cplt

بيئة معزولة (Sandbox) لوكلاء البرمجة بالذكاء الاصطناعي. تشغّل Copilot CLI أو Claude Code أو OpenCode أو Gemini CLI أو Antigravity أو Pi أو goose أو صدفة (shell) عادية داخل بيئة معزولة على مستوى النواة، مع حواجز git و gh وسياسة بيئة معزولة مُودَعة في المستودع.

كل ما يأتي بعد -- يذهب مباشرة إلى عملية الوكيل (copilot، opencode، gemini، antigravity، pi، claude، goose، dsh، أو shell).

إعدادات السياسة المسبقة

يضبط الإعداد المسبق خط أساس لمفاتيح تشغيل العزل الخمسة الرئيسية بعلم واحد بدلاً من قائمة منها. لا تزال الأعلام الفردية تتغلب على الإعداد المسبق، لذا فإن --preset permissive --no-allow-tmp-exec يفعل ما يقوله. قابل للضبط أيضاً كـ [sandbox] preset = "..." في الإعدادات.

مصفوفة الإعدادات المسبقة الكاملة وترتيب الحل: docs/configuration.md.

الوصول إلى الملفات

دليل المشروع هو مساحة العمل القابلة للكتابة، بالإضافة إلى قائمة سماح ضيقة مطلوبة للمصادقة ووقت التشغيل والأدوات (انظر الجدول أعلاه). تحجب النواة كل شيء آخر، بما في ذلك مفاتيح SSH وبيانات اعتماد السحابة.

متغيرات البيئة

يقوم cplt بتعقيم بيئة العملية الفرعية افتراضياً. تمر فقط المتغيرات الآمنة، وتُجرَّد بيانات اعتماد السحابة وعناوين URL لقواعد البيانات ورموز الحزم. كما يحقن متغيرات تقوية تحجب سكريبتات دورة حياة npm/yarn/pnpm (خطافات postinstall، ناقل هجوم سلسلة التوريد رقم واحد)، وتعطّل توقيع git commit وtag (بما أن ~/.ssh و~/.gnupg غير قابلين للوصول داخل العزل)، وتلغي قياس عن بعد لأدوات المطورين (DO_NOT_TRACK=1، NEXT_TELEMETRY_DISABLED=1، TURBO_TELEMETRY_DISABLED=1، CHECKPOINT_DISABLE=1، وغيرها).

ما يمر:

قائمة سماح بالبادئة مع حماية اللاحقة السرية. المتغير المطابق لبادئة مسموح بها مثل COPILOT_* أو YARN_* لا يزال يُسقَط إذا انتهى بلاحقة حاملة للأسرار: _TOKEN، _AUTH، _SECRET، _SECRET_KEY، _KEY، _PASSWORD، أو _CREDENTIALS. لذا يمر COPILOT_DEBUG ولا يمر COPILOT_API_KEY.

محجوب دائماً: AWS_*، AZURE_*، NPM_TOKEN، DATABASE_URL، VAULT_TOKEN، SSH_AUTH_SOCK، متغيرات Docker، رموز CI، وأي شيء ليس في قائمة السماح.

مفاتيح تشغيل العزل

أوقات التشغيل المدعومة

يكتشف cplt الأدوات المثبتة تلقائياً ويكتب قواعد العزل لتطابقها. عموماً، فقط الأدلة الموجودة على القرص تحصل على قواعد، لذا لا توجد مسارات وهمية. على macOS، تُضمَّن أدلة التطبيقات القابلة للكتابة عند اكتشافها حتى لو لم تكن موجودة بعد، لذا يمكن إنشاؤها عند أول استخدام. لا يمكن لـ Linux السماح بالكتابة إلى مسار غير موجود، لذا يجب أن يحدث الإنشاء خارج العزل هناك.

شغّل cplt doctor لمعرفة ما إذا كان cplt سيعمل هنا لوكيلك، وcplt doctor --verbose لكل ما اكتشفه على جهازك.

التصحيح

أعلام الجلسة

تُترجم هذه إلى أعلام جلسة الوكيل نفسه، لذا لا تحتاج إلى فاصل --.

يُترجم --continue و--resume أيضاً لـ OpenCode وAntigravity وClaude Code:

¹ لا يمتلك OpenCode ولا Antigravity منتقي جلسات تفاعلي، لذا فإن --resume المجرد يعني "متابعة الجلسة الأخيرة". يمتلك Claude Code واحداً، لذا يُترجم مباشرة.

--remote و--name خاصان بـ Copilot فقط. لا يحصل Pi ووضع shell على أي ترجمة على الإطلاق، لذا تُسقَط الأعلام الأربعة لهما. الاستئناف التلقائي آلية منفصلة: عندما تستدعي cplt بدون وسائط تمرير وبدون أعلام جلسة، فإنه يضيف --resume نيابة عنك، وهذا ينطبق على Copilot فقط.

اجمعها مع أعلام العزل ووسائط التمرير --:```bash cplt --resume=my-task # resume by name cplt --remote --name my-task -- -p "fix tests" # remote + named + prompt

ملاحظات أمنية بشأن goose:

• لا يُكتشف تلقائيًا: اختره صراحةً باستخدام --agent goose أو اضبط sandbox.agent = "goose" في الإعدادات
• مستقل عن المزوّد: يوجّه goose حركة النموذج إلى مزوّد يُهيّئه المستخدم (Anthropic، OpenAI، Google، Databricks، OpenRouter، …). مفاتيح المزوّدين الشائعة (ANTHROPIC_API_KEY، OPENAI_API_KEY، AZURE_OPENAI_API_KEY، GOOGLE_API_KEY، DATABRICKS_HOST/DATABRICKS_TOKEN، GROQ_API_KEY، OPENROUTER_API_KEY، XAI_API_KEY، AWS_BEARER_TOKEN_BEDROCK) هي تلميحات مصادقة معروفة ويجب تمريرها عبر --pass-env. يقرأ goose المتغيّر GOOGLE_API_KEY وليس GEMINI_API_KEY. أي مزوّد خارج هذه المجموعة الفرعية يظل يعمل: سمِّ متغيّره باستخدام --pass-env
• لا نطاقات افتراضية: لم يتصل goose بأي مضيف خاص به في التقاط --observe-domains، لذا فإن قائمة السماح المدمجة لديه هي قاعدة سجل الحزم المشتركة فقط. أضف نطاق مزوّدك عبر allowed_domains قبل تمكين --default-allowlist
• يُمنح الوصول إلى Keychain، ويمكنك تجنّبه: يخزّن goose أسرار المزوّد في Keychain تسجيل الدخول في macOS افتراضيًا، لذا يمنحه cplt ذلك — لكن هذا المنح أوسع من مدخل goose نفسه (#242). يجعل GOOSE_DISABLE_KEYRING=1 goose يستخدم secrets.yaml في مجلد إعداداته بدلًا من ذلك، كما أن تمرير المفتاح عبر --pass-env يتجنّب الأسرار المخزّنة كليًا. على Linux يستخدم goose خدمة D-Bus Secret Service، وهو ما لا يؤثر عليه منح Keychain
• مجلد الإعدادات للقراءة فقط: يعلن ~/.config/goose/config.yaml عن مدخلات extensions: التي يُشغّل goose أمر cmd الخاص بها عند بداية كل جلسة، لذا فإن مجلد إعدادات قابل للكتابة يُعدّ ناقلًا لاستمرارية الاستيطان على المضيف. الجلسات العادية لا تكتب فيه؛ تغييرات /mode وأذونات الأدوات المحفوظة لا تنجو من تشغيل داخل صندوق رمل. أعد التهيئة باستخدام goose configure خارج cplt
• مجلدات بيانات goose (~/.local/share/goose/) وحالته (~/.local/state/goose/) قابلة للكتابة، مع رفض التنفيذ. يستخدم goose مسارات XDG هذه على macOS أيضًا، ويحترم تجاوزات XDG_* هناك
• --continue و--resume المجرّد يُقابلان goose session --resume؛ و--resume=ID يُقابل goose session --resume --session-id ID؛ و--name X يُقابل goose session --name X. هذه أعلام أوامر فرعية، لذا يحقن cplt الأمر الفرعي session معها. يتم تجاهل --remote (لا يوجد مقابل في goose)

دعم DeepSeek Harness

يستطيع cplt تشغيل DeepSeek Harness (الملف التنفيذي dsh) داخل صندوق رمل، وهو إطار عمل موجّه للإضافات من DeepSeek. يوفّره المشروع الأصلي كإصدار معاينة للمطوّرين، ويقول ملف SAFETY.md الخاص به إنه لا ينبغي الاعتماد على ضوابطه كالحد الوحيد، وهذه هي الحالة التي وُجد cplt من أجلها.```bash

Run DSH (must be explicit — not auto-detected)

cplt --agent dsh

Pass the API key, or keep it in $DSH_HOME/.env

cplt --agent dsh --pass-env DEEPSEEK_API_KEY

Set DSH as your default agent

cplt config set sandbox.agent dsh

تُطبَّق نفس قواعد الرفض افتراضيًا: عزل نظام الملفات، وقيود الشبكة، وتعقيم متغيرات البيئة. تبقى أدلة إعدادات الصدفة (متغيرات وسجل fish، وسجل zsh) قابلة للكتابة.

بالنسبة لأمر واحد، يُعدّ cplt exec أنظف من cplt --agent shell -- -c 'cmd'.

وضع التنفيذ

شغّل أي أمر داخل البيئة المعزولة دون بدء وكيل. لا لافتة بدء، ولا مطالبة تأكيد، لذا فهو مناسب للسكربتات والأنابيب والأسماء المستعارة للصدفة.```bash

Sandbox a single command

cplt exec -- npm install cplt exec -- make build cplt exec -- go test ./...

Compound commands via $SHELL -c

cplt exec -c "npm install && npm test"

Pass sandbox flags as usual

cplt exec --allow-lifecycle-scripts -- npm install cplt exec --project-dir /path/to/repo -- make build cplt exec --with-proxy -- curl https://example.com

Shell aliases for sandboxed tools

alias npm="cplt exec -- npm" alias node="cplt exec -- node" alias python="cplt exec -- python"

الإعدادات

تتم الإعدادات على مستويين: عام، لتفضيلات المطوّر، ولكل مستودع، لسياسة الفريق.```bash

Browse and change settings interactively

cplt settings

Set global preferences

cplt config set sandbox.quiet true cplt config set proxy.blocked_domains "~/.config/cplt/blocked-domains.txt" cplt config set git_guard.mode warn # observe pushes instead of blocking them cplt config set gh_guard.enabled false # opt out of the gh guard entirely

Set per-repo policy (committed to .cplt.toml)

cplt config set --repo sandbox.allow_jvm_attach true cplt config set --repo deny.paths "~/secrets"

Inspect

cplt config show # effective config (file + defaults) cplt config explain # every key with its description

يقرأه cplt من git HEAD، لذا لا يمكن للوكيل العبث بسياسة نفسه في منتصف الجلسة، وتُثبَّت موافقات الثقة على محتوى الملف. ملف .cplt.toml غير المُودَع لا يمنح أي شيء حتى يُودَع، رغم أن مفاتيح [deny] الخاصة به تظل سارية. في CI والسكربتات، حيث لا يمكن لأحد الإجابة على مطالبة، يوافق --accept-repo-config على مقترحات الملف المُودَع لتلك الجولة الواحدة دون حفظ أي ثقة. يكتب لك cplt init واحدًا عبر اكتشاف أدوات المشروع:```bash cplt init # preview detected permissions cplt init --write # write .cplt.toml to disk cplt init --quiet # output only TOML (pipe-friendly) cplt init --global # generate a personal ~/.config/cplt/config.toml

نموذج الأمان هو نظام ملفات يرفض افتراضيًا مع فرض على مستوى النواة. على macOS، وعلى Linux مع نواة 6.7+ (Landlock ABI v4)، تُقيَّد الشبكة بالمنفذ 443 افتراضيًا، مع --allow-port للإضافات. على نوى Linux الأقدم، يوفّر وكيل CONNECT هذا القيد بدلاً من ذلك، ولهذا السبب يكون مفعّلًا افتراضيًا. يُحظر الوصول إلى وكيل SSH والخروج إلى localhost في النواة على macOS. على Linux لا يُحظر أيٌّ منهما: قواعد Landlock القائمة على المنافذ لا تستطيع التمييز بين localhost والمضيف البعيد، وconnect() على مقبس unix غير محكوم بـ Landlock دون نواة 7.1، لذا بصرف النظر عن المقابس التي يحجبها bubblewrap، فإن SSH_AUTH_SOCK المحجوز هو الشيء الوحيد الذي يفصل بين الوكيل ومفاتيحك المحمّلة. يكتشف مولّد الملف التعريفي بيئتك (cplt doctor --verbose يُظهر نفس نتائج الفحص) ويصدر قواعد فقط لأدلة الأدوات الموجودة فعليًا على القرص. قواعد أقل، صندوق رمل أكثر إحكامًا.

• macOS: يُولَّد ملف تعريف Seatbelt/SBPL ويُسلَّم إلى sandbox-exec
• Linux: قواعد Landlock LSM بالإضافة إلى مرشّح seccomp-BPF، تُطبَّق عبر pre_exec (نواة 5.13+، تصفية منافذ TCP على 6.7+)

التفاصيل الداخلية وتخطيط الوحدات: docs/architecture.md. نموذج التهديد، وطبقات الدفاع، والثغرات الصريحة: SECURITY.md.

الأمان

ملف تنفيذي واحد، تبعيات دنيا، لا خدمات وقت تشغيل، لا قياس عن بُعد. ثلاث طبقات دفاع، مع حدود واضحة بينها:

ما يحمي منه cplt:

• تسريب الأسرار (مفاتيح SSH، بيانات اعتماد السحابة، ملفات .env): محظور على مستوى النواة
• تنفيذ كود غير مصرّح به من أدلة مؤقتة: محظور على مستوى النواة
• الاستمرارية عبر ملفات تنفيذية في أدلة التخزين المؤقت: محظورة على مستوى النواة، لأن تلك الأدلة يُمنع تنفيذها
• الاستمرارية عبر خطافات git في المشروع: .git/hooks محظور الكتابة عليه على مستوى النواة على macOS. على Linux، مع Landlock وبدون Bubblewrap، يبقى قابلًا للكتابة، وعندها يعمل git الخاص بـ cplt على الجانب الأب مع core.hooksPath=/dev/null فلا ينفّذ أبدًا خطافًا مزروعًا، رغم أن git الذي تشغّله بنفسك سيظل ينفّذه
• الاستمرارية عبر أدلة أدوات مدير الحزم القابلة للكتابة والتنفيذ معًا (mise shims، PNPM_HOME، ~/.deno/bin، ~/.bun/bin): تُمنح الكتابة هناك حتى تعمل pnpm add -g وما شابه داخل صندوق الرمل، لذا يمكن للوكيل أن يترك ملفًا تنفيذيًا يلتقطه صدفة لاحقة من PATH الخاص بك
• ملف تنفيذي مزروع يختطف الوكيل الذي يشغّله cplt: عند التشغيل والتدقيق، يحلّ cplt الأدوات المساعدة التي يشغّلها بنفسه (git، bwrap، sandbox-exec، mise، وgh الذي يقرأ منه رمزًا) من أدلة نظام ثابتة بدلًا من PATH، لكن ملف الوكيل التنفيذي نفسه يعمل من حيث اكتُشف، وهو في تثبيت npm-global عادةً تحت شجرة mise أو node قابلة للكتابة. لا يستطيع cplt حلّه من دليل ثابت — فهو يقع بشكل مشروع حيث وضعه مدير الإصدارات لديك — لذا يتحقق من المسار المحلول مقابل قواعد الكتابة التي سيطبّقها صندوق الرمل ويحذّر عند التشغيل، مسمّيًا الملف التنفيذي والشجرة القابلة للكتابة، ثم يمضي قدمًا
• cplt doctor: فحوصات --version الخاصة به تشغّل كل ملف وكيل تنفيذي يجده على PATH الخاص بك، في العملية الأب، لذا يُنفَّذ ملف مزروع هناك — نفس التعرّض للمسار المكتشف كما في التشغيل أعلاه، ولهذا فإن doctor تقرير وليس حدًّا. فحص gh الخاص به يُحلّ من الأدلة الموثوقة وقراءة إصدار النواة لا تشغّل شيئًا على الإطلاق
• تسريب البيانات إلى نطاقات غير مصرّح بها: محظور عبر الوكيل
• الدفع العرضي إلى main ودمج طلبات السحب دون مراجعة: محظور عبر الحارس

ما لا يحمي منه cplt:

• الكود الخبيث الموجود أصلًا داخل دليل المشروع. للوكيل قراءة/كتابة كاملة هناك
• أخطاء المنطق التي يُدخلها الوكيل. ما زلت تراجع الكود
• خصم متطوّر يتجاوز حارس الأوامر. استخدم حماية الفروع على الجانب الخادم
• هجمات الشبكة على النطاقات المسموح بها. إذا كان github.com مسموحًا، يمكن للوكيل القراءة والكتابة هناك
• الوصول إلى macOS Keychain، للوكلاء الذين يخزّنون المصادقة هناك. المحتويات محمية بكلمة مرور، ويمكن لـ sandbox.keychain_substitute التنازل عن المنح حيث يملك الوكيل بيانات اعتماد أخرى

أولوياتنا، بالترتيب: الصحة (كل ادعاء مُختبر، وكل حالة حدّية لها مرجع CVE أو بحث)، الشفافية (SECURITY.md لا تخفي شيئًا)، البساطة (ملف تنفيذي واحد، صفر إعداد مطلوب، إعدادات افتراضية معقولة)، والفائدة (أفسح الطريق ودع الوكيل يعمل، بأمان).

المزيد: docs/security.md · SECURITY.md

الشبكة والوكيل

الوكيل مفعّل افتراضيًا. كل حركة الخروج من Copilot CLI وgh وcurl تمر عبر وكيل CONNECT على localhost عبر HTTP_PROXY/HTTPS_PROXY وNODE_USE_ENV_PROXY=1. يستمع على منفذ عابر مخصص من قِبل نظام التشغيل، فلا يتعارض شيء. تحصل على تسجيل الاتصالات في الوقت الفعلي، وحظر النطاقات، وقوائم النطاقات المسموح بها، وسجل تدقيق دائم، ونفس سياسة المنافذ التي يفرضها صندوق الرمل (443 بالإضافة إلى أي شيء في allow.ports).```bash cplt --proxy-forced -- -p "fix tests" # force all egress through the proxy cplt --no-proxy -- -p "fix tests" # disable for one run cplt --blocked-domains blocked-domains.txt -- -p "x" # block known-bad domains cplt --allowed-domains allowed-domains.txt -- -p "x" # allowlist mode cplt --default-allowlist -- -p "x" # fail-closed: only the agent's own domains cplt --observe-domains -- -p "x" # record what the agent contacts, block nothing cplt --proxy-upstream http://proxy.corp:8080 -- -p "x" # chain through a corporate proxy

وضع الإجبار عبر الوسيط اختياري. يقيّد خروج النواة إلى منفذ الوسيط بحيث لا يمكن تجاوز socket يُفتح مباشرة، أو env -u HTTPS_PROXY. الإنفاذ كامل على macOS، حيث يُثبَّت على localhost:<proxy_port>. على Linux يحجب TCP المباشر :443، وقاعدة seccomp تسمح فقط بـ SOCK_STREAM مع البروتوكول 0 أو IPPROTO_TCP لـ AF_INET/AF_INET6، لذا فإن UDP وraw وSCTP وDCCP مغلقة أيضًا — على حساب أي شيء يفتح مثل هذا socket، وليس فقط الكود الذي يرسل UDP. ما يتبقى هو بقايا قائمة على المنفذ، evil.com:<proxy_port>، حتى #114.

خارج وضع الإجبار عبر الوسيط، لا يقيّد Linux بروتوكول UDP. صلاحيات الشبكة في Landlock هي TCP فقط حتى ABI v10، ويتعامل cplt مع AccessNet::ConnectTcp وحده، وقاعدة seccomp أعلاه لا تُطبَّق عمدًا — رفض SOCK_DGRAM هناك سيكسر getaddrinfo(3)، وبالتالي كل DNS، لكل أداة غير موجهة عبر الوسيط. لذا فإن UDP الصادر إلى أي مضيف، وربط UDP الوارد، وأنفاق DNS، وQUIC/HTTP-3 غير وسيطة في الوضع الافتراضي، ووسيط CONNECT يحمل TCP فقط، لذا لا يظهر أي منها في سجل الوسيط. يقيّد macOS بروتوكول UDP في الوضع الافتراضي لكنه لا يوجّهه أيضًا: remote ip "*:443" يغطي UDP، لذا يخرج QUIC/HTTP-3 على 443 دون لمس الوسيط هناك أيضًا. تحت proxy.forced يكون سجل الوسيط سجلًا كاملًا للخروج على macOS. على Linux يكون كاملًا باستثناء بقايا evil.com:<proxy_port> أعلاه، والتي لا تعبر الوسيط وبالتالي لا تظهر في سجله.

تتطابق كلتا القائمتين بالطريقة نفسها: example.com يغطي النطاق الدقيق وكل النطاقات الفرعية، والمطابقة غير حساسة لحالة الأحرف، ويُزال النقاط اللاحقة. تُعاد قراءة ملفات قائمة الحظر وقائمة السماح كل خمس ثوانٍ، لذا يمكنك تعديلها مباشرة. يتجاوز مرور localhost الوسيط عبر NO_PROXY ولا يظهر أبدًا في سجل التدقيق. --proxy-timeout <SECONDS> يحدّ من قراءات الطلب والترويسات (الافتراضي 60) ولا ينهي أنفاق CONNECT القائمة، التي قد تظل خاملة لمدة تصل إلى ساعة.

كل علامة وسيط، وتفصيل تصفية النطاقات، وتسلسل وسيط الشركة الأعلى، وتنسيق سجل الاتصال: docs/proxy.md.

حراس الأوامر

فعّلها فيعترض cplt الأمرين gh وgit عبر سكربتات غلاف في $PATH:

هذه هي الطبقة 3، حاجز ناعم. يمنع وكيلًا ممتثلًا من فعل شيء مدمّر عن طريق الخطأ. للحصول على حد صارم، اعتمد على صندوق رمل النواة وحماية الفروع من جانب الخادم.

مع تفعيل حارس gh، يخزّن cplt أيضًا رمز GitHub مؤقتًا عند الإطلاق ويقدمه مرة واحدة عبر callback gh auth token، ثم يحذف الذاكرة المؤقتة. هذا يقلل التسريب العرضي والقائم على البيئة. إنه ليس حدًا ضد وكيل معادٍ، لأن الذاكرة المؤقتة تعيش في TMPDIR الخاص بالوكيل نفسه، والوكيل الذي يقرأها قبل المستهلك الشرعي لا يزال يحصل على الرمز. SECURITY.md يحتوي على البيان الكامل حول block_auth_token.

السلوك الكامل: docs/gh-guard.md · docs/git-guard.md

التأثيرات المعروفة

يحجب صندوق الرمل بعض سير العمل عن قصد. الشائعة منها وإصلاحاتها:

يحتاج Playwright Chromium إلى cplt config set sandbox.allow_cache_exec ms-playwright، ويجب تشغيل Chromium دون صندوق الرمل المتداخل الخاص به. على macOS لا تستطيع مساعداته تهيئة صندوق رمل Seatbelt ثانٍ داخل cplt (forbidden-sandbox-reinit)؛ على Linux يحجب مرشح seccomp في cplt استدعاءات syscall الخاصة بالـ namespace التي يحتاجها صندوق الرمل. Playwright كمكتبة يبدأ بالفعل مع --no-sandbox، ونفس هذا الاشتراك يضبط PLAYWRIGHT_MCP_SANDBOX=false لـ Playwright MCP، الذي كان سيعيده إلى التشغيل لولا ذلك. أي مشغّل Chromium آخر يحتاج إلى --no-sandbox بنفسه. يبقى cplt هو حد النواة المنفّذ، لكن renderer المخترق يتلقى بعد ذلك ملف تعريف Playwright الكامل لـ cplt بدلًا من ملف تعريف Chromium الفرعي الأضيق. انظر Cache exec وSECURITY.md.

يعمل git commit مع كل وكيل؛ أما ما إذا كان git push يعمل عبر HTTPS فيعتمد على الوكيل. ثلاثة متطلبات مسبقة: استخدم remotes عبر HTTPS بدلًا من SSH (git remote set-url origin https://github.com/org/repo.git، أو أعد الكتابة عالميًا باستخدام git config --global url."https://github.com/".insteadOf "[email protected]:")، شغّل gh auth login مرة واحدة خارج صندوق الرمل، وشغّل gh auth setup-git إذا لم يكن مساعد بيانات الاعتماد مُهيأً بعد. عندئذٍ يشغّل push الأمر gh auth git-credential، الذي يحتاج إلى رمز يستطيع gh الوصول إليه من داخل صندوق الرمل — وهذا يختلف حسب الوكيل، انظر Git workflow. تُرفض عمليات الدفع إلى الفرع الافتراضي وكل عمليات الدفع القسري بواسطة حارس git افتراضيًا؛ ادفع فرع ميزة. socket وكيل SSH محظور لأنه يفتح كل مفتاح محمّل ويمكنه المصادقة مع أي مضيف، بينما مساعد بيانات الاعتماد gh مقيّد بـ GitHub.

JVM واعٍ بالوسيط، لذا يحتاج مستودع Maven داخلي على IP خاص إلى السماح الآن. يحقن cplt http(s).proxyHost/proxyPort في JAVA_TOOL_OPTIONS، لذا يمر حل تبعيات Gradle وMaven عبر وسيط CONNECT ويظهر في سجل الوسيط بدلًا من تجاوزه. ثم يرفض حارس SSRF الخاص بالوسيط مستودع Nexus أو Artifactory داخليًا يُحلّ إلى مساحة عنوان خاصة، تمامًا كما يفعل بالفعل مع curl وnpm وpip. أضف اسم DNS الخاص به إلى proxy.allow_private_domains. عنوان URL لمستودع مكتوب كـ IP حرفي مجرد (https://10.20.30.40/repository/maven-public/) لا يمكن السماح به بأي مفتاح — هذا الفحص يعمل قبل استشارة قائمة السماح — لذا يحتاج مثل هذا المستودع إلى اسم DNS. تفرعات إضافة WorkerExecutor، وعملية Gradle daemon تبدأ خارج cplt وتُعاد استخدامها في الداخل، لا تمر عبر الوسيط. انظر Internal Maven/Gradle repositories on private IPs.

يشغّل Gradle 9+ صندوق الرمل المتداخل الخاص به، ويقوم cplt بإيقافه. منذ Gradle 8.8 يلفّ الـ daemon نفسه في sandbox-exec (يتحكم فيه GRADLE_MACOS_SANDBOX، سابقًا خاصية org.gradle.daemon.sandbox). لا يدعم macOS استدعاءات sandbox-exec المتداخلة، لذا يفشل صندوق الرمل الداخلي بـ "Operation not permitted" على عمليات socket. يحقن cplt GRADLE_MACOS_SANDBOX=off، لأنه يوفر بالفعل صندوق رمل على مستوى النواة. هذه مشكلة معروفة في المنبع تصيب أي أداة تلفّ Gradle في صندوق رمل خارجي. تجاوزها باستخدام --pass-env GRADLE_MACOS_SANDBOX إذا كنت تريد حقًا صندوق الرمل الخاص بـ Gradle.

يشغّل Copilot CLI 1.0.83 صندوق الرمل المتداخل الخاص به، ويقوم cplt بإيقافه. على Linux يبني صندوق الرمل هذا namespace شبكة — slirp4netns، iptables، /dev/net/tun — ومرشح seccomp في cplt يرفض unshare الذي يتطلبه. يضبط cplt أيضًا HTTP_PROXY/HTTPS_PROXY، وهو ما يضع في 1.0.83 صندوق رمل Linux على مسار الخروج عبر الوسيط سواء طلبت ذلك أم لا، لذا يتصادم الاثنان عند كل إطلاق. العَرَض: [cplt] Starting Copilot in sandbox... ثم لا شيء. يحقن cplt خيار الانسحاب الخاص بـ Copilot، COPILOT_CLI_SANDBOX_SUPPORT_OVERRIDE=unsupported؛ يتراجع Copilot للجلسة، ويقول ذلك، ويترك sandbox.enabled المحفوظ لديك دون تغيير. cplt هو الحد، كما هو الحال مع Gradle وChromium. تجاوزه باستخدام --pass-env COPILOT_CLI_SANDBOX_SUPPORT_OVERRIDE. سياسة مُدارة على مستوى المؤسسة تتطلب صندوق الرمل تتجاوز كل هذا — انظر Copilot CLI's own command sandbox.

كل تأثير، مع جداول كل أداة، وملاحظات JVM وKotlin daemon، واستكشاف أخطاء GPG، والفروقات بين منصات السجل الخاص: docs/known-impacts.md.

القيود

macOS

• sandbox-exec مهمَل. لم تزله Apple، لكنها قد تفعل في إصدار macOS مستقبلي.
• لا يمتلك SBPL تصفية قائمة على النطاق. يوفر وسيط CONNECT الاختياري حجب النطاق بدلًا من ذلك.
• لا يمتلك lsopen في SBPL مرشحًا أيضًا، لذا فإن --allow-browser هو كل Launch Services أو لا شيء منه. مع تفعيله يستطيع الوكيل تشغيل أي تطبيق خارج صندوق الرمل، ولا يمكن لأي غلاف تضييق ذلك — انظر docs/security.md.

Linux

• يتطلب نواة 5.13+، مع تفعيل Landlock LSM.
• تحتاج تصفية منفذ TCP إلى نواة 6.7+. تحصل النوى الأقدم على إنفاذ نظام الملفات فقط.
• لا يستطيع Landlock رفض المسارات الفرعية داخل المسارات المسموح بها، لذا فإن قراءة/كتابة/حذف .env داخل مجلد المشروع غير منفّذ على مستوى النواة. تُحجب كتابات .git/hooks عند تفعيل Bubblewrap.
• يتطلب --deny-path وجود Bubblewrap. يُنفَّذ عبر أقنعة mount عندما يكون bwrap نشطًا. بدونه، يكون Landlock قائمة سماح فقط ويحذّر cplt من الرفض بدلًا من تطبيقه.

المزيد: docs/security.md

المساهمة

المساهمات مرحّب بها.```bash git clone https://github.com/navikt/cplt.git && cd cplt git config core.hooksPath hack # enables pre-commit fmt + clippy checks mise run check # runs fmt, clippy, and tests