fix(权限): 409 的第二种含义是「本档不该问」——四桥都补上；状态写入点不再兜默认档
线上事故（jianf 经 pi 转达）：补投路径漏传 permission_mode，插件拿 undefined 兜了 workspace 档，把 full 档会话写成 workspace-write + ask —— 不是"拦一次"，是一整轮 工具能力降级，且状态留在会话里；随后该会话每次受守卫调用都撞 409。 四件事： 1. **状态写入点不接受默认值**（新增共享 `modeForStateWrite`）：缺字段/脏值 → `null` = 不写状态。"默认值可以出现在**决策**里，不可以出现在**状态写入**里。" 同时保留共享契约的 fail-closed：真读到 workspace 才写 workspace。 2. **409 的两种含义分开处理**。`allowed-once` 只绕过**审批**，改不了**沙箱** —— 所以 dsh 桥在放行前先把服务端给的权威档位**写回会话**（这也就成了自愈路径： 已经降级的会话，下一次带档位的 409 会把它修回来）；只认服务端明说的 full， plan 与"链上没有人类"照旧 fail closed。 3. **同一处缺陷在 zcode / opencode 也在**（`hooks/permission.mjs` 与 `index.js` 都把 409 当永久失败拒绝）。我先前在回信里写过"这两个桥不转发权限询问，不需要改" —— 那句话是错的，我当时的搜索面只有 `<plugin>/src/*.mjs`。按 pi 的要求把这条 **否定性事实变成常驻判据**后，它第一次运行就红给我看。四桥现在都有 「409 + full → 放行」，且**排在永久失败分支之前**（含顺序变异自检）。 4. **共用测试重新同源**：`test/catchup.test.mjs` 从 `153985e` 起就是分叉的 （我那版把平台专属路径写进了共用文件），而 `deploy/install.sh` 第 24 行会跑 `check-shared-libs.sh` —— 也就是说**部署一直是红的**，我没跑过那个脚本。 共用文件只放契约（值/行为），跨平台配对judge 移到平台专属文件，四份逐字节相同。 另外把"判代码 vs 判理由"从记忆变成代码：`test/lib/read.mjs` 提供 `code()/prose()/bytes()`， 判据目录里不得再裸用 `readFileSync`（新判据 `criteria-hygiene` 管，含读取器自检）。 判据证据（每条都做过"能不能红"的变异）： - 写回去掉 → 红；纠正块挪到普通 409 之后 → 红；状态写入点退回兜默认 → 红； - zcode/opencode 的放行分支拿掉 → 各自红；共用测试分叉 → check-shared-libs 红。 各套件：dsh 388、pi 443、zcode 387、opencode 333（均经 npm test，含 tsc）； electron `npm test` 15/15 判据绿 + vitest 266 + typecheck；`check-shared-libs.sh` 退出 0； Go `go test ./...` 全 ok。
This commit is contained in:
@ -11,6 +11,11 @@ export const ENFORCE_ADVISORY: 'advisory';
|
||||
export function normalizeMode(mode: unknown): string;
|
||||
export function normalizeEnforcement(e: unknown): string;
|
||||
export function modeAtMost(a: string, b: string): string;
|
||||
/**
|
||||
* **状态写入点**专用：拿不到值返回 `null`（= 不要写），绝不兜默认档。
|
||||
* 用它而不是 `normalizeMode` —— 默认值可以出现在决策里，不可以出现在状态写入里。
|
||||
*/
|
||||
export function modeForStateWrite(mode: unknown): string | null;
|
||||
export function modeNeedsHuman(mode: string): boolean;
|
||||
|
||||
export function dshSandboxMode(mode: string): 'read-only' | 'workspace-write' | 'danger-full-access';
|
||||
|
||||
@ -78,6 +78,43 @@ export function normalizeEnforcement(e) {
|
||||
: ENFORCE_ADVISORY;
|
||||
}
|
||||
|
||||
/**
|
||||
* **状态写入点**专用的档位解析：拿不到值就返回 `null`（= 不要写），绝不兜默认档。
|
||||
*
|
||||
* ## 为什么单开一个函数（而不是复用 normalizeMode）
|
||||
*
|
||||
* `normalizeMode` 的语义是「**要一个档位**时怎么收敛」——空/脏值都给默认档。
|
||||
* 那在**决策**里是对的（有个兜底），在**状态写入**里是错的：
|
||||
*
|
||||
* 2026-09-14 的线上事故正是这个形状：补投路径漏传 `permission_mode`，
|
||||
* 插件拿 `undefined` 走默认档，把一条 **full 档会话**写成了 `workspace-write`
|
||||
* —— 沙箱窄了、审批从 never 变 ask，之后每个受守卫的工具调用都去问一次，
|
||||
* 服务端按真实档位回 409，旧代码又当场拒绝。**一次状态写入，毁了整轮的工具能力**。
|
||||
*
|
||||
* 一句话规则（pi 提的）：**默认值可以出现在「决策」里，不可以出现在「状态写入」里**
|
||||
* —— 决策有默认值是兜底，状态写入有默认值是**篡改**。
|
||||
*
|
||||
* 于是分工是：
|
||||
* - 缺字段（空串 / undefined / 非字符串）→ `null`，调用方**跳过写入**，
|
||||
* 保留上一次由服务端给出的权威值；
|
||||
* - 有值 → 交给 `normalizeMode` 收敛（脏值仍按共用契约 fail-closed 到默认档，
|
||||
* 与 Gateway 的 `NormalizePermissionMode` 同语义 —— 这里不是"猜"，是同一份契约）。
|
||||
*
|
||||
* 跳过写入会不会 fail-open？**实测过方向的**：DSH 的默认沙箱就是
|
||||
* `workspace-write` + `ask`（见 dsh 客户端 `permissionSelectOf` 的初值），
|
||||
* 所以"新会话 + 缺字段"落到的是与共用契约同一个档，不会更宽；
|
||||
* 而"已有会话 + 缺字段"保留的是服务端先前给的权威值，下一个权威事件
|
||||
* （带档位的邮件 / 409 纠正 / 人在界面改档）会把它修正回来。
|
||||
*
|
||||
* @param {unknown} mode
|
||||
* @returns {string|null} 合法档位；`null` 表示**不要写状态**
|
||||
*/
|
||||
export function modeForStateWrite(mode) {
|
||||
const m = typeof mode === 'string' ? mode.trim() : '';
|
||||
if (m === '') return null;
|
||||
return normalizeMode(m);
|
||||
}
|
||||
|
||||
/**
|
||||
* 取两个档位里更严的那一个。
|
||||
*
|
||||
|
||||
@ -60,6 +60,14 @@ import {
|
||||
renderThread,
|
||||
} from '../lib/discovery.js';
|
||||
import { appendRenameProposal, renameProposalNote } from '../lib/rename-proposal.js';
|
||||
// 档位**状态写入**的共用规则（四平台逐字节同一份，见 deploy/check-shared-libs.sh）。
|
||||
//
|
||||
// ⚠️ 2026-09-14 事故记录：这两个名字是**后来补上 import 的**。当时我在 409 分支里
|
||||
// 直接用 `MODE_FULL` 却没 import，而 `npx tsc --noEmit | tail -3` 的退出码被我
|
||||
// 误当成 tsc 的（其实是 `tail` 的）—— 于是"类型检查通过"是假的，这个
|
||||
// `ReferenceError` 会在这条分支**真正被执行时**抛出：正好是它要修的那条路径。
|
||||
// 现在插件套件一律走 `npm test`（`pretest: tsc` 会先编译），不再直接 `node --test`。
|
||||
import { MODE_FULL, modeForStateWrite } from '../lib/permission-mode.js';
|
||||
import { createSSEClient } from '../lib/sse-client.js';
|
||||
import { pickMailSession } from '../lib/mail-session-id.js';
|
||||
import { normalizeAttachmentIDs } from '../lib/attachment-ids.js';
|
||||
@ -783,9 +791,23 @@ export function apply(ctx: any, config: PluginConfig): void {
|
||||
// 直接往 session 上 append 事件（与 permissionPresets.set 同一底层）。
|
||||
// 不走 permissionPresets 服务：它要求 preset 名在配置表里，
|
||||
// 而我们的三档映射需要完全自主控制。
|
||||
// **这里是"状态写入点"，不兜默认档**（2026-09-14）：档位缺失时**跳过写入**，
|
||||
// 保留服务端上一次给的权威值。原来写的是 `(mode || 'workspace')` —— 补投路径
|
||||
// 漏传档位时，一条 full 档会话被**改写**成 workspace-write + ask：整轮工具能力
|
||||
// 降级，且下一次调用照样问、照样挨 409。规则见 lib/permission-mode.js 的
|
||||
// modeForStateWrite：默认值可以出现在**决策**里，不可以出现在**状态写入**里。
|
||||
function applyPermissionMode(session: any, mode: string): void {
|
||||
if (!session?.append) return;
|
||||
const m = (mode || 'workspace').trim();
|
||||
const m = modeForStateWrite(mode);
|
||||
if (m === null) {
|
||||
// 缺字段 = 「不知道」，不是「workspace」。日志里说清是哪条路把值弄丢了，
|
||||
// 否则下次还是只能靠猜（这行是排查"丢字段的那只手"的第一现场）。
|
||||
console.error(
|
||||
'[dsh-mail-bridge] 档位缺失（事件里没有 permission_mode）：本次**不改**会话沙箱与审批策略，' +
|
||||
'保留上一次的权威值 —— 缺字段是"不知道"，不是 workspace'
|
||||
);
|
||||
return;
|
||||
}
|
||||
// sandbox mode
|
||||
const sandboxMap: Record<string, string> = {
|
||||
plan: 'read-only',
|
||||
@ -1831,12 +1853,41 @@ export function apply(ctx: any, config: PluginConfig): void {
|
||||
*
|
||||
* **只认服务端明说的 full**：plan 档（该档语义是"不动手"，拒绝是对的）
|
||||
* 与"链上没有人类"照旧拒绝 —— 猜宽了就是提权。
|
||||
*
|
||||
* ## 放行只修"问不问"，**修不了"能不能"**（pi 2026-09-14 指出，这条是本分支的重点）
|
||||
*
|
||||
* `allowed-once` 绕过的是**审批**；沙箱是另一件事，它还在 `workspace-write`。
|
||||
* 于是"工作区外写入"这类操作会在**沙箱层**被拒 —— 功能上通了，能力上仍然窄，
|
||||
* 而且**每次受守卫的调用都要重新走一遍 409**（放行是 per-call 的）。
|
||||
* 更糟的是：这个状态会**留在会话里**，直到某一封恰好带档位的邮件到来。
|
||||
*
|
||||
* 所以这里把 409 回包当成「**服务端在纠正我的档位**」，而不是「这一次可以放行」：
|
||||
* 回包里有权威值就**写回会话**（`applyPermissionMode`），再决定放不放行。
|
||||
* 这顺带成了**自愈**路径 —— 连修复前就被降级的会话，也能被下一次 409 修回来。
|
||||
*/
|
||||
if (e?.status === 409 && String(e?.body?.permission_mode || '') === 'full') {
|
||||
console.error(
|
||||
`[dsh-mail-bridge] 服务端判定本会话为 full 档，放行本次询问（${relayKey}）：无需审批`
|
||||
);
|
||||
return 'allowed-once';
|
||||
const corrected = modeForStateWrite(e?.body?.permission_mode);
|
||||
if (e?.status === 409 && corrected) {
|
||||
// 写回状态（权威值来自服务端，不是猜的）
|
||||
const found = findLiveDshSession(mailSessionID);
|
||||
if (found) {
|
||||
applyPermissionMode(found.agent?.session, corrected);
|
||||
console.error(
|
||||
`[dsh-mail-bridge] 服务端纠正档位为 ${corrected}，已写回会话 ${found.id}（${relayKey}）` +
|
||||
`—— 放行只修"这一次"，写回才修"状态"`
|
||||
);
|
||||
} else {
|
||||
// 会话不在运行（插件重启后尚未收到新邮件）。
|
||||
// 无需处理：下次投递时 deliverMail 会按邮件里带的 permission_mode 重新 apply。
|
||||
console.error(
|
||||
`[dsh-mail-bridge] 服务端纠正档位为 ${corrected}，但会话不在运行，写回推迟到下次投递`
|
||||
);
|
||||
}
|
||||
if (corrected === MODE_FULL) {
|
||||
console.error(
|
||||
`[dsh-mail-bridge] 服务端判定本会话为 full 档，放行本次询问（${relayKey}）：无需审批`
|
||||
);
|
||||
return 'allowed-once';
|
||||
}
|
||||
}
|
||||
|
||||
if (e?.status === 409) {
|
||||
|
||||
@ -79,3 +79,14 @@ test('seen 传 undefined 时不去重也不报错', () => {
|
||||
const got = selectCatchup([mail({ mail_id: 'x' })], undefined);
|
||||
assert.deepEqual(got.map(e => e.mail_id), ['x']);
|
||||
});
|
||||
|
||||
test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => {
|
||||
const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' }));
|
||||
assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉');
|
||||
assert.equal(ev.permission_enforcement, 'strict');
|
||||
// 缺字段时给空串：**不猜档位**（猜宽了就是提权），由调用方 `|| 'workspace'` 兜底
|
||||
const bare = mailToEvent(mail());
|
||||
assert.equal(bare.permission_mode, '');
|
||||
assert.equal(bare.permission_enforcement, '');
|
||||
assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰');
|
||||
});
|
||||
|
||||
@ -1,26 +1,29 @@
|
||||
/**
|
||||
* 接线断言：服务端 409 里说「本会话是 full 档」时，dsh 桥必须**放行**而不是拒绝。
|
||||
* 接线判据：dsh 桥怎么处理「409 带档位」。
|
||||
*
|
||||
* # 为什么需要这条（与 pi 桥同一处缺陷，同日一起修）
|
||||
* # 判据分三块，缺一块就是假判据
|
||||
*
|
||||
* 409 原本只有一个含义：「这条任务链上没有人类」→ 当场拒绝（`return 'rejected'`）。
|
||||
* 但 `handler/permission.go` 在**档位不该问人**时也回 409，并在回包里带
|
||||
* `permission_mode`。两种 409 的正确反应相反：无人可问 → 拒绝；full 档 → **放行**。
|
||||
*
|
||||
* dsh 桥还有一层放大：档位是从邮件事件 `applyPermissionMode()` 应用的，
|
||||
* 补投路径漏传档位时（`lib/catchup.js`，同日修）会话被**降级**成 workspace ——
|
||||
* 沙箱 danger-full-access → workspace-write、审批 never → ask，
|
||||
* 于是每个受守卫的工具调用都去问一次，再被 409 拒绝。一条 full 档会话只要有一封
|
||||
* 补投邮件，这一轮的工具调用就全被自己人拦死。
|
||||
* 1. **动作**：409 回包里有权威档位时，先**写回会话状态**（`applyPermissionMode`），
|
||||
* 再决定放行与否 —— 因为 `allowed-once` 只绕过**审批**，改不了**沙箱**：
|
||||
* 档位没恢复的话，"工作区外写入"这类操作会在沙箱层被拒，且每次受守卫的调用
|
||||
* 都要重新走一遍 409（放行是 per-call 的）。写回才是"修状态"，也顺带是**自愈**路径。
|
||||
* 2. **顺序（可达性）**：这块必须在「普通 409（无人可问 → 拒绝）」**之前**，
|
||||
* 否则永远不可达。见下面 `orderHolds` 与它的**顺序自检**。
|
||||
* 3. **状态写入点不接受默认值**：`applyPermissionMode` 必须走 `modeForStateWrite`
|
||||
* （缺字段 → 不写），且缺字段的分支要排在第一个 `session.append` 之前。
|
||||
*
|
||||
* # 为什么读源码而不是跑起来
|
||||
*
|
||||
* 与 `permission-forward-wiring.test.mjs` 同一取舍：入口不是可导入的模块
|
||||
* （插件工厂 + Cordis 依赖）。这里要钉的只有一件事：那个放行分支还在、且认服务端给的档位。
|
||||
* 与 `permission-forward-wiring.test.mjs` 同一取舍：入口是插件工厂 + Cordis 依赖，
|
||||
* 不可导入。这里钉的是"接线还在不在、顺序对不对"，**值**那一半由
|
||||
* `permission-mode.test.mjs` 对 `modeForStateWrite` 的行为判据覆盖 ——
|
||||
* 两条一起才闭合（值 → 行为，结构/来源 → 静态）。
|
||||
*
|
||||
* # 判据自检
|
||||
* # 判据自检（两条，都跟"能不能红"有关）
|
||||
*
|
||||
* 拿掉放行分支的源码喂给它，必须红 —— 否则这条断言永远为真，比没有更糟。
|
||||
* - 拿掉写回/放行 → 必须红（证明它**有用**）；
|
||||
* - **把它挪到普通 409 之后 → 必须红**（证明它**可达**；pi 2026-09-14 §2 指出：
|
||||
* 只做前一条自检，证明的是"被用到"，不是"顺序对"）。
|
||||
*/
|
||||
import assert from 'node:assert/strict';
|
||||
import { readFileSync } from 'node:fs';
|
||||
@ -31,7 +34,11 @@ import { fileURLToPath } from 'node:url';
|
||||
const HERE = dirname(fileURLToPath(import.meta.url));
|
||||
const SRC = readFileSync(join(HERE, '..', 'src', 'index.ts'), 'utf8');
|
||||
|
||||
/** 取 409 相关分支的正文（按花括号配对，不看窗口） */
|
||||
/** 剥掉注释后再断言"代码里有什么"（本仓规范：判代码读剥离版，判理由读原文） */
|
||||
const codeOnly = src =>
|
||||
src.replace(/\/\*[\s\S]*?\*\//g, '').replace(/(^|[^:])\/\/[^\n]*/g, '$1');
|
||||
|
||||
/** 取某个分支/函数的正文（按花括号配对，不看窗口） */
|
||||
function blockAt(src, needle) {
|
||||
const at = src.indexOf(needle);
|
||||
if (at < 0) return '';
|
||||
@ -44,30 +51,97 @@ function blockAt(src, needle) {
|
||||
return '';
|
||||
}
|
||||
|
||||
test('★ 409 + full 档 → 放行；plan / 无人可问 → 仍拒绝', () => {
|
||||
const full = blockAt(SRC, "if (e?.status === 409 && String(e?.body?.permission_mode || '') === 'full')");
|
||||
assert.ok(full.length > 40, '要能找到「409 + full」分支（找不到说明结构变了，判据要跟着改）');
|
||||
assert.match(full, /return 'allowed-once'/, 'full 档要放行（DSH 的 ApprovalOutcome 只认 allowed-once/rejected/…）');
|
||||
const CORRECTED = 'if (e?.status === 409 && corrected) {';
|
||||
const PLAIN = 'if (e?.status === 409) {';
|
||||
/** 「纠正 + 决定」这一整段的起点：声明在 if 之前，所以判据要连它一起读 */
|
||||
const CORRECTION_AT = 'const corrected = modeForStateWrite(';
|
||||
|
||||
const plain = blockAt(SRC, 'if (e?.status === 409) {');
|
||||
/** 顺序判据本身（抽出来是为了能对"变异后的源码"复用它 —— 见顺序自检） */
|
||||
function orderHolds(src) {
|
||||
const a = src.indexOf(CORRECTION_AT);
|
||||
const b = src.indexOf(PLAIN);
|
||||
return a >= 0 && b >= 0 && a < b;
|
||||
}
|
||||
|
||||
test('★ 409 带档位：先写回会话状态，再按档位决定放行', () => {
|
||||
const at = SRC.indexOf(CORRECTION_AT);
|
||||
const end = SRC.indexOf(PLAIN);
|
||||
assert.ok(at >= 0 && end > at, '要能找到「读权威档位 → 决定」这一段（找不到说明结构变了，判据要跟着改）');
|
||||
const block = codeOnly(SRC.slice(at, end));
|
||||
assert.ok(block.length > 100, '这一段太短，八成是结构变了');
|
||||
assert.match(block, /modeForStateWrite\(e\?\.body\?\.permission_mode\)/,
|
||||
'权威档位要用状态写入点的解析器读（缺字段 → 不写，不兜默认）');
|
||||
assert.match(block, /applyPermissionMode\(/,
|
||||
'必须把服务端的纠正**写回会话** —— 只放行不写回，沙箱仍然是窄的（放行只修"问不问"）');
|
||||
assert.match(block, /corrected === MODE_FULL/,
|
||||
'只有服务端明说 full 才放行（plan 与"无人可问"照旧拒绝，猜宽了就是提权）');
|
||||
assert.match(block, /return 'allowed-once'/);
|
||||
assert.ok(block.indexOf('applyPermissionMode(') < block.indexOf("return 'allowed-once'"),
|
||||
'写回会话要发生在返回之前（否则这一次放行了，状态还是错的）');
|
||||
});
|
||||
|
||||
test('★ 顺序（可达性）：带档位那块必须在普通 409 之前', () => {
|
||||
assert.ok(orderHolds(SRC),
|
||||
'「409 + 档位」必须排在普通 409 之前 —— 否则 full 档会先落进后面那块、被当成"无人可问"拒绝，\n' +
|
||||
'而这块代码永远不可达（"文件里没有能红的路径"那一族）。');
|
||||
const plain = codeOnly(blockAt(SRC, PLAIN));
|
||||
assert.ok(plain.length > 100, '要能找到普通 409 分支');
|
||||
assert.match(plain, /return 'rejected'/, '非 full 的 409 仍要当场拒绝');
|
||||
/*
|
||||
* ⚠️ 「代码里有没有放行」必须读**剥掉注释**的正文：普通 409 分支的注释里正好写着
|
||||
* "ApprovalOutcome 只认 allowed-once / rejected / …"（解释为什么写 'rejected'
|
||||
* 而不是 'denied'）—— 读原文会把那句话当成"这里会放行"而误报。
|
||||
* 这是本仓规范里那条：判"代码里有什么"读剥离版，判"理由写清了没"读原文。
|
||||
*/
|
||||
const plainCode = plain.replace(/\/\*[\s\S]*?\*\//g, '').replace(/\/\/[^\n]*/g, '');
|
||||
assert.ok(!/allowed-once/.test(plainCode),
|
||||
`普通 409 分支不许放行（那就等于"没人可问也放行"）：${(plainCode.match(/allowed-once/) || [''])[0]}`);
|
||||
// 顺序：full 分支必须在普通 409 之前，否则永远不可达
|
||||
assert.ok(SRC.indexOf("permission_mode || '') === 'full'") < SRC.indexOf('if (e?.status === 409) {'),
|
||||
'放行分支要排在普通 409 之前（否则被前面的分支吃掉，永远不可达）');
|
||||
assert.ok(!/allowed-once/.test(plain),
|
||||
'普通 409 分支里不许出现放行（那就等于"没人可问也放行"）');
|
||||
});
|
||||
|
||||
test('★ 判据自检：拿掉放行分支，上面那条必须红', () => {
|
||||
const crippled = SRC.replace(/if \(e\?\.status === 409 && String\(e\?\.body\?\.permission_mode \|\| ''\) === 'full'\)[\s\S]*?\n \}\n/, '');
|
||||
assert.equal(blockAt(crippled, "if (e?.status === 409 && String(e?.body?.permission_mode || '') === 'full')").length, 0,
|
||||
'自检：判据要能检出"放行分支被拿掉"这件事');
|
||||
test('★ 顺序自检：把它挪到普通 409 之后，上面那条顺序判据必须能红', () => {
|
||||
/*
|
||||
* pi 2026-09-14 §2：我旧的自检只做了"拿掉分支 → 红"，那只证明它**被用到**，
|
||||
* 不证明**顺序对** —— 若有人把它挪到后面，整套判据照样绿（分支还在，只是走不到）。
|
||||
* 所以这里对"挪动后的源码"复用同一条 orderHolds，要求它为假。
|
||||
*
|
||||
* 挪法模拟真实的误编辑：把这块整段剪下来，插到普通 409 那块之后。
|
||||
*/
|
||||
const start = SRC.indexOf(CORRECTION_AT);
|
||||
const plainAt = SRC.indexOf(PLAIN);
|
||||
assert.ok(start >= 0 && plainAt > start, '前置：当前顺序正确，才谈得上"挪动"');
|
||||
const moved = SRC.slice(start, plainAt);
|
||||
const swapped = SRC.slice(0, start) + SRC.slice(plainAt) + moved;
|
||||
assert.equal(orderHolds(swapped), false,
|
||||
'自检失败：把「409 + 档位」挪到普通 409 之后，顺序判据居然还是绿的 —— 那它抓不到这个误编辑');
|
||||
/*
|
||||
* 另一条自检：**整段拿掉**。注意不能用"改成 `if (false)`"来验 —— 那只是"够不着"，
|
||||
* 顺序关系还在，该由上面那条**动作**判据去抓（分工不同，别混）。
|
||||
*/
|
||||
const removed = SRC.slice(0, start) + SRC.slice(plainAt);
|
||||
assert.equal(orderHolds(removed), false, '自检失败：整段删掉后顺序判据应当红（找不到这一段）');
|
||||
});
|
||||
|
||||
test('★ 状态写入点：applyPermissionMode 不兜默认档，且缺字段分支在任何 append 之前', () => {
|
||||
const fn = codeOnly(blockAt(SRC, 'function applyPermissionMode('));
|
||||
assert.ok(fn.length > 100, '要能找到 applyPermissionMode');
|
||||
assert.match(fn, /modeForStateWrite\(mode\)/,
|
||||
'状态写入点必须走 modeForStateWrite（缺字段 → null → 不写）');
|
||||
assert.ok(!/\(\s*mode\s*\|\|\s*'workspace'\s*\)/.test(fn),
|
||||
'不许再把缺字段兜成 workspace —— 那正是 2026-09-14 事故的形状');
|
||||
const guard = fn.indexOf('m === null');
|
||||
const firstAppend = fn.indexOf('session.append(');
|
||||
assert.ok(guard >= 0 && firstAppend > guard,
|
||||
'缺字段的提前返回要排在第一个 session.append 之前（否则状态已经被改了）');
|
||||
});
|
||||
|
||||
test('★ lib 里用到的名字必须真的 import 进来（我曾经漏过一次，且被管道骗过）', () => {
|
||||
/*
|
||||
* 2026-09-14 我在这里栽过：409 分支里直接用 `MODE_FULL` 却没 import，
|
||||
* 而 `npx tsc --noEmit | tail -3` 的退出码是 `tail` 的 —— 于是"类型检查通过"是假的，
|
||||
* `ReferenceError` 正好会抛在它要修的那条路径上。
|
||||
* 这条判据把"名字被绑定"这件事钉住（值/行为判据覆盖不到静态的绑定）。
|
||||
*/
|
||||
const importLine = /import\s*\{([^}]+)\}\s*from\s*'\.\.\/lib\/permission-mode\.js'/.exec(SRC);
|
||||
assert.ok(importLine, "要能从 '../lib/permission-mode.js' import（找不到说明 import 被改了）");
|
||||
const bound = new Set(importLine[1].split(',').map(s => s.trim()).filter(Boolean));
|
||||
for (const name of ['MODE_FULL', 'modeForStateWrite']) {
|
||||
assert.ok(new RegExp(`\\b${name}\\b`).test(codeOnly(SRC)),
|
||||
`${name} 要用在源码里（否则这条判据该删掉，别留空转）`);
|
||||
assert.ok(bound.has(name),
|
||||
`${name} 在源码里被用到，却没从 '../lib/permission-mode.js' import 进来 —— ` +
|
||||
`运行时是 ReferenceError，而且它抛在**它要修的那条路径**上。`);
|
||||
}
|
||||
});
|
||||
|
||||
@ -14,6 +14,7 @@ import {
|
||||
normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
|
||||
dshSandboxMode, dshApprovalPolicy,
|
||||
piGuardedTools, piBlocksOutright, modeBriefing,
|
||||
modeForStateWrite,
|
||||
} from '../lib/permission-mode.js';
|
||||
|
||||
// ─── 归一化 ───
|
||||
@ -213,3 +214,24 @@ test('partial 与 native 一样要求把方案写在回信里（出路不能消
|
||||
const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
|
||||
assert.match(s, /回信/);
|
||||
});
|
||||
|
||||
// ─── 状态写入点的档位解析（2026-09-14 线上事故的形状）───
|
||||
|
||||
test('★ 状态写入点：缺字段 → null（不写），不是默认档', () => {
|
||||
/*
|
||||
* 事故：补投路径漏传 `permission_mode`，插件拿 `undefined` 兜了默认档，
|
||||
* 把一条 **full 档会话**改写成了 workspace-write + ask。后果不是"这一轮被拦一次"
|
||||
* 而是一整轮工具能力降级（沙箱层就拒了），而且状态留在会话里。
|
||||
*
|
||||
* 规则：**默认值可以出现在决策里，不可以出现在状态写入里。**
|
||||
*/
|
||||
for (const missing of ['', ' ', undefined, null, 42, {}]) {
|
||||
assert.equal(modeForStateWrite(missing), null,
|
||||
`${JSON.stringify(missing)} 应当返回 null（= 不要写状态），而不是兜一个档`);
|
||||
}
|
||||
// 反面：有值就照共用契约收敛（含脏值 fail-closed 到默认档，与 Gateway 同语义）
|
||||
assert.equal(modeForStateWrite('full'), 'full');
|
||||
assert.equal(modeForStateWrite(' workspace '), 'workspace');
|
||||
assert.equal(modeForStateWrite('danger'), DEFAULT_MODE, '脏值仍按共用契约收敛，但这不是"缺字段"');
|
||||
assert.notEqual(modeForStateWrite(''), DEFAULT_MODE, '缺字段不能等于默认档 —— 那正是事故');
|
||||
});
|
||||
|
||||
@ -1326,6 +1326,26 @@ export default async function mailBridge(input) {
|
||||
//
|
||||
// deny 的同时把原因带给模型（opencode 把 reason 作为工具报错回去），
|
||||
// 它才知道下一步该换什么做法。
|
||||
/*
|
||||
* 409 有**两种**含义，正确反应相反（2026-09-14，与 dsh/pi/zcode 桥同一处缺陷）：
|
||||
* 「这条链上没有人类」→ 拒绝；「**本档根本不该问**」→ 服务端在回包里带
|
||||
* `permission_mode`，是 full 档就应当**放行**（full 档工具调用无需审批）。
|
||||
*
|
||||
* 走到第二种的路径：补投漏传档位（lib/catchup.js，同日已修）→ 本轮按 workspace
|
||||
* 拦下来问人 → 服务端按真实档位回 409 → 旧代码当"无人可问"拒绝，
|
||||
* 一条 full 档会话的工具调用全被自己人拦死。
|
||||
*
|
||||
* **只认服务端明说的 full**；plan 与"无人可问"照旧拒绝（猜宽了就是提权）。
|
||||
* 这个桥没有会话档位旋钮，所以只修这一层。
|
||||
*/
|
||||
if (Number(e?.status) === 409 && String(e?.body?.permission_mode || "") === "full") {
|
||||
console.error(
|
||||
`[mail-bridge] 服务端判定本会话为 full 档，放行本次询问（${input.id}）：无需审批`,
|
||||
);
|
||||
output.status = "allow";
|
||||
return;
|
||||
}
|
||||
|
||||
if (isPermanentFailure(e)) {
|
||||
const b = e?.body || {};
|
||||
console.error(
|
||||
|
||||
@ -78,6 +78,43 @@ export function normalizeEnforcement(e) {
|
||||
: ENFORCE_ADVISORY;
|
||||
}
|
||||
|
||||
/**
|
||||
* **状态写入点**专用的档位解析：拿不到值就返回 `null`（= 不要写），绝不兜默认档。
|
||||
*
|
||||
* ## 为什么单开一个函数（而不是复用 normalizeMode）
|
||||
*
|
||||
* `normalizeMode` 的语义是「**要一个档位**时怎么收敛」——空/脏值都给默认档。
|
||||
* 那在**决策**里是对的（有个兜底），在**状态写入**里是错的：
|
||||
*
|
||||
* 2026-09-14 的线上事故正是这个形状：补投路径漏传 `permission_mode`，
|
||||
* 插件拿 `undefined` 走默认档，把一条 **full 档会话**写成了 `workspace-write`
|
||||
* —— 沙箱窄了、审批从 never 变 ask，之后每个受守卫的工具调用都去问一次，
|
||||
* 服务端按真实档位回 409，旧代码又当场拒绝。**一次状态写入，毁了整轮的工具能力**。
|
||||
*
|
||||
* 一句话规则（pi 提的）：**默认值可以出现在「决策」里，不可以出现在「状态写入」里**
|
||||
* —— 决策有默认值是兜底，状态写入有默认值是**篡改**。
|
||||
*
|
||||
* 于是分工是：
|
||||
* - 缺字段（空串 / undefined / 非字符串）→ `null`，调用方**跳过写入**，
|
||||
* 保留上一次由服务端给出的权威值；
|
||||
* - 有值 → 交给 `normalizeMode` 收敛（脏值仍按共用契约 fail-closed 到默认档，
|
||||
* 与 Gateway 的 `NormalizePermissionMode` 同语义 —— 这里不是"猜"，是同一份契约）。
|
||||
*
|
||||
* 跳过写入会不会 fail-open？**实测过方向的**：DSH 的默认沙箱就是
|
||||
* `workspace-write` + `ask`（见 dsh 客户端 `permissionSelectOf` 的初值），
|
||||
* 所以"新会话 + 缺字段"落到的是与共用契约同一个档，不会更宽；
|
||||
* 而"已有会话 + 缺字段"保留的是服务端先前给的权威值，下一个权威事件
|
||||
* （带档位的邮件 / 409 纠正 / 人在界面改档）会把它修正回来。
|
||||
*
|
||||
* @param {unknown} mode
|
||||
* @returns {string|null} 合法档位；`null` 表示**不要写状态**
|
||||
*/
|
||||
export function modeForStateWrite(mode) {
|
||||
const m = typeof mode === 'string' ? mode.trim() : '';
|
||||
if (m === '') return null;
|
||||
return normalizeMode(m);
|
||||
}
|
||||
|
||||
/**
|
||||
* 取两个档位里更严的那一个。
|
||||
*
|
||||
|
||||
@ -79,3 +79,14 @@ test('seen 传 undefined 时不去重也不报错', () => {
|
||||
const got = selectCatchup([mail({ mail_id: 'x' })], undefined);
|
||||
assert.deepEqual(got.map(e => e.mail_id), ['x']);
|
||||
});
|
||||
|
||||
test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => {
|
||||
const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' }));
|
||||
assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉');
|
||||
assert.equal(ev.permission_enforcement, 'strict');
|
||||
// 缺字段时给空串：**不猜档位**（猜宽了就是提权），由调用方 `|| 'workspace'` 兜底
|
||||
const bare = mailToEvent(mail());
|
||||
assert.equal(bare.permission_mode, '');
|
||||
assert.equal(bare.permission_enforcement, '');
|
||||
assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰');
|
||||
});
|
||||
|
||||
@ -14,6 +14,7 @@ import {
|
||||
normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
|
||||
dshSandboxMode, dshApprovalPolicy,
|
||||
piGuardedTools, piBlocksOutright, modeBriefing,
|
||||
modeForStateWrite,
|
||||
} from '../lib/permission-mode.js';
|
||||
|
||||
// ─── 归一化 ───
|
||||
@ -213,3 +214,24 @@ test('partial 与 native 一样要求把方案写在回信里（出路不能消
|
||||
const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
|
||||
assert.match(s, /回信/);
|
||||
});
|
||||
|
||||
// ─── 状态写入点的档位解析（2026-09-14 线上事故的形状）───
|
||||
|
||||
test('★ 状态写入点：缺字段 → null（不写），不是默认档', () => {
|
||||
/*
|
||||
* 事故：补投路径漏传 `permission_mode`，插件拿 `undefined` 兜了默认档，
|
||||
* 把一条 **full 档会话**改写成了 workspace-write + ask。后果不是"这一轮被拦一次"
|
||||
* 而是一整轮工具能力降级（沙箱层就拒了），而且状态留在会话里。
|
||||
*
|
||||
* 规则：**默认值可以出现在决策里，不可以出现在状态写入里。**
|
||||
*/
|
||||
for (const missing of ['', ' ', undefined, null, 42, {}]) {
|
||||
assert.equal(modeForStateWrite(missing), null,
|
||||
`${JSON.stringify(missing)} 应当返回 null（= 不要写状态），而不是兜一个档`);
|
||||
}
|
||||
// 反面：有值就照共用契约收敛（含脏值 fail-closed 到默认档，与 Gateway 同语义）
|
||||
assert.equal(modeForStateWrite('full'), 'full');
|
||||
assert.equal(modeForStateWrite(' workspace '), 'workspace');
|
||||
assert.equal(modeForStateWrite('danger'), DEFAULT_MODE, '脏值仍按共用契约收敛，但这不是"缺字段"');
|
||||
assert.notEqual(modeForStateWrite(''), DEFAULT_MODE, '缺字段不能等于默认档 —— 那正是事故');
|
||||
});
|
||||
|
||||
@ -78,6 +78,43 @@ export function normalizeEnforcement(e) {
|
||||
: ENFORCE_ADVISORY;
|
||||
}
|
||||
|
||||
/**
|
||||
* **状态写入点**专用的档位解析：拿不到值就返回 `null`（= 不要写），绝不兜默认档。
|
||||
*
|
||||
* ## 为什么单开一个函数（而不是复用 normalizeMode）
|
||||
*
|
||||
* `normalizeMode` 的语义是「**要一个档位**时怎么收敛」——空/脏值都给默认档。
|
||||
* 那在**决策**里是对的（有个兜底），在**状态写入**里是错的：
|
||||
*
|
||||
* 2026-09-14 的线上事故正是这个形状：补投路径漏传 `permission_mode`，
|
||||
* 插件拿 `undefined` 走默认档，把一条 **full 档会话**写成了 `workspace-write`
|
||||
* —— 沙箱窄了、审批从 never 变 ask，之后每个受守卫的工具调用都去问一次，
|
||||
* 服务端按真实档位回 409，旧代码又当场拒绝。**一次状态写入，毁了整轮的工具能力**。
|
||||
*
|
||||
* 一句话规则（pi 提的）：**默认值可以出现在「决策」里，不可以出现在「状态写入」里**
|
||||
* —— 决策有默认值是兜底，状态写入有默认值是**篡改**。
|
||||
*
|
||||
* 于是分工是：
|
||||
* - 缺字段（空串 / undefined / 非字符串）→ `null`，调用方**跳过写入**，
|
||||
* 保留上一次由服务端给出的权威值；
|
||||
* - 有值 → 交给 `normalizeMode` 收敛（脏值仍按共用契约 fail-closed 到默认档，
|
||||
* 与 Gateway 的 `NormalizePermissionMode` 同语义 —— 这里不是"猜"，是同一份契约）。
|
||||
*
|
||||
* 跳过写入会不会 fail-open？**实测过方向的**：DSH 的默认沙箱就是
|
||||
* `workspace-write` + `ask`（见 dsh 客户端 `permissionSelectOf` 的初值），
|
||||
* 所以"新会话 + 缺字段"落到的是与共用契约同一个档，不会更宽；
|
||||
* 而"已有会话 + 缺字段"保留的是服务端先前给的权威值，下一个权威事件
|
||||
* （带档位的邮件 / 409 纠正 / 人在界面改档）会把它修正回来。
|
||||
*
|
||||
* @param {unknown} mode
|
||||
* @returns {string|null} 合法档位；`null` 表示**不要写状态**
|
||||
*/
|
||||
export function modeForStateWrite(mode) {
|
||||
const m = typeof mode === 'string' ? mode.trim() : '';
|
||||
if (m === '') return null;
|
||||
return normalizeMode(m);
|
||||
}
|
||||
|
||||
/**
|
||||
* 取两个档位里更严的那一个。
|
||||
*
|
||||
|
||||
@ -2,11 +2,6 @@ import assert from 'node:assert/strict';
|
||||
import test from 'node:test';
|
||||
|
||||
import { MAX_CATCHUP, mailToEvent, selectCatchup } from '../lib/catchup.js';
|
||||
import { readFileSync } from 'node:fs';
|
||||
import { dirname, join } from 'node:path';
|
||||
import { fileURLToPath } from 'node:url';
|
||||
|
||||
const HERE = dirname(fileURLToPath(import.meta.url));
|
||||
|
||||
const mail = (over = {}) => ({
|
||||
mail_id: 'm1',
|
||||
@ -85,17 +80,6 @@ test('seen 传 undefined 时不去重也不报错', () => {
|
||||
assert.deepEqual(got.map(e => e.mail_id), ['x']);
|
||||
});
|
||||
|
||||
/**
|
||||
* ★ 权限档位必须带过来（2026-09-14 生产事故的回归判据）。
|
||||
*
|
||||
* 现象：一条 full 档会话里只要有一封**补投**邮件，worker 就以为自己是 workspace 档，
|
||||
* 去申请审批 → 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮
|
||||
* bash/write/edit 全被拦（SSE 实时送达的邮件不受影响，只有补投的中招）。
|
||||
*
|
||||
* 这条判据本该早就存在：上面那条「与 SSE new_mail 同形」的断言只列了 6 个键，
|
||||
* **照抄了实现里搬的那几个字段** —— 于是"形状不一致"这件事恰好落在它的盲区里。
|
||||
* 盲区不是"漏了一个字段"，是"字段清单由被检查方提供"。
|
||||
*/
|
||||
test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => {
|
||||
const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' }));
|
||||
assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉');
|
||||
@ -106,69 +90,3 @@ test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误
|
||||
assert.equal(bare.permission_enforcement, '');
|
||||
assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰');
|
||||
});
|
||||
|
||||
test('★ 配对判据：worker 从事件里读的每个档位字段，补投都要产出', () => {
|
||||
/*
|
||||
* 上面那条只钉两个已知字段，将来 worker 再读一个 `msg.data?.xxx` 时它不会响。
|
||||
* 这条把**生产者与消费者配对**：worker 读哪些 `msg.data?.X`，`mailToEvent`
|
||||
* 就得产出哪些 X。字段清单不再由被检查方提供 —— 这正是上次漏掉档位的根因。
|
||||
* 与 narrow-layout 同一取舍：验形态，不验行为；重构敏感是它该做的提醒。
|
||||
*/
|
||||
const worker = readFileSync(join(HERE, '..', 'src/worker.mjs'), 'utf8');
|
||||
const read = new Set([...worker.matchAll(/msg\.data\?\.([a-z_]+)/g)].map(m => m[1]));
|
||||
assert.ok(read.size >= 4, `要能取到 worker 读的字段（实际 ${read.size} 个）`);
|
||||
const produced = new Set(Object.keys(mailToEvent(mail())));
|
||||
const missing = [...read].filter(k => !produced.has(k));
|
||||
assert.deepEqual(missing, [],
|
||||
`worker 会从事件里读这些字段，补投却没产出：${missing.join('、')} —— ` +
|
||||
'补投是重启后的唯一送达路径，缺字段等于那条路径静默降级（档位漏传就是这么出的）');
|
||||
});
|
||||
|
||||
/**
|
||||
* ★ 四桥配对：每个桥从投递事件里读的**邮件类**字段，补投都要产出。
|
||||
*
|
||||
* # 为什么这条判据存在
|
||||
*
|
||||
* 2026-09-14 的事故（full 档会话被误拦）根因是 `mailToEvent` 搬的字段太少，
|
||||
* 而它**单独看任何一个桥的测试都发现不了**：pi 的测试只列了自己关心的 6 个键
|
||||
* （照抄实现），dsh/zcode 读别的字段，各测各的。缺的字段在**接口**上，
|
||||
* 不在任何一侧的内部。
|
||||
*
|
||||
* 所以这条把四桥的读法与补投的产出**配对**，并且：
|
||||
* - 只认邮件类事件：`decision_mail_id / kind / note / suggestions / participants`
|
||||
* 属于权限**决策**事件（`permission_decision`），不走 mailToEvent —— 列进
|
||||
* ALLOW 并各写一句理由，别用"看起来像"糊过去；
|
||||
* - 白名单里的每一项都必须是**明确的非邮件事件字段**，加新的要写理由。
|
||||
*/
|
||||
const ALLOW = new Map([
|
||||
['decision_mail_id', '权限决策事件（permission_decision）的字段，不走补投'],
|
||||
['kind', '决策事件：同意/拒绝'],
|
||||
['note', '决策事件：备注'],
|
||||
['suggestions', '决策事件：选项'],
|
||||
['participants', '决策事件：参与方'],
|
||||
]);
|
||||
|
||||
test('★ 四桥配对：各桥读的邮件字段，补投都要产出（含决策字段白名单自检）', () => {
|
||||
const produced = new Set(Object.keys(mailToEvent(mail())));
|
||||
const bridges = [
|
||||
['dsh', '../../dsh-mail-bridge/src/index.ts'],
|
||||
['pi', '../src/worker.mjs'],
|
||||
['zcode', '../../zcode-mail-bridge/src/index.mjs'],
|
||||
];
|
||||
const problems = [];
|
||||
for (const [name, rel] of bridges) {
|
||||
const src = readFileSync(join(HERE, rel), 'utf8');
|
||||
const reads = new Set([...src.matchAll(/\b(?:data|msg\.data\?|ev)\.([a-z_]+)/g)].map(m => m[1]));
|
||||
const missing = [...reads].filter(k => !produced.has(k) && !ALLOW.has(k));
|
||||
if (missing.length) problems.push(`${name} 读但补投不产出：${missing.join('、')}`);
|
||||
}
|
||||
assert.deepEqual(problems, [],
|
||||
`${problems.join('；')}\n` +
|
||||
'补投是重启后的唯一送达路径，缺字段等于那条路径静默降级（档位漏传就是这么出的）。' +
|
||||
'若某个字段确实属于别的（非邮件）事件，请往本文件的 ALLOW 里加并写理由。');
|
||||
// 白名单自检：每个理由都非空，且确实是"决策事件"那一族（别拿"看起来像"糊过去）
|
||||
for (const [k, why] of ALLOW) {
|
||||
assert.ok(why.length >= 6, `ALLOW 里 ${k} 要写清为什么可以不产出`);
|
||||
}
|
||||
assert.ok(ALLOW.size <= 8, '白名单不许无限膨胀（它一膨胀这条判据就废了）');
|
||||
});
|
||||
|
||||
@ -0,0 +1,194 @@
|
||||
/**
|
||||
* 四桥**都**转发权限询问 —— 所以四桥都必须在 409 里认出「本档不该问」并放行。
|
||||
*
|
||||
* # 这条判据的来历（先记一笔错误，免得下一个人以为它天生存在）
|
||||
*
|
||||
* 我 2026-09-14 在回信里写过：「zcode / opencode 不转发权限询问（src 里没有
|
||||
* `permission/request`，也没有 409 分支），所以不需要改」。pi 要求把这句**否定性事实**
|
||||
* 变成常驻判据（"你查过了"只值一次），于是写了这条 —— **它当场就红给我看**：
|
||||
* zcode 的 `hooks/permission.mjs` 与 opencode 的 `index.js` 都在
|
||||
* `post('/permission/request')`，也都有永久失败（含 409）分支。
|
||||
*
|
||||
* 我上次查错的原因是**搜索面太窄**：只扫了 `<plugin>/src/*.mjs`，
|
||||
* 而 zcode 的转发在 `hooks/`、opencode 的实现就在根目录 `index.js`。
|
||||
* "我查过了"这句话本身没算错，错在**查的范围是随手定的**。
|
||||
*
|
||||
* 于是这条判据有两个用处：
|
||||
* 1. 四桥都转发 → 四桥都必须处理"409 带档位"这个情形（否则那条路径上工具调用
|
||||
* 会被自己人拦死）；
|
||||
* 2. **否定性事实必须变成判据** —— 否则它只靠人记得，而人（包括我）会记错。
|
||||
*
|
||||
* # 判据形态
|
||||
*
|
||||
* 表驱动：每个桥登记「409 + full 的放行写法」「是否要写回状态」「永久失败锚点」。
|
||||
* 找不到 → 红（不是跳过）："找不到"与"没有"在结果上必须区分开。
|
||||
*/
|
||||
import assert from 'node:assert/strict';
|
||||
import { readFileSync, readdirSync, statSync } from 'node:fs';
|
||||
import { dirname, join } from 'node:path';
|
||||
import { test } from 'node:test';
|
||||
import { fileURLToPath } from 'node:url';
|
||||
|
||||
const HERE = dirname(fileURLToPath(import.meta.url));
|
||||
const PLUGINS = join(HERE, '..', '..');
|
||||
|
||||
/**
|
||||
* 每个插件的**实现**入口（只看实现，不看测试）。
|
||||
*
|
||||
* 布局四个桥各不相同（实测：dsh/pi/zcode 有 `src/`，zcode 的转发放在 `hooks/`，
|
||||
* opencode 是根目录一个 `index.js`），所以显式登记而不是"扫 src、没有就算了"
|
||||
* —— 后者正是本仓最忌讳的**静默放行**：扫不到就等于判据永远为真。
|
||||
*/
|
||||
const IMPL = {
|
||||
'dsh-mail-bridge': ['src'],
|
||||
'pi-mail-bridge': ['src'],
|
||||
'zcode-mail-bridge': ['src', 'mcp', 'hooks'],
|
||||
'opencode-mail-bridge': ['index.js'],
|
||||
};
|
||||
|
||||
function readImpl(plugin) {
|
||||
const out = [];
|
||||
const walk = d => {
|
||||
for (const e of readdirSync(d, { withFileTypes: true })) {
|
||||
const p = join(d, e.name);
|
||||
if (e.isDirectory()) walk(p);
|
||||
else if (/\.(mjs|ts|js)$/.test(e.name)) out.push(readFileSync(p, 'utf8'));
|
||||
}
|
||||
};
|
||||
for (const rel of IMPL[plugin]) {
|
||||
const p = join(PLUGINS, plugin, rel);
|
||||
const st = statSync(p); // 登记了就必须在：找不到时抛 ENOENT 让判据红，别静默跳过
|
||||
if (st.isDirectory()) walk(p);
|
||||
else out.push(readFileSync(p, 'utf8'));
|
||||
}
|
||||
assert.ok(out.length > 0, `${plugin} 的实现文本读出来是空的 —— 判据的读法要跟着布局改`);
|
||||
return out.join('\n');
|
||||
}
|
||||
|
||||
/** 剥注释：判"代码里有什么"必须读剥离版（本仓规范） */
|
||||
const codeOnly = src =>
|
||||
src.replace(/\/\*[\s\S]*?\*\//g, '').replace(/(^|[^:])\/\/[^\n]*/g, '$1');
|
||||
|
||||
/** 一个桥的登记：放行写法、是否要写回状态、永久失败锚点 */
|
||||
const BRIDGES = [
|
||||
{
|
||||
plugin: 'dsh-mail-bridge',
|
||||
allow: /corrected === MODE_FULL/,
|
||||
mustWriteBack: /applyPermissionMode\(/,
|
||||
permanent: 'if (isPermanentFailure(e))',
|
||||
note: '409 里带 full 时放行，并把权威档位写回会话（否则沙箱仍是窄的）',
|
||||
},
|
||||
{
|
||||
plugin: 'pi-mail-bridge',
|
||||
allow: /permission_mode === MODE_FULL/,
|
||||
mustWriteBack: null,
|
||||
permanent: 'if (isPermanentFailure(e))',
|
||||
note: 'pi 的档位是 per-job 的，没有会话状态要写回',
|
||||
},
|
||||
{
|
||||
plugin: 'zcode-mail-bridge',
|
||||
allow: /permission_mode \|\| ''\) === 'full'/,
|
||||
mustWriteBack: null,
|
||||
permanent: 'if (isPermanentFailure(e))',
|
||||
note: 'hooks/permission.mjs 的 409 分支（该桥没有 sandbox/approval 旋钮）',
|
||||
},
|
||||
{
|
||||
plugin: 'opencode-mail-bridge',
|
||||
allow: /permission_mode \|\| ""\) === "full"/,
|
||||
mustWriteBack: null,
|
||||
permanent: 'if (isPermanentFailure(e))',
|
||||
note: 'index.js 的 permission.ask 钩子（status: ask | deny | allow）',
|
||||
},
|
||||
];
|
||||
|
||||
test('探测器自检：它认得出"有转发"的样子', () => {
|
||||
const has = src => /permission\/request/.test(src);
|
||||
assert.equal(has("await client.post('/permission/request', body)"), true);
|
||||
assert.equal(has("await client.get('/mail/inbox')"), false);
|
||||
});
|
||||
|
||||
test('★ 四桥都转发权限询问（我上次说"只有两个"是查错了）', () => {
|
||||
for (const b of BRIDGES) {
|
||||
assert.match(readImpl(b.plugin), /permission\/request/,
|
||||
`${b.plugin} 应当转发权限询问。若确实不再转发，请回来改这条判据并把理由写清楚 —— ` +
|
||||
`"我之前查过"不算理由（我就查错过一次）。`);
|
||||
}
|
||||
});
|
||||
|
||||
test('★ 四桥都必须认出「409 带 full → 放行」，且排在永久失败分支之前', () => {
|
||||
for (const b of BRIDGES) {
|
||||
const src = codeOnly(readImpl(b.plugin));
|
||||
assert.match(src, b.allow,
|
||||
`${b.plugin} 的 409 处理里找不到"服务端说 full 就放行"这一支：${b.note}。\n` +
|
||||
'缺了它的后果：补投漏传档位时按 workspace 档问人 → 服务端按真实档位回 409 → ' +
|
||||
'被当成"链上没有人类"拒绝，一条 full 档会话的工具调用全被自己人拦死。');
|
||||
if (b.mustWriteBack) {
|
||||
assert.match(src, b.mustWriteBack,
|
||||
`${b.plugin} 有会话档位旋钮，所以 409 里的权威档位还必须**写回会话**：` +
|
||||
'只放行修的是"问不问"，沙箱（能不能）还是窄的。');
|
||||
}
|
||||
const allowAt = src.search(b.allow);
|
||||
const permAt = src.indexOf(b.permanent);
|
||||
assert.ok(permAt >= 0,
|
||||
`${b.plugin} 找不到永久失败分支锚点 \`${b.permanent}\`（结构变了，判据要跟着改，别让它空转）`);
|
||||
assert.ok(allowAt >= 0 && allowAt < permAt,
|
||||
`${b.plugin} 里"full 放行"必须排在永久失败分支**之前**，否则永远不可达 —— ` +
|
||||
'整套跑得绿、实际走不到，是"文件里没有能红的路径"那一族。');
|
||||
}
|
||||
});
|
||||
|
||||
test('★ 判据自检：把放行那一支挪到永久失败分支之后，顺序判据必须能红', () => {
|
||||
const orderHolds = (src, b) => {
|
||||
const a = src.search(b.allow);
|
||||
const p = src.indexOf(b.permanent);
|
||||
return a >= 0 && p >= 0 && a < p;
|
||||
};
|
||||
for (const b of BRIDGES) {
|
||||
const src = codeOnly(readImpl(b.plugin));
|
||||
assert.ok(orderHolds(src, b), `前置：${b.plugin} 当前顺序正确，才谈得上"挪动"`);
|
||||
const a = src.search(b.allow);
|
||||
const p = src.indexOf(b.permanent);
|
||||
const swapped = src.slice(0, a) + src.slice(p) + src.slice(a, p);
|
||||
assert.equal(orderHolds(swapped, b), false,
|
||||
`自检失败：${b.plugin} 把放行那一支挪到后面之后，顺序判据居然还是绿的 —— 那它抓不到这个误编辑`);
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* ★ 生产者 / 消费者配对：档位这个键名，四平台的消费者都在读，补投也真的产出它。
|
||||
*
|
||||
* 事故的形状是「生产者漏字段、消费者照读」：补投路径少带 `permission_mode`，
|
||||
* 而 worker 那边 `msg.data?.permission_mode` 读到 `undefined` → 当 workspace 档去问人
|
||||
* → 服务端按真实档位回 409 → 被当"无人可问"拒绝，一整轮工具能力没了。
|
||||
*
|
||||
* 为什么这条放在**平台专属**文件里、而不是 `test/catchup.test.mjs`：
|
||||
* 后者是四平台**共用**的（`deploy/check-shared-libs.sh` 要求逐字节相同），
|
||||
* 一旦写进"pi 的 worker 在 src/worker.mjs"这种路径，四份就不再相同 ——
|
||||
* 我上一版正是这么干的，结果那个检查从 `153985e` 起一直红着，而我没跑过它。
|
||||
* 共用文件放**契约**（值/行为），平台专属文件放**跨平台配对**（来源/结构）。
|
||||
*/
|
||||
test('★ 配对：消费者读的档位键名，生产者必须产出（四平台逐一登记读取处）', async () => {
|
||||
// 消费者登记：每个平台从投递事件里读档位的那一行（找不到 → 红，不静默跳过）
|
||||
const CONSUMERS = [
|
||||
['pi', 'pi-mail-bridge/src/worker.mjs'],
|
||||
['dsh', 'dsh-mail-bridge/src/index.ts'],
|
||||
['opencode', 'opencode-mail-bridge/index.js'],
|
||||
['zcode', 'zcode-mail-bridge/hooks/permission.mjs'],
|
||||
];
|
||||
for (const [who, rel] of CONSUMERS) {
|
||||
const text = codeOnly(readFileSync(join(PLUGINS, rel), 'utf8'));
|
||||
assert.match(text, /permission_mode/,
|
||||
`${who}（${rel}）没有引用 \`permission_mode\` —— 要么它改读了别的键名，` +
|
||||
'要么它不再关心档位（后者要在本判据里写清为什么）');
|
||||
}
|
||||
|
||||
// 生产侧是**行为**判据：真的调一次 mailToEvent，看它产不产出这个键
|
||||
const { mailToEvent } = await import('../lib/catchup.js');
|
||||
const ev = mailToEvent({
|
||||
mail_id: 'm1', from_name: 'x', session_alias: 's', subject: 's', body: 'b',
|
||||
permission_mode: 'full', permission_enforcement: 'strict',
|
||||
});
|
||||
assert.ok('permission_mode' in ev,
|
||||
'补投事件必须产出 `permission_mode`：消费者读它，缺了就是"读到 undefined 当默认档"那场事故');
|
||||
assert.equal(ev.permission_mode, 'full', '有档位时不许丢；键名要与 SSE new_mail 逐字一致（蛇形）');
|
||||
});
|
||||
@ -14,6 +14,7 @@ import {
|
||||
normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
|
||||
dshSandboxMode, dshApprovalPolicy,
|
||||
piGuardedTools, piBlocksOutright, modeBriefing,
|
||||
modeForStateWrite,
|
||||
} from '../lib/permission-mode.js';
|
||||
|
||||
// ─── 归一化 ───
|
||||
@ -213,3 +214,24 @@ test('partial 与 native 一样要求把方案写在回信里（出路不能消
|
||||
const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
|
||||
assert.match(s, /回信/);
|
||||
});
|
||||
|
||||
// ─── 状态写入点的档位解析（2026-09-14 线上事故的形状）───
|
||||
|
||||
test('★ 状态写入点：缺字段 → null（不写），不是默认档', () => {
|
||||
/*
|
||||
* 事故：补投路径漏传 `permission_mode`，插件拿 `undefined` 兜了默认档，
|
||||
* 把一条 **full 档会话**改写成了 workspace-write + ask。后果不是"这一轮被拦一次"
|
||||
* 而是一整轮工具能力降级（沙箱层就拒了），而且状态留在会话里。
|
||||
*
|
||||
* 规则：**默认值可以出现在决策里，不可以出现在状态写入里。**
|
||||
*/
|
||||
for (const missing of ['', ' ', undefined, null, 42, {}]) {
|
||||
assert.equal(modeForStateWrite(missing), null,
|
||||
`${JSON.stringify(missing)} 应当返回 null（= 不要写状态），而不是兜一个档`);
|
||||
}
|
||||
// 反面：有值就照共用契约收敛（含脏值 fail-closed 到默认档，与 Gateway 同语义）
|
||||
assert.equal(modeForStateWrite('full'), 'full');
|
||||
assert.equal(modeForStateWrite(' workspace '), 'workspace');
|
||||
assert.equal(modeForStateWrite('danger'), DEFAULT_MODE, '脏值仍按共用契约收敛，但这不是"缺字段"');
|
||||
assert.notEqual(modeForStateWrite(''), DEFAULT_MODE, '缺字段不能等于默认档 —— 那正是事故');
|
||||
});
|
||||
|
||||
@ -203,6 +203,26 @@ async function main() {
|
||||
try {
|
||||
decision = await askHuman({ client, baseURL: client.baseURL, input, toolName, relayKey, sessionId });
|
||||
} catch (e) {
|
||||
/*
|
||||
* 409 有**两种**含义，正确反应相反（2026-09-14，与 dsh/pi 桥同一处缺陷）：
|
||||
*
|
||||
* - 「这条链上没有人类」→ 当场拒绝（下面的理由）；
|
||||
* - 「**本档根本不该问**」→ 服务端在回包里带 `permission_mode`。若是 full 档，
|
||||
* 这次询问本就不该发生（full 档工具调用无需审批），正确反应是**放行**。
|
||||
*
|
||||
* 什么时候会走到第二种：补投路径漏传档位（`lib/catchup.js`，同日已修），
|
||||
* 于是这一轮按 workspace 档拦下来问人，服务端按真实档位回 409 ——
|
||||
* 旧代码把它当「无人可问」拒绝，让一条 full 档会话的工具调用**全被自己人拦死**。
|
||||
*
|
||||
* **只认服务端明说的 full**：plan 档与"链上没有人类"照旧拒绝（猜宽了就是提权）。
|
||||
* 这个桥不写会话状态（没有 sandbox/approval 旋钮），所以只需修这一层；
|
||||
* dsh 桥那边还要把权威档位**写回会话**，否则沙箱仍然是窄的。
|
||||
*/
|
||||
if (Number(e?.status) === 409 && String(e?.body?.permission_mode || '') === 'full') {
|
||||
log(`服务端判定本会话为 full 档，放行本次询问（${relayKey}）：无需审批`);
|
||||
return approve();
|
||||
}
|
||||
|
||||
// 409 = 服务端判定这条任务链上没有人类，永远不会有人来点头。
|
||||
// 永久失败（4xx）同样不会因重试而改变 —— 两者都必须当场拒绝，
|
||||
// 让模型从工具报错里看到原因并自己改道（挂死时连重试机会都没有）。
|
||||
|
||||
@ -78,6 +78,43 @@ export function normalizeEnforcement(e) {
|
||||
: ENFORCE_ADVISORY;
|
||||
}
|
||||
|
||||
/**
|
||||
* **状态写入点**专用的档位解析：拿不到值就返回 `null`（= 不要写），绝不兜默认档。
|
||||
*
|
||||
* ## 为什么单开一个函数（而不是复用 normalizeMode）
|
||||
*
|
||||
* `normalizeMode` 的语义是「**要一个档位**时怎么收敛」——空/脏值都给默认档。
|
||||
* 那在**决策**里是对的（有个兜底），在**状态写入**里是错的：
|
||||
*
|
||||
* 2026-09-14 的线上事故正是这个形状：补投路径漏传 `permission_mode`，
|
||||
* 插件拿 `undefined` 走默认档，把一条 **full 档会话**写成了 `workspace-write`
|
||||
* —— 沙箱窄了、审批从 never 变 ask，之后每个受守卫的工具调用都去问一次，
|
||||
* 服务端按真实档位回 409，旧代码又当场拒绝。**一次状态写入，毁了整轮的工具能力**。
|
||||
*
|
||||
* 一句话规则（pi 提的）：**默认值可以出现在「决策」里，不可以出现在「状态写入」里**
|
||||
* —— 决策有默认值是兜底，状态写入有默认值是**篡改**。
|
||||
*
|
||||
* 于是分工是：
|
||||
* - 缺字段（空串 / undefined / 非字符串）→ `null`，调用方**跳过写入**，
|
||||
* 保留上一次由服务端给出的权威值；
|
||||
* - 有值 → 交给 `normalizeMode` 收敛（脏值仍按共用契约 fail-closed 到默认档，
|
||||
* 与 Gateway 的 `NormalizePermissionMode` 同语义 —— 这里不是"猜"，是同一份契约）。
|
||||
*
|
||||
* 跳过写入会不会 fail-open？**实测过方向的**：DSH 的默认沙箱就是
|
||||
* `workspace-write` + `ask`（见 dsh 客户端 `permissionSelectOf` 的初值），
|
||||
* 所以"新会话 + 缺字段"落到的是与共用契约同一个档，不会更宽；
|
||||
* 而"已有会话 + 缺字段"保留的是服务端先前给的权威值，下一个权威事件
|
||||
* （带档位的邮件 / 409 纠正 / 人在界面改档）会把它修正回来。
|
||||
*
|
||||
* @param {unknown} mode
|
||||
* @returns {string|null} 合法档位；`null` 表示**不要写状态**
|
||||
*/
|
||||
export function modeForStateWrite(mode) {
|
||||
const m = typeof mode === 'string' ? mode.trim() : '';
|
||||
if (m === '') return null;
|
||||
return normalizeMode(m);
|
||||
}
|
||||
|
||||
/**
|
||||
* 取两个档位里更严的那一个。
|
||||
*
|
||||
|
||||
@ -79,3 +79,14 @@ test('seen 传 undefined 时不去重也不报错', () => {
|
||||
const got = selectCatchup([mail({ mail_id: 'x' })], undefined);
|
||||
assert.deepEqual(got.map(e => e.mail_id), ['x']);
|
||||
});
|
||||
|
||||
test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => {
|
||||
const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' }));
|
||||
assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉');
|
||||
assert.equal(ev.permission_enforcement, 'strict');
|
||||
// 缺字段时给空串：**不猜档位**（猜宽了就是提权），由调用方 `|| 'workspace'` 兜底
|
||||
const bare = mailToEvent(mail());
|
||||
assert.equal(bare.permission_mode, '');
|
||||
assert.equal(bare.permission_enforcement, '');
|
||||
assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰');
|
||||
});
|
||||
|
||||
@ -14,6 +14,7 @@ import {
|
||||
normalizeMode, normalizeEnforcement, modeAtMost, modeNeedsHuman,
|
||||
dshSandboxMode, dshApprovalPolicy,
|
||||
piGuardedTools, piBlocksOutright, modeBriefing,
|
||||
modeForStateWrite,
|
||||
} from '../lib/permission-mode.js';
|
||||
|
||||
// ─── 归一化 ───
|
||||
@ -213,3 +214,24 @@ test('partial 与 native 一样要求把方案写在回信里（出路不能消
|
||||
const s = modeBriefing({ mode: MODE_PLAN, enforcement: ENFORCE_PARTIAL });
|
||||
assert.match(s, /回信/);
|
||||
});
|
||||
|
||||
// ─── 状态写入点的档位解析（2026-09-14 线上事故的形状）───
|
||||
|
||||
test('★ 状态写入点：缺字段 → null（不写），不是默认档', () => {
|
||||
/*
|
||||
* 事故：补投路径漏传 `permission_mode`，插件拿 `undefined` 兜了默认档，
|
||||
* 把一条 **full 档会话**改写成了 workspace-write + ask。后果不是"这一轮被拦一次"
|
||||
* 而是一整轮工具能力降级（沙箱层就拒了），而且状态留在会话里。
|
||||
*
|
||||
* 规则：**默认值可以出现在决策里，不可以出现在状态写入里。**
|
||||
*/
|
||||
for (const missing of ['', ' ', undefined, null, 42, {}]) {
|
||||
assert.equal(modeForStateWrite(missing), null,
|
||||
`${JSON.stringify(missing)} 应当返回 null（= 不要写状态），而不是兜一个档`);
|
||||
}
|
||||
// 反面：有值就照共用契约收敛（含脏值 fail-closed 到默认档，与 Gateway 同语义）
|
||||
assert.equal(modeForStateWrite('full'), 'full');
|
||||
assert.equal(modeForStateWrite(' workspace '), 'workspace');
|
||||
assert.equal(modeForStateWrite('danger'), DEFAULT_MODE, '脏值仍按共用契约收敛，但这不是"缺字段"');
|
||||
assert.notEqual(modeForStateWrite(''), DEFAULT_MODE, '缺字段不能等于默认档 —— 那正是事故');
|
||||
});
|
||||
|
||||
Reference in New Issue
Block a user