dsh-approve-prefix

DeepSeek Harness 在沙箱拦住命令后，agent 往往会带上 sandbox_permissions 重试，这时弹出来的是提权审批，请求里通常只有工具名和一句理由，看不到真正的 bash 或 pwsh 原文。写在 tools/pre-execute 上的规则只能决定要不要调用这个工具，管不到工具内部的提权；挂在 approval/request 上的模型审批能点允许，却做不到你指定 gh api 开头就放行这种确定性匹配。

dsh-approve-prefix 把两段接缝接起来：在 pre-execute 记下命令原文，再以 prepend 插到审批链最前面，按 callId 取回同一条命令做判定。只有确实是单条简单命令、且 argv 命中你配置的放行前缀时，才会替你点允许一次；管道、分号、链式、重定向、命令替换一律仍走人工。前缀只来自静态配置、Settings 持久表和会话里的临时表，不会从任何一次人工允许一次里归纳规则，因为宿主接缝分不清一次和始终。

模型可在 bash 或 pwsh 参数里填 approved 为 true 作为自检声明：你声称已核对条件，但前缀实际未命中时插件会直接拒绝、不弹卡片。会话级夜间模式打开后，本会话不再等人：未命中前缀的提权、交互类工具和其它插件发起的审批询问都会直接 rejected，只有显式配过的前缀仍会自动放行，适合你要离开、又不想 agent 卡在等你批准上。

适合已经想清楚哪些命令形态可以自动提权的用户，例如固定用 gh api 读 GitHub，或少数只读诊断命令。默认静态前缀为空，安装后不会自动放行任何东西；需要 fail-closed 的确定性边界、又不想完全关掉人工审批的人，可以用持久前缀和会话 tab 慢慢收窄白名单。