当前为 danger-full-access 时，编辑工具错误请求 workspace-write 并阻止文件写入

[Aliuyanfeng]

Sandbox incorrectly rejects workspace-write request under danger-full-access

问题描述

当当前会话已经使用 danger-full-access sandbox 权限时，编辑工具仍然尝试申请 workspace-write 权限，导致 DSH 报错并拒绝执行文件写入。

错误信息：

Error: sandbox escalation to "workspace-write" is not strictly wider than this call's current "danger-full-access" mode

OS: Windows amd64
Node.js: v24.18.1
DSH: 0.1.2-alpha.5
Shell: PowerShell

初步分析

问题可能出现在 sandbox 权限比较或工具权限继承逻辑中。

当前逻辑似乎将工具声明的权限都当成“权限升级请求”处理，没有正确判断权限之间的包含关系：

danger-full-access
    >
workspace-write

从 danger-full-access 请求 workspace-write 并不是权限升级，而是请求一个更窄的权限范围。

错误信息中的：

not strictly wider

也说明系统拒绝了当前请求，但该请求本质上不应该被当作 escalation 处理。

[argszero]

确认是真 bug，而且 master（d347e70390）上仍在——这是同一缺陷族的第 9 份报告，机制已定位，修复形状也已有参考实现。

源级确认（当前源码未变）：

• packages/sandbox/sandbox/src/escalation.ts:28 WIDER_MODES 没有 danger-full-access 键（表里只有 read-only → [workspace-write, danger-full-access] 和 workspace-write → [danger-full-access]——full access 之上没有更宽模式，这是有意的：full access 已是天花板）；
• escalation.ts:162 approveEscalation 对"请求模式不在 WIDER_MODES[effectiveMode] 里"一律抛 not strictly wider——它不知道"相等/更窄"在已经持有更宽 standing mode 时是无需升级的已覆盖请求；
• 触发链：packages/fs/tool-fs/src/sandbox.ts resolvePolicy 只要模型显式传了 sandbox_permissions（即使当前 standing 是 danger-full-access）就把请求交给 approveEscalation → 抛错。tool-bash/tool-pwsh 同构（bash:221、pwsh:229 附近）。

语义：在 danger-full-access 下请求 workspace-write 是收窄不是升级——操作完全落在已授权范围内，既不需要人类确认，也不该报错。正确行为 = same-or-narrower 短路：requestedMode 不严格宽于 effectiveMode 时直接按 standing policy（或按请求收窄后的 policy）执行，跳过 approveEscalation。

家族映射：这是 #3519/#4359/#4383/#4412/#5570/#5588/#5611/#5847 的重复（"sandbox_permissions 等值/更窄声明"族）；#5847（Armourwind）已带完整补丁形状 = validateEscalationArgs + effectiveMode 短路 + 工具层先解 policy（normalizeEscalationMode 类修复在 master 尚未合并）——你的修复方向与之一致。该族还包含 approval=never 三路死锁变体（validation 先于 mode 可知 → 修须在工具层）。

workaround（合入前）：danger-full-access 会话里不要传 sandbox_permissions——standing 模式已涵盖一切，工具 schema 的 escalation 字段只是给受限模式下的重试用的；若确实想要更窄行为，改用 workspace-write preset 启动会话。修复落点 = fs/bash/pwsh 三个工具层的 policy 解析处加同/窄短路（各 3-5 行），配套回归测试（同模式幂等 + 更窄请求不弹窗不报错）。

（中文版如上；这是安全语义 bug——报错本身无害，但它会诱导模型在 full-access 下反复重试/误判权限状态，建议按家族修复形状尽早合。）