feat: Agent 安全纵深防御、Checkpoint 快照、会话 Rewind/Branch、自进化

Skill、流式执行优化与系统架构全面升级

  本次提交对标 Claude Code 与 Hermes-Agent 的工程细节，在安全、可靠性、
  会话管理、自我进化四个维度进行了系统性加固，变更总量 48 文件 / +12680 -2292 行。

  ═══════ 安全纵深防御 ═══════

  1. Hardline 硬阻止层 (src/agent/runtime/hardline.rs, +534 行)
     - 不可绕过的危险命令拦截（关重启、磁盘擦除、Fork 炸弹、rm -rf /、kill -1）
     - 反规避标准化管线: ANSI 序列剥离 → Unicode NFKC → shell 反斜杠还原 → 空字面量清理
     - 在 PermissionChecker 之前执行，YOLO/Bypass 模式下同样生效
     - 集成到 executor Phase 2，被拒绝工具直接注入错误结果

  2. Permission 优先级裁决器 (src/agent/runtime/permission.rs, +200 行)
     - 7 层正式优先级规则 (P0 Deny → P7 Allow)，带冲突日志
     - explain() 方法支持审计追溯
     - Hook PermissionRequired 与 Checker 结果的正确叠加逻辑

  ═══════ Checkpoint 文件快照系统 ═══════

  3. git2 原生快照 (src/agent/runtime/checkpoint.rs, +920 行)
     - 基于 git2 bare repo，内容寻址自动去重
     - 文件变更操作前自动触发 (file_write/file_edit/run_bash)
     - 每目录每 turn 最多一次快照，防止同一轮重复
     - 支持 list/diff/restore API + pre-rollback 安全快照
     - 旧快照自动 prune（保留最近 N 个）+ 按目录隔离 ref
     - 排除规则自动过滤 node_modules/target/.git/*.pdf 等
     - 集成到 executor: 文件操作前 ckpt.ensure_checkpoint()

  ═══════ 错误恢复系统大升级 ═══════

  4. 21 种 FailoverReason 分类 (src/agent/runtime/error_recovery.rs, +1200 行)
     - 参考 Hermes-Agent error_classifier.py
     - 8 步分类管线: provider-specific → HTTP status → text pattern → error body → fallback
     - is_retryable / should_compress / should_failover / is_permanent 方法
     - Context Overflow 自动修复: 从错误消息提取 token 限制，自动下调预算
     - RecoveryStep::AdjustMaxTokens 实现 (参考 Claude Code 自动修复)
     - 向后兼容 ErrorKind 别名

  ═══════ 会话 Rewind / Branch / Retry 体系 ═══════

  5. 完整 undo 栈 (src/agent/runtime/session.rs, +800 行 + 2 迁移脚本)
     - Rewind (软删除): active=0 标记，审计 trail 保留，LLM 不可见
     - Restore (撤销回退): 冲突检测——回退后有新消息则拒绝，引导使用 Branch
     - Branch: 分叉会话，复制所有 active=1 消息到新会话
     - Retry: 硬删除最后一轮对话，返回原消息文本供前端重提交
     - 数据库: agent_messages.active 列 + agent_sessions.rewind_count + parent_session_id
     - API: 4 个新端点 (/branch, /retry, /rewind, /rewind/restore)
     - load_history_for_agent 全面使用 active=1 过滤

  ═══════ Hooks 系统模块化重构 ═══════

  6. 单文件 → 7 模块体系 (src/agent/hooks/)
     hooks.rs (994 行) 拆分为:
     - mod.rs    — 入口 + HookRegistry + SessionHookManager
     - types.rs  — 类型定义 (Context, TaggedContext, PermissionRequestAction 等)
     - traits.rs — AgentHook + AsyncAgentHook + 15 种生命周期事件
     - matcher.rs — 工具名/参数匹配 + session 作用域过滤
     - dispatch.rs — 并行调度引擎 (run_pre/post_tool_use 等)
     - registry.rs — 注册/注销/查询
     - builtins.rs — CancellationHook + MetricsHook + AuditLogHook + ContextDeduplicator

     关键改进:
     - run_pre_tool_use 并行执行所有匹配 hooks，聚合 Block/MutateInput/Continue
     - TaggedContext 带完整来源标记的上下文注入 (hook_name + event)
     - ContextDeduplicator 单 dispatch cycle 内内容哈希去重
     - AsyncAgentHook 支持 fire-and-forget 异步 hooks

  ═══════ Executor 并发执行升级 ═══════

  7. 三阶段管道重写 (src/agent/runtime/executor.rs, +600 行)
     - Phase 1: 死循环检测 + 参数解析 (不变)
     - Phase 2: Hardline 预检查 (新增) → PermissionChecker (改进)
     - Phase 3: ToolPartitioner 分区 → 逐批次执行 (重写)
       - 并行批次内 FuturesUnordered 并发
       - 串行批次确保非并发安全工具独占执行
       - Checkpoint 预触发集成
     - Hook 上下文注入: system-reminder 格式 + ContextDeduplicator 去重
     - Hook 阻塞错误详细记录

  ═══════ 流式执行真正的流式调度 ═══════

  8. StreamingExecutor 重写 (src/agent/runtime/streaming_executor.rs, ~400 行变更)
     - on_tool_use 中对并发安全工具立即 tokio::spawn，不等待 flush
     - executing_non_concurrent 标志阻塞后继工具直到独占工具完成
     - JoinHandle 管理替代自定义 cancel channel
     - completed_queue 按流顺序 yield
     - Sibling Abort 通过 broadcast channel + tokio::select! 竞速
     - ToolContext 实现 Clone (支持 per-task 上下文复制)

  ═══════ 自改进 Skill 系统 ═══════

  9. PatternDetector + SkillCreator + Curator (src/agent/skills/, +1500 行)
     - PatternDetector: 扫描 agent_messages 表，检测跨 session 重复工具调用模式
     - SkillCreator: 将高置信度模式自动生成 SKILL.md (YAML frontmatter + 工作流步骤)
     - SelfImprovePipeline: 一站式 模式检测 → 创建 → 质量审查
     - Curator: 分析 skill 使用统计，标记 stale/deprecated，建议清理
     - Skill frontmatter 新增 pinned 字段 (禁止 Curator 自动清理)

  ═══════ 基础设施优化 ═══════

  10. 系统提示词缓存 (src/agent/runtime/system_prompt.rs + mod.rs)
      - SystemPromptCache: 首次计算后永久复用，/clear 时失效
      - 新增 SAFETY / SYSTEM_CONTEXT / TOOL_USAGE 静态 section
      - 环境/tools/skills/memory 动态 section 通过 get_or_compute 缓存

  11. ToolRegistry schema 缓存 (src/agent/tools/mod.rs)
      - schema_cache + schema_generation 版本号
      - 工具变更/过滤器变更时自动失效
      - precompute_definitions() 预计算 (AgentRuntime 初始化时调用)

  12. 迭代摘要融合 (src/agent/compact.rs, +100 行)
      - 参考 Hermes context_compressor.py
      - CollapseLog 追踪压缩历史，支持溢出合并
      - extract_prior_summary: 提取已有摘要融入新压缩

  13. SubAgent 系统提示词模块化 (src/agent/tools/subagent.rs)
      - 复用 5 个标准 section + 子代理专有上下文 section
      - 独立 ToolRegistry 构建工具列表

  ═══════ 前端 — CSS 变量主题系统 ═══════

  14. 全新主题变量体系 (dashboard/src/index.css + App.tsx + 各面板)
      - CSS 自定义属性: --bg-card, --text-main, --text-muted, --border-precision
      - 语义化颜色: --accent-blueprint, --accent-star
      - 全面替换硬编码 Tailwind 颜色 (slate-xxx → var(--xxx))
      - 文献入库提示优化 ("核心知识节点" 替代 "向量块")
      - ReaderPanel 样式变量化

docs/architecture/agent/permission.md

@@ -133,6 +133,29 @@ graph TD
 └────────────────────────────────────────────────────────────┘
 ```
 
+### 多源权限优先级 (Multi-Source Permission Precedence)
+
+当多个来源（Checker 规则、Hook、工具级规则、会话规则）同时做出权限决策时，
+`resolve_permission_precedence()` 按以下优先级裁决：
+
+| Priority | Source | Description |
+|----------|--------|-------------|
+| **P0** (highest) | `PermissionChecker::Deny` | 环境变量/配置文件配置的 Deny 规则，不可覆盖 |
+| **P1** | Tool-level `PermissionRule::Deny` | 工具自身拒绝执行（如 Bash 危险命令） |
+| **P2** | Session-level `PermissionChecker::Deny` | API 动态添加的会话级 Deny |
+| **P3** | Hook `PreToolUseAction::Block` | Hook 主动阻止工具执行 |
+| **P4** | Hook `PermissionRequired` | 仅当 Checker 返回 Allowed 时升级为 AskUser |
+| **P5** | Session-level `PermissionChecker::Ask` | 仅当当前为 Allowed 时升级 |
+| **P6** | Tool-level `PermissionRule::Ask` | 仅当当前为 Allowed 时升级 |
+| **P7** | `PermissionChecker::Allow` | 显式 Allow 规则 |
+| **P8** (lowest) | Implicit Allow (default) | 无任何规则匹配 → 允许 |
+
+**关键规则：**
+- **Deny 不可覆盖**: P0-P2 的 Deny 规则在任何情况下生效
+- **Ask 可升级**: P4-P6 在 Allow 状态下升级为 Ask；在 Deny 状态下被忽略
+- **Block = Deny**: Hook Block 等同于 Deny，由 P0-P2 可覆盖
+- **冲突日志**: `conflict_log` 记录所有被覆盖的决策，用于审计```
+
 ### PermissionChecker API
 
 ```rust
@@ -433,7 +456,7 @@ flowchart TD
 | `grep "ssh_config" *.rs` | ❌ 误拦（含子串 `ssh `） | ✅ 允许（首词 `grep` 在白名单） |
 | `echo "use sudo carefully"` | ❌ 误拦（含子串 `sudo `） | ✅ 允许（首词 `echo` 在白名单） |
 | `cat /usr/share/vim/vimrc` | ❌ 误拦（含子串 `vim `） | ✅ 允许（首词 `cat` 在白名单） |
-| `python script.py` | ✅ 允许 | ✅ 允许（不在黑名单，默认允许） |
+| `python script.py` | ✅ 允许 | ⚠️ 通过校验，但触发 `Ask` 用户确认（不在白名单） |
 | `vim file.txt` | ✅ 拒绝 | ✅ 拒绝（首词 `vim` 在黑名单） |
 | `$(echo sud; echo o) /etc/passwd` | ✅ 允许（绕过！） | ❌ 拒绝（检测到命令替换绕过） |
 
@@ -449,7 +472,7 @@ const SAFE_COMMANDS: &[&str] = &[
 ];
 ```
 
-白名单内的命令**优先放行**，不经过黑名单检查。非白名单命令经过黑名单精确匹配和危险参数二次检查后默认允许。
+白名单内的命令**优先放行**，不经过黑名单检查。非白名单命令经黑名单精确匹配和危险参数检查后，通过 `bash_needs_permission()` → `RunBashTool::check_permissions()` 返回 `Ask` 规则，触发用户确认弹窗（PermissionRequestCard）。
 
 ### 其他约束
 
@@ -462,7 +485,7 @@ const SAFE_COMMANDS: &[&str] = &[
 ### 已知局限
 
 1. ~~**黑名单子串匹配**~~ — ✅ 已修复：改用首词精确匹配，`grep "ssh_config"` 不再误拦
-2. **未限制网络访问** — `curl`、`wget` 不在黑名单中
+2. ~~**未限制网络访问**~~ — ✅ 已修复：`NETWORK_COMMANDS` 名单（curl/wget/nc/socat 等）默认阻止，`AGENT_BLOCK_NETWORK=false` 可放行
 3. **未限制进程数** — fork bomb（如 `:(){ :\|:& };:`）未被检测
 4. **管道/重定向完整放行** — `<`、`>`、`|` 不做限制
 5. ~~**`$()` 命令替换**~~ — ✅ 已修复：检测首词位置 `$()` 和反引号绕过
@@ -684,258 +707,9 @@ Diminishing Returns 检测
 
 ---
 
-## Claude Code 权限系统对比分析
-
-> 对比基准：Claude Code (`/home/fmq/program/claudecode/src/utils/permissions/`)
-> 分析日期：2026-06-17
-
-### 架构差异总览
-
-| 维度 | AstroResearch (当前) | Claude Code (参考) | 差距 |
-|------|---------------------|-------------------|------|
-| 规则引擎 | ✅ PermissionChecker (完成) | ✅ hasPermissionsToUseTool 多步流水线 | 相当 |
-| 规则匹配粒度 | ✅ 内容级 `Tool(content*)` 前缀/后缀/包含 | ✅ 前缀/通配/内容级 / 正则 | 小 |
-| AskUser 交互流 | ✅ SSE → PermissionRequestCard → Allow/Deny/Always Allow | ✅ 完整 SSE → Dialog → 决策 | 相当 |
-| 权限模式 | ✅ Default/AcceptEdits/Bypass/DontAsk | ✅ 6种模式 (含 plan/auto) | 小 |
-| 规则持久化 | ✅ 环境变量加载 + `PermissionChecker::from_config()` | ✅ settings.json 多层加载 (8级来源优先级) | 小 |
-| 规则来源追踪 | ✅ `PermissionRuleSource` 枚举 (Env/Session) | ✅ cliArg > command > session > userSettings > ... | 小 |
-| Bash 权限分类器 | ✅ SAFE_COMMANDS 白名单 + `check_permissions()` 集成 | ✅ AST解析 + AI分类器 + 异步推测 | 中等 |
-| 拒绝追踪/熔断 | ✅ `DenialTracker` 连续/累计计数 + ReAct 循环熔断 | ✅ 连续/总计拒绝计数 + 自动终止 | 相当 |
-| 权限 Hook 集成 | ✅ PreToolUseAction::PermissionRequired 完整流程 | ✅ 完整 PermissionRequest hook + 多路径决议 | 相当 |
-| 规则遮蔽检测 | ✅ `detect_shadowed_rules()` deny/ask 双重检查 | ✅ `shadowedRuleDetection` deny/ask 遮蔽检测 | 相当 |
-| Auto Mode (AI 分类) | ❌ 无 | ✅ YOLO classifier + 快速路径 + 安全工具白名单 | **远期** |
-| 权限解释器 | ✅ 启发式 `explain_permission()` (Bash 风险等级 + 路径检测) | ✅ Haiku 生成风险解释 | 中等 |
-| 会话内规则更新 | ✅ `POST/PUT /api/chat/sessions/:id/permissions/*` | ✅ `/permissions` 命令 + API | 小 |
-| 子代理权限继承 | ✅ 完整 `check()` 三态检查 | ✅ 完整继承父级权限上下文 | 相当 |
-| 附加目录沙箱 | ✅ `AGENT_ADDITIONAL_DIRS` + `is_path_allowed()` 扩展 | ✅ `additionalDirectories` 可配置 | 相当 |
-
-### Claude Code 权限流水线 (参考架构)
-
-```
-hasPermissionsToUseTool(toolName, input, context):
-  Step 1a: 工具级 deny 规则检查     → deny  → 返回 deny
-  Step 1b: 工具级 ask 规则检查      → ask   → 返回 ask (sandbox 例外)
-  Step 1c: 工具自定义 checkPermissions() → 内容级规则匹配
-  Step 1d: 工具实现返回 deny        → deny  → 返回 deny
-  Step 1e: requiresUserInteraction?  → ask   → 强制 ask (bypass 免疫)
-  Step 1f: 内容级 ask 规则          → ask   → 强制 ask (bypass 免疫)
-  Step 1g: 安全检查 (敏感路径等)    → ask   → 强制 ask (bypass 免疫)
-  Step 2a: bypassPermissions 模式?  → allow → 返回 allow
-  Step 2b: 工具级 allow 规则        → allow → 返回 allow
-  Step 3:  剩余 passthrough         → ask   → 返回 ask
-
-外层模式变换:
-  dontAsk 模式: ask → deny
-  auto 模式:    acceptEdits 快速路径 → 安全工具白名单 → AI分类器
-  headless:     hooks 先运行 → 无 hook 决定 → auto-deny
-```
-
-### 关键设计决策对比
-
-**1. 规则格式**
-
-Claude Code 使用 `ToolName(content)` 格式支持内容级规则：
-```
-Bash                    → 匹配所有 bash 命令
-Bash(npm install)       → 匹配精确命令
-Bash(npm *)             → 前缀通配
-Bash(rm:*)              → 旧版前缀（已废弃）
-Read(.env)              → 文件模式
-mcp__server__tool       → MCP 工具级
-mcp__server             → MCP 服务级
-Agent(Explore)          → 代理类型级
-```
-
-AstroResearch 已实现相同格式：
-```
-"*"                     → 通配所有工具
-"tool_name"             → 精确工具名匹配
-"tool_name(content*)"   → 前缀通配（如 "run_bash(rm *)" 匹配 "rm -rf /"）
-"tool_name(*suffix)"    → 后缀通配（如 "read_file(*.env)" 匹配 ".env"）
-"tool_name(exact)"      → 包含匹配（子串命中）
-"*(content)"            → 工具通配 + 内容匹配（如 "*(sudo)" 匹配任意工具的 sudo 命令）
-```
-从 args 中自动提取 `command`/`file_path`/`path`/`pattern`/`url` 字段进行内容匹配。
-
-**2. 权限模式**
-
-Claude Code 的 6 种模式通过 Shift+Tab 循环切换：
-- `default` — 标准逐项确认
-- `acceptEdits` — 工作目录内文件编辑自动通过
-- `bypassPermissions` — 跳过所有 Ask（deny/ask 规则仍生效；安全检查 bypass 免疫）
-- `dontAsk` — 所有 Ask 转 Deny
-- `plan` — 计划模式
-- `auto` — AI 自动分类（内部使用）
-
-AstroResearch 已实现 4 种模式（通过 `AGENT_PERMISSION_MODE` 环境变量或 API 切换）：
-- `default` — 标准规则链，Ask 触发用户交互
-- `acceptEdits` — 工作目录内文件编辑自动通过（路径检查由 executor 完成）
-- `bypassPermissions` — 跳过所有 Ask（Deny 规则仍生效）
-- `dontAsk` — 所有 Ask 转为 Deny
-
-`PermissionChecker::from_config()` 从 `AgentConfig` 加载环境变量规则并构造完整检查器。
-
-**3. 多路径权限决议**
-
-Claude Code 的 AskUser 决议支持多个并行路径，任一先返回即生效（`claim()` 模式）：
-- 本地 UI 对话框
-- Bridge 响应（CCR 远程）
-- Channel 响应（Telegram 等）
-- PermissionRequest hooks（后台异步运行）
-- Bash 分类器（后台推测性异步分类）
-
-AstroResearch 已实现完整的 AskUser 交互流：
-- `PermissionChecker::check()` 返回 `AskUser` 时，executor 发送 `AgentStreamEvent::PermissionRequest` SSE 事件
-- 通过 `oneshot` 通道创建 `PendingPermission`，存入 `AppState::pending_permissions`
-- 等待用户通过前端 `PermissionRequestCard` 组件响应（Allow / Deny / Always Allow），120s 超时自动拒绝
-- 单一路径决议（oneshot），不支持多路径 claim 模式
-
----
-
-## 优化路线图
-
-### ✅ P0 — 已全部完成
-
-#### P0-1: 规则加载与持久化 ✅
-
-`AgentConfig::from_env_optional()` 从环境变量加载规则（`AGENT_PERMISSIONS_DENY`/`ALLOW`/`ASK`），`PermissionChecker::from_config()` 按 Deny → Ask → Allow 优先级顺序构造规则链。
-
-**实现位置**: `src/agent/runtime/mod.rs:113-117`, `src/agent/runtime/permission.rs:268-290`
-
-#### P0-2: 完成 AskUser 权限交互流 ✅
-
-executor Phase 2.5 中完整的 AskUser 处理：
-- `AgentStreamEvent::PermissionRequest` SSE 事件 → 前端 `PermissionRequestCard` 组件
-- `oneshot` 通道 + `AppState::pending_permissions` 存储
-- 120s 超时自动拒绝，支持 Allow / Deny / Always Allow 决策
-
-**实现位置**: `src/agent/runtime/executor.rs:282-422`, `src/api/agent.rs`, `dashboard/src/features/agent/PermissionRequestCard.tsx`
-
-#### P0-3: 内容级权限匹配 ✅
-
-`PermissionChecker::matches()` 支持 `"tool_name(content_pattern)"` 格式，前缀通配（`prefix*`）、后缀通配（`*suffix`）、包含匹配，自动从 args 提取 `command`/`file_path`/`path`/`pattern`/`url` 字段。
-
-**实现位置**: `src/agent/runtime/permission.rs:183-255`
-
-### ✅ P1 — 已全部完成
-
-#### P1-1: 权限模式系统 ✅
-
-`PermissionMode` 枚举实现 4 种模式（Default/AcceptEdits/Bypass/DontAsk），通过 `AGENT_PERMISSION_MODE` 环境变量或 API 切换。`PermissionChecker::apply_mode()` 在 executor Phase 2.5 中对检查结果进行模式变换（Bypass 将 Ask→Allowed，DontAsk 将 Ask→Denied）。
-
-**实现位置**: `src/agent/runtime/permission.rs:39-60, 139-177`
-
-#### P1-2: Bash 权限接入 PermissionChecker ✅
-
-`RunBashTool::check_permissions()` 调用 `bash_needs_permission()` —— 安全白名单中的命令返回空规则（自动允许），非白名单命令返回 `Ask` 规则。executor Phase 2.5 中与 PermissionChecker 结果叠加。
-
-**实现位置**: `src/agent/tools/filesystem/bash.rs:58-73, 362-365`
-
-#### P1-3: 权限 Hook 集成 ✅
-
-`PreToolUseAction::PermissionRequired` 在 executor 中被检测：若 hook 返回 `PermissionRequired` 且 PermissionChecker 返回 `Allowed`，则升级为 `AskUser` 触发用户交互。已修复 Continue 覆盖 meaningful action 的 bug。
-
-**实现位置**: `src/agent/hooks.rs:378-384`, `src/agent/runtime/executor.rs:221-230`
-
-#### P1-4: 子代理完整权限继承 ✅
-
-`SubAgentRunner` 使用 `check(tool_name, Some(&final_args))` 进行三态检查：Deny → 注入错误跳过执行，AskUser → 自动拒绝（子代理不应打断用户），Allowed → 正常执行。
-
-**实现位置**: `src/agent/subagent.rs`
-
-### ✅ P2-1、P2-2 — 已实现
-
-#### P2-1: 拒绝追踪与熔断 ✅
-
-`DenialTracker` 追踪连续拒绝和总拒绝数，阈值触发 ReAct 循环终止。
-配置：`AGENT_DENIAL_MAX_CONSECUTIVE` (默认 3) / `AGENT_DENIAL_MAX_TOTAL` (默认 20)。
-
-**实现位置**: `src/agent/runtime/denial_tracker.rs`, `src/agent/runtime/mod.rs`
-
-#### P2-2: 会话内规则更新 API ✅
-
-`POST /api/chat/sessions/:id/permissions/rules` — add/remove 规则
-`PUT /api/chat/sessions/:id/permissions/mode` — 切换权限模式
-通过 `AppState::session_permission_checker` (`Arc<RwLock<PermissionChecker>>`) 实现跨 turn 共享。
-
-**实现位置**: `src/api/permissions.rs`, `src/agent/runtime/executor.rs` Phase 2.5
-
-### 🟡 P2-3~P2-5 — 远期增强（按需实现）
-
-#### P2-3: 规则遮蔽检测 ✅
-
-`PermissionChecker::detect_shadowed_rules()` 检测 Deny/Ask 遮蔽 Allow 的情况，输出 `ShadowedRule` 列表（含 reason + fix 建议），在 AgentRuntime 初始化时通过 `warn!` 日志输出。
-
-**实现位置**: `src/agent/runtime/permission.rs`
-
-#### P2-4: 权限解释器 ✅
-
-启发式 `explain_permission()` 函数，根据工具名和参数生成 `{risk_level, explanation, reasoning, risk}` 结构。Bash 命令通过关键词检测风险等级（HIGH/MEDIUM/LOW），文件操作检测系统路径。结果随 `PermissionRequest` SSE 事件推送到前端。
-
-**实现位置**: `src/agent/runtime/permission_explainer.rs`, `src/agent/runtime/mod.rs` `AgentStreamEvent::PermissionRequest.explanation`
-
-#### P2-5: Auto Mode (AI 权限分类器) ❌
-
-使用 LLM 自动评估工具调用的风险：
-- 快速路径：`AcceptEdits` 模式自动允许工作目录内的文件编辑
-- 安全工具白名单：`read_file`、`grep_files`、`search_papers` 等只读操作自动允许
-- AI 分类：对不确定的操作调用快速模型判断安全性
-- 失败封闭：分类器不可用时拒绝所有非白名单操作（安全优先）
-
-**工作量**: 3-5天
-
-#### P2-4: 权限解释器
-
-在执行前用 LLM 生成人类可读的风险描述：
-```
-"该命令将执行 npm install，可能修改 node_modules/ 目录并下载外部依赖包。"
-```
-
-**工作量**: 1天
-
-#### P2-5: 子代理最小权限 (ToolRegistry::restrict)
-
-```rust
-impl ToolRegistry {
-    pub fn restrict(&self, allowed_tools: &[&str]) -> Self {
-        // 创建仅包含指定工具的受限注册表
-    }
-}
-```
-
-**工作量**: 0.5天
-
----
-
-## 实现路线图
-
-```
-已完成 (Phase 1): P0-1 规则加载 + P0-2 AskUser 交互流 + P0-3 内容级匹配
-已完成 (Phase 2): P1-1 权限模式 + P1-2 Bash 集成 + P1-3 Hook 集成 + P1-4 子代理继承
-已完成 (Phase 3): P2-1 拒绝追踪熔断 + P2-2 会话内规则更新 + P2-3 规则遮蔽检测 + P2-4 权限解释器 + 附加目录沙箱 + 规则来源追踪
-远期规划 (按需):   P2-5 Auto Mode (AI 分类器) + P2-6 权限解释器 LLM 升级 + 子代理最小权限 + 文件写入大小限制
-```
-
----
-
 ## 待完善项
 
 | 优先级 | 项目 | 当前状态 | 建议 |
 |---|---|---|---|
-| ~~**HIGH**~~ | ~~PermissionChecker 集成到主执行路径~~ | ✅ **已完成** | — |
-| ~~**HIGH**~~ | ~~Bash 黑名单改为命令解析~~ | ✅ **已完成** | — |
-| ~~**P0**~~ | ~~规则加载与持久化~~ | ✅ **已完成**：`AgentConfig` 新增 `permission_deny_rules` / `permission_allow_rules` / `permission_ask_rules` / `permission_mode` 字段，通过 `AGENT_PERMISSIONS_*` 环境变量加载 | — |
-| ~~**P0**~~ | ~~AskUser 权限交互流~~ | ✅ **已完成**：executor Phase 2.5 AskUser 分支重写为完整 oneshot → SSE → 120s 超时流程。前端 `PermissionRequestCard` 组件提供 Allow / Deny / Always Allow | — |
-| ~~**P0**~~ | ~~内容级权限匹配~~ | ✅ **已完成**：`check(tool_name, tool_args)` 签名，`matches()` 支持 `"tool(content*)"` 格式（前缀/后缀/包含），自动提取 args 字段 | — |
-| ~~**P1**~~ | ~~权限模式系统~~ | ✅ **已完成**：`PermissionMode` (Default/AcceptEdits/Bypass/DontAsk)，`apply_mode()` 方法，`AGENT_PERMISSION_MODE` 配置 | — |
-| ~~**P1**~~ | ~~Bash 权限集成~~ | ✅ **已完成**：`RunBashTool::check_permissions()` 调用 `bash_needs_permission()`（安全命令自动允许），executor 合并工具级检查 | — |
-| ~~**P1**~~ | ~~权限 Hook 集成~~ | ✅ **已完成**：`PreToolUseResult::is_permission_required()`，修复 Continue 覆盖 bug，executor 触发 AskUser | — |
-| ~~**P1**~~ | ~~子代理完整权限继承~~ | ✅ **已完成**：`is_denied()` → `check(tool_name, Some(&final_args))`，子代理中 AskUser 自动拒绝 | — |
-| ~~**MEDIUM**~~ | ~~拒绝追踪与熔断~~ | ✅ **已完成** | `DenialTracker`：连续/总计拒绝计数，阈值触发 ReAct 循环终止 |
-| ~~**MEDIUM**~~ | ~~会话内规则更新 API~~ | ✅ **已完成** | `POST/PUT /api/chat/sessions/:id/permissions/*` 动态 add/remove/mode |
-| ~~**MEDIUM**~~ | ~~权限解释器~~ | ✅ **已完成** | 启发式 `explain_permission()`，Bash 风险等级 + 路径检测，随 SSE PermissionRequest 推送前端 |
 | **MEDIUM** | Auto Mode (AI 分类器) | 未实现 | LLM 评估风险，快速路径 + 安全工具白名单 |
-| **LOW** | 子代理最小权限 | 继承全部父工具 | `ToolRegistry::restrict()` |
 | **LOW** | 文件写入大小限制 | 无上限 | 添加 `max_file_size` 参数 |
-| **LOW** | 网络访问控制 | `curl`/`wget` 未限制 | Bash 黑名单扩展 |
-| **LOW** | 用户权限 profiles | 不支持 | YAML/TOML 权限配置 |