dsh-workspace-acl-allow

DeepSeek Harness 从 0.1.7 起在 grantWrite 写入时附加 Low 完整性标签，目录上仅有「修改」继承权限时，宿主往往无法完成写入，沙箱启动受限进程会直接失败，会话只好反复申请「完全访问」并弹出确认框。本插件针对的是你**事先声明**的工作区根目录：在 Windows 上预置一条包含「修改属主」在内的完全控制 ACL，让宿主那一次授权写入能够成功，从而把受限执行留在日常流程里。

它并不替代 dsh 自身的授权逻辑——不处理能力标识、不写完整性标签、不改目录属主、也不撤销已有权限。授权只在你明确表达意图时触发：在 dsh 里新增工作区，或在插件详情页的「工作区授权白名单」里手动添加路径；已注册的工作区会在插件加载时补齐。插件也不会因为你在某目录下开会话就静默放宽权限，这是刻意的安全取舍。

与上游 0.2.0-rc.2 自带的 diagnose-windows-sandbox-acl 技能不同，官方路径是工具报错后的反应式修复且每次踩坑都可能要批准升权；本插件走的是声明时预授权，覆盖你列出的目录并尽量零弹框，失败状态可在列表里看见并重试。内置保护清单会拒绝盘符根、系统目录、用户配置根等敏感路径，且仅支持 Windows。

适合在 Windows 上长期使用 dsh、工作区落在普通用户目录且不想每次工具失败都点升权的人；若你更信任「出错再修」的官方技能，或只需偶发修单条路径，可以不必依赖本插件。注意：移除列表条目不会撤销已写入的 ACL，副作用与 dsh 工作区模型类似——当前用户对该目录会从继承修改变为显式完全控制。