2 Commits

Author	SHA1	Message	Date
JianFeeeee	9fa509844a	feat(pi-bridge): 有沙箱时 workspace 档不再逐条问人 —— 界内不问、界外内核拒 ... 沙箱上线后，"工作区档"的语义第一次可以按档位表兑现：**边界是内核在守**，再问一遍 只是让人点一次"同意"，点完该失败的还是失败（人点了也挡不住内核）。所以闸门改成 **按档位 × 有没有沙箱** 决策，纯函数收在 `lib/sandbox.js`： | 档位 | 沙箱 | 决定 | |---|---|---| | full | 任意 | allow（发件人已声明全权） | | plan | 任意 | block（本档只许看；沙箱是第二层） | | workspace | **在** | **allow** ← 这一步改的（界内不问、界外 EACCES） | | workspace | 不在 | ask（回退到原来那唯一一层） | 没有沙箱时**继续问** —— 这条是"不会更松"的保证：沙箱缺失/未装/被关掉时行为与改前 逐字一致。 ## 标记不等于事实：worker 自证 `AGENTMAIL_PI_SANDBOXED=1` 只是父进程的**声明**。判断错会让闸门既不问也不拦 （最坏的一类），所以 worker 现场自证一次：往界外写一个金丝雀（`/.agentmail-sandbox-canary-<pid>`， 根目录永远不在 rw 里）—— 写得进去 ⇒ 判为"没有沙箱"，**退回逐条问人**（方向取严）； 被拒（EACCES/EROFS/EPERM）⇒ 在边界内。结果缓存在进程级。 ## 顺带把 plan 档变成真的只读 plan 档的 rw 清单**不含会话工作区**（只有临时目录/pi 会话登记/桥配置/`/dev/null`）： "一个字都不许写"从"钩子拒绝 + 提示词"{升级为内核第二层。 ## 判据 - `sandbox-launch.test.mjs` 10 条（原 6 + 新 4）：决策矩阵四档 × 有无沙箱、 自证两侧（被拒=在边界内；能写=必须判"没沙箱"）、plan 档 rw 不含工作区、 "pool 设标记 + worker 自证 + 走 guardDecision"三处接线在。 - 变异：把 workspace+sandboxed 改回 'ask' ⇒ 那条断言红。 - pi 桥全套 489 项通过。 - ★ 又被自己撞一次同类坑并当场红：新变量起名 `decision`，与同一个函数里后面那个 `const decision = await new Promise(...)` 撞名 ⇒ SyntaxError。上一轮的 `spawn` 撞名也是这一族（局部名与既有作用域重名），两次都是**语法检查/测试**立刻抓到。 ## 文档 `docs/PLAN.md` §7.11 的 L5 矩阵与"向更严取整"那条纪律、`docs/API.md` 的档位表 都改成新语义（有沙箱=内核拒、无沙箱=逐条问），并写明 pi 的沙箱为什么必须由宿主提供。	2026-09-14 23:50:35 +08:00
JianFeeeee	64f002cf66	feat(pi-bridge): worker 按档位套沙箱 —— plan/workspace 进 Landlock 边界，full 档不进 ... 上一步（1f48c5c）做出并验了边界工具；这一步把它接到 worker 的启动路径上， 于是「工作区档 = 本目录内可动」第一次由**内核**保证。 ## 规矩 - `plan` / `workspace` 档 → `am-sandbox --rw <会话工作区> … -- node worker.mjs` - `full` 档 → **不套**（发件人已声明全权，与档位表一致） - 拿不到会话工作区 → **不套**，并把理由打进日志（猜一个 `--rw` 会让"界内也写不了"） - 启动方式从 `fork` 换成 `spawn`（fork 只会 exec node，套不进中间那层）， `stdio` 里带 `'ipc'` 时 node 同样设 `NODE_CHANNEL_FD`，而沙箱是 exec 透传 ⇒ worker 的 `process.send` 照常可用 ## rw 清单是**实测得出**的，不是想当然 `lib/sandbox.js` 里那几条（会话工作区 / `os.tmpdir()` / `<agentDir>/sessions` / `AGENTMAIL_CONFIG_DIR` / `--rw-file /dev/null`）每条都对应一个真实的失败模式： 少了 `/dev/null`，`cmd 2>/dev/null` 一律 Permission denied（实测撞到）；少了 `<agentDir>/sessions`，回合结束保存会话就失败。真机验证：一个**真实的 pi agent** 跑在边界里，界内写成功、`/opt` 被拒（Permission denied），并如实汇报两者。 ## 两处必须收成一处的东西 - 会话工作区由**父进程**用与 worker 同一个函数解析（`resolveWorkspaceCwd`）—— 父进程猜一个目录当 rw、worker 落在另一个，症状是最难查的那一类 - `piMailFallback` 从 worker 挪进 `lib/workspace.js`：父进程要用同一个兜底值 ## 判据与踩到的坑 - `sandbox-launch.test.mjs` 6 条行为断言（套/不套、rw 里有 cwd 与 /dev/null、 `--` 之后是 node+worker、拿不到 cwd 时的理由、env 开关三态、rw 去重与只收存在的路径）。 变异"永不套沙箱" ⇒ 恰好那几条红。 - ★ 池测试原先会**随这台机器装没装 am-sandbox 而变** —— 那正是假绿的来源。 给 `createWorkerPool` 加了 `env` 注入点，测试显式 `AGENTMAIL_PI_SANDBOX=off`。 - ★ 给 import 起名 `spawn` 撞上本文件已有的 `function spawn(job)` ⇒ 自己调自己 （`RangeError: Maximum call stack size exceeded`，池测试当场红）。改名 `spawnProcess`。 - pi 桥全套 485 项通过。	2026-09-14 23:43:06 +08:00