实战 06：简易 OpenCode——权限、Sandbox、LSP、MCP 与插件

#1、本篇任务：安全增加 Bash、LSP、MCP、Skills 与插件

核心 Server 稳定后才能扩展能力。本篇建立统一扩展边界：所有能力都进入 Tool Registry、Permission Engine、事件流和审计；扩展不能绕过主运行时直接操作宿主。

#2、权限规则模型

规则至少匹配 agent/mode、tool、资源 pattern、action 和 scope：

复制{
  "agent": "build",
  "tool": "bash",
  "pattern": "npm test *",
  "action": "ask",
  "scope": "project"
}

决策顺序：系统硬 deny → Plan mode deny → Session 精确规则 → Project 规则 → Global 默认。记录 matched rule 和解释。external_directory 单独权限；MCP 工具使用命名空间如 github_*，支持整组 deny 和单工具 ask。

#3、Bash Tool

命令 parser 至少提取程序、argv、cwd、环境变量请求、shell 特性和网络意图。第一版不接受原始 shell 语法，只运行 allowlisted program + argv；需要完整 shell 时必须 Sandbox + ask。

复制type ExecRequest = {
  program: string;
  args: string[];
  cwd: string;
  timeoutMs: number;
  envNames: string[];
};

禁止继承全部 Server 环境；只注入 PATH 和明确变量。终止时杀进程组；限制 stdout/stderr；记录退出码、signal、耗时和 artifact。rm、网络下载、包安装、Git push 等使用单独风险策略。

#4、Sandbox 生命周期

每个 Session 或 Project 创建隔离容器/VM：输入仓库只读或独立 worktree；输出目录可写；非 root；资源和 pids 限制；默认无网络；镜像固定 digest；无 Docker socket、SSH、云主密钥。

复制create sandbox → mount workspace → readiness
→ execute tools → snapshot artifacts
→ idle TTL → destroy

Server 保存 sandbox ID 与状态。恢复时 sandbox 已销毁则从 base commit + Patch artifacts 重建；不可重建的临时进程状态明确丢失，不伪装恢复。

#5、LSP 工具

LSP 提供 definition、references、hover、symbols、diagnostics、call hierarchy。为每种语言维护 Server 进程池和 workspace folder；请求带 document URI、position 和 timeout；结果规范化成内部 schema并截断。

LSP 是代码理解辅助，不是权威编译器。编辑后等待文档同步/diagnostics 更新；测试仍运行 formatter、typecheck 和真实 suite。LSP 子进程也在 workspace/sandbox 限权。

#6、Formatter 与测试钩子

文件写入后按扩展名选择固定 formatter；formatter 修改产生第二份 Patch Part，必须计入最终 diff。测试/formatter 配置来自 ProjectProfile 或可信配置，不由模型构造任意命令。

执行顺序建议：apply → formatter → LSP diagnostics → targeted tests → optional full tests。每步可取消、有 artifact、有预算。

#7、MCP Server

本地 stdio MCP 与远程 HTTP MCP 都当第三方进程/服务。配置包含 server 名称、固定命令或 URL、环境变量 allowlist、认证、startup/call timeout、工具 allowlist 和权限前缀。

启动时拉取工具 schema并校验；名称冲突加 namespace；resource/prompt/tool output 都是不可信数据；远程 OAuth/token 不进入模型或 trace。高风险 MCP 工具仍通过本地 Permission Engine。

#8、Skills 与自定义 Agents

Skill 是版本化说明和可选资源，加载时进入 Context Builder；它不自动获得工具权限。Agent profile 定义 system prompt、model、mode、工具/权限和是否可作为 subagent。

只读 reviewer：edit/bash deny；build agent：edit ask、测试 allow；research agent：web/MCP allow、workspace 只读。子 Agent 返回结构化摘要和 artifact，不把全部轨迹回主 Session。

#9、插件 Hook

插件可监听 session/message/tool 生命周期，但必须有 manifest：版本、权限、配置 schema、hook 列表和签名/来源。tool.execute.before 可拒绝或缩小输入，不能静默扩大权限；after 可做审计/格式化，不能篡改已批准 Patch 而不产生新 hash。

插件崩溃隔离、超时；关键安全插件 fail-closed，非关键 UI/日志插件 fail-open；所有插件版本写 trace。

#10、供应链与更新

固定 MCP/插件/Skill 版本与哈希；审查安装来源；依赖锁文件；更新先在测试 Project 跑安全与回归评测；配置变更可回滚。项目仓库中的 Skill/Agent 文件属于不可信代码内容，需用户确认后启用。

#11、验收

Plan agent 无法借 MCP/插件绕过 edit deny；bash 参数无法注入 shell；Sandbox 不能读宿主密钥或访问未允许网络；LSP 卡死不拖垮 Server；formatter 改动显示在 diff；MCP output 注入不改变系统规则；插件 before hook 不能把一次批准扩为其他路径；卸载扩展后 Session 仍可读取历史 Part。

官方参考：OpenCode Permissions、LSP、MCP Servers、Plugins。