DSH Desktop (Windows)：workspace-write 模式下 pwsh 工具完全不可用

[ygznb1]

DSH Desktop (Windows)：workspace-write 模式下 pwsh 工具完全不可用

受限令牌 + Electron 托管 runner 的组合，使被沙箱化的控制台子进程在 DLL 初始化阶段直接死亡
（0xC0000142 / STATUS_DLL_INIT_FAILED），宿主日志无任何记录。

• 报告类型：缺陷（Defect）
• 严重程度：高 —— 默认文件策略下 agent 无法执行任何 shell 命令
• 平台：Windows x64（DSH Desktop 版）
• 状态：已确定性复现；根因已定位到「runner 宿主进程」与「受限令牌模式」的组合

---

1. 环境

项	值
DSH Desktop	2.0.10（dsh-plugin-desktop）
dsh 内核	0.1.5-rc.2
沙箱后端	@deepseek-ai/dsh-sandbox-windows-acl@0.1.5-rc.2（依赖 koffi ^3.1.0、@deepseek-ai/dsh-win32-process@0.1.5-rc.2）
Electron 内置 Node	v24.18.1（宿主日志头部）
复现脚本所用 Node	v24.21.0
Windows 内部版本号	（请运行 winver 填写，例如 Windows 11 23H2 / 22631.4169）
工作区	<workspace 路径>（非系统盘）
宿主进程权限	管理员（whoami = <machine>\<user>，IsInRole(Administrators) = True）。已用同样提权的对照排除此项（见 §4 第 5、6 组）
PowerShell 7	未安装 → pwshPath 回退到 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe（5.1）
会话文件策略	workspace-write（出厂默认）
profile	桌面版默认 profile，cordis.patch.yml 无任何 pwsh/permission 相关改动

---

2. 现象

文件策略为 workspace-write 时，pwsh 工具的每一次调用都返回：

(no output)
[exit code: 3221225794]

• 3221225794 = 0xC0000142 = STATUS_DLL_INIT_FAILED：进程在 DLL 初始化阶段就退出，命令一行都没执行。
• 连 echo hello 这种最简命令也一样。
• 宿主机日志零记录：对 %APPDATA%\DSH Desktop\logs 全量检索 windows-acl-run、0xC0000142、STATUS_DLL 无任何命中。runner 只是把子进程的退出码原样回传（runner.js 的 return (await sandbox.spawn(...).wait()).exitCode），子进程崩溃不产生 stderr、不产生日志 —— 诊断信息完全缺失，这是本缺陷可观测性上的第二个问题。

切到 danger-full-access 后同一条命令立刻正常（实测两次），证明问题只出在沙箱化路径。

---

3. 最小复现

脚本只读取安装目录、只需要一个已存在的临时目录，不修改任何 profile / 配置 / ACL 之外的持久状态（standalone 模式下临时授权会在退出时撤销）。

保存为 repro-acl-electron-pwsh.js，执行：node repro-acl-electron-pwsh.js <一个已存在的临时目录> [工作区目录]

// repro-acl-electron-pwsh.js
// 复现：同一 ACL 受限令牌 runner，用 node 与 Electron 两种宿主启动，各跑 read-only / workspace-write。
const { spawnSync } = require("node:child_process");
const fs = require("node:fs");
const path = require("node:path");

const APP    = "C:\\path\\to\\DSH Desktop\\resources\\app";       // 按实际安装路径修改
const EXE    = "C:\\path\\to\\DSH Desktop\\DSH Desktop.exe";     // 同上
const TRAMP  = path.join(APP, "lib", "windows-acl-runner.js");    // 桌面版 Node 模式 trampoline
const RUNNER = path.join(APP, "node_modules", "@deepseek-ai",
                 "dsh-sandbox-windows-acl", "lib", "runner.js");
const WS  = process.argv[3] || process.cwd();   // 工作区（须存在）
const TMP = process.argv[2];                    // 临时根目录（须存在，且不在工作区内）

// 用 runner 自己的导出计算 capability SID，复刻宿主 seam-managed 调用形态
const MOD = "file:///" + path.join(APP, "node_modules", "@deepseek-ai",
              "dsh-sandbox-windows-acl", "lib", "types-DuU3lSVe.js").replace(/\\/g, "/");

function show(label, r) {
  const code = r.status === null ? "null" : `${r.status} (0x${(r.status >>> 0).toString(16)})`;
  console.log(`${label}: status=${code} signal=${r.signal}`);
}

async function main() {
  const mod = await import(MOD);
  const writeSid = mod.r(WS);      // workspaceWriteSid(workspace)
  const tempSid  = mod.n(TMP);     // tempWriteSid(temp)

  const shell = ["--", "powershell.exe", "-NoLogo", "-NoProfile", "-NonInteractive",
                 "-Command", "echo OK"];
  const base  = ["--workspace", WS, "--temp", TMP];

  const cases = [
    ["node     standalone  read-only            ", process.execPath, false,
      [...base, "--mode", "read-only"]],
    ["node     standalone  workspace-write      ", process.execPath, false,
      [...base, "--mode", "workspace-write"]],
    ["node     seam-managed workspace-write     ", process.execPath, false,
      [...base, "--mode", "workspace-write", "--write-sid", writeSid, "--temp-write-sid", tempSid]],
    ["electron standalone  read-only            ", EXE, true,
      [...base, "--mode", "read-only"]],
    ["electron standalone  workspace-write      ", EXE, true,
      [...base, "--mode", "workspace-write"]],
    ["electron seam-managed workspace-write     ", EXE, true,
      [...base, "--mode", "workspace-write", "--write-sid", writeSid, "--temp-write-sid", tempSid]],
  ];

  for (const [label, exe, electron, runnerArgs] of cases) {
    const args = [TRAMP, RUNNER, ...runnerArgs, ...shell];
    const env  = electron ? { ...process.env, ELECTRON_RUN_AS_NODE: "1" } : process.env;
    console.log("--- " + label.trim());
    show("    ", spawnSync(exe, args, { stdio: "inherit", env }));
  }
}
main();

---

4. 实测结果

#	runner 宿主	沙箱模式	seam-managed	结果
1	node	read-only	否	✅ 0
2	node	workspace-write	否	✅ 0
3	node	workspace-write	是	✅ 0
4	Electron（DSH Desktop.exe）	read-only	否	✅ 0
5	Electron	workspace-write	否	❌ 0xC0000142
6	Electron	workspace-write	是	❌ 0xC0000142

对照结论（全部为同机、同账户、同提权状态，唯一变量是宿主与模式）：

• 同一份 runner、同一个受限令牌构造代码，换成 node 启动就全部正常 → 不是沙箱实现逻辑本身坏了；
• Electron 宿主下 read-only 正常 → 不是「Electron 不能跑受限子进程」这么笼统；
• 失败只出现在 Electron × workspace-write 这一组合，且与控制台无关（read-only 同样无控制台却正常）。

---

5. 分析（已确认 / 推断分开标注）

已确认

1. 桌面版把 runner 的启动方式换成了 Electron 自身（resources/app/lib/windows-pwsh-sandbox.js:33-76）：
   argv 变成 [process.execPath, windows-acl-runner.js, upstreamRunner, ...]，并注入
   ELECTRON_RUN_AS_NODE=1。

2. read-only 与 workspace-write 的差别只在受限令牌的可写 capability（lib/types-DuU3lSVe.js）：

   • restricting list：read-only = [logonSid, EVERYONE]；
     workspace-write = [logonSid, EVERYONE, workspaceSid, tempSid]；
   • 默认 DACL 授权：setTokenDefaultDaclGrant(token, tempWriteSidPtr ?? writeSidPtr ?? worldSid)
     —— 于是 workspace-write 把 capability SID（S-1-4-…） 写进令牌默认 DACL，而 read-only 写的是 EVERYONE。

3. 该文件自身的注释已经记录过同类失败（0xC0000142、以及 CREATE_NO_WINDOW/CREATE_NEW_CONSOLE 的边界），说明这是已知的脆弱面，但本报告的组合不在既有注释覆盖范围内（子进程以继承方式 spawn，且 node 宿主完全正常）。

4. 基线故障在宿主日志中完全无记录（见 §2），runner.js 只回传子进程退出码。

推断（待维护者确认）

Electron 主进程的令牌（完整性级别 / 特权集 / 所属 JOB 对象 / 默认 DACL）与 node 存在差异；当受限令牌的默认 DACL 被替换为 capability SID 时，Electron 宿主下的控制台子系统子进程无法完成 DLL 初始化，而 node 宿主下可以。read-only 之所以正常，可能正是因为它沿用了 EVERYONE 这一"人人都能访问"的默认 DACL。

建议的排查/修复方向

1. 对比 node.exe 与 DSH Desktop.exe 作为 runner 宿主时的进程令牌差异（TokenDefaultDacl/TokenIntegrityLevel/受限 SID 集/JOB 归属），定位 workspace-write 下子进程 DLL init 失败的确切 API 失败点；
2. 是否可为 runner 选择宿主：在 Electron 环境下优先用一个真正的 Node 可执行文件启动 runner，或在能力探测失败时降级/回退；
3. 补齐可观测性：runner 侧在子进程异常退出（尤其 0xC0000142）时输出诊断（例如 windows-acl-run: child died before init, mode=…, sid=…），并入 RUNNER_FAILURE_RULES；
4. 文档层面明确：Windows 默认组合下 workspace-write 目前不可用，唯一可用的临时手段是 danger-full-access。

---

6. 同一次调查中发现的两个关联问题（附证据，供参考）

6.1 非沙箱执行器无法替换（组合硬门槛）

@deepseek-ai/dsh-permission-presets/lib/index.js:109：

if (ctx.shell.sandboxMode === void 0) throw new Error(
  "permission: the mounted bash executor does not confine (no sandboxMode) — " +
  "presets bundle a sandbox mode, so composing this plugin over an unconfined executor is a misconfiguration");

把一个不设沙箱的执行器（如 @deepseek-ai/dsh-pwsh-local）挂成 ctx.shell 时，整棵插件树加载失败、DSH 无法启动（实测报错原文见 §7）。这意味着：

• 用户无法用「非沙箱 shell + 保留 sandbox-policy/fs-sandbox 文件边界」这种组合绕过本缺陷；
• 若同时挂两个执行器，还会得到 service "shell" has been registered at <PwshLocalExecutor>（见 §7）。

建议：允许无 confined executor 时伴随 sandbox-policy 一起降级（或给出明确的配置指引），而不是直接 fail 掉整棵插件树。

6.2 Cygwin/MSYS2 系 shell 在受限令牌下无法启动

用社区插件 dsh-gitbash-shell 的机制（继承 @deepseek-ai/dsh-bash-sandbox，仅把内层 argv 换成 bash.exe -c）实测 Git for Windows 的 bash.exe（<Git 安装目录>\bin\bash.exe）：

runner 宿主	模式	结果
Electron	workspace-write	❌ 0xC0000142
Electron	read-only	❌ 0xC0000142
node	workspace-write	❌ 0xC0000142

bash 自身给出的根因：

cygheap_user::init: NtSetInformationToken (TokenDefaultDacl), 0xC0000022
*** fatal error - couldn't create signal pipe, Win32 error 5

0xC0000022 = STATUS_ACCESS_DENIED。Cygwin 初始化时需要写自己进程令牌的默认 DACL并创建 signal pipe，WRITE_RESTRICTED 令牌直接拒绝 —— 注意这里 read-only 也失败、换 node 宿主也失败，说明它与 §5 的 Electron 组合问题是两个独立的失败。

结论：在当前令牌方案下，dsh-bash-sandbox 家族在 Windows 上不可能工作。若官方希望支持 Git Bash / MSYS2 工具链（该社区插件方向），这是必须先解决的前置问题。

---

7. 附：本次调查中产生过的宿主日志证据

%APPDATA%\DSH Desktop\logs\host\*.log（均为尝试"替换执行器"期间的组合错误，不是基线缺陷的日志）：

[E] [permission-preset-service] Error: permission: the mounted bash executor does not confine
    (no sandboxMode) — presets bundle a sandbox mode, so composing this plugin over an
    unconfined executor is a misconfiguration
    at new PermissionPresetService (.../dsh-permission-presets/lib/index.js:109:47)

[E] [desktop-windows-pwsh-sandbox] Error: service "shell" has been registered at <PwshLocalExecutor>
    at new PwshLocalExecutor (.../dsh-pwsh-local/lib/index.js:223:3)
    at new SandboxPwshExecutor (.../dsh-pwsh-sandbox/lib/index.js:133:3)
    at new DesktopWindowsPwshSandbox (.../app/lib/windows-pwsh-sandbox.js:58:3)

（§4 表格所依据的复现脚本运行时，宿主日志没有新增任何条目。）

---

8. 影响与临时绕行

影响面	Windows 桌面版默认配置（workspace-write）下，pwsh 工具 100% 不可用 → agent 无法运行任何 shell 命令（构建、测试、git 等全部不可用）
临时绕行	权限预设切到 danger-full-access（/permission danger-full-access 或界面权限选择器）。实测可用，但会同时放弃 shell 与文件工具的工作区写入边界
不可行的绕行	① 换非沙箱执行器（被 §6.1 的门槛拦住）；② 换 Git Bash 执行器（被 §6.2 拦住）