Hook

这是我手搓 coding agent 系列的第 3、4 节笔记（前两节是最小 agent loop 和多工具 dispatch）。 前两节做出来的 agent 有个吓人的特点：模型说调什么工具，循环就直接执行，包括 rm -rf /。这节就是给它装刹车，并且把刹车做成一个可扩展的系统。 一句话总结这两节的本质： s03：在工具执行前插一道检查，决定放行 / 询问 / 拒绝。 s04：把这道检查从「写死在循环里」抽象成「往事件上挂回调」，以后加功能不用再改循环。 一、s03 权限护栏：三道闸门 之前的循环是"信任模型"——handler(**args) 直接执行。s03 只做一件事：在执行之前加一段检查。整个循环、工具、dispatch 表都没动，只在执行前多调了一个 check_permission()。 核心是三道闸门，从严到松： 工具要执行了 │ 闸门1 DENY_LIST ──命中──→ ⛔ 直接拒，连问都不问 │ 没命中 闸门2 RULES ──命中──→ 闸门3 ask_user ──你按 N──→ 拒绝 │ 没命中 └──你按 y──→ 放行 │ ✅ 执行 闸门 1：硬拒绝表（deny list） 一张黑名单，命中直接拒： DENY_LIST = ["rm -rf /", "sudo", "shutdown", "reboot", "mkfs", "dd if=", "> /dev/sda"] def check_deny_list(command: str) -> str | None: for pattern in DENY_LIST: if pattern in command: # 字符串包含就算命中 return f"Blocked: '{pattern}' is on the deny list" return None # 没命中 → None 这里有个贯穿全节的约定：命中返回理由字符串（真值），没命中返回 None（假值）。这样上层一句 if reason: 就能判断。 ...