🔐 权限系统

// ① 第 1 层：内置默认（最宽松的部分 + 必要的拦截）
const defaults = Permission.fromConfig({
  "*": "allow",                  // 默认所有工具允许（信任 Agent 基础能力）
  doom_loop: "ask",              // 死循环检测 → 必须问
  external_directory: {          // 项目外的目录 → 问
    "*": "ask",
    ...whitelistedDirs.map(dir => [dir, "allow"]),  // 白名单目录允许
  },
  question: "deny",              // plan 模式相关工具默认禁用
  plan_enter: "deny",
  plan_exit: "deny",
  read: {                        // 读文件：默认允许，但 .env 类文件要问
    "*": "allow",
    "*.env": "ask",              // ← 防止泄露密钥！
    "*.env.*": "ask",
    "*.env.example": "allow",
  },
})

// ② 第 2 层：用户配置（opencode.json 覆盖默认）
const user = Permission.fromConfig(cfg.permission ?? {})

// ③ 第 3 层：运行时用户批准（ask 时用户点"总是允许"会加到这层）
// merge 时优先级：运行时 > 用户配置 > 默认

execute: (params, ctx) => Effect.gen(function* () {
  // ★ 执行前先问权限
  yield* ctx.ask({
    permission: "todowrite",        // 工具名
    patterns: ["*"],                // 匹配模式
    always: ["*"],                  // 用户可勾选"总是允许"
    metadata: {},
  })
  // 只有 ask 返回（用户允许）才会执行到这里
  yield* todo.update({ ... })
  ...
})

// ctx.ask 内部：
function ask({ permission, patterns, ruleset }) {
  return Effect.gen(function* () {
    // ① 查权限规则：合并三层，对 patterns 匹配
    const decision = Permission.evaluate(ruleset, permission, patterns)

    if (decision === "allow") return              // 放行，继续执行
    if (decision === "deny") throw new Denied()   // 拒绝，抛错给 LLM

    // decision === "ask"
    // ② 暂停执行，发事件让 UI 弹窗（对应 LG6 的 interrupt！）
    yield* events.publish("permission.request", { permission, patterns })
    const response = yield* awaitUserDecision()   // 阻塞等用户点击

    if (response === "allow_always") {
      // 用户选"总是允许" → 加到第 3 层运行时规则（持久化）
      yield* permissionRules.add({ permission, patterns, allow: true })
    }
    if (response === "deny") throw new Denied()
    // allow → 继续
  })
}

// 检测死循环：最近 N 个 part（DOOM_LOOP_THRESHOLD，如 3）
const recentParts = parts.slice(-DOOM_LOOP_THRESHOLD)

if (
  recentParts.length !== DOOM_LOOP_THRESHOLD ||
  !recentParts.every(
    (part) =>
      part.type === "tool" &&
      part.tool === value.name &&                              // 同一工具
      part.state.status !== "pending" &&
      JSON.stringify(part.state.input) === JSON.stringify(input),  // 同一输入
  )
) {
  return   // 不满足"连续 N 次相同调用"，不是死循环
}

// ★ 检测到死循环！触发权限询问（让用户决定是否继续）
yield* permission.ask({
  permission: "doom_loop",
  patterns: [value.name],
  metadata: { tool: value.name, input },
  always: [value.name],
  ruleset: agent.permission,
})

export function deriveSubagentSessionPermission(parentRuleset) {
  // 子 agent 继承父会话的：
  // 1. 所有 deny 规则（父拒绝的，子也拒绝）
  // 2. external_directory 规则（父限制的目录，子也限制）
  // 并【额外禁止】：
  // 3. todowrite（子 agent 不该改待办）
  // 4. task（防止无限递归派生！）
  return Permission.merge(parentRuleset, {
    todowrite: "deny",
    task: "deny",        // ← 关键：禁止子 agent 再派生子 agent
  })
}