dsh-sandbox-temp-guard：Windows ACL 沙箱临时目录自愈守卫
dsh-sandbox-temp-guard 是 wsm000 维护的 DSH admin-security 插件，针对 Windows 上 dsh-sandbox-local 缓存的 %TEMP%\dsh-XXXXXX 被系统清理后会话内持续 SANDBOX_UNAVAILABLE 的问题：在工具执行前与周期扫描中重建目录并补 ACL，并对仍出现的后端失败追加注解，避免 Agent 误用 sandbox_permissions 提权。安装可用 npx @deepseek-ai/dsh plugin --profile desktop add github:wsm000/dsh-sandbox-temp-guard；配置含 repairBeforeToolExecution、sweepIntervalMs、annotateBackendFailure。过渡方案，对应 deepseek-harness Discussion #8550。
阅读全文dsh-sandbox-console-fix：Windows 桌面版 workspace-write 沙箱控制台修复
介绍 TJZF-4j97 维护的 DSH bundle dsh-sandbox-console-fix：针对 Windows 桌面 Harness 0.2.0-rc.2 在 workspace-write 下 Shell 退出 0xC0000142 的问题，通过 console-shim 与 cordis patch 恢复受限 pwsh/cmd 启动且不放宽 fs 沙箱。说明 2026-10-19 归档结论（非提升宿主通常无需安装）、Plugin Manager 安装步骤、验证命令及 AI 未审阅风险提示。
阅读全文dsh-grantwrite-patch：修复 Windows 沙箱 grantWrite 失败并静默重试
在 Windows 上使用 dsh 的 workspace-write 沙箱时，若 ACL 链缺少 WRITE_DAC/WRITE_OWNER，grantWrite 会在 SetNamedSecurityInfoW 上以 Win32 5 失败，导致该工作区所有受控命令无法 spawn。dsh-grantwrite-patch 拦截此错误，按工作区规模选择内存 patch、大目录一次性 grant 或 diagnose/icacls 兜底修复权限，并在 maxRetries 内重试命令。仅 Windows NTFS 生效，需 dsh >= 0.1.7-rc.1。安装：dsh plugin --profile web add dsh-grantwrite-patch。
阅读全文dsh-sandbox-mxc：基于 MXC 的 DeepSeek Harness 沙箱提供者
`dsh-sandbox-mxc` 是 DeepSeek Harness 在 Windows 平台上的沙箱提供者实现。它基于 Microsoft eXecution Containers (MXC)，利用 `wxc-exec.exe` 包装进程参数，无需内核补丁即可实现进程隔离。 该插件依赖 `@microsoft/mxc-sdk` 定位可执行文件，但通过不导入原生绑定，避开了 SDK 对 Node.js 版本（需 24 或 26）的限制，可在 Node.js 22+ 运行。安装后禁用默认提供者，支持配置文件系统读写权限、网络阻断、超时及环境变量注入等功能，并具备自动过滤无效路径的容错机制。
阅读全文