🧩

dsh-sandbox-console-fix

admin-security 更新于 2026.10.19

在终端中运行以下命令：

dsh plugin install TJZF-4j97/dsh-sandbox-console-fix

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中打开插件管理器，执行 dsh plugin install TJZF-4j97/dsh-sandbox-console-fix，或从 https://github.com/TJZF-4j97/dsh-sandbox-console-fix 安装对应 bundle 后重启 Harness。

插件介绍

在 Windows 桌面版 DeepSeek Harness 里，workspace-write 沙箱下的 shell 往往会立刻失败：Electron 宿主是 GUI 子系统、没有控制台，受限子进程在初始化阶段无法继承或创建控制台，常见退出码为 0xC0000142。read-only 与 danger-full-access 仍可用，问题集中在「无控制台宿主 + workspace-write」这一组合。

本插件通过 Cordis 补丁在 Windows 上替换沙箱提供方：在 runner 派生受限令牌之前，向进程令牌 Default DACL 合并与官方 read-only 路径一致的 Everyone 全访问 ACE；若合并失败，则回退为隐藏窗口的 AllocConsole 并恢复标准句柄。受限令牌的完整性、能力 SID、拒绝 ACE 与文件策略均未放宽，实测工作区外写入仍被拒绝。

适合仍在使用已归档 workaround、且 Harness 以提升权限方式运行（UAC 关闭或以管理员启动）的用户。若 runner 为非提升启动，官方 runner 通常已能正常启动 workspace-write 子进程，一般无需安装；上游在 setTokenDefaultDaclGrant 的一行修复落地后，本包也可卸载。安装前请自行阅读 index.js、console-shim.mjs 与 cordis.patch.yml：代码为 AI 生成且未经人工审计。