bash-local/tests/executor.spec.ts
+++ b/packages/shell/bash-local/tests/executor.spec.ts
@@ -160,6 +160,27 @@ describe('LocalBashExecutor.run', () => {
     expect('env' in spec).toBe(false)
     expect('dshEnv' in spec).toBe(false)
   })
+
+  it('forces the child message locale to C even under a caller-supplied non-English locale', async () => {
+    // Hosts that default to a non-English system locale (UOS / Deepin in
+    // zh_CN, for one) make GNU tools report localized errors like `权限不够`
+    // / `只读文件系统`. The bash sandbox's denial classifier matches canonical
+    // English substrings of that stderr (`DENIAL_SIGNATURES`), so a localized
+    // message would silently under-report a sandbox denial as an ordinary
+    // failure. `LC_ALL` takes glibc's top precedence, so the fixed override
+    // keeps diagnostics English even when a caller or the parent still carries
+    // `LANG`/`LANGUAGE` — which stay forwarded for every non-message category.
+    // This pins that mechanism on any host, without needing a translated
+    // toolchain: the child's own view of its environment must show LC_ALL=C
+    // enforced while the caller-supplied LANG/LANGUAGE survive.
+    const { bash } = await setup()
+    const result = await bash.run(bash.resolve({
+      command: 'printf "%s|%s|%s" "$LC_ALL" "$LANG" "$LANGUAGE"',
+      env: { LANG: 'zh_CN.UTF-8', LANGUAGE: 'zh_CN' },
+    }))
+    expect(result.exitCode).toBe(0)
+    expect(result.stdout.text).toBe('C|zh_CN.UTF-8|zh_CN')
+  })
 })
 
 describe('LocalBashExecutor.start (background process handles)', () => {