dsh-sandbox-windows-acl 使用指南

本文由本站基于该插件已收录的字段自动派生（wiki / faq / compatibility_json / readme），非 AI 即时创作。每节末尾标源字段。

快速上手

Windows ACL 写限制沙箱后端，使用 restricted-token 和 orphan-SID 白名单实现工作区和临时目录隔离，适用于需要安全执行不可信代码的场景

— 源: plugins.ai_summary

安装与验证

dsh plugin --profile web add npm:@deepseek-ai/dsh-sandbox-windows-acl

复制以上命令在 DSH Web Profile 内运行。安装完成后在「插件列表」启用即可。

— 源: plugins.install

关键要点

• Granted directories must be caller-owned. The owner's implicit WRITE_DAC is what lets the sandbox edit the DACL without elevation.
• Read-side confinement and network policy are out of scope — WRITE_RESTRICTED intersects write accesses only; pair this backend with a read-side policy for stronger confinement.

— 源: plugin_wiki.readme_zh (fallback readme_raw)

踩坑提醒

安装前请审阅上游仓库；本指南基于已收录字段自动派生，可能滞后于最新版本。如发现与官方文档冲突，请以上游为准。

— 来源：通用规则