fix: allow authorized Harness sandbox fallback

2026-08-12 18:36:37 +09:00
parent b7b72a6bcc
commit 0d50625a81
4 changed files with 115 additions and 4 deletions
@@ -238,12 +238,19 @@ Executor는 각 Step을 다음 형태의 독립 프로세스로 실행한다.
 ```text
 codex exec
  --json
-  --sandbox workspace-write
+  --sandbox <workspace-write|danger-full-access>
  --dangerously-bypass-hook-trust
  --cd <repository-root>
  -
 ```

+기본값은 `workspace-write`다. `FESA_HARNESS_CODEX_SANDBOX` 환경 변수는
+`workspace-write` 또는 `danger-full-access`만 허용한다. Windows native sandbox에서
+MSVC compiler-id의 `cl.exe` 정지가 재현되고 동일 명령이 sandbox 밖에서 통과하는
+환경에서는, 사용자 승인을 받은 격리된 clean worktree 실행에 한해서
+`danger-full-access` fallback을 사용할 수 있다. 이 override는 hook trust 또는 hook
+등록을 끄지 않으며 PreToolUse와 Stop 검증은 동일하게 실행된다.
+
 Codex에 전달하는 프롬프트는 다음 내용의 조합이다.

 ```text