[Bug Report] Windows ACL 沙箱：工作区被打上「可继承的 Low 完整性标签」→ 目录内所有 .lnk 变白图标；非预期目录亦会被静默改写 ACL

[caliburzero]

[Bug Report] Windows ACL 沙箱：工作区被打上「可继承的 Low 完整性标签」→ 目录内所有 .lnk 变白图标；非预期目录亦会被静默改写 ACL

本报告由一次 DSH 会话在排查本机「桌面快捷方式全部变白」事故的过程中产出并整理
（实验设计、量测、因果验证与结论）。以下数据均为本机实测；附件脚本可在任意 Windows 11 机器上独立复现。

English TL;DR — grantWrite writes the Low mandatory-integrity label with (OI)(CI) inheritance,
so every descendant of the workspace (including pre-existing files) is lowered to Low.
Windows' shell refuses to resolve the shortcut icon of a Low-integrity .lnk, so every shortcut in the
workspace renders as the generic white icon (SHGetFileInfo → iIcon=0).
Reverting the label to Medium on that file restores the icon immediately.
Also: when the workspace root resolves to an unintended directory (config.workspaceRoot ?? process.cwd()),
that directory and its whole subtree get the same standing ACL mutation silently.

---

一、环境

项	值
OS	Windows 11 26H2，build 26300.9457
Node	v24.19.0
DSH	0.2.0-rc.2（npm 包 @deepseek-ai/dsh）
沙箱包	@deepseek-ai/dsh-sandbox-windows-acl 0.2.0-rc.2
文件策略	workspace-write（Windows ACL 受限令牌 runner）
工作区位置	非系统盘（D:），目录属主 BUILTIN\Administrators，带 FULL
Shell	PowerShell 5.1.26100.9444

---

二、摘要

AclWriteGrant.grantWrite 在一次 SetNamedSecurityInfoW 调用里对工作区根写入三样东西
（这一点 dsh-acl-sandbox-patch 的 README 也独立描述过）：

1. capability SID（S-1-4-x-y，由工作区路径 sha256 派生）的 Allow ACE；
2. world SID 的 FILE_DELETE_CHILD Deny ACE；
3. Low 完整性强制标签。

问题出在第 3 项——它是可继承的（(OI)(CI)(NW)），并且按设计"急切全树传播"，
于是工作区里每一个既有文件也都被标成 Low。

而 Windows 外壳对带 Low 完整性标签的 .lnk / .pif 会拒绝解析快捷方式图标：

• SHGetFileInfo(..., SHGFI_ICON | SHGFI_SYSICONINDEX) 返回 iIcon = 0（泛型"未知文件"图标）；
• 该图标位图与"通用 .lnk 图标"逐字节相同，连快捷方式里显式写死的 IconLocation 也被忽略；
• 只有 .lnk / .pif 受影响：.txt / .url / .exe / 文件夹即使标 Low 也一切正常。

反向验证：把该 .lnk 的标签改回 Medium，图标立即恢复（iIcon 0 → 50）。

用户可见症状：工作区里所有快捷方式永远显示白图标（双击仍可正常打开）。
更隐蔽的部分：一旦工作区根被解析成非预期目录（本机是 %USERPROFILE%\Desktop），
那个目录及其整个子树会被静默、且按设计永不撤销地改写 ACL —— 见第 5 节。

---

三、复现

复现 A：不涉及 DSH 的最小机制复现（约 10 行，管理员 PowerShell）

# 管理员 PowerShell。造一个带显式图标的快捷方式，外加一个 .txt 对照
$d = Join-Path $env:TEMP 'lowlabel-demo'; New-Item -ItemType Directory -Force $d | Out-Null
$sh = New-Object -ComObject WScript.Shell
$l  = $sh.CreateShortcut("$d\demo.lnk")
$l.TargetPath = 'C:\Windows\System32\notepad.exe'
$l.IconLocation = 'C:\Windows\System32\shell32.dll,137'   # 显式图标，排除"解析失败"
$l.Save()
Set-Content -LiteralPath "$d\control.txt" -Value 'control'

# 只给“文件本身”打 Low 标签（别试图给目录打，见 4.2 坑 1）
icacls "$d\demo.lnk"    /setintegritylevel Low
icacls "$d\control.txt" /setintegritylevel Low

# 用资源管理器打开 %TEMP%\lowlabel-demo 观察：
#     demo.lnk    -> 泛型白图标
#     control.txt -> 图标不受影响
# 复原： icacls "$d\demo.lnk" /setintegritylevel Medium

# 注意：若在同一进程里用 SHGetFileInfo 重量同一个路径，会命中进程内图标缓存（见 4.2 坑 2），
#       请用资源管理器、或新开的进程观察。

正文里这 10 行就够（附件脚本是它的严谨版）。观察时有个前提：别在同一进程里反复量同一个路径——
有两个坑会给出假阴性（见 4.2）。

完整可运行脚本见附件 low-integrity-lnk-icon-repro.ps1：三个变体放在各自的目录里、每个只量一次。
本机（Windows 11 26H2 / build 26300.9457 / PowerShell 5.1）实测输出：

variant                        file          label     iIcon    ink%
--------------------------------------------------------------------------
1-baseline (no label)          demo.lnk      (none)       50    24.1
1-baseline control             control.txt   (none)       51    22.6
2-low (file labeled Low)       demo.lnk      Low           0    17.5   <-- 泛型白图标
2-low control (also Low)       control.txt   Low          51    22.6   <-- 类型免疫
3-restored (Low -> Medium)     demo.lnk      Medium       50    24.1   <-- 改回即恢复
RESULT: reproduced.

复现 B：DSH 侧（工作区里的快捷方式必然白图标）

1. workspace-write 模式下启动 DSH（工作区根被 grantWrite 授权过）；
2. 往工作区里放任意 .lnk（新建或从别处复制进来都行）；
3. icacls <那个.lnk> → Mandatory Label\Low Mandatory Level:(I)(NW)（继承自工作区根）；
4. 图标显示为白图标。

工作区根自身：Mandatory Label\Low Mandatory Level:(OI)(CI)(NW)——
(OI)(CI) 就是传染源。

复现 C：工作区根被解析成非预期目录（本机的实际事故）

1. 把一键启动脚本（dsh web）放成 %USERPROFILE%\Desktop\dsh-start.bat，双击运行；
   Windows 会把 **bat 所在目录（桌面）**设为进程 cwd；
2. profile 未显式配置 workspaceRoot → dsh-sandbox-policy 的
   this.workspaceRoot = resolveWorkspaceRoot(config.workspaceRoot ?? process.cwd())
   取到桌面；
3. 桌面及其全部子孙被写入第 2 节那三样东西 → 桌面上所有快捷方式变白。

这一条有硬证据（不是推测）：桌面上实测到的 capability ACE 是
S-1-4-1039366120-933337351，而

workspaceWriteSid('C:\Users\<user>\Desktop')  ==  S-1-4-1039366120-933337351   ✅ 精确匹配

（派生化简自包内 workspaceWriteSid：sha256(canonicalPath) 前 8 字节按
% (2**30-1) + 1 生成两个 subauthority。工作区路径的 SID 用同一公式复算亦精确匹配。）

---

四、证据

4.1 因果矩阵（9 组对照，全部实测）

No.	目录标签	文件标签	world Deny	capability ACE	.lnk 的 iIcon	结论
1	Low	Low	有	有	0	❌ 白图标
2	Low	Low	无	有	0	❌
3	Low	Low	有	无	0	❌
4	Medium	Medium	有	有	50	✅
5	Medium	Medium	无	无	50	✅
6	Low	无标签	无	无	50	✅
7	无标签	Low	无	无	0	❌
8	无标签	Low（.txt，对照）	无	无	51	✅ 类型不受影响
9	Low	Medium	有	有	50	✅ 改标签即恢复

结论：决定因素是 .lnk 文件自身的完整性标签；world Deny 与 capability ACE 与图标无关。
第 6 行说明"目录带 Low 但文件不带"不会出问题 —— 这正是下面 4.2 那次误判的成因。

4.2 两个会给出假阴性的坑

我们最初也是这样把它排除掉的，原始记录：

2. 打上 Low 完整性标签
   当前标签: Mandatory Label\Low Mandatory Level:(NW)      ← 不可继承！
3. 打上 Low 标签 + (OI)(CI)(NW)（想与坏目录完全一致）
   (OI)(CI)(NW): 参数错误。                                ← icacls 直接拒绝
   当前标签: Mandatory Label\Low Mandatory Level:(NW)
   样本图标: iIcon = 50                                     ← 样本文件从未变成 Low

两点：

• icacls /setintegritylevel Low 写入的是不可继承标签 —— 只标目录、不标文件；
• icacls /setintegritylevel '(OI)(CI)(NW)' 不被接受（报"参数错误"），
  所以照 DSH 的做法写出可继承标签必须走 SetNamedSecurityInfoW + LABEL_SECURITY_INFORMATION。

因此"给目录打 Low 标签后图标没变"不能证明该标签无罪。

坑 2：SHGetFileInfo 在进程内按路径缓存图标。
先量过一个路径（拿到 50）、再改它的标签、然后在同一进程里重量同一路径 —— 仍然返回 50；
换一个新进程量就是 0。本机实测（Windows 11 26H2 / build 26300.9457）：

步骤	iIcon	说明
A.lnk 首次量测（无标签）	50
B.lnk 首次量测（已标 Low，另一路径）	0	复现
B.lnk 用独立进程量测（已标 Low）	0	与进程无关
A.lnk 第二次量测（同进程、同路径、仍无标签）	50
A.lnk 打 Low 后、同进程同路径再量	50	← 被缓存吃掉
A.lnk 打 Low 后、用独立进程量	0	换进程即复现

所以因果验证必须做到"每个变体一个独立路径（或独立进程），且每个路径只量一次"。
坑 1 是我们最初把它误判为无罪的原因，坑 2 是我们写第一版复现脚本时踩到的原因
（同一路径量三遍，结果 "not reproduced"）。

4.3 量测方法

SHGetFileInfo(path, 0, &sfi, sizeof(sfi), SHGFI_ICON | SHGFI_SYSICONINDEX)，
把 HICON 画进 32×32 位图后统计"非透明且非近白"像素占比：

图标	iIcon	着墨率
真实的 shell32.dll,137 图标 + 快捷方式箭头	≥ 50（随目录递增）	24% ~ 88%
泛型 .lnk（= 白图标）	0	17.5%

沙箱内与被降权的进程里量测结果一致；另外用 SYSTEM 身份、经计划任务在沙箱之外量测，
结论相同（排除"只是在受限令牌里看起来白"的可能）。

---

五、影响面与触发条件

5.1 触发条件（同时成立才会中）

No.	条件
1	Windows（Linux/macOS 走 bubblewrap / Landlock / sandbox-exec，不做完整性标签，不可能出现本现象）
2	DSH ≥ 0.1.7-rc.1（引入 dsh-sandbox-windows-acl）；本机 0.2.0-rc.2 仍存在
3	文件策略为 workspace-write（read-only 不授予可写根，danger-full-access 不起沙箱，都走不到 grantWrite）
4	启动 cwd ≠ 目标工作区（放桌面的 bat 双击即满足；桌面快捷方式不设「起始位置」同样落到桌面）
5	部署未显式配置 workspaceRoot（工作区根回退到 process.cwd()）
6	调用者对该目录有写标签的权限（属主是管理员 / DACL 给 FULL）
7	该目录里存在 .lnk / .pif（否则无症状）

注意条件 6 的反转：写 Low 标签需要 WRITE_OWNER。非系统盘上由继承 Modify 建出的目录拿不到它，
于是 SetNamedSecurityInfoW 直接 Win32 5 失败、fail-closed（见上游 #7771 / #7720 / #7804 与
第三方补丁 dsh-acl-sandbox-patch）。也就是说："能成功打上标签"恰恰是出现白图标的前提；
打不上的那批环境报的是 grantWrite 失败，反而躲过了 ACL 被改。

5.2 不止"桌面"，而且看不见的那种更严重

任何被解析为工作区根的目录都会被打上同一套三条改动，并急切传播到全部子孙。
下载夹、项目夹、游戏夹同理。

• 若该目录里有快捷方式 → 症状明显（白图标）；
• 若没有 → 完全无症状，但 ACL 已被改：多一条 capability Allow ACE、一条 world
  FILE_DELETE_CHILD Deny、一条可继承 Low 标签，且按 README 的表述"standing …
  the reuse cache, never revoked"——永久驻留，icacls 也清理不掉（ERROR_NONE_MAPPED 1332）。

对用户而言这是"一句话没问就把一个目录的权限改成了沙箱可写根"，
而且这个目录可能根本不该被交给沙箱（本机就是用户的桌面）。

---

六、建议

1. 不要让工作区根回退到 process.cwd()。 至少在解析出的根位于
   %USERPROFILE% 根、Desktop、Downloads、Documents 根等敏感位置时，
   拒绝授权并给出一条明确错误（现在这种情形是完全静默的）。
2. 不要把 .lnk / .pif 降为 Low（或对这类文件改用别的授权方式）。
   Windows 外壳把对象的完整性当作"这个快捷方式是否可信"的输入，因此这条标签会直接把图标打回泛型；
   而这三个文件类型恰好是外壳要解释的类型。若出于写权限必须标，建议至少跳过这两类扩展名并
   在文档里说明取舍。
3. 把"Low 标签会传染给全部既有子孙、且会让 .lnk 失去图标"写进
   sandbox-windows-acl README 的已知代价。目前 README 只在"常驻改动"里提到 ACE/拒绝项/标签，
   没有提继承语义与这个可观测后果。顺带把 4.2 那个 icacls 假阴性也写进排查指引。
4. 若"急切全树传播"可优化：至少在改动前输出将被改写的路径清单（或提供 dry-run），
   让用户有机会发现"工作区根取错了"。
5. 与 [Bug/UX] Windows：工作区目录所有者为 BUILTIN\Administrators 时，workspace-write 下所有命令直接失败（grantWrite / SetNamedSecurityInfoW Win32 5） #7771 / [Bug Report] Windows: workspace ACL with Modify-only (no WRITE_OWNER) makes the ACL sandbox fail at init, disabling all shell tools #7720 / [Bug] Windows：工作区位于非系统盘时 ACL 沙箱必然初始化失败（Win32 5 / grantWrite）/ ACL sandbox fails on non-system drives: the default ACL grants the caller no WRITE_OWNER #7804 联合看：grantWrite 无法写标签时 fail-closed，
   与"标签继承语义"是同一处代码的两面，建议一并设计（例如标签写失败时是否也跳过降 Low）。

---

七、相关

• 设计注记 https://github.com/deepseek-ai/deepseek-harness/blob/141eb6fe/.agents/notes/implemented/feature/2026-08-08-windows-acl-restricted-token-sandbox.md
• packages/sandbox/sandbox-windows-acl/README.zh.md（"…并在同一次 SetNamedSecurityInfoW 调用中把该目录标记为 Low"）
• 非系统盘 grantWrite 失败：#7771 / #7720 / #7804，及第三方补丁 https://github.com/masknull/dsh-acl-sandbox-patch
• 子目录拿不到 capability ACE：#423
• 工作区改名后失效 cwd：#4953
• Windows 沙箱 5 条 bug（含 0xC0000142 的成因讨论）：#758

可能的关联：#758 的评论把桌面端 0xC0000142 归因于"工作区派生的 SID 进入 restricting 列表"，
而设计注记说 logon SID + Everyone 是保命项、缺了才会 0xC0000142。
两种说法我们未能统一，也未在本机复现验证；但两者都与"工作区根 / 沙箱令牌"这一处有关，附此供参考。

---

八、附：完整复现脚本

§三 的 10 行版已足够说明问题；下面是带 idx 量测、前后对照表与自动清理的完整版。

GitHub 附件不支持 .ps1 扩展名（白名单里没有），所以这里直接内联。
复制下面这段、存成 low-integrity-lnk-icon-repro.ps1，用管理员 PowerShell 运行即可（输出全英文）。
若想以文件形式保存，改名为 *.ps1.txt 或打包成 .zip 也能上传。

点开：low-integrity-lnk-icon-repro.ps1（完整脚本，约 200 行）

#Requires -Version 5.1
<#
  low-integrity-lnk-icon-repro.ps1
  --------------------------------------------------------------------------
  Minimal, DSH-independent reproduction for:

    "A Low mandatory-integrity label on a .lnk file makes Windows' shell
     refuse to resolve the shortcut icon, so the file renders as the generic
     white icon (SHGetFileInfo -> iIcon = 0). Other file types are unaffected."

  Background: the DSH Windows ACL sandbox (grantWrite) labels the workspace root
  with an INHERITABLE Low label ((OI)(CI)(NW)) in the same SetNamedSecurityInfoW
  call that writes the capability ACE and the world FILE_DELETE_CHILD deny.
  Because the label is inheritable, every pre-existing file inside the workspace -
  shortcuts included - becomes Low and loses its icon.

  This script creates three IDENTICAL shortcut variants in three separate folders:
      1-baseline\  : no label                 -> expect a real icon (iIcon >= 50)
      2-low\       : files labeled Low        -> expect the generic icon (iIcon = 0)
      3-restored\  : labeled Low, then Medium -> expect a real icon again
  plus an .txt control in 1-baseline\ and 2-low\, showing only .lnk is affected.

  TWO FALSE-NEGATIVE TRAPS this script avoids on purpose
  ------------------------------------------------------
  (1) `icacls /setintegritylevel Low` writes a NON-inheritable label, and the
      inheritable spelling `(OI)(CI)(NW)` is rejected by icacls ("parameter is
      incorrect"). Labelling only a DIRECTORY therefore leaves the sample file
      untouched and the test "proves" the label is innocent. DSH writes the
      inheritable form via SetNamedSecurityInfoW(..., LABEL_SECURITY_INFORMATION).
      => here the label is applied to the FILE itself.
  (2) SHGetFileInfo caches per path inside the process: once a path has been
      measured, measuring the SAME path again after changing its label still
      returns the cached index. Verified on Windows 11 26H2: the same path
      re-measured in the same process after being labeled Low still reported
      iIcon 50, while the same file measured from a fresh process reported 0.
      => here every variant lives at its OWN path and is measured exactly ONCE.

  Requires Administrator (writing an integrity label needs SeSecurityPrivilege).
  Output is English so it can be pasted into a bug report.
#>

$ErrorActionPreference = 'Stop'

# ---------- elevation ----------
$principal = New-Object System.Security.Principal.WindowsPrincipal([System.Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $principal.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Write-Host 'This script needs Administrator rights (writing an integrity label).' -ForegroundColor Red
    exit 1
}

# ---------- SHGetFileInfo ----------
Add-Type -AssemblyName System.Drawing
$cs = @"
using System;
using System.Runtime.InteropServices;
public static class LowLabelIconProbe {
  [StructLayout(LayoutKind.Sequential, CharSet=CharSet.Unicode)]
  public struct SHFILEINFO {
    public IntPtr hIcon;
    public int    iIcon;
    public uint   dwAttributes;
    [MarshalAs(UnmanagedType.ByValTStr, SizeConst=260)] public string szDisplayName;
    [MarshalAs(UnmanagedType.ByValTStr, SizeConst=80)]  public string szTypeName;
  }
  [DllImport("shell32.dll", CharSet=CharSet.Unicode, SetLastError=true)]
  public static extern IntPtr SHGetFileInfo(string pszPath, uint dwFileAttributes, ref SHFILEINFO psfi, uint cbFileInfo, uint uFlags);
  [DllImport("user32.dll", SetLastError=true)]
  public static extern bool DestroyIcon(IntPtr hIcon);
}
"@
if (-not ('LowLabelIconProbe' -as [type])) { Add-Type -TypeDefinition $cs }

function Measure-Icon {
    param([string]$Path)
    $sfi = New-Object 'LowLabelIconProbe+SHFILEINFO'
    $null = [LowLabelIconProbe]::SHGetFileInfo($Path, [uint32]0, [ref]$sfi, [uint32]696, [uint32](0x100 -bor 0x4000))
    $idx = $sfi.iIcon
    $ink = -1
    if ($sfi.hIcon -ne [IntPtr]::Zero) {
        $bmp = New-Object -TypeName System.Drawing.Bitmap -ArgumentList @(32,32)
        $g   = [System.Drawing.Graphics]::FromImage($bmp)
        $g.Clear([System.Drawing.Color]::FromArgb(0,0,0,0))
        $ico = [System.Drawing.Icon]::FromHandle($sfi.hIcon)
        $g.DrawIcon($ico, (New-Object -TypeName System.Drawing.Rectangle -ArgumentList @(0,0,32,32)))
        $g.Dispose()
        $n = 0
        for ($y = 0; $y -lt 32; $y++) {
            for ($x = 0; $x -lt 32; $x++) {
                $c = $bmp.GetPixel($x, $y)
                if ($c.A -gt 8 -and -not ($c.R -ge 240 -and $c.G -ge 240 -and $c.B -ge 240)) { $n++ }
            }
        }
        $ink = [math]::Round(100.0 * $n / 1024.0, 1)
        $bmp.Dispose()
        $null = [LowLabelIconProbe]::DestroyIcon($sfi.hIcon)
    }
    return [pscustomobject]@{ Idx = $idx; Ink = $ink }
}

function Get-IntegrityLabel {
    param([string]$Path)
    $t = ((icacls $Path) 2>&1 | Out-String)
    if ($t -match 'Low Mandatory Level')    { return 'Low' }
    if ($t -match 'Medium Mandatory Level') { return 'Medium' }
    if ($t -match 'High Mandatory Level')   { return 'High' }
    return '(none)'
}

function New-TestShortcut {
    param([string]$Path)
    $sh = New-Object -ComObject WScript.Shell
    $l  = $sh.CreateShortcut($Path)
    $l.TargetPath   = 'C:\Windows\System32\notepad.exe'
    $l.IconLocation = 'C:\Windows\System32\shell32.dll,137'   # explicit icon => rules out "resolution failed"
    $l.Save()
}

# ---------- build the variants ----------
$base = Join-Path $env:TEMP 'lowlabel-icon-repro'
if (Test-Path -LiteralPath $base) { Remove-Item -LiteralPath $base -Recurse -Force }

$b = Join-Path $base '1-baseline'
$w = Join-Path $base '2-low'
$r = Join-Path $base '3-restored'
foreach ($s in @($b, $w, $r)) { $null = New-Item -ItemType Directory -Path $s -Force }

New-TestShortcut (Join-Path $b 'demo.lnk')
Set-Content -LiteralPath (Join-Path $b 'control.txt') -Value 'control' -Encoding ASCII

Copy-Item -LiteralPath (Join-Path $b 'demo.lnk') -Destination (Join-Path $w 'demo.lnk') -Force
Set-Content -LiteralPath (Join-Path $w 'control.txt') -Value 'control' -Encoding ASCII

Copy-Item -LiteralPath (Join-Path $b 'demo.lnk') -Destination (Join-Path $r 'demo.lnk') -Force

# 2-low: label the FILES Low
$null = (icacls (Join-Path $w 'demo.lnk')    /setintegritylevel Low) 2>&1
$null = (icacls (Join-Path $w 'control.txt') /setintegritylevel Low) 2>&1

# 3-restored: Low first, then back to Medium
$null = (icacls (Join-Path $r 'demo.lnk') /setintegritylevel Low) 2>&1
$null = (icacls (Join-Path $r 'demo.lnk') /setintegritylevel Medium) 2>&1

# ---------- measure every path exactly once ----------
$targets = @(
    @{ Stage = '1-baseline (no label)';      Path = (Join-Path $b 'demo.lnk') },
    @{ Stage = '1-baseline control';         Path = (Join-Path $b 'control.txt') },
    @{ Stage = '2-low (file labeled Low)';   Path = (Join-Path $w 'demo.lnk') },
    @{ Stage = '2-low control (also Low)';   Path = (Join-Path $w 'control.txt') },
    @{ Stage = '3-restored (Low -> Medium)'; Path = (Join-Path $r 'demo.lnk') }
)

$rows = New-Object System.Collections.ArrayList
foreach ($t in $targets) {
    $m = Measure-Icon $t.Path
    [void]$rows.Add([pscustomobject]@{
        Stage = $t.Stage
        File  = (Split-Path $t.Path -Leaf)
        Label = (Get-IntegrityLabel $t.Path)
        iIcon = $m.Idx
        Ink   = $m.Ink
    })
}

Write-Host ''
Write-Host '=================================================================='
Write-Host ' Low mandatory-integrity label on a .lnk  ->  generic (white) icon'
Write-Host '=================================================================='
Write-Host (' base folder : ' + $base)
Write-Host ''
Write-Host ('{0,-30} {1,-13} {2,-8} {3,6} {4,7}' -f 'variant', 'file', 'label', 'iIcon', 'ink%')
Write-Host ('-' * 74)
foreach ($row in $rows) {
    Write-Host ('{0,-30} {1,-13} {2,-8} {3,6} {4,7}' -f $row.Stage, $row.File, $row.Label, $row.iIcon, $row.Ink)
}
Write-Host ''

$baseLnk = $rows | Where-Object { $_.Stage -eq '1-baseline (no label)' }
$lowLnk  = $rows | Where-Object { $_.Stage -eq '2-low (file labeled Low)' }
$resLnk  = $rows | Where-Object { $_.Stage -eq '3-restored (Low -> Medium)' }
$lowTxt  = $rows | Where-Object { $_.Stage -eq '2-low control (also Low)' }

Write-Host 'VERDICT'
$ok = $true
if ($baseLnk.iIcon -ge 50) { Write-Host ('  [OK] unlabeled .lnk       : iIcon = ' + $baseLnk.iIcon + '  (real icon)') -ForegroundColor Green }
else { Write-Host ('  [??] unlabeled .lnk       : iIcon = ' + $baseLnk.iIcon + '  (unexpected)') -ForegroundColor Yellow; $ok = $false }

if ($lowLnk.iIcon -eq 0) { Write-Host ('  [OK] .lnk labeled Low     : iIcon = ' + $lowLnk.iIcon + '  <-- GENERIC WHITE ICON (reproduced)') -ForegroundColor Green }
else { Write-Host ('  [??] .lnk labeled Low     : iIcon = ' + $lowLnk.iIcon + '  (not reproduced)') -ForegroundColor Yellow; $ok = $false }

if ($resLnk.iIcon -ge 50) { Write-Host ('  [OK] .lnk Low -> Medium   : iIcon = ' + $resLnk.iIcon + '  (icon restored)') -ForegroundColor Green }
else { Write-Host ('  [??] .lnk Low -> Medium   : iIcon = ' + $resLnk.iIcon + '  (unexpected)') -ForegroundColor Yellow; $ok = $false }

Write-Host ('  [ref] .txt labeled Low    : iIcon = ' + $lowTxt.iIcon + '  (other file types keep their icon)')
Write-Host ''
if ($ok) { Write-Host ' RESULT: reproduced.' -ForegroundColor Green }
else     { Write-Host ' RESULT: not reproduced on this machine.' -ForegroundColor Red }

Remove-Item -LiteralPath $base -Recurse -Force -ErrorAction SilentlyContinue
Write-Host (' (temp folder removed: ' + $base + ')')
Write-Host ''

脚本头部注释写清了 4.2 那两个假阴性陷阱，以及为什么必须那样设计。
本机（Windows 11 26H2 / build 26300.9457 / PowerShell 5.1）实测：reproduced。

[Junzhou114]

补充一条「真实桌面工作区」的批量止血与边界（DSH Desktop 2.0.17 / core 0.2.0-rc.2，Windows 11）。

环境差异：我这里工作区在系统盘 C:\Users\Litho_7\Desktop，目录属主是用户本人（不是
BUILTIN\Administrators）——说明首帖的「非系统盘 + Administrators 属主」不是触发条件。

批量止血（一条命令覆盖工作区根下全部快捷方式；目录保持 Low 不动，受限进程靠它才能写入）：
icacls "<工作区>*.lnk" /setintegritylevel Medium

实测（SHGetFileInfo iIcon，0 = 泛型白图标）：
工作区 16 个 .lnk：改前 16/16 = 0；改后 DSH Desktop.lnk / ZCode.lnk / BongoCat.lnk = 50 / 51 / 52
同刻对照：C:\Users\Public\Desktop 的 8 个 .lnk、用户与公共开始菜单的 16 个 .lnk 全部正常
新建的 .lnk → Low (I)(NW)，iIcon=0（与正文复现 B 一致）

正文没覆盖的三点：

1. 只能逐文件回 Medium：目录必须保持 Low，否则受限进程写不进去。所以这是止血，不是修复。
2. *.lnk 不递归，子目录里的快捷方式要单独跑；之后每次在工作区里新建快捷方式都会再次变白。
3. 开放问题：已改回 Medium 的既有文件，在 DSH 后续再次执行 grantWrite 时会不会被重新压回 Low？
   这决定了用户要不要把这条命令当成长期例行操作。我没有跨会话数据，欢迎维护者补测。

（同族症状可参见 #8312，它已串起 #7709 / #7735 / #8175 / #8048。）

[caliburzero]

感谢补充，这几条都成立。同步更正、确认，并且把你提的最后一个开放问题实测掉了：

---

1. 「非系统盘 + Administrators 属主」不是触发条件 —— 你说得对，首帖把它写成"环境特征"，容易被读成成因。

真正的门槛是调用者对目标目录有 WRITE_OWNER（第三方补丁 dsh-acl-sandbox-patch 的实测归纳；
DACL 里给了 FULL 就包含这一位）。%USERPROFILE% 下的目录天生给用户 SID FULL，
所以像你这样把工作区放在自己的桌面，默认就满足。

换句话说：这个坑的覆盖面比我首帖暗示的更广 —— 只要工作区落在用户自己的 Profile 下（桌面 / 文档 / 下载），
条件就默认成立。首帖那句"打不上标签的人反而躲过了"只适用于很窄的一类环境：
该目录既不属于调用者、DACL 也没给调用者 FULL（补丁里还点了第三点：UAC 过滤令牌下
BUILTIN\Administrators 是 deny-only，吃不到组的 FullControl）—— 那些环境会先撞 Win32 5。

2. 白图标不需要"工作区根被解析错"。 首帖把两件事并列（① 可继承 Low → 白图标；② 非预期目录同样被改 ACL），
却没写清楚：① 只依赖 Windows + DSH ≥ 0.1.7-rc.1 + workspace-write + 对该目录有 WRITE_OWNER + 目录里有 .lnk。
换句话说：只要有目录当了工作区根，它里面的快捷方式就会变白，不需要"工作区根跑到了不该去的地方"这个额外前提 ——
你这里工作区就在自己的桌面上，症状一样出现，正好是最干净的旁证。

3. 你的批量止血命令我收下了，并补一句边界：
icacls "<工作区>\*.lnk" /setintegritylevel Medium 不递归、只作用于该层，子目录里的快捷方式要各自跑。
也同意"这是止血不是修复"：目录必须保持 Low（受限进程靠它才能写入），
所以此后每次在工作区里新建/复制进来的快捷方式都会再次变白。

4. 你提的开放问题，我实测了 —— 不会被压回，前提是根的安全描述符没被重写。

用 DSH 自带的 runner 在一个一次性临时目录上跑了两轮（不经过任何 DSH 会话）：

node <checkout>\@deepseek-ai\dsh-sandbox-windows-acl\lib\runner.js ^
     --workspace <临时目录> --temp C:\Windows\Temp --mode workspace-write -- cmd /c echo ok

阶段	对象	完整性标签	iIcon
供给前	a-before.lnk（既有）	无	50
第 1 次供给后	工作区目录	Low	—
	a-before.lnk（既有文件）	Low	0 ← 白图标
	b-after.lnk（供给后新建）	Low	0
	control.txt	Low	非 0（本次为 50）
手动改回 Medium	a-before.lnk	Medium	50
第 2 次供给后	工作区目录 SDDL	与第 1 次逐字符相同	—
	a-before.lnk	仍是 Medium	50 ← 未被压回

• 第 2 次用的是全新的 runner 进程（等价于再触发一次 grantWrite）：退出码 0、目录 SDDL 与第 1 次完全相同
  → 与 README 所述 "精确 ACE 跳过"（exact-ACE skip） 一致：根上已有精确的 ACE / 拒绝项 / 标签时
  不再遍历树，显式改过的文件不会被覆盖。
• 顺带对上号：runner 对那个临时目录算出的能力 SID S-1-4-607517990-172715007，
  与我按 workspaceWriteSid（sha256 派生）独立算出的值完全一致 —— 确认这就是首帖所说的同一条代码路径。
• 所以结论是：在"根的安全描述符保持不动"的前提下，这条 icacls 止血是持久的。
  注意"再次供给"本身不构成复发条件（上面第二次就是一次完整的重新供给，命中跳过、什么都没变）；
  会复发的是让根上那套 ACE 变得"不精确"的事件：DSH 升级改了 ACE/标签形状、工作区改名（SID 随之改变）、
  有人手工动过根的 ACL、或撤销后重新授权 —— 那些情况下会再次全树传播，把可继承 Low 加回既有文件。
• 局限：本轮只覆盖"同机、同版本、两次连续供给"，未覆盖重启、升级、改名等情形（正是上一段列出的复发场合）。

⚠️ 复现时的坑：SHGetFileInfo 在进程内按路径缓存。同一路径量过一次后，改完标签再在同一进程里重量
仍返回旧值（我们第一轮就栽在这上面：文件已经是 Low，却量出 50）。每个路径只量一次，或每次新开进程。

5. 另外补两条我自己的勘误（首帖里不准确的地方）：

• 首帖建议 3 说 README"没有提继承语义"——这句不准确。README 的「授权物化是急切的全树传播」一条
  明确写了会在带可继承 ACE 的目录上立即遍历每个后代。没写的是可观测后果
  （被标 Low 的 .lnk 会被外壳拒绝解析图标），措辞应改为"没提这个后果"。
• 复现 C 里那条 SID 精确匹配，只能证明"桌面确实被当成过工作区根"，不能证明"是因为启动 cwd"。
  cwd 是代码路径上的合理解释（dsh-sandbox-policy：config.workspaceRoot ?? process.cwd()，
  而本机 profile 未配置 workspaceRoot）；但本机会话记录里所有会话的 cwd 都是真实工作区，
  因此更像是无会话（agentless）调用走了那个回退 —— 这一层应以"推断"而非"硬证据"标注。