中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
18!!js process.env.DSH_TUI_PERSONA ?? 'You are a coding agent.'
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
29!!js process.env.DEEPSEEK_BASE_URL
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
24!!js "process.platform === 'win32' ? 'never' : ((process.env.DSH_PERMISSION_MODE ?? 'workspace-write') === 'danger-full-access' ? 'never' : 'ask')"
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
85!!js process.env.DSH_TUI_RESUME_SESSION ?? process.env.DSH_CC_RESUME_SESSION ?? undefined
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:110GitHub 110!!js process.platform !== 'win32'
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-CONFIG-001Cordis 配置包含可执行 !!js 表达式
置信度 高L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:125GitHub 125!!js process.platform === 'win32'
规则备注 · 表达式访问模块、进程或网络，超出读取注入服务的常规用法
!!js 是 DSH 的官方配置机制；只有表达式引入模块、访问进程或网络时才超出常规用法。
修复建议只读取注入的服务；需要更多能力时改为结构化配置并记录副作用。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
16override: id=system-prompt config[persona]
规则备注 · 改写配置 系统提示词（system-prompt）
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
55override: id=agent-instructions disabled=true
规则备注 · 关闭 Agent 指令（agent-instructions）
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
66override: id=compaction-basic disabled=true
规则备注 · 关闭 compaction-basic
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
68override: id=plan-mode disabled=true
规则备注 · 关闭 plan-mode
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
71override: id=skill-filesystem disabled=true
规则备注 · 关闭 skill-filesystem
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
74override: id=tool-bash disabled=true
规则备注 · 关闭 Bash 工具（tool-bash）
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
77override: id=tool-fs disabled=true
规则备注 · 关闭 文件工具（tool-fs）
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
80override: id=tool-fs-search disabled=true
规则备注 · 关闭 tool-fs-search
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
86override: id=tool-jobs disabled=true
规则备注 · 关闭 tool-jobs
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
89override: id=tool-pwsh disabled=true
规则备注 · 关闭 tool-pwsh
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
98override: id=tool-skill disabled=true
规则备注 · 关闭 tool-skill
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
108override: id=tool-subagent disabled=true
规则备注 · 关闭 tool-subagent
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
110override: id=tool-subagent-control disabled=true
规则备注 · 关闭 tool-subagent-control
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
113override: id=tool-subagent-fork disabled=true
规则备注 · 关闭 tool-subagent-fork
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
125override: id=tool-workflow disabled=true
规则备注 · 关闭 tool-workflow
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
128override: id=workflow-worker-thread disabled=true
规则备注 · 关闭 workflow-worker-thread
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-001覆盖安全关键宿主能力
置信度 高L3 · DSH 权限语义
135override: id=sandbox-policy config[mode,workspaceRoot]
规则备注 · 改写配置 沙箱策略（sandbox-policy）
模型研判功能所需
sandbox-policy覆盖仅在Windows无沙箱后端时退化为danger-full-access，其余平台默认workspace-write且可经DSH_PERMISSION_MODE配置，属TUI作为终端前门的标准权限管理。
按 id 覆盖或关闭 sandbox、approval、credentials 等行，会让整个 DSH 实例的信任边界由插件代码决定。
修复建议逐项解释并最小化安全关键能力替换，同时接受人工复核。
中HT-PERMISSION-001覆盖安全关键宿主能力
置信度 高L3 · DSH 权限语义
142override: id=approval config[policy]
规则备注 · 改写配置 工具审批（approval）
模型研判功能所需
approval覆盖policy与sandbox-policy逻辑一致，仅Windows或danger-full-access模式下跳过询问，其余场景仍为ask，是TUI承接交互式审批面板的必要行为。
按 id 覆盖或关闭 sandbox、approval、credentials 等行，会让整个 DSH 实例的信任边界由插件代码决定。
修复建议逐项解释并最小化安全关键能力替换，同时接受人工复核。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 高L3 · DSH 权限语义
150override: id=session-persistence-jsonl config[root]
规则备注 · 改写配置 会话持久化（session-persistence-jsonl）
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-001覆盖安全关键宿主能力
置信度 中L3 · DSH 权限语义
21override: id=approval name=@deepseek-ai/dsh-user-approval config[policy]
规则备注 · 替换实现 工具审批（approval）；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
模型研判功能所需
cordis.yml中approval行注册dsh-tui自身为交互式审批实现，policy表达式与patch完全一致，且备注说明该独立配置需用户手动应用才生效，非默认自动执行。
按 id 覆盖或关闭 sandbox、approval、credentials 等行，会让整个 DSH 实例的信任边界由插件代码决定。
修复建议逐项解释并最小化安全关键能力替换，同时接受人工复核。
中HT-PERMISSION-001覆盖安全关键宿主能力
置信度 中L3 · DSH 权限语义
101override: id=subprocess name=@deepseek-ai/dsh-subprocess-local
规则备注 · 替换实现 子进程执行（subprocess）；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
模型研判功能所需
subprocess行仅声明bash执行器所需的本地子进程管理实现@deepseek-ai/dsh-subprocess-local，无参数覆盖，是终端代理运行bash工具的必要组件。
按 id 覆盖或关闭 sandbox、approval、credentials 等行，会让整个 DSH 实例的信任边界由插件代码决定。
修复建议逐项解释并最小化安全关键能力替换，同时接受人工复核。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
121override: id=tool-fs name=@deepseek-ai/dsh-tool-fs
规则备注 · 替换实现 文件工具（tool-fs）；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
136override: id=subagent name=@deepseek-ai/dsh-subagent
规则备注 · 替换实现 subagent；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
148override: id=tool-subagent name=@deepseek-ai/dsh-tool-subagent config[provider,toolName,backgroundMode,maxDepth]
规则备注 · 替换实现 tool-subagent；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
156override: id=tool-subagent-fork name=@deepseek-ai/dsh-tool-subagent config[provider,toolName,backgroundMode,maxDepth]
规则备注 · 替换实现 tool-subagent-fork；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
185override: id=commands name=@deepseek-ai/dsh-commands
规则备注 · 替换实现 commands；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
191override: id=plan-mode name=@deepseek-ai/dsh-plan-mode config[section]
规则备注 · 替换实现 plan-mode；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:99GitHub 99override: id=tool-bash disabled=true name=@deepseek-ai/dsh-tool-bash
规则备注 · 关闭 Bash 工具（tool-bash）；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:107GitHub 107override: id=tool-pwsh name=@deepseek-ai/dsh-tool-pwsh
规则备注 · 替换实现 tool-pwsh；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:170GitHub 170override: id=tool-fs name=@deepseek-ai/dsh-tool-fs
规则备注 · 替换实现 文件工具（tool-fs）；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:172GitHub 172override: id=tool-fs-search name=@deepseek-ai/dsh-tool-fs-search config[sampleOverCapGlobResults]
规则备注 · 替换实现 tool-fs-search；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:209GitHub 209override: id=tool-jobs name=@deepseek-ai/dsh-tool-jobs
规则备注 · 替换实现 tool-jobs；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
中HT-PERMISSION-002覆盖敏感宿主能力
置信度 中L3 · DSH 权限语义
presets/liangshen/agent.cordis.yml:223GitHub 223override: id=skill-filesystem name=@deepseek-ai/dsh-skill-filesystem
规则备注 · 替换实现 skill-filesystem；该配置随包分发但未被 dsh.bundle 引用，只有用户手动应用时才生效
改写系统提示词、模型调用、会话持久化或工具行会改变 Agent 的行为与数据去向。
修复建议在 README 中说明覆盖了哪些行及原因，并尽量只重述必要的配置键。
低等级发现 26 项 · 计入结论但不改变状态展开
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
30spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
30node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
3spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
3node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/leak-pty-stress.cjs:8GitHub 8execSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/leak-pty-stress.cjs:8GitHub 8node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-bun-package.mjs:6GitHub 6spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-bun-package.mjs:6GitHub 6node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-child-stderr.tsx:20GitHub 20node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-child-stderr.tsx:40GitHub 40node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-jediterm.tsx:37GitHub 37spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-jediterm.tsx:37GitHub 37node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-launcher.mjs:24GitHub 24spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-launcher.mjs:24GitHub 24node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-prompt-debug.mjs:10GitHub 10spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-prompt-debug.mjs:10GitHub 10node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-resume-legacy-events.mjs:35GitHub 35spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/verify-resume-legacy-events.mjs:35GitHub 35node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/with-publish-manifest.mjs:4GitHub 4spawnSync
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
scripts/with-publish-manifest.mjs:4GitHub 4node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
src/dsh-adapter/childStderr.ts:15GitHub 15child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
src/dsh-adapter/childStderr.ts:22GitHub 22child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
1node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
src/utils/clipboard.ts:37GitHub 37node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
src/utils/execFileNoThrow.tsGitHub 1node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低HT-EXEC-001直接创建宿主子进程
置信度 中L2 · 静态分析
src/utils/externalEditor.ts:37GitHub 37node:child_process
修复建议通过 DSH 受控执行边界运行命令，并公开参数与审批策略。
低置信度命中 2 项 · 不计入结论展开
中HT-INSTALL-002Git 安装会触发 prepare 构建脚本
置信度 低L1 · 供应链
88"prepare": "node scripts/prepare-guard.mjs && npm run compile"
规则备注 · 该插件以 npm/tarball 预构建方式分发，prepare 不在用户机器上执行
修复建议发布预构建制品（npm 或 GitHub Release tarball），并记录源码与发布包的一致性证明。
高HT-RUNTIME-001动态代码执行
置信度 低L2 · 静态分析
scripts/verify-cordis-approval.mjs:44GitHub 44new Function(
模型研判已清洗
new Function 仅在开发期校验脚本中对仓库自身 cordis.yml/cordis.patch.yml 内硬编码的 !!js 表达式求值做回归测试，输入不来自用户或网络。
修复建议使用静态模块和受约束的配置解析器，避免执行动态字符串。
