pub(crate) enum GuardianApprovalRequest { // 统一审批请求模型：所有需要审查的动作都归一化成这七种    ExecCommand { // shell 命令执行（unified exec / shell 工具）        id: String, // 审批 ID，用于去重、追踪和事件关联        environment_id: String, // 命令跑在哪个执行环境（本地/远程/cloud），评审要判断"哪台机器"        command: Vec<String>, // shlex 切分后的 argv——评审看到的是精确参数，不是拼接字符串        cwd: PathUri, // 工作目录：决定这条命令属于哪个仓库、哪个项目        sandbox_permissions: crate::sandboxing::SandboxPermissions, // 请求的沙箱权限级别（只读/读写/提权）        additional_permissions: Option<AdditionalPermissionProfile>, // 基线之外的额外权限（如网络出口），是风险放大器        justification: Option<String>, // agent 自述"为什么需要这条命令"——评审判断意图的关键证据        tty: bool, // 是否需要 TTY：影响能否后台运行，也暗示交互式操作    },    WriteStdin { /* ... */ }, // 向交互进程写 stdin（如回答密码提示）——审查的是"输入内容+目标进程"    #[cfg(unix)]    Execve { /* ... */ }, // execve 系统调用拦截：抓住绕过 shell 解析直接起进程的命令    ApplyPatch { /* ... */ }, // 文件补丁应用：files + 完整 patch 文本就是审查对象    NetworkAccess { /* ... */ }, // 网络出口请求：host/port/protocol，外加 trigger（是哪条命令触发的）    McpToolCall { /* ... */ }, // MCP 工具调用：server/tool_name/arguments + connector 元数据与注解    RequestPermissions { /* ... */ }, // agent 主动申请扩大权限——七种里风险最高的一类}

let model_requires_review = // 当前模型是否在"强制自动审查"名单里（管理员策略层下发）    requirements.auto_review_required_for_model(&context.model_info.slug);let require_guardian = options.require_guardian // 调用方显式要求走 Guardian（strict auto review 模式）    || model_requires_review // 或者模型本身被强制审查    || requirements.approvals_reviewer // 或管理员禁止"用户手动审批"→ 只能交给 Guardian，没有退路        .can_set(&codex_protocol::config_types::ApprovalsReviewer::User).is_err();let require_fresh_review = options.require_synchronous_review // 调用方要求全新评审（不信任任何缓存证据）    || model_requires_review && !turn.config.features.enabled(codex_features::Feature::GuardianV2) // v1 模型没有异步打分器，每次都必须完整同步审    || options.external_cancel.as_ref().is_some_and(CancellationToken::is_cancelled) // 外部取消信号已触发→状态可能变了，必须重审确认    || reasons.retry.is_some() // 这是被拒后的重试——证据/意图可能变化，缓存裁决不可信    || matches!(&request.request, Ok(GuardianApprovalRequest::ExecCommand { sandbox_permissions, .. }) // 请求提权（escalated permissions）的命令永远新鲜审查        if sandbox_permissions.requires_escalated_permissions());let full_access = context.environments().has_full_access( // 环境是"完全访问"（无沙箱限制）→ 根本不需要评审    context.approval_policy, &turn.config.permissions.effective_permission_profile());if full_access { return Some(if let Err(decision) = request.validate(&context) { decision } // 全权限：先做合法性校验，不合法直接拒绝        else if options.external_cancel.as_ref().is_some_and(CancellationToken::is_cancelled) { ReviewDecision::Abort } // 已取消→中止        else { ReviewDecision::Approved }); } // 否则直接批准——省掉一次完整的模型调用

if let Some(trunk) = state.trunk.as_ref() // 已有常驻评审会话    && trunk.session.context() != &context // 但它的上下文键与本次请求不一致（模型/权限/历史版本变了）    && trunk.review_lock.try_acquire().is_ok() // 且它当前空闲（没有评审在跑）    && let Some(stale) = state.trunk.take() { // → 判定为"过期 trunk"，摘下来    shutdown_in_background(Arc::clone(&stale.session)); // 后台关闭旧会话：清理不阻塞本次审批的进度}// ……trunk 为空则现场 spawn 一个 TrunkNew（带 deadline + 取消令牌）……if trunk.session.context() != &context { // 上下文不一致但 trunk 正忙→不能动它    return Box::pin(self.review_ephemeral(&request, context, /*snapshot*/ None)).await; // fork 一个临时会话独立跑本次评审}let guard = match trunk.review_lock.try_acquire() { // 尝试拿 trunk 的唯一许可（Semaphore=1，保证串行）    Ok(guard) => guard, // 空闲→复用常驻会话：prompt cache key 稳定，token 成本最低    Err(_) => { return Box::pin(self.review_ephemeral( // 忙→从最后一次提交的快照 fork        &request, context, trunk.session.snapshot().await, // snapshot() 拿到已提交上下文，并行评审互不污染    )).await; }};

/// 指向 guardian 已经评审过的转录末尾；保存的计数只在父历史版本仍匹配时可复用pub(crate) struct GuardianTranscriptCursor { // 转录游标：增量评审的"书签"    pub(crate) parent_history_version: u64, // 父会话历史版本号——回滚/压缩后旧游标立即失效    pub(crate) transcript_entry_count: usize, // 已评审过的条目数，下次从这里继续发}pub(crate) enum GuardianPromptMode { // 两种提示词形态：全量 / 增量    Full, // 首次评审或游标失效→发完整转录    Delta { cursor: GuardianTranscriptCursor }, // 复用 trunk→只发新增条目}let prompt_shape = match mode { // 运行时再校验一次游标是否仍然有效    GuardianPromptMode::Full => GuardianPromptShape::Full, // 全量模式直接通过    GuardianPromptMode::Delta { cursor } => {        if cursor.parent_history_version == transcript_cursor.parent_history_version // 父历史版本没变（没有回滚/压缩）            && cursor.transcript_entry_count <= transcript_cursor.transcript_entry_count // 且游标位置不超前于当前转录长度        { GuardianPromptShape::Delta { already_seen_entry_count: cursor.transcript_entry_count } } // → 增量：跳过已看过的条目，省 token        else { GuardianPromptShape::Full } // 任一条件不满足→退回全量，宁可多花 token 也不能漏证据    }};

pub fn reviewer_config_overrides( // 为评审会话生成"锁死"配置    parent_permissions: &PermissionProfile, model: &str, reasoning_effort: Option<ReasoningEffort>,) -> ReviewerConfigOverrides {    ReviewerConfigOverrides {        request_max_retries: 1, stream_max_retries: 1, // HTTP 层只重试 1 次——真正的重试预算由外层 run_with_retry 统一管理，避免双重放大        include_skill_instructions: false, use_memories: false, dedicated_memory_tools: false, // 评审者不需要技能/记忆：它是法官不是 agent，少一个能力面就少一类风险        inherit_token_budget: false, notify: None, developer_instructions: None, // 切断所有可能改变行为的旁路（预算继承、通知、开发者指令）        approval_policy: AskForApproval::Never, // 关键一行：评审者自己永远不能触发新审批——从根上杜绝递归审查        permission_profile: read_only_guardian_permission_profile(parent_permissions), // 与父权限求交集再取只读子集：评审只能"看"，不能"动"        include_apps_instructions: false, inherit_mcp_servers: false, // 不继承 MCP 服务器→没有外部工具可调（内置只读检查除外）        disabled_features: vec![Feature::Collab, Feature::MultiAgentV2, Feature::GuardianV2, // 逐个关掉"会行动"的特性：多智能体、协作、hooks……            Feature::TokenBudget, Feature::ContextManagement, Feature::CodexHooks,            Feature::Apps, Feature::Plugins, Feature::WebSearchRequest, Feature::WebSearchCached],    }}

let mut attempt_count = 1; // 从第 1 次尝试开始loop {    let (outcome, mut analytics_result) = run_attempt(deadline).await; // 执行一次评审 turn（deadline 是全局共享的，不是每次重置）    if attempt_count >= max_attempts || !should_retry_guardian_review(&outcome) { return ...; } // 次数用尽或错误不可重试→立即终止    let retry_at = match &outcome { // 后端若返回 Retry-After，优先尊重它        GuardianReviewOutcome::Error(GuardianReviewError::Session { retry_at, .. }) => *retry_at,        _ => None,    };    if let Some(error) = wait_before_guardian_retry(attempt_count, retry_at, deadline, external_cancel).await { return ...; } // 退避等待；期间被取消/到点则直接返回对应错误    attempt_count += 1;}// wait_before_guardian_retry 里的退避公式（第 63-65 行）：let exponential_delay = 200.0 * 2.0_f64.powi(attempt_count.saturating_sub(1) as i32); // 200ms → 400ms → 800ms，指数翻倍let jitter = rand::rng().random_range(0.9..1.1); // ±10% 随机抖动：多个线程同时重试时错开峰值，避免打爆后端let retry_delay = Duration::from_millis((exponential_delay * jitter) as u64);

fn should_retry_guardian_review(outcome: &GuardianReviewOutcome) -> bool { // 核心问题：这个失败"值得再试一次"吗？    match outcome {        GuardianReviewOutcome::Error(GuardianReviewError::Parse { .. }) => true, // JSON 解析失败→多半是模型格式漂移，重试常能救回        GuardianReviewOutcome::Error(GuardianReviewError::Session { error_info: Some(error), .. }) => match error {            CodexErrorInfo::RateLimitExceeded | CodexErrorInfo::ServerOverloaded // 429/503→后端瞬时过载，退避后重试有意义                | CodexErrorInfo::InternalServerError => true, // 5xx 同理：服务端临时故障            CodexErrorInfo::HttpConnectionFailed { http_status_code } | ... // 网络层错误按状态码细分                => matches!(http_status_code, None | Some(408 | 429 | 500..=599)), // 只有超时/限流/服务端错误可重试；4xx 客户端错误重试无用            CodexErrorInfo::ContextWindowExceeded // 上下文超限→重试只会再次超限（需要先压缩）                | CodexErrorInfo::Unauthorized // 认证失败→重试不会改变结果                | ... => false, // 其余策略/参数类错误全部不可重试——快速失败，把时间留给用户决策        },        GuardianReviewOutcome::Completed(_) | ...Timeout | Cancelled => false, // 已有结论或被取消→不再重试    }}

pub struct GuardianAssessment { // 评审者必须产出的结构化裁决    pub risk_level: codex_protocol::protocol::GuardianRiskLevel, // 风险等级 low/medium/high/critical——"动作本身多危险"    pub user_authorization: ..., // 用户授权程度 unknown/low/medium/high——"用户允许了多少"，与风险正交    pub outcome: GuardianAssessmentOutcome, // 最终裁决 allow/deny——唯一必填字段    pub rationale: String, // 理由说明：拒绝时会展示给 agent 和用户，也是熔断器计数的依据}// JSON schema（作为 final_output_json_schema 下发）：{ "type": "object", "additionalProperties": false, // 禁止额外字段→输出面收敛，解析更稳  "properties": {    "risk_level": { "enum": ["low","medium","high","critical"] }, // 四档风险    "user_authorization": { "enum": ["unknown","low","medium","high"] }, // 授权独立成维：高风险+高授权可以放行，低风险+零授权也要警惕    "outcome": { "enum": ["allow","deny"] }, // 二值裁决    "rationale": { "type":"string" } },  "required": ["outcome"] } // 只强制 outcome——risk/authorization 缺失时有兜底默认值，降低解析失败率

GuardianReviewError::Timeout => { // 评审超时→"没审完"不等于"不安全"，但也不能放行    return ReviewCompletion { decision: Some(ReviewDecision::TimedOut), ... }; // 返回 TimedOut：提示词告诉 agent 可重试一次或问用户}GuardianReviewError::InputBudgetExceeded | PromptBuild | Session | Parse => { // 其余失败→fail-closed（拒绝）    analytics.terminal_status = GuardianReviewTerminalStatus::FailedClosed; // 遥测里单独标记"失败关闭"——与真实 deny 区分开，便于审计    return ReviewCompletion { decision: Some(ReviewDecision::denied(format!(        "{rationale}\n{REVIEW_FAILURE_INSTRUCTIONS}"))), ... }; // 拒绝 + 附带指令：不要绕过审批检查，修好错误或问用户}

const MAX_CONSECUTIVE_CYBER_GUARDIAN_DENIALS_PER_TURN: u32 = 1; // cyber 特化模型：连续 1 次拒绝就熔断——对安全敏感场景零容忍const MAX_CONSECUTIVE_GUARDIAN_DENIALS_PER_TURN: u32 = 3; // 普通模型：同一 turn 内连续 3 次被拒→触发中断const MAX_RECENT_CYBER_AUTO_REVIEW_DENIALS_PER_TURN: u32 = 1; // cyber 模型：滑动窗口里哪怕只有 1 次拒绝也熔断const MAX_RECENT_AUTO_REVIEW_DENIALS_PER_TURN: u32 = 10; // 普通模型：允许"偶尔被拒但整体在推进"——50 次评审内最多容忍 10 次拒绝pub const AUTO_REVIEW_DENIAL_WINDOW_SIZE: usize = 50; // 滑动窗口大小：统计的是"拒绝密度"，不是单纯连续次数// record_denial() 核心逻辑（第 58-90 行）：turn.consecutive_denials = turn.consecutive_denials.saturating_add(1); // 连续计数 +1（saturating 防溢出）if !turn.interrupt_triggered && (turn.consecutive_denials >= max_consecutive_denials || recent_denials >= max_recent_denials) {    turn.interrupt_triggered = true; // 一次性闩锁：每个 turn 只触发一次中断，避免重复 abort    GuardianRejectionCircuitBreakerAction::InterruptTurn { ... } // 返回"中断当前 turn"动作——宿主执行 abort_turn_if_active（review.rs 第 145-180 行）} else { GuardianRejectionCircuitBreakerAction::Continue } // 未触发→放行继续：agent 还可以尝试其他路径

let lag = progress.latest_tool_call.load(Ordering::Acquire) // 线程内最新工具调用的序号    .saturating_sub(latest_scored) // 减去最近一次成功打分的序号→"距上次评分又过了几个调用"    .saturating_sub(progress.wrapper_lag.discount(input.tool_call_id, latest_scored)); // 扣除 wrapper lag：setup/reset 类调用不算真实动作，不该让分数显得过期let (reason, label) = match score { // 按异步打分结果分流（score 来自 LunaSampler 的后台评分）    _ if lag > config.max_tool_call_lag => (GuardianReviewReason::StaleScore, "stale_score"), // 分数太旧→不可信，回落同步评审    None => (GuardianReviewReason::MissingScore, "missing_score"), // 还没有分（打分器未启动/失败）→回落    Some(score) if score < config.review_threshold => { // 风险低于阈值：候选快车道        if scored_authorization.as_ref() != Some(&current) { (GuardianReviewReason::AuthorizationChanged, ...) } // 但打分后的授权上下文变了（用户改了权限/指令）→缓存作废，回落重审        else { record_fast_decision(metrics, "approved", "low_risk"); return Ok(()); } // 低风险+授权未变→直接放行：零模型调用、零延迟    }    Some(score) if score >= config.review_threshold => (GuardianReviewReason::ElevatedRisk, "elevated_risk"), // 高风险→必须走同步评审（v1 全链路）};

📚 系列导航

← 第 25 讲：ExecPolicy 命令策略引擎

→ 第 27 讲：Network Proxy 网络代理引擎

关注公众号「AI技术推荐官」获取更多源码解析内容