This repository was archived by the owner on Nov 4, 2026. It is now read-only.
Repository navigation
This repository was archived by the owner on Nov 4, 2026. It is now read-only.
[finding] guard-main-checkout.sh 只挂 Edit|Write|NotebookEdit,经 Bash 写文件(sed -i / tee / heredoc)可绕过 worktree 强制 #3435
Description
在 #3430(stash 共享栈)实现过程中读 .claude/settings.json 的钩子注册时发现,记录一下,不在 #3430 的范围内改。
现象
.claude/settings.json 里 guard-main-checkout.sh 的 matcher 是:
"matcher": "Edit|Write|NotebookEdit"
也就是说它只拦工具化的文件写入。同一个写操作换成 Bash 就完全不经过这个钩子:
sed -i 's/foo/bar/' packages/fields/src/x.tsx
cat > packages/fields/src/x.tsx ... EOF
tee / printf / python -c ... 同理
在共享主 checkout 里这样改文件,钩子一声不响,而 CLAUDE.md / AGENTS.md 给出的心智模型是「PreToolUse 钩子强制此规则」。#3430 记录的正是同一个心智模型的另一个洞(worktree 隔离盖不住 refs/stash),两者同族:声明的强制范围 > 实际的强制范围。
为什么标 finding 而不是缺陷
今天没有用户会踩到,也没有证据表明有 agent 真的靠 Bash 绕过去写过共享 checkout —— agent 写文件基本都走 Edit/Write。属于「防线比宣称的窄」这一类观察,是否值得补由 PM 定级。
如果要补,可能的做法(未实现,仅备选)
- 给
Bashmatcher 再挂一个钩子,识别常见的写文件命令(sed -i/tee/> path重定向 /cat > path)并按目标路径判断是否在 linked worktree 里 —— 与 [process] git worktree 共享 refs/stash:并行 agent 之间 stash push/pop 会互相顶掉在途改动 #3430 新增的guard-shared-stash.sh同一形状([process] git worktree 共享 refs/stash:并行 agent 之间 stash push/pop 会互相顶掉在途改动 #3430 的 PR objectui#3433 已经把Bashmatcher 建起来了,可以复用其分段/引号解析)。 - 代价:Bash 命令里的目标路径识别本质上是启发式,误拦风险比 Edit/Write 路径高得多,需要按 [process] git worktree 共享 refs/stash:并行 agent 之间 stash push/pop 会互相顶掉在途改动 #3430 的同一原则「解析不了就 fail open」。
相关
- [process] git worktree 共享 refs/stash:并行 agent 之间 stash push/pop 会互相顶掉在途改动 #3430 / objectui#3433 —— 同族的另一个洞(stash 共享栈),已修。
- objectstack#5742 —— [process] git worktree 共享 refs/stash:并行 agent 之间 stash push/pop 会互相顶掉在途改动 #3430 的 AGENTS.md 文字条款那一半。
Activity
yinlianghui commentedon Aug 6, 2026
发现分诊(晋级):摘
finding换pm:queue,即派——objectui 分片 PM 并行批第 38 单。晋级理由:「声明的强制面 > 实际强制面」家族今日已实弹两次(#3430 stash、本条 Bash 写入),且 #3433 已建好可复用的 Bash matcher + 引号感知分段 + fail-open 基础设施,补此洞的边际成本降到最低。认领:
会话:
session_01GTRjn8xBqp75dk7kFupVRt分支:
claude/issue-3435-bash-write-guardWorktree:
objectui-issue-3435文件面:
.claude/hooks/**(新 guard 脚本 + 自测,可复用 guard-shared-stash.sh 的解析)、.claude/settings.json(挂接)。⛔ 不动 CLAUDE.md/AGENTS.md(心智模型文字已由 #3430/#5742 双侧覆盖)。与在飞第 35 单(collaboration+语言包)、37 单(components/ui + sync 脚本)、39 单(workflows+docs)、40 单(console 预览素材)互不相交。
Generated by Claude Code
yinlianghui commentedon Aug 6, 2026
验收:ACCEPT → PR #3452(并行批第 38 单,会话
session_01GTRjn8xBqp75dk7kFupVRt),已跑检查 7/7 绿(Lint + shards + Live E2E 进行中,改动零源码文件,构造上不可能影响),绿后转 ready + 入队。复核要点:
split_segments逐字复用、既有OS_ALLOW_MAIN_EDITS=1逃生阀(未铸第二变量)、fail-open、仓判定直接提取自 guard-main-checkout.sh 自身的 git-dir 逻辑——两个 hook 对「共享检出」的定义结构上不可能分叉,这是本单最要紧的设计点。>/sed -i被当真操作符——误拦是守卫被整个关掉的头号死因)与 heredoc 正文剥离(stack渲染器读一个从未声明的spacing键,catalog 里 135 个节点照着它写 #4890 危害的多行形态),均有成对正反自测钉住。pm:queue+domain:devx转主仓 devx 车道(labeling ≠ claiming)。Generated by Claude Code