Input hardening: path confinement policy + resource limits for file-taking tools (follow-up finding from PsychQuant/macdoc#134 verify)

[kiki830621]

Problem

6-AI verify（R1 findings #2/#9/#14，DA 已降級 severity 但值得追蹤）：全部 245 tools 沿用「caller 提供任意路徑即讀寫」的 local-MCP 信任模型，無根目錄限制、無覆寫保護、無檔案大小/zip-entry 上限。script-pipeline tools 與既有 surface 一致，但 server-wide 的 input-hardening 政策值得一次設計：可讀寫根目錄 allowlist（opt-in config）、既有檔案覆寫確認參數、讀取上限（大檔/zip-bomb）。

Source

• Verify report: che-word-mcp: align with the .mdocx script pipeline (ooxml-swift v1.4.0 + reverse/slots parity) macdoc#134 (comment)
• 適用範圍：全 tool surface（非僅 script-pipeline 三工具）

Refs PsychQuant/macdoc#134

---

Current Status

Phase: diagnosed
Last updated: 2026-07-16 by idd-diagnose

Key Decisions

• Complexity = Plan；next: /idd-plan Input hardening: path confinement policy + resource limits for file-taking tools (follow-up finding from PsychQuant/macdoc#134 verify) #166

Scope Changes

• (none)

Blocking

• (none)

[kiki830621]

Diagnosis

Type

feature（security hardening）

Root Cause / Analysis

6-AI verify（#134 R1 findings #2/#9/#14，DA 降級後仍值得追蹤）指出：全部 245 tools 沿用「caller 提供任意路徑即讀寫」的 local-MCP 信任模型——無根目錄限制、無覆寫保護、無讀取上限。script-pipeline tools 與既有 surface 一致（非新引入的漏洞），但這是 server-wide 的既有信任模型問題，值得一次設計而非逐工具補。

三個可分離的硬化面：

1. 路徑限制：opt-in 的可讀寫根目錄 allowlist（config），拒絕越界路徑
2. 覆寫保護：既有檔案覆寫需明確 overwrite: true（或至少 output==input 拒絕）
3. 資源上限：讀取的 docx/script 大小 + zip-entry 數上限（防 zip-bomb / 大檔阻塞 actor）

Impact

• 影響檔案：跨多個 tool handler（讀寫路徑的共用入口）+ 新 config schema + 可能新 helper（path validation / size guard）
• 影響流程：不可信 caller / prompt-injection 間接驅動時的攻擊面；使用者誤設 output==input 毀損輸入檔的 footgun

Strategy

• 設計共用 path-validation helper（allowlist 檢查 + canonical path 解析防 symlink 逃逸）
• 設計 size/entry-limit guard（RawPartChannel 讀取入口）
• config schema：allowlist 根目錄、預設覆寫政策
• 逐一接線既有寫檔 tools（family-wide，非僅 script-pipeline）
• 測試：越界路徑拒絕、output==input 拒絕、超限檔案拒絕

Conflict Class

C_shared_module_coord —— 具名共享資源：全 tool surface 的檔案 I/O 入口（RawPartChannel.readAllParts 讀取路徑 + 各 handler 的 source.write / writeAuthoringPackage 寫入路徑），path-validation 是被 ≥2 handler 共用的新 shared helper。

Complexity

Plan

• Layer 2 未滿足 Spectra：不對外暴露新 published tool contract（是既有 surface 的信任模型硬化，非新 API/protocol）；改的是內部政策
• 觸發 Layer P：risk-sensitive 邊界（security path-traversal / input hardening）+ shared abstraction（path-validation helper 被多 handler 引用）+ decision-heavy（allowlist vs overwrite-guard vs size-limit 三個可分離決策，範圍要在 plan-mode 拍板）

Risks

• allowlist 預設過嚴會破壞既有 legitimate 使用（維護者對任意路徑操作 docx 是常態）——預設政策需謹慎（可能 opt-in 而非強制）
• family-wide 接線漏一個 handler = 政策有洞

Residue

「完全零信任」在 local-MCP 模型下無法 operationalize——MCP server 以 user 身分跑、本就能碰 user 能碰的檔；本 issue 交付的是降低誤用 / 間接驅動的攻擊面，不是沙箱隔離（那需 OS-level 機制，超出 MCP server scope）。

---

Hard-gate: triggered — 單一概念（path/resource confinement）預期散佈 ≥5 個 tool handler（export/execute/markdown-export/readback 等寫檔工具）+ 動到 shared abstraction（新 path-validation helper 被多 handler 引用）。Plan verdict 與硬閘一致。

Vagueness Pre-check

• V1: 3 — WHAT 大致明確但三個硬化面的邊界待 plan 拍板
• V4: 3 — 驗收明確：越界/超限/output==input 拒絕測試
• Triggered: no — both axes ≤ 3