功能建议:IM(企业微信)会话支持指定工作目录与会话级权限限制(只读/禁执行)

[cindy-issue]

提交人: Aqua
客户端版本: 0.1.52

---

使用场景

希望通过企业微信远程使用 Cindy 访问本地工程目录,但企业微信是群内远程入口,群成员 @机器人 即可触发 Cindy,不应让所有会话都拥有完整读写与执行权限:

• 部分会话/群只允许查询代码、文档、日志(只读);
• 少数受信任会话放开写权限;
• 希望能用一段自定义约束提示词限制行为范围(如「只回答与某项目相关的问题」)。

当前痛点

1. 企业微信会话工作目录被固定分配在托管路径 im-working-dir/wecom-<会话ID>,不能在应用内指定/切换(功能建议：为 IM（企业微信）会话支持配置/切换工作目录到自定义路径 #1413 已详述);
2. 会话没有可配置的行为限制手段:无法声明「只读」「禁止执行命令」这类策略,也无法为该会话注入自定义约束提示词;
3. 由 1+2,目前只有「完全隔离的沙箱会话」一种形态,缺少「受限地访问真实目录」的中间档——要么全无权限,要么(若未来放开目录)全权限。

诉求

1. 工作目录:渠道默认 + 会话覆盖——企业微信渠道设一个默认目录,个别会话可覆盖为其他目录;
2. 权限/提示词限制:同样渠道默认 + 会话覆盖,形式为预设开关 + 自定义提示词:
   • 预设开关:如「只读模式(禁写文件、禁 shell)」「禁执行命令」「禁文件写入」;
   • 自定义提示词:一段可编辑的约束文本,注入该会话的系统提示词。

建议方案

• 两级配置:渠道设置(企业微信默认值)+ 会话属性(覆盖),未覆盖时继承渠道默认;
• 预设开关走硬限制(工具层拦截,如只读模式下不暴露写/执行类工具),自定义提示词走软约束(提示词层引导),两者可叠加;
• 机制可泛化到其他 IM 渠道(飞书/Telegram/Discord/钉钉),企业微信为首个诉求渠道;
• 目录部分与 功能建议：为 IM（企业微信）会话支持配置/切换工作目录到自定义路径 #1413 互补,可合并实现。

(配置粒度与形式已与提出用户确认:渠道默认+会话覆盖、预设开关+自定义提示词。)

OS: win32 x64 (10.0.22621)
界面语言: zh-CN

[dash-s-cindy]

判断

远程受限访问真实工程目录有明确用户价值，建议继续处理。当前主干已经具备“渠道默认权限档 + 会话级权限切换”的基础能力；真正尚未补齐的是：

1. 企业微信渠道的可配置默认工作目录；
2. “禁止文件写入”“禁止执行命令”等可验证、跨 Agent 生效的硬限制预设；
3. 企业微信渠道或会话范围的自定义软约束。

进一步检查发现，当前企业微信的触发边界比描述中更严格：首个完成单聊的用户会绑定为本机 owner，此后 acceptOwner() 对单聊和群聊都要求消息发送者等于该 owner。也就是说，当前并不是“任意群成员 @ 机器人即可操作本机 Agent”。如果产品未来要允许其他群成员触发，应作为单独的多人授权与安全模型决策，不应在本需求中顺带放宽现有 owner 门禁。

行动

建议把需求拆成三个可独立推进的部分：

1. 工作目录并入 功能建议：为 IM（企业微信）会话支持配置/切换工作目录到自定义路径 #1413 推进：优先补企业微信渠道默认目录，复用个人微信已经验证过的原生目录选择、路径校验、失效回退和 owner-scoped 持久化；配置只对新会话及显式 /new 生效，不静默移动已有会话。
2. 复用现有权限配置链路，不另建重复层级：企业微信设置页已经接入渠道默认设置，会话内也已支持 /permission 并持久化覆盖。新增能力应聚焦现有权限档无法表达的硬策略，而不是重新实现“渠道默认 + 会话覆盖”。
3. 先确认硬策略语义，再实现工具层拦截：需要产品明确“只读”“禁执行”“禁写”的精确定义及组合关系。自定义提示词只能作为软约束，不能代替工具执行边界。

已确认的现状

1. 企业微信工作目录仍固定为 Cindy 托管目录

当前快照 cbcbe66648726dfdb18d3755f9693b249b1e9dd3 中，apps/desktop/src/main/im/wecom/adapter.ts 的 ensureWorkingDir(botId) 固定返回：

<owner-scoped userData>/im-working-dir/wecom-<safeBotId>

这里没有读取渠道工作目录设置，也没有企业微信专属的选择、重置或失效提示入口。因此目录诉求仍然成立，主干尚未修复。

需要注意：目录实际按 bot ID 生成，而不是按每个企业微信会话 ID 生成；同一 bot 下的不同 lane 会建立不同 Cindy session，但默认工作目录来自同一个 bot 级托管目录。

2. 渠道默认权限档已经存在

apps/desktop/src/renderer/components/settings/WecomBotSection.tsx 已挂载：

<ImDefaultSettingsSection channel="wecom" ... />

该设置链路可配置新企业微信会话的 Agent、模型、来源、推理强度和权限档。apps/desktop/src/main/im/index.ts 的 WECOM_CONFIG 也从共享 IM 默认设置读取 defaultPermissionMode。

因此，“企业微信没有渠道级权限配置”与当前主干情况不符。

3. 会话级权限覆盖也已经存在

共享 IM 命令层 apps/desktop/src/main/im/shared/slashCommands.ts 已支持 /permission。纯文本渠道会列出当前 Agent 支持的权限档，并通过 changeSessionPermissionMode()：

• 更新活跃运行时的权限档；
• 持久化到 sessions.permissionMode；
• 持久化失败时尽力回滚运行态；
• 切换到完全访问时要求显式确认。

apps/desktop/src/main/im/shared/sessionRepo.ts 也明确把 permissionMode 作为会话字段保存，新会话继承渠道默认，之后由会话自己的 /permission 修改。

所以现有产品已经形成“渠道默认、新会话继承、会话内覆盖”的基本模型。缺少的是更细的工具能力策略和应用内会话属性入口，而不是整个继承机制。

4. 现有权限档不等同于所提硬限制预设

现有 permissionMode 主要控制审批与执行授权流程，不能直接等价为：

• 禁止所有 shell；
• 允许读取但禁止任何文件写入；
• 禁止进程执行但保留其它工具；
• 对所有 Claude Code、Codex、Pi 工具和 MCP 工具采用完全一致的能力裁剪。

仓库已有 TurnPermissionPolicy，能够在工具执行前强制确认特定调用；个人微信和 Telegram 群成员场景已使用该机制保护高风险操作。但“必须确认”仍不等于“无条件禁止”，也不等于精确的只读能力集。

因此，如果产品确认需要新的硬预设，应建立独立、结构化、跨 harness 的能力策略，并在实际执行边界 fail closed。仅向 system prompt 写入“不要执行”不足以构成权限限制。

5. 自定义 system prompt 目前只有用户级入口，没有 IM 渠道/会话入口

Desktop 已有 owner-scoped 的用户级 system prompt：

• apps/desktop/src/renderer/lib/userPromptStore.ts 在 Renderer 本地持久化；
• 创建普通会话时通过 userPrompt 传入；
• 仅在 Agent session 启动时形成快照，已启动会话不会热更新。

企业微信编排目录下没有 userPrompt 接线。因此“企微渠道默认 + 会话覆盖”的自定义约束目前确实不存在，但它应被明确标注为软约束，而不是安全边界。

6. 当前企业微信群并非任意成员入口

packages/lizi-im/src/wecom/index.ts 的 acceptOwner() 行为是：

1. 尚未绑定 owner 时，只接受单聊，并把发送者绑定为 owner；
2. 已绑定后，仅当当前发送者等于 owner 时才接受消息；
3. 非 owner 的单聊或群消息直接丢弃。

已合并的 #1107 也把该 owner TOFU 门禁列为企业微信接入的安全边界。因此本需求不应以“所有群成员当前都能触发”为前提，也不应在实现目录或权限设置时移除该门禁。

实施建议

A. 工作目录：先做渠道默认，保持明确的上下文边界

可以复用 apps/desktop/src/main/im/wechat/channelSettings.ts 的现有模式：

• owner-scoped、非敏感配置文件；
• 只允许可信 Renderer 打开 Electron 原生目录选择器；
• 仅接受绝对路径；
• 选择时执行 realpath 并确认目标是目录；
• 使用 normalizeWorkingDirForStorage() 规范 Windows/POSIX 路径；
• 配置目录不可访问时回退现有 im-working-dir/wecom-*；
• 设置页显示当前目录、重置入口和不可用提示。

建议生效语义为：

• 新建企业微信会话使用最新渠道默认目录；
• 已有会话保持原 workingDir；
• 显式 /new 时采用最新默认目录并清空旧 SDK 上下文；
• 修改设置或重启应用均不得静默迁移正在使用的会话。

若后续确认需要应用内的“个别会话覆盖”，可直接更新该 session 的 workingDir 并重开上下文；不建议在运行中的 Agent session 内热切 cwd。当前是否必须增加这一层 UI 仍是产品决策，因为企业微信已经具备 /ctr 接管其它 Desktop 会话的远程路径，而现有企微自身没有 /project 项目切换能力。

B. 硬限制：先定义能力矩阵，不按工具名做脆弱黑名单

建议产品先确认至少以下语义：

预设	文件读取	文件写入	Shell/进程	网络/MCP 外部副作用
只读	允许	禁止	待确认：完全禁用，还是允许只读查询命令	默认应禁止外部写操作
禁执行	允许	是否允许需明确	禁止	需单独定义
禁写文件	允许	禁止	是否允许只读 shell 需明确	需单独定义

“只读模式 = 禁 shell”并不是唯一合理解释：查询代码、日志、Git 状态可能依赖只读命令。如果产品希望完全禁止 shell，应在文案中直接称为“禁执行命令”，不要让“只读”隐含多个不同边界。

实现上建议：

1. 把预设解析为结构化 capability policy，而不是把自然语言提示词当权限；
2. 在 Claude Code、Codex、Pi 的工具执行/审批边界统一裁决；
3. 同时覆盖内置工具、动态工具和 MCP 工具，未知写入能力 fail closed；
4. 会话启动时冻结策略快照，策略变化后在明确边界重建或更新运行时；
5. UI 显示“实际生效的硬策略”和“仅提示词约束”，避免用户误以为两者安全等级相同。

仓库中的 reviewMode 已有专用的硬只读实现，但其注释明确说明它属于 Cindy Review 的宿主策略，不是普通用户权限预设；不建议直接把它暴露为通用 IM 开关而不先审查各 harness、插件、网络和恢复路径的语义。

C. 自定义约束：作为版本化软约束处理

建议限制为 owner 可编辑，并明确：

• 注入系统提示词末段；
• 不能提升硬权限，也不能覆盖 Cindy 安全规则；
• 长度受限并在设置页提示“用于行为引导，不是权限隔离”；
• 渠道默认与会话覆盖采用明确的 inherit / override 状态，空字符串与“继承”不要混为一谈；
• 变更只在新 Agent runtime 或显式 /new 后生效，避免不同 harness 热更新语义不一致；
• 日志不得记录完整自定义提示词。

风险与待确认决策

1. 是否真的需要开放群成员触发：当前 owner 门禁已经阻止该场景。若未来开放，需要独立设计成员身份、群级 allowlist、审批归属和审计，而不是只依赖只读开关。
2. 目录授权范围：选择真实工程目录会扩大 Agent 可见数据范围。目录选择必须由本机 owner 完成，不能接受 IM 消息直接提交任意绝对路径。
3. 继承的放宽规则：会话是否允许比渠道默认更宽，需要产品确认。安全上可考虑默认只允许进一步收紧，放宽必须由本机 owner 明确确认；但当前没有足够产品证据支持把它直接定为既定行为。
4. 跨 harness 一致性：不能只在一个 Agent 中隐藏工具后宣称功能完成；至少要验证 Claude Code、Codex、Pi，以及 MCP/插件工具面。
5. 现有权限档兼容：新的 capability policy 应与 permissionMode 正交。前者决定“能不能做”，后者决定“允许、自动审批还是询问”，避免组合后出现更宽权限。

建议验证

工作目录

1. Windows 盘符、中文和空格路径可选择、持久化并跨重启读取；相对路径、文件路径和不存在路径被拒绝。
2. 未配置时继续使用 owner-scoped im-working-dir/wecom-*。
3. 配置后只有新会话及显式 /new 使用新目录；已有会话、活跃 turn 和恢复中的 session 不被静默移动。
4. 目录删除或失去访问权限后安全回退托管目录，并在设置页显示警告。
5. owner 切换时配置不串用；IM 消息不能直接修改绝对路径。

权限策略

1. 三种 harness 下分别验证读、写、编辑、删除、重命名、shell、后台进程、MCP 写操作和未知工具。
2. 硬拒绝不能被 auto、acceptEdits、完全访问、MCP auto-approve 或提示词覆盖。
3. 会话覆盖与渠道默认组合后，展示值、持久化值和运行时实际策略一致。
4. 恢复旧 session、/new、切 Agent、切模型、崩溃恢复后策略不丢失、不意外放宽。
5. 被拒绝时返回稳定、可理解的原因，而不是伪装成用户拒绝或工具故障。

自定义提示词

1. 渠道默认、会话继承、显式覆盖和清除覆盖的语义一致。
2. 仅新 runtime 或 /new 生效；老 runtime 保持启动时快照。
3. 超长输入被拒绝或截断前明确提示；提示词不进入普通日志。
4. 自定义文本尝试要求提升权限时，硬策略仍保持不变。

相关记录

• 功能建议：为 IM（企业微信）会话支持配置/切换工作目录到自定义路径 #1413：与本 Issue 的企业微信工作目录部分是同一未解决缺口；建议目录实现和讨论统一在该记录推进，本 Issue 保留权限策略与软约束范围。
• feat(desktop): support Feishu bot working directories #2624：正在为飞书实现 owner-scoped 默认工作目录、原生选择器、失效回退和 /new 生效边界，可复用设计；该 PR 尚未合并，当前有合并冲突并等待产品确认，不能视为主干已有能力。
• feat(bots): 建立轻量伙伴核心 #2829：Draft Cindy Bots 正在引入结构化 Profile、Toolset、权限和项目/worktree 绑定，与本 Issue 的长期配置模型重叠。实现通用策略前应对齐该方向，但该 PR 仍是大规模 Draft，真实 IM 和迁移尚未验收，不能作为当前修复或发布承诺。
• feat(wecom): 新增企业微信 IM 与群通知 #1107：已合并的企业微信接入明确建立 owner TOFU 门禁，并接入共享 IM 默认权限与权限交互；它证明当前不是任意群成员触发模型。
• feat(wechat): add personal WeChat IM connector #713：已合并的个人微信实现提供了工作目录配置、失效回退和 turn 级高风险操作保护，是企业微信目录与安全接线最直接的已发布参照。