docs(persona-chat): clarify auto-hook boundary #13
No Assignees
Notifications
Due Date
No due date set.
Dependencies
No dependencies set.
Reference: plugins/persona#13
Reference in New Issue
Block a user
Clarify persona auto-hook boundary and manual Codex path.
問題：`requireOwner()` 看到 sleeper 旗標就直接 return，把驗證整個外包給 PreToolUse hook；而 hook 認得出這支 CLI 靠的是檔名正則。把 scripts/ 複製出去、 CLI 改個名字，hook 全程回 pass，任何程序都能用那個旗標對**任意人格** remember／recall／emotion --apply——等於完整讀寫權。 修法：CLI 自己驗，證據取自 hook 唯一寫得下、程序偽造不了的東西—— session 檔（`.runtime/sessions/<id>.json`）裡的 sleeper pin。pin 由 hook 依 `event.agent_type` 寫入，沒經過 hook 的程序拿不到。 - `pinAgent()` 多記角色（`{ persona, role, pinned_at }`），`pinOf()` 相容舊的純字串格式； 舊格式沒有角色，一律不算 sleeper 授權，hook 下次 first-touch 時會補上。 - 新增 `sleeperPins(sessionId, slug)`：本 session 中 pin 在該人格上的 sleeper。 - `requireSleeperPin()` 進 `sleeperAccess()`（requireOwner／requireMember 都會經過）： 沒有對應的 sleeper pin 就 die，連 sleeper 租約都不會留下。 有帶 `--agent-id` 時額外要求它就是那個被 pin 的 agent。 - 連帶更新讀 pins 的三處：resolveScope、`leave` 的 guest pin 清理、SubagentStop hook。 persona-sleeper sub agent 的正常流程不受影響：hook 的 first-touch pinning 在它 第一個指令就寫好 pin，之後每個收尾指令都驗得過。 測試：新增 10 項（實際把 scripts/ 複製成別的檔名重現攻擊）——改名後 hook 確實 不表態、無 pin 時 remember/recall/emotion 都被 CLI 擋下且不留租約、pin 在別的 人格上不能跨過去、guest pin 與舊格式 pin 都不算授權、真有 pin 時照常放行。 345 → 355 項全過。short-term.jsonl / said.jsonl 的裁切是「整檔讀進來 → 過濾 → writeText 覆蓋」， 中間沒有任何鎖。而同一個 session 的 sub agent 與主程序共用同一把人格鎖（設計如此）， 所以兩邊真的會同時寫——實測背景 prune 進行中 append 30 筆 salience 95 的承諾， 會被吃掉 1～9 筆，正是 shortTermProtected() 明文要保護的那一類。 emotion.json 更嚴重：並行 8 次 `--apply joy=+5`，循序得 50.24，並行只得 38.91（增量遺失 45%）。 加一把用 `fs.openSync(path, "wx")` sentinel 做的檔案鎖： * withFileLock(file, fn)：拿不到就退讓重試，超過 15 秒的殘留鎖視為死鎖並接手， 真的等不到就直接做（寧可冒一次競態，也不要因為殘留鎖檔讓人格從此寫不進東西）。 sentinel 放 .runtime/locks/，不落在人格目錄裡，不會被同步上去。 * rewriteJsonl(file, transform)：整檔改寫的唯一入口，讀與寫都在鎖裡。 * updateJson / updateEmotion：JSON 檔的 read-modify-write 同樣進鎖。 * appendJsonl 也拿同一把鎖，否則 append 仍會落在別人的讀與寫之間被覆蓋掉。 改用新入口的：pruneShortTermDetail、trimSaid、trimJsonl、turnContext 的情緒衰減、 persona.mjs 的 `emotion --apply`（讀→衰減→套用→寫回整段在鎖裡）。 selftest +5：並行 append vs prune 一筆不掉、並行 emotion 與循序同值、 withFileLock 互斥（12 程序各加一次＝12）、過期鎖檔可接手、鎖檔不落在人格目錄。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>`extractPaths()` 只解析「含 / 且展開後包含 home 或 personas」的 token， 於是兩種**模型最自然會寫出來的列舉方式**整路穿過去： 1. `PATH_TOOL_FIELDS.Glob` 只列 `path`，所以樣式欄位不被檢查—— `Glob { pattern: "<home>/*/IDENTITY.md" }`（不給 `path`）可以掃出全部人格的身分檔。 新增 `PATTERN_TOOL_FIELDS`（`Glob.pattern`、`Grep.glob`），且**相對於 `path` 解析** （沒給 `path` 才相對 cwd），因為樣式的基準點跟路徑欄位不同。 `Grep.pattern` 是正規表示式、不是路徑，故意不收，免得誤攔 `a/b/c` 這種樣式。 2. `Grep`／`Glob` 沒給 `path` 時 `extractPaths` 回空陣列 → guard 不表態， 於是 cwd 站在 `~/.claude/personas` 或別人的人格底下直接 `Grep` 就整批穿過去。 改成把 hook event 的 `cwd` 當預設目標。 其餘的直譯器逃逸（`node -e`、`python3 -c`、逐段 `cd`、引號切割 token）**不用正則補**： Bash 圖靈完備，追指令字串永遠落後一步，每加一條正則就多一批誤攔正常指令的風險。 改為把文件的措辭修正成誠實的定位—— - README 新增〈guard 擋得住什麼、擋不住什麼〉：明說 guard 是**防漂移的護欄， 對正常寫法一律 deny，不是對抗性沙箱**，並逐條列出擋得住與擋不住的形式， 以及「真要對抗性隔離請走 OS 層」。 - 拿掉會誤導的字眼：`PreToolUse` 那列的「唯一強制點」、guard.mjs 檔頭的 「唯一的強制執行點」、「不能被繞過的關鍵」。 測試：新增 13 項——樣式欄位指向全倉庫／別的人格／自己、樣式相對 path 解析、 `Grep.pattern` 不誤判成路徑、不給 path 時 cwd 在別人格／倉庫根／自己人格／ 普通專案的四種情形、給了 path 就不看 cwd，以及兩項文件措辭的迴歸檢查。 355 → 368 項全過。三個都是「該放行卻被擋」，而且都只有幾行： * speechBody() 的「提及 ≠ 使用」豁免清單漏了《》： 「我在看《說到底》這本書」被判 preach，「他推薦我看《質量與信息》」被判中國用語。 * EMOJI_RE 把 \u{FE0F} 寫在字元類裡，`❤️`（U+2764 + VS16）被算成兩個 emoji 而誤擋； ZWJ 家族（👨👩👦）算三個、膚色（👍🏽）算兩個。改成「底字 + 變體／膚色 + ZWJ 續接」算一個。 * 句長檢查用的是 sentence 而不是 body，引號內容與 `code` 都算進字數—— 引述使用者原話必被擋，等於不准引述。 「質量」「信息」這類語境相依的中國用語誤判沒有動（那要語意判斷，成本不對）。 selftest +11：SNF 放行 7 條（書名號兩種、三種 emoji 組合、引述長原話與長 code）， SF 仍擋 4 條（書名號之外真的在說教、引號之外自己講的長句、兩個 emoji、 一個 emoji 加一個帶變體選擇子的）——豁免只針對提及與引述，不是整句放行。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>`pushArea` 遇到 non-fast-forward 時會 `git reset --hard origin/<branch>`、 把本機工作副本重新疊上去再推一次，然後回 `{ok:true, changed:true}`—— 沒有任何衝突訊號。而 Stop hook 每一輪都在背景 push，所以兩台機器同時聊同一個 人格時，對方的 emotion.json／short-term.jsonl 會被靜默取代，誰都不知道。 「本機工作副本是這台機器的真相來源」這個設計選擇保留，但那條路徑現在要記帳： * 算出「對方在分歧後改過、而我們正要蓋掉」的檔案交集，連同覆蓋前的遠端 sha 一起回傳 `overwrote`，並寫進 state/sync.json（留最近 10 筆）。 * `sync push` 一律往 stderr 寫一行警告（--quiet 也寫，背景 push 才有痕跡）， 正常輸出與 `sync status` 都列得出「蓋掉幾個檔案、上一版是誰」。 * 背景 push 是 detached、輸出丟掉的，所以由 Stop hook 認領未回報的紀錄， 講給使用者聽一次（劇場模式也照講——那是資料被蓋掉）。 * commit 訊息也寫進「覆蓋 N 個檔案，上一版 <sha>」，被蓋掉的內容仍可用 `git -C <人格>/.sync/<區> show <sha>:<檔案>` 取回。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>