135 lines
6.2 KiB
Go
135 lines
6.2 KiB
Go
package main
|
||
|
||
import (
|
||
"context"
|
||
"fmt"
|
||
"log/slog"
|
||
"strings"
|
||
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/capability/restrict"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/logger"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/agent"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/loop"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/model"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/orchestration"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/orchestration/audit"
|
||
"git.yeij.top/AskaEth/Cyrene_v2/internal/services/approvalreview"
|
||
)
|
||
|
||
// 本文件是 design/11 §4「敏感操作代审」在组合根上的全部接线（裁决 13.4.3 +
|
||
// 主人 2026-10-05 裁决的口径 A）：
|
||
// - 装配**实质判定**（是否子代理发起、判「有没有越界」、fail-closed）；
|
||
// - 构建代审门与其归属解析；
|
||
// - 构建 loop 的准入钩子，把代审记录交网关落 audit_logs 并广播前端小字，
|
||
// 并让判定理由出现在那行小字里。
|
||
//
|
||
// 判定本身与拒绝语义在 audit.Approver（边界判定、fail-closed）与
|
||
// services/approvalreview（轻量审查模型调用）。
|
||
|
||
// approvalJudgeFor 构建敏感操作代审的实质判定器：复用既有审查模型范式
|
||
// （design/12 §6 策略四的轻量审查模型，见 services/approvalreview 与
|
||
// wire_channels.go 的 reviewFor），注入**同一个** model.Adapter，不另造 LLM 包装。
|
||
//
|
||
// 无模型适配器时返回 nil：门对**子代理**的敏感调用随即 fail-closed（判不出来不放行），
|
||
// 而主会话自身的调用不受影响（口径 A 只管子代理）。
|
||
func approvalJudgeFor(llm model.Adapter, log *slog.Logger) audit.CallJudge {
|
||
if llm == nil {
|
||
return nil
|
||
}
|
||
return approvalreview.NewLLMJudge(llm, logger.WithSource(log, "services/approvalreview"))
|
||
}
|
||
|
||
// approvalExplainWithReason 把小字与判定理由拼在一起（design/11 §4 的固定句式在前，
|
||
// 理由作括号后缀在后），使前端那行小字能说清「为什么被拒」。reason 为空时原样返回，
|
||
// 因此放行与未判定的路径与加入判定之前逐字一致。
|
||
func approvalExplainWithReason(explain, reason string) string {
|
||
reason = strings.TrimSpace(reason)
|
||
if reason == "" {
|
||
return explain
|
||
}
|
||
return explain + "（" + reason + "）"
|
||
}
|
||
|
||
// buildApprovalGate 构建敏感操作代审门（design/11 §4；裁决 13.4.3）。
|
||
//
|
||
// 归属解析取 Run 上下文里的会话 id 与该 turn 的角色名，使前端小字既投到
|
||
// 正确的会话、也写明是谁想动手（design/11 §4 的「xxx(角色名)」）。会话 id 用
|
||
// loop.FlowOwnerFromContext：子代理的敏感调用归属到**派生它的那个会话**
|
||
// （与 design/19 §2 的 flow 归属同一口径），所以小字出现在主人正在看的对话里，
|
||
// 而不是一个没人查看的子代理 id 下。
|
||
func (a *app) buildApprovalGate(approver *audit.Approver) *restrict.Gate {
|
||
return restrict.NewGate(
|
||
auditReviewer{approver: approver},
|
||
func(ctx context.Context) (string, string) {
|
||
return loop.FlowOwnerFromContext(ctx), a.approvalActor(ctx)
|
||
},
|
||
restrict.WithGateLogger(a.log),
|
||
)
|
||
}
|
||
|
||
// toolAdmissionHooks 构建 loop 的工具准入钩子（design/11 §4；裁决 13.4.3）：
|
||
// 敏感调用先经主代理代审，代审记录交给网关落 audit_logs 并广播前端小字；
|
||
// 未获代审的调用以软结果回灌给模型（绝不执行，绝不静默）。非敏感调用直接放行。
|
||
//
|
||
// 只装 CallAdmit：敏感与否取决于**该次调用的参数**（file 的 read 自主、
|
||
// write 代审），批量钩子（BatchAdmit）看不到参数，做不出这个区分。
|
||
// 组合根按 loop 的既有契约装配，因此这条链也覆盖子代理的敏感调用
|
||
// （编排层派生的 loop 共享同一组钩子）——而那正是口径 A 的判定对象。
|
||
func (a *app) toolAdmissionHooks(gate *restrict.Gate) loop.ToolLoopHooks {
|
||
return loop.ToolLoopHooks{
|
||
CallAdmit: func(ctx context.Context, call agent.ToolCall) *loop.ToolCallVeto {
|
||
// 判定理由经按调用的理由盒带出来：代审门的 Reviewer 契约只回
|
||
// (allowed, error)，而小字要说清「为什么被拒」（口径 A）。
|
||
ctx, note := audit.WithDecisionNote(ctx)
|
||
decision := gate.Admit(ctx, call.Name, call.Args)
|
||
if decision.Approval != nil {
|
||
decision.Approval.Explain = approvalExplainWithReason(decision.Approval.Explain, note.Reason())
|
||
// a.gw 在 wireFrontend 才建好；RecordApproval 对 nil 接收者安全。
|
||
a.gw.RecordApproval(ctx, *decision.Approval)
|
||
}
|
||
if !decision.Allow {
|
||
return &loop.ToolCallVeto{Block: true, Reason: decision.Reason}
|
||
}
|
||
return nil
|
||
},
|
||
}
|
||
}
|
||
|
||
// auditReviewer 把 orchestration/audit 的 Approver 适配成代审门的 Reviewer
|
||
// （design/11 §4；裁决 13.4.3 要求复用该 Approver，而不是另起一套代审）。
|
||
// 它把 Approval 收敛成 (allowed, error)，并把被拒时的判定理由写进 ctx 上的
|
||
// 理由盒（audit.DecisionNote），使冻结的 Reviewer 契约之外仍有一条结构化通道
|
||
// 把「为什么被拒」送到前端小字。前端小字文案本身仍由 restrict 复用
|
||
// audit.Approval.Explain 的固定句式产出。
|
||
type auditReviewer struct{ approver *audit.Approver }
|
||
|
||
// ReviewAndApprove 执行一次代审；approver 缺席时复用编排层的 ErrNoApprover
|
||
// （门据此 fail-closed 拦截敏感操作，绝不静默放行）。
|
||
func (r auditReviewer) ReviewAndApprove(ctx context.Context, actor, action, describe string) (bool, error) {
|
||
if r.approver == nil {
|
||
return false, fmt.Errorf("review-and-approve: %w", orchestration.ErrNoApprover)
|
||
}
|
||
ap, err := r.approver.ReviewAndApprove(ctx, actor, action, describe)
|
||
if err != nil {
|
||
return false, fmt.Errorf("review-and-approve: %w", err)
|
||
}
|
||
if !ap.Allowed {
|
||
audit.DecisionNoteFrom(ctx).SetReason(ap.Reason)
|
||
}
|
||
return ap.Allowed, nil
|
||
}
|
||
|
||
// approvalActor 解析代审小字里的「谁想动手」：该 turn 绑定的角色名，
|
||
// 未绑定时回落到默认角色；角色名解析不出来就用角色 id（小字宁可用 id
|
||
// 也要说清是谁，但绝不编造一个名字）。
|
||
func (a *app) approvalActor(ctx context.Context) string {
|
||
pid := loop.SessionEnvFrom(ctx).PersonaID
|
||
if pid == "" {
|
||
pid = a.defaultPersonaID()
|
||
}
|
||
if name := a.personaName(pid); name != "" {
|
||
return name
|
||
}
|
||
return pid
|
||
}
|