deepseek-harness/packages/bash/pwsh-sandbox/README.zh.md

@deepseek-ai/dsh-pwsh-sandbox

English | 中文

沙盒消费型的 ctx.bash 执行器 seam 的 PowerShell 实现：每条命令以 pwsh -NoLogo -NoProfile -NonInteractive -Command <command> 运行，经 ctx.sandbox 隔离，选定模式、强制完整性、拒绝事实都盖在每次结算的结果上。它是 @deepseek-ai/dsh-bash-sandbox 的 pwsh 孪生，按 pwsh 执行器与工具决策 逐调用镜像——隔离实体本身是平台无关的：Windows 上沙盒 seam 解析到 ACL 受限令牌 runner 链（@deepseek-ai/dsh-sandbox-windows-acl），Linux/macOS 上解析到 bwrap/Landlock/Seatbelt。

执行器继承 @deepseek-ai/dsh-pwsh-local 的进程机制，并消费其 argv 级 seam（argv() / runArgv() / startArgv() / onProcessDone()）把精确的 pwsh 调用经 provider 包装。沙盒策略（模式 + 工作区根目录）不是本包的配置：每次调用由 ctx.sandboxPolicy 随行（工具层传调用会话解析后的策略；直接调用回退到部署策略）。

行为

• danger-full-access：命令经本地执行器原样运行；结果携带 sandbox: { mode, denied: false }。
• 受限模式（read-only、workspace-write）：pwsh argv 由 ctx.sandbox.confine() 包装；runner 启动失败按 fail-closed 抛 SANDBOX_UNAVAILABLE（前台抛错、后台记 runnerFailed 事实），被拒绝的写按所选后端的 denialSignatures 分类为 sandbox.denied。

模型体验

隔离生效，拒绝以命令失败呈现

模型看到受限命令自身的 stderr（Windows ACL runner 下如 Access to the path '...' is denied.）；工具层把分类后的拒绝转成标准权限拒绝面，与 bash 工具完全一致。

已知限制

• Windows 上读不受限（ACL runner 只限写）；读边界文档在 @deepseek-ai/dsh-sandbox-windows-acl。
• Windows workspace-write 的临时区域是真实临时目录（GetTempPathW）。这是有意为之的后端自定义选择，与 Landlock 的决策（readWrite: ['/tmp', ...]）同类：seam 的 "backend-defined temp area" 词汇表允许它，tests/acl.e2e.ts 的逃逸探针也正是因此位于 temp 树之外。按运行创建私有临时目录（bwrap --tmpfs /tmp 的语义）还需 runner 改写环境块——这是可选的进一步加固，而非正确性缺口。
• Windows read-only 是严格零授权——连 NUL 设备都不可写；> $null 重定向不受影响（后端包有文档）。