# 安全模型

## Localhost 綁定

HTTP server 僅綁定 `127.0.0.1:17989` — 區網 client 無法連到 daemon。Web 儀表板內嵌於執行檔，由同一個 daemon 在 `/` 提供，因此一般情況下瀏覽器來源就是你自己的機器。CORS middleware 只接受 loopback 來源（`localhost`、`127.0.0.1`、`::1`），並以 `Access-Control-Allow-Private-Network` 回應 Chrome Private Network Access。原本另外接受的兩個託管來源 `https://web.agenvoy.com` 與 `https://agenvoy-board.pardn.workers.dev` 已於 v1.0.17 移除 —— 請使用 daemon 在 `/` 提供的儀表板。

碰到憑證、設定檔或行程狀態的端點，在綁定之外另有 `localhostOnly()` 守門。它檢查的是連線的 remote address（`127.0.0.1` / `::1`），不是 `Origin` header。

## 沒有提權模式

不存在 `/sudo` 指令，也沒有 session 層級的提權。`/dangerous` 指令已移除；請改用下述的逐次確認或 TUI 的直接操作。兩者皆由逐請求授權取代：越過安全邊界的呼叫只為那一次呼叫升起確認，授權範圍限於該 session 加上該特定路徑。

`$HOME` 一律可寫，無需設定。兩種情況落在其外：

| 情況 | 行為 |
|---|---|
| `$HOME` 之外的路徑，或 `$HOME` 內的敏感路徑 | `boundary.Restricted` 收集後升起確認，且要求作業系統密碼。核准後該路徑授權給該 session |
| 需要寫到 `$HOME` 之外的指令 | Agent 在該次 `run_command` 附上 `write_paths`；這些路徑要等同一道密碼確認通過後才綁進 sandbox |

密碼檢查集中在 `internal/sudo`：`sudo -n -v` 探測 sudo ticket 是否仍在快取（上限 3 秒），`sudo -S -v` 驗證輸入的密碼（上限 30 秒）。sudo ticket 是唯一的計時器——沒有第二層 TTL。ticket 仍在快取時，提示不會要求輸入密碼；以 root 執行的 daemon 則直接略過檢查。

TUI 與本機 web 儀表板可以收集密碼；web 確認端點只接受來自 loopback 連線的密碼。無法收集密碼的通道——Telegram、Discord、遠端 HTTP 呼叫端——會拿回 **skipped**，不會被提權。通道可以核准提示，但缺少驗證的受限呼叫不會執行。

`sudo` 本身無法在 `run_command` 內執行，不論直接呼叫或放在 `sh -c` 內：呼叫會被拒絕，並指引改用 `write_paths` 與密碼確認。

讀取不受路徑限制。Sandbox 約束的是寫入而非讀取，因此指令只有在作業系統本身拒絕時才會在某路徑失敗。

## 永久拒絕

`config.json` 的 `denied_path` 是硬性拒絕清單：這些路徑讀寫皆不可，任何提示都無法核准，重試同一路徑會以相同方式失敗。項目必須是絕對路徑或以 `~/` 開頭；檔案系統根目錄會被拒收。`denied_command` 是其指令側的對應——清單上的 binary 一律拒絕，`sh -c` 內亦然。

## 敏感檔案防護

符合敏感集合的檔案——SSH keys、`.pem`、`.key`、`.env` 與憑證檔——比照 `$HOME` 之外的路徑處理：`read_files`、`edit_file`、`open_file`、`find_files`、`file_history`，以及帶 `save_to` 的 `fetch_page`，在碰觸前都會升起需密碼驗證的確認。該集合為 `sensitive_path`（`dirs` / `files` / `prefixes` / `extensions`），編譯進執行檔並與 `config.json` 中的使用者項目合併。此防護由 Go 強制，非基於 prompt。