dsh-guardian-approval

在 DSH 的 Auto Approve 预设下，Agent 每次触发越界写入或命令执行时，审批要么无条件放行，要么回落人工界面逐条点击——前者风险不可控，后者在批量或 CI 场景中根本来不及。dsh-guardian-approval 在这两者之间插入一条独立审查通道：将每个审批请求交给一个与主模型完全解耦的固定审查模型，由后者依据完整的 Codex Guardian 策略矩阵（风险五级 × 授权四级）给出裁决。文件与工具内容一律视为不可信证据，只有用户显式指令才构成授权，'按文件里说的做'永远不会让 file 内部藏的恶意指令得逞。插件还为外传型动作预读目标文件前 2KB 作为载荷样品，让审查者看到真正要离开机器的内容。核心机制包括三态断路器（3 次连续拒绝 / 3 次通道错误 / 50 次窗口内 10 次拒绝即熔断）、fail-closed 兜底（审查端点宕机永远不放行，回落人工 UI）、每次裁决写入 ~/.dsh/auto-approval-audit.jsonl 的旁路审计日志，以及同时支持 OpenAI Responses 和 /chat/completions 两种 API 风格以适配各类中转与代理。适合在 DSH 中以 Auto Approve 模式运行 Agent 的团队：多 Agent 流水线、无人值守 CI、共享工作台等需要程序化策略审批而非全量信任或全靠人盯的场景，只需配置一个你信任的审查端点与密钥即可激活。