sensedeal/cue-skills#cue-omni-reader-guard

中文 · English

一个可选的 DeepSeek Harness bundle,用于加固 Omni Reader 的 parse 工具。它注册一个 tools/pre-execute 监听器,门控 mcp__omni__parse,使模型无法静默解析任意 URL。请在 @cueai/dsh-omni-reader wiring bundle 之后/旁边安装它。

它做什么

在 mcp__omni__parse 调用派发前,护栏会对 source 分类:

source	结果
私网 / 回环 / 链路本地 / 云元数据主机(10/8、172.16/12、192.168/16、127/8、169.254.169.254、100.64/10、fe80::、fc00::、::1、localhost、*.local、metadata…)	deny(SSRF 护栏)
白名单主机(allowList)	allow
其它外部主机	policyForUnknown —— deny(默认)、ask 或 allow
显式配置的 allowedRoots 内的本地路径	allow
allowedRoots 之外的本地路径,或未配置 allowedRoots	deny(fail-closed)

其它工具原样放行(护栏只针对 mcp__omni__parse)。它同时门控 source 参数与 url 别名(Bridge 1.5+ 二者只取其一)。

安装

dsh plugin --profile web add @cueai/dsh-omni-reader-guard
# 或一次性:
dsh web --patch ./dsh/cue-omni-reader-guard/cordis.patch.yml

配置

通过 bundle 的 cordis.patch.yml config(无密钥、无硬编码部署路径):

字段	类型	默认	含义
blockPrivate	boolean	true	拒绝私网/保留主机(SSRF 门禁)
allowList	string[]	[]	免同意的宿主/域名(裸域名也放行其子域;*.x 仅子域)
allowedRoots	string[]	[](本地文件被拒)	本地 source 必须落在其中的绝对目录。须显式设置才允许本地解析;空 = fail-closed
policyForUnknown	'deny'|'ask'|'allow'	'deny'	不在 allowList 的外部主机的结果
consentReason	string	…	policyForUnknown: ask 时的提示文案

示例:放行一个可信 API 主机,其余需同意。

config:
  blockPrivate: true
  allowList: ['api.example.com']
  policyForUnknown: ask

验证

node --test dsh/cue-omni-reader-guard/test/policy.test.js
python3 scripts/verify_dsh_bundles.py

说明

• ask 需要 DSH 的 approval 服务返回 allowed-once;没有则退化为 deny(fail-closed)——见 tools/pre-execute 瀑布契约。
• 这是护栏,不是沙箱:它过滤主机与本地根,不改写参数。把 allowedRoots 收到最小,无人值守 agent 建议用 deny + 显式 allowList。
• 核心策略(policy.js)是纯 Node(node:url/node:net),所以安全逻辑无需活 DSH 即可测试。

许可

MIT — 见 LICENSE。