沙箱

这是使用沙箱能力的 @deepseek-ai/dsh-shell 执行器 seam 的 Service Provider。加载它时，应用它替代 @deepseek-ai/dsh-bash-local，并同时加载 ctx.sandbox 提供方（例如 @deepseek-ai/dsh-sandbox-local）及 ctx.sandboxPolicy；默认模式和工作区根目录由后者负责，并与受沙箱约束的文件系统共享这些设置。无需使用替代工具插件；dsh-tool-bash 会检测执行器的 sandboxMode 能力并…

文件型凭据提供方：四层来源，一套明确的优先级。

SandboxedFileSystem 扩展 LocalFileSystem 并注册为 ctx.fs。它逐字继承全部文本存储机制（解析、stat、读取／流式读取、列出、原子写入、按读取、匹配、写入顺序执行的编辑临界区），只为 writeText/editText 增加按调用的模式围栏。读取始终直接通过：所有模式都允许读取。

通过 ctx.permissionPresets（PermissionPresetService）提供面向用户的权限预设。每个配置名称都会将 sandbox/mode 与 approval/policy 组成一组；默认项为 workspace-write（workspace-write + ask）和 danger-full-access（danger-full-access + never）。UI 适配器可以将该表作为单个选择器公开，而沙箱执行与审批仍分别消费各自的调节项。

沙盒消费型的 ctx.shell 执行器 seam 的 PowerShell 实现：每条命令以 pwsh -NoLogo -NoProfile -NonInteractive -Command <command> 运行，经 ctx.sandbox 隔离，选定模式、强制完整性、拒绝事实都盖在每次结算的结果上。它是 @deepseek-ai/dsh-bash-sandbox 的 pwsh 孪生，按 pwsh 执行器与工具决策 逐调用镜像——隔离实体本身是平台无关的：Windows 上沙盒 seam 解析到 ACL 受限…

dsh-sandbox seam 的本地实现。它选择并缓存一个平台 runner：Linux 优先选择可工作的 bwrap，否则选择 Landlock；macOS 使用 Seatbelt；Windows 使用 ACL 受限令牌 runner。多个候选项会按顺序探测，只有一个候选项时则直接选择。

沙箱策略解析的唯一归属位置：部署默认 SandboxMode 与回退根目录，加上每个会话的持久模式覆盖和不可变工作区根目录。每项负责强制执行的能力在每次调用时都会收到一项解析完成的模式与根目录策略；模型在每次请求前会收到当前策略，而不会另收一份能力清单。

与通道无关的一次性审批 seam。ctx.approval.request(req) 返回 allowed-once、rejected、cancelled 或 unavailable；应答者缺失或失败时会以拒绝方式关闭，授权也只适用于所请求的操作。确切事件签名见 approval.md 的生成区块。

阻止 DSH 文件工具读取常见凭据存储、SSH 密钥与机密文件。