Sandbox (workspace-write) broken after update: SetNamedSecurityInfoW failed (Win32 5) - grantWrite now requires WRITE_OWNER on workspace root

[2DogsLee]

Bug report: workspace-write sandbox fails with SetNamedSecurityInfoW failed (Win32 5) after update (grantWrite requires WRITE_OWNER)

环境（脱敏）

• OS: Windows 11（本地桌面版 DSH）
• 受影响版本：本次 dsh-runtime 更新后引入（更新前同一环境、同一工作区正常）
• 沙箱策略：workspace-write，审批 ask
• 工作区：D:\<workspace>（NTFS，根目录继承自盘根的 Authenticated Users: Modify 级 ACE，无用户 FullControl 显式 ACE）

症状

更新后，workspace-write 模式下任何命令都在沙箱授权阶段失败，命令体从未执行：

Error: SetNamedSecurityInfoW failed (Win32 5): grantWrite(<workspace>)

Win32 5 = ERROR_ACCESS_DENIED。切换权限预设到 danger-full-access 后立即恢复正常（跳过授权环节），可佐证故障点在沙箱运行器的 ACL 授权一步。

根因分析

本次更新后，@deepseek-ai/dsh-sandbox-windows-acl 的 grantWrite 从「仅写 DACL」（SECURITY_INFORMATION = 4）变为「DACL + Low 强制完整性标签一次写入」（= 20，同一次 SetNamedSecurityInfoW 同时补 world SID 的 FILE_DELETE_CHILD deny 与 Low label）。写 SACL/label 要求调用方持有 WRITE_OWNER，而 owner 隐式权利只有 READ_CONTROL + WRITE_DAC（模块源码注释亦写明："The directory must be owned by the caller AND grant WRITE_OWNER … a Full-control workspace satisfies both"）。

常见的工作区目录（用户自建、仅继承 Authenticated Users: Modify）恰好不满足该前提 → SetNamedSecurityInfoW 返回 Win32 5，且发生在授权阶段，导致该工作区内所有命令不可用。旧版仅写 DACL（owner 隐式有 WRITE_DAC），因此更新前无感。

叠加的第二层问题（同一报错的另一种触发路径）

工作区内若存在管理员权限进程创建的子目录（owner = BUILTIN\Administrators，且 DACL/SACL 保护位打开、脱离继承），它拿不到工作区能力 SID（S-1-4-*）的继承 ACE，也没有 Low label。此时 grantWrite 已正常通过，但受限令牌（WRITE_RESTRICTED 双通道检查 + 完整性检查）写该子目录时得到 EPERM，GUI 报 [sandbox: file access denied under workspace-write mode]——与第一层报错文本不同，但用户同样难以自行定位。

复现步骤

1. 工作区目录仅有继承的 Authenticated Users: Modify 级权限（无用户显式 FullControl / 无 WRITE_OWNER）。
2. 以 workspace-write 预设运行任意命令。
3. 得到 SetNamedSecurityInfoW failed (Win32 5): grantWrite(<workspace>)。

有效权限可用 Get-Acl/AccessCheck 验证：owner 为当前用户、WRITE_DAC=true、WRITE_OWNER=false。

当前 workaround

1. 给工作区根补当前用户显式 FullControl ACE（满足 owner + WRITE_OWNER 前提），例如管理员或 owner 身份执行一次授予权限的操作后即恢复。
2. 对 owner=Administrators、保护位打开的历史子目录，需管理员 PowerShell 一次性修复：

   takeown /F '<受影响子目录>' /R /D Y
   icacls '<受影响子目录>' /reset /T /C
   icacls '<受影响子目录>' /setintegritylevel '(OI)(CI)Low'   # 注意 PowerShell 中需引号

3. 临时绕过：会话切到 danger-full-access（仅建议用于确认根因，不建议长期使用）。

改进建议（对 dsh-runtime）

1. 错误可诊断性：grantWrite 在应用前 AccessCheck 检测 WRITE_OWNER 缺失时，抛出携带明确修复指引的错误（如「工作区目录需当前用户 FullControl；见 XXX 文档」），而不是裸抛 Win32 5。当前错误文本无法与权限修复路径关联，用户（和 agent）只能全靠排查。
2. 授权前自检/自动补救：provision 时若发现工作区根缺 WRITE_OWNER，可提示或引导一次修复（或文档化「工作区根需 Full Control」为硬性要求）。
3. 工作区内孤立目录检测：首次授权后对工作区做一次轻量扫描，对 owner 非 workspace 用户或 DACL/SACL 保护位打开的子目录给出告警（这类目录在受限令牌下必然 EPERM）。
4. 文档：更新日志/README 明确两点新前提——① 工作区根目录必须授予当前用户 FullControl；② 工作区内不应存在管理员创建、脱离 ACL 继承的子目录。另外 icacls /setintegritylevel (OI)(CI)Low 在 PowerShell 中必须给参数加引号，值得写进排查文档。

附：与另一已知故障的区分

dsh 文档已记录过另一类「pwsh 空输出、退出码恒 0、无副作用」的 win32 运行器故障（切 danger-full-access 可恢复）。本次故障同样可通过切预设缓解，但报错文本（SetNamedSecurityInfoW failed (Win32 5): grantWrite(...)）不同、根因不同，建议归档为独立 issue。