pi-block-find-root

pi 扩展：拦截 find 查询禁用路径。运行环境固定 Linux / msys2，只处理 POSIX 路径。

find(path="/etc", pattern="*")
→ 禁止使用 /etc 查询内容

bash(command="find / -name aaa")     # 需 blockBash: true
→ 禁止使用 bash 调用 find 查询 /（命中：/）

⚠️ 防误操作的护栏，不是安全边界。read、grep 等工具不受影响； bash 里的 find 会被解析拦截，但不可能覆盖所有变形（见下）。

配置

写在 pi 的 settings.json，项目覆盖全局：

文件	作用域
~/.pi/agent/settings.json	全局
.pi/settings.json	当前项目（需项目被信任）

{
	"blockFindRoot": {
		"forbiddenPaths": ["/", "/etc"],
		"blockBash": true
	},
	"defaultTimeout": 120
}

键	默认	作用
forbiddenPaths	["/"]	禁用路径列表
blockBash	false	是否检测 bash 命令里的 find。不写就是关

find 工具本身始终受管，blockBash 只管 bash 那一条。逐键回退： 项目写了哪个键就用项目的，没写的键去看全局，都没有则用默认值。

默认超时

bash 命令没写 timeout 就补上，默认 120s。配置一个数：

{ "defaultTimeout": 300 }

模型自己给了 timeout 就不动它。长驻命令（dev server、watch）自己写个大的， 或者 "defaultTimeout": 2147483。实现在 src/default-timeout.ts。

命中规则

输入路径 等于 禁用路径，或 在该路径之下。

以 forbiddenPaths: ["/etc"] 为例：

find 的 path	结果
/etc	🚫
/etc/passwd	🚫
/etcfoo	✅ 放行（不是子路径）
省略	按 cwd 判定

比较前只做轻量归一：去掉尾部通配符（/etc/* → /etc）。 不展开 ~、不解析符号链接，按 POSIX 路径原样比。

bash 里的 find（默认关，blockBash: true 才开）

解析逻辑全部在 src/bash-find-parser.ts（纯函数，不依赖 pi，可单独测）：

import { extractFindPaths } from "./bash-find-parser.ts";
extractFindPaths("sudo timeout 1 find / -name aaa"); // → [["/"]]

职责划分：

文件	干什么
src/bash-find-parser.ts	只解析：从 command 里抽出每次 find 的路径参数
src/path-match.ts	只比较：路径归一 + 「等于或在之下」
src/block-find-root.ts	只拦截：读配置、把上面两个接起来、返回 { block: true }
test/	三个文件各一套用例，共 170+ 条

解析步骤：

1. lexSegments — 一遍扫描同时切段 + 分词：引号外的 ; & | ( ) 换行 是段边界， 引号里的不算；$( ) 与反引号（单引号外）会递归解析里面的内容；\x 取字面量；
2. findCallArgs — 跳过命令词前面的 VAR= 赋值、数字参数、包装器 （sudo env time timeout nohup nice xargs watch stdbuf busybox command） 和选项（含 sudo -u root 这种带值的）；
3. 命令词是 find（含 /usr/bin/find，大小写不敏感）就收下它后面的参数； findstr、echo find /、git find 之类不算；命令词是 shell 则递归解析一层；
4. pathCandidates — 丢掉选项（-name / -path / -maxdepth 等连值一起丢）、 丢掉重定向（2>/dev/null）、-exec 系列直接截断（后面是子命令）；
5. find 没写路径参数时由 block-find-root 按 cwd 判定。

已覆盖的变形：sudo -u root find /etc、timeout 1 find /、find "/"、fi\nd /、 find /etc\ dir（带空格的真实路径）、x=$(find /)、y=`find /etc`、 echo "a $(find /)"（双引号里会真执行 → 拦）、bash -c "find /"、a; find /etc。

已知拦不住：路径来自 stdin/变量展开后再交给别的程序、自写脚本里调 find、 docker / ssh 里跑 find、read/grep 直接读禁用路径。护栏而已，别当安全边界。

本地试

本仓库 .pi/settings.json 已配好规则，.pi/extensions/ 里有转发文件， 直接在这个目录跑 pi 即可。

开发

npm install
npm run typecheck
npm test          # node --test，170+ 条

测试分三层：

文件	盖住什么
test/bash-find-parser.test.ts	解析：该认的必须认，不该认的绝不认
test/path-match.test.ts	比较：等于 / 子路径 / 兄弟目录不误伤 / 通配符归一
test/block-find-root.test.ts	端到端：喂真实 tool_call 事件，临时目录写自己的 settings

License

MIT