mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-06 09:17:31 +00:00
81a0f5f598
## 一、插件声明层（用户裁定）
> 「敏感词策略也应该是插件声明啊，每个插件声明自己轮次以及自己工具的
> 敏感词策略」
SecurityProfile 新增两个字段：
ToolSensitiveWords map[string][]string // key=工具名模式(尾 *)，value=词表
DetectInjection bool // 开启内核内置注入迹象识别
语义是**追加不覆盖**：整轮 SensitiveWords 仍然生效。
取宽不取窄的理由：当前处置是 B 档（标记+警示，不阻断），
多标一条只是多一句警示，漏标则是安全缺口。
## 二、修掉我自己造的「莲藕式分层」
前一版把 *security.Round 从 runInputTask 一路搬到工具链
（prepareInputTask(evt, round) → TaskFrame.SecRound →
executeToolCallOutcomeWithRound），并在 rtchild 里另补一条。
那是把**分层策略实现成跨层传参**：每多一条工具执行路径就要求调用方
多传一次句柄。profileActivator 的设计注释早就写明了正路：
> 工具调用发生在 LLM 决定之后，此时插件已不在调用栈上。
> 唯一可靠的传递方式是**内核在输入进来时记住**，在该轮的工具判定里使用。
改为 security 自取：
Runtime.ScanContentForAgent(agentID, isChild, ins, text)
→ ForAgent(agentID, isChild) // per-agent 视图，天然不串档
→ EffectiveProfile() // session > longtime
→ 合并 全局词表 + 档位词表 + 工具词表 + DetectInjection
core 只递交**事实**（我是谁 / 哪个工具 / 什么文本），不认识 Round。
与 CheckToolForAgent 同一套身份推断，不引入第二个入口语义。
TaskFrame.SecRound / executeToolCallOutcomeWithRound 全部撤除。
## 三、目录名统一
third_party/homeagent-sdk → third_party/hologramagentsdk
module 与远端仓早已是 hologramagentsdk，只剩物理目录是遗留名。
同步改了 go.mod replace、构建/打包/部署脚本、5 处测试里的分段路径。
注意：这里改的是**主仓 vendored 的 SDK 源码路径**，example/ 由 SDK
独立仓自己跟踪，主仓不涉及。
## 判据
TestToolSensitiveWordsAppendOnlyForThatTool 词表只对目标工具生效 + 追加语义
TestToolSensitiveWordsUseAgentScope security 按 agent scope 自取生效
（变异验证：删掉 ForAgent 查询 → 红）
## 验证
go build ./... → 0
go vet ./... → 0
go test ./... -count=1 -race → 62 ok / 0 FAIL / 0 DATA RACE
gofmt -l internal/ → 干净
57 lines
2.2 KiB
Go
57 lines
2.2 KiB
Go
package sdk
|
||
|
||
// RawFilesAPI 让插件读写**随包分发的资源**（rawfile）。
|
||
//
|
||
// ## 是什么
|
||
//
|
||
// `hmapdev build` 会把工程根 `rawfile/` 下的全部内容（以及 plg.json
|
||
// `rawfiles` 声明的外部路径）打进 .hmap；内核解包时保留路径，落到：
|
||
//
|
||
// <插件目录>/rawfile/<原相对路径>
|
||
//
|
||
// 本接口就是插件读这些资源的唯一入口。
|
||
//
|
||
// ## 为什么不让插件自己拼路径
|
||
//
|
||
// 插件**不知道自己的安装目录**：内核的 `PluginDir()` 是给插件管理器用的，
|
||
// 不暴露给插件自身。而且"包内资源"与"运行期生成的文件"必须分开 ——
|
||
// 前者只读、随升级替换，后者可写、跨升级保留。混在一个目录里，
|
||
// 升级时会误删运行期数据，或把旧资源留在原地。
|
||
//
|
||
// 所以：
|
||
//
|
||
// RawFiles().Read("main/prompt.txt") → 读**包内**资源（只读）
|
||
// RawFiles().WorkDir() → 拿**可写**工作目录（运行期数据放这）
|
||
//
|
||
// ## 安全边界
|
||
//
|
||
// 所有路径都相对 rawfile/ 根，**必须拒绝路径穿越**（`../`）。
|
||
// 资源文件来自包，包可能被替换 —— 让插件能借它读到 `/etc/shadow`
|
||
// 就是一个真实的提权面。
|
||
type RawFilesAPI interface {
|
||
// Read 读一个包内资源（路径相对 rawfile/ 根）。
|
||
//
|
||
// 例：Read("main/prompt.txt") 读 <插件目录>/rawfile/main/prompt.txt。
|
||
Read(rel string) ([]byte, error)
|
||
|
||
// List 列出某个目录下的条目（相对 rawfile/ 根；"" 表示根）。
|
||
//
|
||
// 返回的名字是**相对 path 的单层名**（不是全路径），目录名带 `/` 后缀。
|
||
List(rel string) ([]string, error)
|
||
|
||
// Exists 报告某个资源是否存在。
|
||
Exists(rel string) bool
|
||
|
||
// Dir 返回包内资源的根目录（只读）。
|
||
//
|
||
// 给需要把整个目录交给外部工具的插件用（如把 node 目录的路径
|
||
// 传给 exec.Command）。**不要往这里写东西** —— 它在包里，随升级替换。
|
||
Dir() string
|
||
|
||
// WorkDir 返回一个**可写**目录，供插件放运行期生成的文件。
|
||
//
|
||
// 与 Dir() 分开的原因：Dir() 里的东西随升级被整体替换，
|
||
// 运行期数据放那里会在下次升级时丢失。
|
||
WorkDir() string
|
||
}
|