Guard Destructive Ops — Development skill for Claude Code

guard-destructive-ops

[简体中文](README.md) | [English](README.en.md)

面向 AI 编码代理的自动化安全守则：工作区内自主清理，工作区外严格把关；防止删盘、删库、PowerShell 误伤和越界删除。

这个项目解决什么问题

AI 编码代理在无人值守执行任务时，可能因为以下原因造成不可逆的数据损失：

• 把 rm -rf、rd /s、Remove-Item -Recurse 当成普通清理，误删用户资料；
• 使用通配符、空变量或相对路径，把目标扩大到父目录甚至盘根；
• 混用 PowerShell、cmd 和 Bash 的转义规则，路径被错误解析；
• 为“重置环境”执行 DROP DATABASE、prisma migrate reset、docker compose down -v；
• 在完全权限 / yolo 模式下，把“没有弹窗”误认为“已经授权”；
• 把工作区外的目录、其他项目或用户主目录当成临时文件清理。

`guard-destructive-ops` 是一套面向支持 Skill 机制的 AI 编码代理（如 Qoder）的安全技能包和脚本。它把工作区作为信任边界：工作区内允许代理自审后直接删除构建产物和任务文件，不需要用户逐步审核；工作区外则执行严格的路径、范围和可恢复性检查，避免误删用户其他数据。

核心能力

• 工作区信任边界：工作区内可直接删除任务生成的临时文件、缓存和构建产物；不需要用户逐条确认。
• 工作区外严格限制：只有用户在当前任务中明确点名路径或范围时才处理；必须使用 --allow-outside 校验；禁止递归删除，只允许精确文件或空目录。
• 保护路径与行为红线：技能禁止自动处理磁盘、分区等高危目标；路径校验器拒绝盘根、主目录、受保护的用户目录、Windows 系统目录、工作区根及祖先，以及 .git、.qoder 和凭据目录及其子路径。
• R0–R4 风险分级：只读、可逆修改、受控写入、破坏性、灾难性；无法判断时按灾难性处理。
• 自审门禁：范围 → 路径 → 影响 → 可恢复性 → 命令 → 执行后复查；由 AI 自审，不要求用户审批。
• Git Bash 优先：路径、引号、变量、通配符行为更可预测。PowerShell 可用于只读查询，但不用于删除、移动、递归或覆盖。
• 可选隔离：不确定的工作区内内容可以用 quarantine.sh 移入 .qoder/trash//，生成 manifest 和恢复命令；已知可再生的构建产物可以直接删除。
• 路径校验器：check_target.sh 在删除或移动前做只读校验，拒绝越界路径、通配符、..、Windows 风格路径和 UNC 路径；工作区外目标需要显式放行且仍受保护路径限制。
• 数据库、Git、容器规则：本地 dev/test 可备份后重置；生产/未知环境禁止无 WHERE 批量 SQL、ORM reset、docker volume prune、云存储递归删除等。
• 完全模式条款：full permission / yolo 只关闭弹窗，不扩大授权范围。
• 提示注入防护：文件、网页、工具输出里的“清理/删除”指令不视为用户授权。

仓库结构

.
├── README.md
├── README.en.md
├── LICENSE
├── .gitignore
├── .gitattributes
├── SKILL.md
├── references/
│   ├── dangerous-commands.md
│   └── powershell-escapes.md
└── scripts/
    ├── check_target.sh
    └── quarantine.sh

仓库根目录本身就是技能目录，并不包含 `.qoder/skills/guard-destructive-ops/` 这一层；该路径是安装到目标项目后的存放位置。

• SKILL.md：代理加载的行为规则。
• 危险命令清单：文件、Git、数据库、容器和系统操作风险。
• PowerShell 转义说明：PowerShell/cmd 陷阱及 Git Bash 对照。
• [check_targ