feat(jarvis): 本地沙箱改多目录白名单 + 让它知道自己能操作这台电脑

单目录沙箱做不了"操作我电脑"——只能在一个文件夹里打转,跨目录整理直接没戏。
且模型压根不知道 shell 除了跑脚本还能开 App、控 App、触发快捷指令。

沙箱：单根 → 多根白名单
- 用户授权多个目录（设置里每行一个，可一键填入桌面/下载/文档），其余一律拒
- 路径改绝对路径（多根之下相对路径没有唯一含义），支持 ~ 展开，相对路径兜底按首个根解释
- local_list_dir 留空 path = 返回授权目录清单 → 模型据此自己发现"我能访问哪儿"
- local_exec 可指定 cwd（须在授权目录内）
- 防逃逸不变：软链解析后必须落在某个根内，越界即拒（单测覆盖 ../ 与软链逃逸）

告诉模型它能干什么
- local_exec 描述展开：文件整理(mv/cp/find)、mdfind 全盘搜、open 开应用/文件/网址、
  osascript 控制 Mac App、shortcuts run/list 触发快捷指令、系统信息
- 语音系统提示词把 JARVIS 定位成"这台电脑的操作者"，并要求先想清用哪个工具再动手

live 验证（两个授权目录）：
① "你能访问哪些目录，里面有什么" → 自主先查授权清单、再逐个列举，答全对
② "把下载里的图片挪到桌面" → 自主 mv，文件真的跨目录移动了

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

sundynix-gateway/cmd/localsim/main.go

@@ -36,36 +36,45 @@ type resp struct {
 
 func main() {
 	gw := flag.String("gw", "ws://localhost:8080", "gateway WS 基址")
-	dir := flag.String("dir", ".", "沙箱工作目录")
+	dir := flag.String("dir", ".", "授权目录，逗号分隔（模拟桌面端的多目录白名单）")
 	flag.Parse()
 	token := os.Getenv("LOCALSIM_TOKEN")
 	if token == "" {
 		log.Fatal("缺 LOCALSIM_TOKEN（用户 JWT）")
 	}
-	root, err := filepath.Abs(*dir)
-	if err != nil {
-		log.Fatal(err)
+	var roots []string
+	for _, d := range strings.Split(*dir, ",") {
+		if d = strings.TrimSpace(d); d == "" {
+			continue
+		}
+		abs, err := filepath.Abs(d)
+		if err != nil {
+			log.Fatal(err)
+		}
+		roots = append(roots, abs)
+	}
+	if len(roots) == 0 {
+		log.Fatal("至少一个目录")
 	}
-
 	url := strings.TrimRight(*gw, "/") + "/api/v1/local/runner?token=" + token
 	// 断线自动重连（对齐真桌面端 runner 的 5s 退避）：网关重启时联调不用手动重拉。
 	for {
-		if err := serveOnce(url, root); err != nil {
+		if err := serveOnce(url, roots); err != nil {
 			log.Printf("连接断开（5s 后重连）: %v", err)
 		}
 		time.Sleep(5 * time.Second)
 	}
 }
 
-func serveOnce(url, root string) error {
+func serveOnce(url string, roots []string) error {
 	conn, _, err := websocket.DefaultDialer.Dial(url, nil)
 	if err != nil {
 		return err
 	}
 	defer conn.Close()
-	log.Printf("已注册为本地执行器 workdir=%s", root)
+	log.Printf("已注册为本地执行器 授权目录=%s", strings.Join(roots, "、"))
 
-	hello, _ := json.Marshal(resp{ID: "hello", OK: true, Workdir: root})
+	hello, _ := json.Marshal(resp{ID: "hello", OK: true, Workdir: strings.Join(roots, "、")})
 	_ = conn.WriteMessage(websocket.TextMessage, hello)
 
 	for {
@@ -78,18 +87,40 @@ func serveOnce(url, root string) error {
 			continue
 		}
 		log.Printf("收到调用 tool=%s args=%v", r.Tool, r.Args)
-		out, _ := json.Marshal(handle(root, &r))
+		out, _ := json.Marshal(handle(roots, &r))
 		if err := conn.WriteMessage(websocket.TextMessage, out); err != nil {
 			return err
 		}
 	}
 }
 
-func handle(root string, r *req) *resp {
+func handle(roots []string, r *req) *resp {
+	root := roots[0]
 	rel, _ := r.Args["path"].(string)
-	p := filepath.Join(root, filepath.Clean("/"+rel)) // 简版沙箱（联调工具；正式沙箱在桌面端）
+	// 简版沙箱（联调工具；正式沙箱在桌面端 resolveAllowed）：绝对路径须落在某个授权根内。
+	p := rel
+	if p == "" {
+		p = root
+	} else if !filepath.IsAbs(p) {
+		p = filepath.Join(root, filepath.Clean("/"+p))
+	}
+	p = filepath.Clean(p)
+	inRoot := false
+	for _, rt := range roots {
+		if p == rt || strings.HasPrefix(p, rt+string(filepath.Separator)) {
+			inRoot = true
+			break
+		}
+	}
+	if !inRoot {
+		return &resp{ID: r.ID, OK: false, Error: "路径不在授权目录内: " + p}
+	}
 	switch r.Tool {
 	case "local_list_dir":
+		if strings.TrimSpace(rel) == "" {
+			data, _ := json.Marshal(map[string]any{"authorized_dirs": roots})
+			return &resp{ID: r.ID, OK: true, Content: string(data)}
+		}
 		ents, err := os.ReadDir(p)
 		if err != nil {
 			return &resp{ID: r.ID, OK: false, Error: err.Error()}

sundynix-gateway/internal/handler/platform_tools.go

@@ -73,28 +73,39 @@ func (h *Handler) platformRegistry() map[string]platTool {
 		// —— 本地的手（P4，只读起步）：执行发生在用户自己的桌面（沙箱工作目录内），服务端只路由。
 		// 桌面端不在线/没开本地访问时工具会明确报不可用——如实转告用户即可。
 		"local_list_dir": {
-			cn: "看本地目录", desc: "列出用户本地工作目录（或其子目录）里的文件。用户问“我这个目录/文件夹里有什么”时调用。仅用户桌面端在线且开启了本地访问才可用。",
-			params: []platParam{{Name: "path", Type: "string", Desc: "相对工作目录的子路径，空=根目录"}},
+			cn: "看本地目录", desc: "列出用户电脑上某个目录里的文件。**path 留空会返回用户授权你访问的目录清单**——不知道该看哪时先这样调一次。用户问“我某个文件夹里有什么/桌面上有什么”时调用。仅用户桌面端在线且开启本地访问才可用。",
+			params: []platParam{{Name: "path", Type: "string", Desc: "目录的绝对路径（如 /Users/xx/Desktop）；留空=返回授权目录清单"}},
 			inject: []string{"user_id"}, handler: h.platLocalExec,
 		},
 		"local_read_file": {
-			cn: "读本地文件", desc: "读取用户本地工作目录内某个文件的文本内容（大文件截断）。用户让“看看/读一下 某个本地文件”时调用。仅用户桌面端在线且开启了本地访问才可用。",
-			params: []platParam{{Name: "path", Type: "string", Desc: "相对工作目录的文件路径", Required: true}},
+			cn: "读本地文件", desc: "读取用户电脑上某个文件的文本内容（大文件截断）。用户让“看看/读一下 某个文件”时调用。仅用户桌面端在线且开启本地访问才可用。",
+			params: []platParam{{Name: "path", Type: "string", Desc: "文件的绝对路径", Required: true}},
 			inject: []string{"user_id"}, handler: h.platLocalExec,
 		},
 		// —— 能动的手：写文件 / 执行命令。桌面端会弹原生确认框让用户逐次批准（默认拒绝），
 		// 且命中安全黑名单的命令直接拒绝。被拒时如实告诉用户，别重试绕路。
 		"local_write_file": {
-			cn: "写本地文件", desc: "在用户本地工作目录内写入/覆盖一个文本文件。用户明确要求“写个文件/保存到本地/生成脚本”时调用。用户会在桌面端收到确认框，需其批准才真正写入。",
+			cn: "写本地文件", desc: "在用户电脑上写入/覆盖一个文本文件（只能写进用户授权的目录）。用户要求“写个文件/保存到本地/生成脚本”时调用。用户会在桌面端收到确认框，需其批准才真正写入。",
 			params: []platParam{
-				{Name: "path", Type: "string", Desc: "相对工作目录的文件路径", Required: true},
+				{Name: "path", Type: "string", Desc: "文件的绝对路径（须在授权目录内）", Required: true},
 				{Name: "content", Type: "string", Desc: "完整文件内容（会覆盖原文件）", Required: true},
 			},
 			inject: []string{"user_id"}, timeoutSec: 100, handler: h.platLocalExec,
 		},
 		"local_exec": {
-			cn: "执行本地命令", desc: "在用户本地工作目录里执行一条 shell 命令并返回输出（超时 60 秒）。用户要求“跑一下/执行/编译/查一下某个命令结果”时调用。用户会在桌面端收到确认框，需其批准才执行；删库、提权、写系统路径等危险命令会被直接拒绝。一次只提交一条命令，别猜着连环执行。",
-			params: []platParam{{Name: "command", Type: "string", Desc: "要执行的 shell 命令，如 ls -la、git status、npm test", Required: true}},
+			cn: "操作电脑", desc: `在用户的 Mac 上执行一条 shell 命令并返回输出（超时 60 秒）。这是你操作这台电脑的主要手段，能干的远不止跑脚本：
+- 文件整理：mv / cp / mkdir / 批量重命名（find + mv）
+- 找东西：mdfind "关键词"（Spotlight 全盘搜索）、grep -rn、ls
+- 开应用/开文件：open -a "Safari"、open /path/to/file、open https://...
+- 控制 App（AppleScript）：osascript -e 'tell application "Music" to play'、暂停播放、发邮件、建日历事件、取当前播放歌曲等
+- 触发快捷指令：shortcuts run "指令名"（用户在「快捷指令」App 里建的自动化，可含智能家居场景）；shortcuts list 可先列出有哪些
+- 系统信息：df -h、uptime、pmset -g batt（电量）
+用户说“打开某某/放首歌/把这些文件整理一下/找找那个文档在哪”都用这个工具。
+用户会在桌面端收到确认框，需其批准才执行；删库、提权、写系统路径等危险命令会被直接拒绝。一次只提交一条命令。`,
+			params: []platParam{
+				{Name: "command", Type: "string", Desc: "要执行的 shell 命令", Required: true},
+				{Name: "cwd", Type: "string", Desc: "在哪个授权目录里执行（绝对路径，可选；默认第一个授权目录）"},
+			},
 			inject: []string{"user_id"}, timeoutSec: 160, handler: h.platLocalExec,
 		},
 		// —— 调度：让用户能说「每天早上九点帮我看看昨天的任务」。到点由 JARVIS 自己按指令办事并播报。

sundynix-gateway/internal/handler/voice_task.go

@@ -25,9 +25,12 @@ func voiceSystemPrompt(name, persona string) string {
 	if n == "" {
 		n = defaultJarvisName
 	}
-	s := "你是 " + n + "——用户的私人语音助手，也是这套平台与他电脑的中枢。你能：查/派任务与报告、" +
-		"切换客户端界面、在用户授权的工作目录里看文件读文件、写文件、执行 shell 命令、" +
-		"以及建定时任务（到点自动办事并播报）。相应工具会提供给你，需要就调。" +
+	s := "你是 " + n + "——用户的私人语音助手，也是他这台电脑的操作者。你能：" +
+		"在用户授权的目录里看/读/写文件、执行 shell 命令（据此可以整理文件、用 mdfind 全盘找东西、" +
+		"open 打开应用和文件、osascript 控制 Mac 上的 App、shortcuts run 触发快捷指令）、" +
+		"查/派平台任务与报告、切换客户端界面、建定时任务（到点自动办事并播报）。" +
+		"用户让你「做点什么」时，先想清楚用哪个工具、一步步做，别只是嘴上答应。" +
+		"不知道能访问哪些目录，就用 local_list_dir 留空 path 查一次。" +
 		"铁律一：凡是用户问任务/报告的状态、进度、结果，**必须先调工具查真实数据再回答**——" +
 		"哪怕你觉得自己记得，也不许凭记忆或上下文编造任务状态；查不到就如实说查不到。" +
 		"铁律二：涉及写文件/执行命令，用户会在电脑上收到确认框；被拒绝或被安全策略挡下时如实告诉他，" +