其他代理和沙箱命令：```bash
cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

## 它阻止什么

沙箱在内核中阻止对凭据和密钥的访问。命令守卫阻止破坏性操作。每项限制都适用于智能体及其派生的每个进程。

| 资源 | 状态 | 备注 |
| --- | --- | --- |
| 读写项目目录 | ✅ 允许 | |
| 读取/写入/删除项目中的 `.env*`、`.pem`、`.key` | 🔒 内核阻止 | 防止密钥外泄和破坏。`--allow-env-files` 可覆盖 |
| 写入 `.git/hooks`、`.git/config`、`.gitmodules` | 🔒 内核阻止（macOS），⚠️ Linux 上部分阻止 | 防止通过 git hooks、hooksPath 重定向、子模块劫持实现持久化。**Linux：** Landlock 无法拒绝已允许树内的子路径，因此在仅 Landlock 路径上这些文件仍可写。`bwrap` 将 `.git/hooks` 重新绑定为只读，但有意保留 `.git/config` 和 `.gitmodules` 可写，因此 `core.hooksPath` 仍是一条持久化途径，参见 [Linux 限制](https://github.com/navikt/cplt/blob/main/docs/security.md#linux)。适用于**每个**可写根目录、项目以及每个 `allow.write` 授权，包括被授权的工作树或裸仓库，其真实 hooks 位于 `<root>/.git` 之外 |
| 从 `/tmp`、`/var/folders` 执行 | 🔒 内核阻止 | 防止先写后执行。scratch 目录将 TMPDIR 重定向到安全位置，默认开启 |
| 写入 PATH 解析的 bin/shim 目录（`~/.bun/bin`、`~/.deno/bin`、`$PNPM_HOME`、mise `shims/` 以及整个 `installs/`） | 🔒 内核阻止（macOS），⚠️ Linux 上 mise 部分阻止 | 防止木马化你的下一条*非沙箱*命令通过 PATH 解析到的二进制文件。这也是 `~/.cargo/bin` 和 `~/go/bin` 一直只读的原因。会故意破坏 cplt 内的 `bun install -g`、`deno install`、`pnpm add -g`、`mise install`、`mise upgrade`、`mise use -g`，并且固定了未安装工具链的仓库不再能自动引导。项目本地安装不受影响。**Linux：** mise 的两项依赖 `bwrap` 只读覆盖层；其余原生保持。参见 [全局工具安装](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#global-tool-installs) |
| 从 `~/Library/Caches` 执行 | 🔒 默认内核阻止 | 防止二进制投放暂存。Copilot 原生模块通过例外豁免。使用 `--allow-cache-exec <SUBDIR>` 添加定向豁免，例如 `ms-playwright` |
| 修改 `.vscode/tasks.json`、`launch.json` | ⚠️ 允许，已知风险 | IDE 信任边界。缓解措施参见 [SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md) |
| 读取/写入 `~/.copilot`（认证、设置） | ✅ 允许 | 包括用于 `keytar.node`、`pty.node`、`computer.node` 的 `file-map-executable` |
| 写入 `~/.copilot/pkg`（原生模块） | 🔒 内核阻止 | 防止通过替换原生模块实现持久化 |
| 环境变量 | 🔒 净化 + 加固 | 仅安全允许列表可通过。生命周期脚本被阻止。`--pass-env VAR` 可加回一个 |
| 读取 `~/.config/gh/hosts.yml` + `config.yml` | ✅ 允许（只读） | 仅这两个文件。`.config/gh` 的其余部分被阻止 |
| 读取 `~/.config/mise` | ✅ 允许（只读） | 工具版本和 PATH，无密钥 |
| 读取 `~/.gitconfig`、`~/.config/git/config` | ✅ 允许（只读） | dotfiles 符号链接会跟随到其目标，因此 stow 管理的 `~/.gitconfig` 可正常工作 |
| 读取 `~/.git-credentials` | 🔒 内核阻止 | `credential.helper = store` 将明文令牌保存在此处。任何 `--allow-read` 都无法重新打开它，类似 `~/.netrc`。**Linux：** 对*祖先*（`$HOME` 本身）的授权仍会暴露它，因为 Landlock 无法拒绝已允许树内的子路径 |
| 读取全局 git hooks（`core.hooksPath`） | ✅ 允许（只读，拒绝写入） | 自动检测。必须位于 `$HOME` 下且深度 ≥3。写入被明确阻止 |
| 提交/标签签名（`commit.gpgsign`、`tag.gpgsign`） | 🔒 已禁用 | `~/.ssh` 和 `~/.gnupg` 中的私钥被阻止，因此通过环境变量覆盖禁用签名 |
| 读取 `~/Library/Application Support/Microsoft` | ✅ 允许（只读） | 用于遥测的设备 ID |
| 访问 macOS Keychain | ⚠️ 允许（读+写）用于在此存储认证的智能体 | 该授权无法限定到单个条目，因此会触及智能体可解锁的每个钥匙串条目。选择启用 `sandbox.keychain_substitute`（实验性，默认关闭）以在智能体无需它即可认证的运行中放弃它——Claude Code 使用 `CLAUDE_CODE_OAUTH_TOKEN`，Antigravity 使用现有的回退令牌文件。参见 [SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md#keychain-access-is-all-or-nothing) |
| 出站网络（端口 443） | ✅ 允许 | 其他所有端口被阻止。使用 `--allow-port` 添加额外端口 |
| 本地主机出站 | 🔒 内核阻止（macOS），⚠️ Linux 上基于端口 | 防止访问本地服务。入站仍可用于代理。**Linux：** Landlock 规则仅为端口号，无法区分 `localhost:443` 和 `remote:443`，因此允许端口上的本地服务可被访问，且没有针对 localhost 的特定拒绝。使用 `--with-proxy` 获得 SSRF 保护，参见 [Linux 限制](https://github.com/navikt/cplt/blob/main/docs/security.md#linux) |
| SSH 代理（unix socket） | 🔒 内核阻止（macOS），⚠️ Linux 上仅环境变量 | 防止签名 git 操作或 SSH 到主机。**Linux：** unix socket 的 `connect()` 不受门控，因此被扣留的 `SSH_AUTH_SOCK` 是唯一屏障，自行设置它的智能体可以使用已加载的密钥。`bwrap` 隐藏 `/tmp` 下的标准 OpenSSH socket，但不隐藏 `$XDG_RUNTIME_DIR` 下的 gnome-keyring/gcr 或 systemd 代理。参见 [Linux 限制](https://github.com/navikt/cplt/blob/main/docs/security.md#linux) |
| 开发者工具（`~/.cargo`、`~/.gradle`、`~/.m2`、`~/.sdkman`、`~/.jenv`、`~/.pyenv`、`~/.konan` 等） | ✅ 允许（缓存读+写） | 仅磁盘上存在的目录。运行时根据 `cplt doctor` 检测结果收紧 |
| 注册表凭据文件（`~/.m2/settings.xml`、`~/.gradle/gradle.properties`、`~/.cargo/credentials`） | 🔒 macOS 上内核阻止。Linux 上父工具目录保持可读 | 使用 `--allow-read` 覆盖。参见 [私有注册表](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#private-registries) |
| 读取 `~/.npmrc` | 🔒 内核阻止（两个平台） | 使用 `--allow-read` 覆盖。破坏 yarn 1，参见 [yarn 1](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#yarn-1-and-unreadable-home-rc-files) |
| Go 源代码（`~/go/src`） | 🔒 内核阻止 | 仅 `~/go/bin` 和 `~/go/pkg` 可读 |
| 读取 `~/.ssh`、`~/.gnupg`、`~/.aws`、`~/.azure` | 🔒 内核阻止 | |
| 读取 `~/.kube`、`~/.docker`、`~/.nais` | 🔒 内核阻止 | |
| 读取 `~/.password-store`、`~/.terraform.d` | 🔒 内核阻止 | |
| 读取 `~/.config/gcloud`、`~/.config/op` | 🔒 内核阻止 | 单个文件可用 `--allow-read` 覆盖。参见 [云凭据](https://github.com/navikt/cplt/blob/main/docs/known-impacts.md#cloud-credential-directories) |
| 读取或写入 `~/.config/cplt`、`~/.nav-pilot` | 🔒 内核阻止 | 决定*下一次*启动可做什么的工具状态。`~/.config/cplt` 作为整个子树不可覆盖；在 `~/.nav-pilot` 内，命名路径仍可授权，以便读取固定的 agentpakke 载荷 |
| 读取 `~/.netrc`、`~/.pypirc`、`~/.vault-token` | 🔒 内核阻止 | 两个平台上均不可覆盖。在 `allow.read` 中命名其中一个是启动错误 |
| 读取 `~/.gem/credentials` | 🔒 内核阻止 | 两个平台上均不可覆盖。在 `allow.read` 中命名其中一个是启动错误 |
| `gh` CLI 破坏性操作（merge、delete、release） | 🔒 命令门控（默认开启） | 使用 `--no-gh-guard` 选择退出。参见 [gh guard](https://github.com/navikt/cplt/blob/main/docs/gh-guard.md) |
| `git push` 到默认分支 | 🔒 命令门控（默认开启） | 阻止推送到 `main`/`master`；功能分支推送仍可工作。`protect_default_branch_only = false` 阻止所有推送，`git_guard.mode = "warn"` 仅警告，`--no-git-guard` 选择退出 |
| 子进程继承 | ✅ 所有限制适用于子进程 | |

该表是摘要。沙箱还允许访问系统文件（SSL 证书、`/etc/hosts`）、临时目录（读和写，不可执行）以及系统工具路径（`/usr/bin`、`/opt/homebrew`）。运行 `cplt --print-profile` 获取完整的 SBPL 规则。

有关完整安全模型、威胁分析和测试策略，请阅读 [SECURITY.md](https://github.com/navikt/cplt/blob/main/SECURITY.md)。

## cplt 如何比较

### Codex CLI 的沙箱

| 领域 | cplt | Codex CLI 沙箱 |
| --- | --- | --- |
| 出站网络控制 | 带域名允许/阻止列表的 CONNECT 代理 | 无域名级过滤 |
| 环境处理 | 允许列表加加固环境注入 | 更基础的透传模型 |
| 密钥文件保护 | 拒绝仓库内的 `.env*`、`.pem`、`.key` 等模式 | 主要基于目录范围的访问 |
| 仓库策略 | [`.cplt.toml`](https://github.com/navikt/cplt/blob/main/docs/configuration.md#per-repo-configuration-cplttoml) 带显式信任/批准流程 | 无仓库级策略文件 |
| 智能体支持 | Copilot、OpenCode、Gemini CLI、Antigravity CLI、Pi、Claude Code、goose、DeepSeek Harness 或 shell | 仅 Codex |

cplt 并非在所有方面都更强。Codex CLI 目前已有 Linux 命名空间隔离，并且已暴露只读和 workspace-write 等显式沙箱模式。cplt 尚无该模式矩阵。

### 基于 Docker 的沙箱

| 领域 | cplt | 基于 Docker 的沙箱 |
| --- | --- | --- |
| 启动时间 | 正常 CLI 使用几乎即时 | 容器启动通常较慢 |
| 网络控制 | 通过代理进行每请求出站过滤 | 通常为全有或全无的网络访问 |
| 文件控制 | 按路径和按模式规则 | 按挂载控制 |
| 主机要求 | 单个二进制文件 | 需要 Docker 守护进程 |
| 企业笔记本适用性 | 在 Docker 不可用或受限处可工作 | 常被本地策略阻止 |

Docker 在某些环境中仍提供更强的隔离，尤其是当你想要完全独立的文件系统和进程命名空间时。cplt 以更轻量的设置和与你已用于开发的机器更紧密的集成来换取这一点。

### VS Code 智能体模式权限

VS Code 智能体模式等工具主要依赖 UI 权限。cplt 在内核中强制执行其限制，因此智能体无法通过提示或修改指令绕过它们。这对 CLI 智能体和凭据暴露最为重要：

- cplt 在 IDE 之外工作
- 环境变量在智能体启动前被过滤
- 敏感文件即使位于仓库内也可被阻止
- 相同的限制适用于子进程

### Claude Code 的沙箱（Anthropic Sandbox Runtime）

[Anthropic Sandbox Runtime](https://github.com/anthropic-experimental/sandbox-runtime)（`srt`）是 Claude Code 使用的沙箱层。与 cplt 相同的高层方法，macOS Seatbelt 加内核级 Linux 强制执行加 HTTP 代理，实现不同。

| 领域 | cplt | Anthropic srt |
| --- | --- | --- |
| 语言 / 交付 | 单个 Rust 二进制文件 | Node.js + npm 包 + 外部依赖 |
| Linux 后端 | Landlock LSM（无依赖，无命名空间） | bubblewrap（通过用户命名空间的容器） |
| 环境过滤 | 严格允许列表 + 后缀拒绝（`_TOKEN`、`_SECRET`） | 继承完整父环境（密钥透传） |
| 凭据目录保护 | 默认拒绝 15+ 个目录 | 用户必须手动配置 |
| DNS 重绑定保护 | ✅ DNS 后 IP 对照私有范围检查 | ❌ 未实现 |
| 网络代理 | HTTP CONNECT + 域名允许/阻止 | HTTP + SOCKS5 + 实验性 TLS MITM |
| SSH git | macOS 上内核阻止（代理 socket 被拒绝）；Linux 上仅扣留 `SSH_AUTH_SOCK` | 通过 SOCKS5 代理 |
| 包管理器脚本 | 默认阻止（`npm_config_ignore_scripts`） | 未阻止 |
| 智能体支持 | Copilot、OpenCode、Gemini、Antigravity、Pi、Claude Code、goose、DSH、Shell | Claude Code |
| 配置 | TOML（全局 + 每仓库） | JSON（仅全局）+ `--control-fd` 实时更新 |
| 库 API | ❌ 仅二进制 | ✅ 可嵌入的 TypeScript 库 |

cplt 开箱即用更安全：环境过滤、凭据保护、DNS 重绑定检查、生命周期脚本阻止。srt 更灵活：SOCKS5、TLS 检查、每请求回调、库嵌入。Linux 后端选择很重要。由于 AppArmor userns 限制，bwrap 在 Ubuntu 24.04+ 上需要变通方案，而 Landlock 需要内核 5.13 或更新版本，但零外部依赖。

### GitHub Copilot CLI 自带的沙箱

Copilot CLI 自 2026 年 6 月起随附本地沙箱，包含在标准席位中。它通过 Microsoft MXC 运行 shell 命令，在 macOS、Linux 和 Windows 上具有受限的文件系统、网络和系统访问。`/sandbox enable` 可开启它。

如果这已满足你的需求，就用它。它不额外收费，并且可在 Windows 上运行，而 cplt 不能。

它不做两件事。

策略随管理员而非仓库。企业通过 Intune 或其他 MDM 设置沙箱策略。代码旁边没有任何东西，因此对一个仓库重要的规则无法跟随它到贡献者、CI 或 MDM 不管理的笔记本。在 cplt 中，策略是仓库中的 `.cplt.toml`。审查者在拉取请求中看到对它的更改，该文件可以收紧开发者自己的配置，但绝不能放松它。

它限制进程，而非进程对其持有的凭据做什么。`/sandbox` 标签涵盖文件系统、网络和系统能力，在 Git 仓库内，智能体默认被授予对 `.git` 的读写权限。沙箱化的智能体仍拥有你的 `gh` 令牌和推送访问权限。推送分支、合并拉取请求和删除仓库都是来自授权客户端的格式良好的 API 调用，文件系统或网络规则对它们没有意见。cplt 改为包装 `git` 和 `gh`。智能体可自由提交、分支和变基。`gh pr merge`、`gh repo delete` 和 `gh release create` 默认被阻止。`git push` 到 `main`/`master` 也是如此；功能分支推送仍可工作，因为 `protect_default_branch_only` 已开启。将其设为 `false` 以阻止所有推送，或 `git_guard.mode = "warn"` 仅警告。

同时运行两者是合理的。MXC 限制进程。守卫决定智能体可以对其持有的凭据做什么。

### 诚实的差距

- macOS 目前拥有最强的文件级强制执行。Linux 覆盖正在改善但尚不相同。
- cplt 尚未提供简单的只读 / workspace-write / 完全访问策略预设。
- 如果你想要完整的容器隔离，cplt 并不试图取代 Docker。

## 安装

### Homebrew（推荐）```bash
brew install navikt/tap/cplt

mise 会为你的平台选择正确的发布资产，并验证其构建来源证明。

固定版本。我们的版本字符串不是可比较的 semver——它们带有前导零和两个连字符——因此 `mise latest` 可能会解析到比最新版本更旧的发布版本（[navikt/copilot#818](https://github.com/navikt/copilot/issues/818)）。

### apt（Debian/Ubuntu，在 Linux 上推荐）

[navikt/apt](https://navikt.github.io/apt/) 是一个通过 GitHub Pages 提供的签名归档，包含适用于 amd64 和 arm64 的 cplt 和 nav-pilot：```bash
curl -fsSL https://navikt.github.io/apt/keyring/navikt-archive-keyring.gpg \
  | sudo tee /usr/share/keyrings/navikt-archive-keyring.gpg >/dev/null
echo "deb [signed-by=/usr/share/keyrings/navikt-archive-keyring.gpg] https://navikt.github.io/apt stable main" \
  | sudo tee /etc/apt/sources.list.d/navikt.list
sudo apt update && sudo apt install cplt

### curl | bash

对于非 Debian 衍生版发行版，以及用于 CI 的场景：```bash
curl -fsSL https://raw.githubusercontent.com/navikt/cplt/main/install.sh | bash

### 从 releases 下载

从 [GitHub Releases](https://github.com/navikt/cplt/releases/latest) 获取适用于你平台的最新构建版本：```bash
# macOS, Apple Silicon (M1/M2/M3/M4)
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-aarch64-apple-darwin.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# macOS, Intel
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-x86_64-apple-darwin.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# Linux, x86_64
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-x86_64-unknown-linux-gnu.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

# Linux, ARM64
curl -fsSL https://github.com/navikt/cplt/releases/latest/download/cplt-aarch64-unknown-linux-gnu.tar.gz | tar xz
sudo mv cplt /usr/local/bin/

### 从源码构建```bash
git clone https://github.com/navikt/cplt.git && cd cplt
cargo build --release
sudo cp target/release/cplt /usr/local/bin/

`mise run install` 和手动构建会将 cplt 安装到 `/usr/local/bin/cplt`。如果你同时还有位于 `/opt/homebrew/bin/cplt` 的 Homebrew 构建版本，请将 `/usr/local/bin` 放在 `PATH` 的最前面，这样你的开发构建版本会优先使用：```bash
# Check which cplt is active
which cplt

# If it shows /opt/homebrew/bin/cplt, reorder your PATH:
export PATH="/usr/local/bin:$PATH"

以下所有内容都在**发行版内部**运行（`wsl`，或 Windows Terminal 中的 Ubuntu 配置文件），而不是在 PowerShell 中：```bash
# 1. Node. Copilot CLI requires Node 22+
#    Ubuntu 26.04 ships 22.x, so apt is enough:
sudo apt update && sudo apt install -y nodejs npm
#    Ubuntu 24.04 ships Node 18, too old. Use nvm, fnm, or NodeSource there instead.

# 2. GitHub CLI, and log in. Ubuntu's universe package works but lags
#    (2.45 on 24.04); add GitHub's apt repo if you want a current gh:
#    https://github.com/cli/cli/blob/trunk/docs/install_linux.md
sudo apt install -y gh
gh auth login

# 3. The agent, installed in the distro, never on the Windows side
npm install -g @github/copilot

# 4. cplt, from the apt archive. The default distro is Ubuntu, so this is
#    the same route as on any other Debian derivative.
curl -fsSL https://navikt.github.io/apt/keyring/navikt-archive-keyring.gpg \
  | sudo tee /usr/share/keyrings/navikt-archive-keyring.gpg >/dev/null
echo "deb [signed-by=/usr/share/keyrings/navikt-archive-keyring.gpg] https://navikt.github.io/apt stable main" \
  | sudo tee /etc/apt/sources.list.d/navikt.list
sudo apt update && sudo apt install cplt

# 5. Check the result
cplt doctor

它会检测你的 shell，将别名追加到你的 rc 文件中，并打印它所做的操作。你可以随意运行多次，它不会添加重复项。

`--agent` 选择哪个命令获得别名，cplt 能启动的每个 agent 都可用：```bash
cplt --shell-install --agent opencode   # 'opencode' runs sandboxed
cplt --shell-install --agent claude     # and 'claude', alongside the others