feat(composer): 运行权限三档 —— 「请求审批」真的逐次询问,「全部批准」给默认行为一个诚实的名字 (#1413)

[jinjunnn]

Fixes #1413

用户看到什么

输入框「运行权限」菜单从两项变成三项,每一项都做它名字说的事:

项	主标签 · 副标题	提交时发出的 agent	引擎里发生什么
1(新会话默认)	全部批准 · 改文件/执行命令不再询问	不带(引擎默认 build)	edit / bash 直接放行 —— 这就是此前「请求审批」的真实行为,现在有了诚实的名字
2	请求审批 · 逐次询问	alpha-ask	edit / bash 各进一次待批队列,不批就不执行(fail-closed)
3	只读 · 不能改文件/执行命令	alpha-readonly	edit / bash deny;逐字不变

改了什么(M)

• 主进程 alpha-config-injection.ts:多注入一个 hidden agent alpha-ask = build + edit: ask + bash: ask
  (显式带上 build 对 defaults 的 question / plan_enter: allow 覆盖,否则「请求审批」会比默认档少掉 question 工具;
  刻意无 prompt —— 给了 prompt 就会在 llm/request.ts:64 顶掉整份底座提示词)。ALPHA_INJECTED_AGENTS 加入它(治理不许 disable/hide)。
• renderer composer-state.ts:PermMode = "allow" | "ask" | "readonly";提交层不再是 if (readonly) … else … 的二元分支,
  改为穷举表 PERM_AGENT: Record<PermMode, string | null>(少一档 typecheck 红);新会话默认档 = allow。
  alpha-composer.tsx 三个 menuitemradio 由 PERM_MODES 生成,标签/副标题/图标同样按 Record<PermMode, …> 穷举;
  ask 与 readonly 一样压过手选档位(计划 chip 置灰,title 点名是哪一档压的;Shift+Tab、装配弹窗计划行同步)。
• ext 登记簿 context-injection.ts:允许没有 prompt 的 agent(只登记 description),库存快照重生(44 → 45 段);
  ui-mac 咽喉 config-injection-throat.test.ts 改为消费登记簿自己算的 id 集,并断言 alpha-ask 不写 prompt 键。
• 文案 zh/en:permAllow / permAllowHint 新增;planReadonly → planLocked(带档名参数)、readonlyPlan → permLockedPlan。
• CSS:[data-mode="allow"] 用 --a-warning(活稿 design.css .chip.perm[data-mode="full"] 同款);ask 中性色;readonly 不变。

AC 实测(全部是真跑的输出,不是推导)

AC1 —— 引擎层真 Permission.Service.ask(packages/opencode/test/permission/alpha-composer-tiers.test.ts,4 pass / 0 fail)

真 injectAlphaConfig(临时盘,不读 owner 配置)→ 真 Agent.Service → 真 Permission.ask,ALPHA_PERMISSION_ASK_TIMEOUT_MS=300:

ASK build external_directory "/Users/nobody/Downloads/x" -> unanswered       ← 正样本:探针读得出「真的在问」
ASK alpha-readonly bash "ls" -> denied                                      ← 反样本 / AC3:只读是 deny,不是 ask
ASK alpha-readonly edit "src/index.ts" -> denied
ASK build bash "rm -rf node_modules && bun install" -> passed-through       ← 对照臂「全部批准」:不弹框
ASK build edit "src/index.ts" -> passed-through
ASK alpha-ask bash "rm -rf node_modules && bun install" -> unanswered       ← 被测臂「请求审批」:进待批队列,无人批 ⇒ UnansweredError(fail-closed)
ASK alpha-ask edit "src/index.ts" -> unanswered

unanswered = Permission.UnansweredError(instanceof RejectedError,processor 据此把回合置 blocked),pending 全程清空。
另一条用例 AC1':alpha-ask + bash 进 list(),reply: once 之后 Exit 成功 —— 是问不是拒。
矩阵用例:alpha-ask 与 build 对每一把内置权限键的 evaluate 只在 bash / edit 上不同,Permission.disabled 工具表逐字相同,
external_directory / doom_loop / read *.env 两者都仍是 ask(没有顺手放宽),alpha-ask.prompt === undefined。

变异实测(做完已还原,git status 干净):alpha-config-injection.ts 把 alpha-ask 的 bash: "ask" 改成 "allow" ⇒ 该文件 1 pass / 3 fail(AC1、AC1'、矩阵三条当场红)。

AC4 —— 三档提交的请求体逐字节不同(生产 buildPromptRequest 直接打印)

DEFAULT_PERM = allow
PERM_AGENT = {"allow":null,"ask":"alpha-ask","readonly":"alpha-readonly"}
allow     agent=null  -> {"parts":[{"type":"text","text":"hi"}]}
allow     agent=plan  -> {"parts":[{"type":"text","text":"hi"}],"agent":"plan"}
ask       agent=null  -> {"parts":[{"type":"text","text":"hi"}],"agent":"alpha-ask"}
ask       agent=plan  -> {"parts":[{"type":"text","text":"hi"}],"agent":"alpha-ask"}
readonly  agent=null  -> {"parts":[{"type":"text","text":"hi"}],"agent":"alpha-readonly"}
readonly  agent=plan  -> {"parts":[{"type":"text","text":"hi"}],"agent":"alpha-readonly"}

composer-state.test.ts 把这三个字符串钉成精确断言(17 pass)。变异实测:PERM_AGENT.ask 改成 null(= REQ-126 退休掉的那个假档形状)⇒
composer-state.test.ts 2 条 + shell-commands.test.ts 1 条当场红(36 pass / 3 fail),还原后回绿。

AC2 —— 真壳里三档各自可选、标签各自正确(shell-commands.test.ts,22 pass)

真 PermChip 挂载 → 3 个 menuitemradio、标签两两不同、每项都有非空副标题槽 → 逐档真点 → 提交层 agent
{allow: undefined, ask: "alpha-ask", readonly: "alpha-readonly"} 三个互不相同;composer-a11y.test.ts 的可达性用例改成 3 项。

AC3 —— 只读逐字不变

注入面 alpha-readonly 的 permission 一格未动;config-injection-throat.test.ts 13/13、alpha-config-injection.test.ts 14/14;
引擎层上表两条 denied;真组件 cases(alpha-composer-model.cases.ts #884 ⑤–⑯、new-session-workspace.cases.ts #891/#894)里所有
alpha-readonly 载荷断言原样保留,只把「默认档」从 "ask" 改成 "allow"、「退出只读的那一行」从「请求审批」改成「全部批准」。

本地门(真实输出)

• typecheck:ui-mac 0 / ext 0 / opencode 0(error TS 计数;opencode 那份在把 injectAlphaConfig 改成非字面量路径动态 import 之前是 3 条 —— 静态 import 会把 ui-mac 主进程整张图拖进 opencode 的 tsconfig)
• packages/ext context-injection.test.ts:31 pass / 0 fail(条数不变,登记簿快照 diff 只多 agent.alpha-ask.description 一行)
• packages/opencode alpha-composer-tiers.test.ts:4 pass / 0 fail(已登记 scripts/gate-files.tsv,精确 4 条)
• packages/ui-mac 定点:composer-state 17、throat 13、injection 14、shell-commands 22、a11y 2、autocomplete-core、locale-regression、builtin-policy、cloud-web-search 全绿;
  两个组件宿主(alpha-composer-model.component.test.ts / new-session-workspace.component.test.ts)2 pass;gate-file-registry.test.ts 22/22
• packages/ui-mac 全量 bun test src:见下方「与 base 的差」
• north-star guard:✓ zero upstream package edits
• docs gate:✓ 96 relative link(s) resolve across 6 file(s);git diff --check 干净
• pre-push 钩子(alpha-check.sh 14 步):见下方

与 base fail-set 的差

base(origin/alpha @ 8c8867c90,主 session 给的 fail-set):5321 pass / 0 fail。
本分支(pre-push 钩子里跑的那一遍,树 = 14ac7b986,随后 99130e4b9 只改 TSV 一行、钩子再跑一遍同样 5323 / 0,ALPHA_KNOWN_FAILS_FILE 口径):5323 pass / 0 fail(Ran 5323 tests across 382 files)。
差集:+2 条新用例(composer-state.test.ts 的「请求审批 → alpha-ask」与「AC4 三份请求体」),0 条红,0 条消失。
另:ext 208/208,contracts-consumer 60/60,app 724/724;[6/14] 逐文件精确条数全绿(含新登记的 4 条)。

pre-push 钩子(alpha-check.sh 14 步)结果:[1]–[10]、[12] 全 ✓;[11/14] 3 个 BYOK provider 本机无 key ⇒ 那几条「未验证」(与本票无关);
[13/14] 只量不拦;[14/14] 模块体积棘轮响了(不拦 push):
packages/ui-mac/src/main 实测 59117 > 基线 59075(+42)—— 这 42 行全是本 PR 的非测试新增(alpha-config-injection.ts +30、alpha-agents.ts +12),
按棘轮的规矩已在本 PR 里人手把那一行基线抬到 59117 并在 TSV 同一行写明理由(99130e4b9;第二次过钩子 ✓ packages/ui-mac/src/main 59117 行(= 基线),全量仍 5323 / 0);ext-install-planner.ts 3539 > 3525(+14)不是本 PR 的(origin/alpha 上就是 3539),没有动它。
阈值告警(>800 行的被改文件 alpha-composer.tsx 1861 / en.ts 1887 / zh.ts 1847)都是既有大文件各加了几行,本 PR 不拆它们。

环境(按《本机验证陷阱》补齐后再量):electron/{dist,path.txt} 软链主 checkout;alpha_fence.node 用 bun run --cwd packages/ui-mac build:fence-addon 在本树现编。
第一遍全量是在我边改边跑时量的(污染,15 条红全部可归因于改到一半的默认档),作废不采;上面的数字取自钩子里对最终树的那一遍。

文档影响

design(活稿 §07 改成落地形状 + components.md 登记 #perm)、architecture(勘破文档 §11 后记、context-injection 登记簿文档第四个 agent、quality-gate-environments §3.6)、
release(CHANGELOG.md [Unreleased] Fixed)、gate registry(scripts/gate-files.tsv +1 行)。没有出新的设计增量稿:活稿 §07 自最初提交起就是三档,本票只把第一档的措辞与「映射」注改成落地的机制。

我主动没做的(请主 session 裁)

1. 打包版真机端到端(点选 → IPC → sidecar → 弹框)没有跑。 本 PR 的 AC1 证据是引擎层(真注入 + 真权限服务)。真机那一格按仓内惯例归 RC 检查单 / VERIFY 票。
2. 默认档定成「全部批准」是我定的可回滚默认值:理由 = 它就是此前默认档的真实行为(从没碰过 chip 的用户改前改后请求逐字节相同)+ 活稿 §07 的默认选中项就是它。若 owner 要「新会话默认请求审批」,只改 composer-state.ts 的 DEFAULT_PERM 一处(测试里的默认断言跟着改)。
3. 「请求审批」与「只读」一样压过计划模式 / 第三方主档(计划 chip 置灰并点名)。另一种做法是让计划赢 —— 但那会让「请求审批 + 计划」下 bash 又不问了,正是本票要消灭的形状。没有为 plan 造 alpha-plan-ask(票面边界:不动 plan 档)。
4. Settings → 「自动批准权限」总闸(settings.tsx:561-577,勘破 §8.1 说它今天开了也没有可命中的记录)与本菜单语义重叠,未动。要不要退休它,是另一张票。
5. alpha-readonly 注入面上那条与实测矛盾的注释(alpha-config-injection.ts:201-203「question/task 允许」,实测 question = deny)未改,只在本 PR 的设计上没有照它做。
6. alpha-ask 没有逃生 env(其余三个 alpha agent 各有 ALPHA_*_DISABLE):agent 缺席 = 引擎具名报错(fail-closed),不是静默回到全放行;若要对齐可另加。
7. 顺带观察(不在本票):alpha-readonly 带自己的 prompt,按 llm/request.ts:64 它会整段顶替底座提示词 —— 只读档今天跑在一句话的系统提示上。本 PR 没有动它。

🤖 Generated with Claude Code