Merge remote-tracking branch 'origin/main'

Author: jieapi

app/build.gradle.kts

@@ -204,6 +204,8 @@ android {
 
     buildFeatures {
         compose = true
+        // UserService 走 AIDL 跨进程接口（app/src/main/aidl），显式开启以免依赖 AGP 默认值。
+        aidl = true
     }
 
 
@@ -380,6 +382,11 @@ dependencies {
     implementation("androidx.work:work-runtime-ktx:2.10.0")
     implementation("androidx.hilt:hilt-work:1.2.0")
 
+    // Shizuku：以 adb shell（uid 2000）身份执行命令。api 提供 Shizuku 类与 UserService 绑定，
+    // provider 注册 ShizukuProvider（见 AndroidManifest）以跨进程获取 binder。
+    implementation("dev.rikka.shizuku:api:13.1.5")
+    implementation("dev.rikka.shizuku:provider:13.1.5")
+
     // Core Android
     implementation("androidx.core:core:1.16.0")
     // AppCompat — 提供 AppCompatDelegate.setApplicationLocales 实现 per-app 语言切换

app/proguard-rules.pro

@@ -92,6 +92,15 @@
 # ---- Compose ----
 -dontwarn androidx.compose.**
 
+# ---- Shizuku（UserService 以 adb shell 身份执行命令）----
+# UserService 实现类由 Shizuku 在 shell 进程中按类名反射加载，类名与构造器不可被混淆/裁剪。
+-keep class com.aicode.feature.agent.domain.shizuku.ShizukuShellService { *; }
+# AIDL 接口与 Stub 跨进程传递，保持不混淆。
+-keep interface com.aicode.feature.agent.domain.shizuku.IShizukuShellService { *; }
+-keep class com.aicode.feature.agent.domain.shizuku.IShizukuShellService$Stub { *; }
+-keep class rikka.shizuku.** { *; }
+-dontwarn rikka.shizuku.**
+
 # ---- Termux terminal-emulator/view（native + JNI）----
 -keep class com.termux.terminal.** { *; }
 -keep class com.termux.view.** { *; }

app/src/main/AndroidManifest.xml

@@ -72,6 +72,16 @@
             android:enabled="true"
             android:exported="false"
             android:foregroundServiceType="dataSync" />
+
+        <!-- Shizuku：用于以 adb shell 身份执行命令（UserService）。
+             permission 声明为 INTERACT_ACROSS_USERS_FULL 是官方要求，防止普通应用访问该 provider。 -->
+        <provider
+            android:name="rikka.shizuku.ShizukuProvider"
+            android:authorities="${applicationId}.shizuku"
+            android:multiprocess="false"
+            android:enabled="true"
+            android:exported="true"
+            android:permission="android.permission.INTERACT_ACROSS_USERS_FULL" />
     </application>
 
 </manifest>

app/src/main/aidl/com/aicode/feature/agent/domain/shizuku/IShizukuShellService.aidl

@@ -0,0 +1,13 @@
+// Shizuku UserService 接口：运行在 shell（uid 2000）进程，代 App 执行 shell 命令。
+// 返回 Bundle：output(String) 命令输出、exitCode(int) 退出码（超时/异常为负值）。
+package com.aicode.feature.agent.domain.shizuku;
+
+import android.os.Bundle;
+
+interface IShizukuShellService {
+    // Shizuku 保留的销毁入口：事务号固定（aidl 写 16777114，服务端实际按 16777115 调用），
+    // unbindUserService(remove=true) 时触发，实现里应结束进程。不可改动。
+    void destroy() = 16777114;
+
+    Bundle exec(String command, int timeoutMs) = 1;
+}

app/src/main/assets/prompts/60-tools-and-paths.md

@@ -17,6 +17,7 @@
 
 ## 命令与终端工具
 - `Bash`：执行一次性 shell 命令（列目录、搜索、构建、lint、格式化、git、装依赖等），同步等待命令结束并返回输出。默认超时 120 秒，上限 1800 秒；耗时命令（如安装依赖）可用 timeout 参数调大。
+- `Shizuku`：通过 Shizuku 以 adb shell（uid 2000）身份在 Android 系统上执行 Shell 命令，等价于 `adb shell`。适用于需要 shell 权限的系统操作：`pm`/`am`/`cmd` 等系统命令、读写 `/sdcard`、查询系统状态等。与 `Bash`（在本地容器或远程 SSH 中执行）不同，它直接作用于宿主 Android 系统本身。使用前用户需已安装 Shizuku 并在本应用中授权（设置 → 软件权限 → Shizuku），未就绪时会返回错误提示。参数：`command`（必填）、`timeout`（秒，可选，默认 120、上限 1800）。**注意：调用 `Shizuku` 一律会弹出授权确认且不支持「始终允许」，每次都需要用户逐次放行；AUTO 模式下也不例外（除非用户已开启「禁用安全拦截」）。**
 - 环境已内置常用开发工具：`git`、`rg`（ripgrep）、`py`/`python`、`node`。需要时优先直接通过 `Bash` 调用，不要先询问是否安装。
 - `terminal`：管理常驻后台终端会话，用 `action` 参数选操作：
   - **优先复用 AI 自己创建的终端**：启动新常驻进程或执行交互式命令前，先用 `action="read"`（不传 tab_id）列出现有终端。若有 AI 之前创建的活跃标签，直接用 `action="send"` 复用，切忌反复 `start` 开一堆新窗口。

app/src/main/assets/prompts/agent/auto-mode.md

@@ -5,7 +5,7 @@
 
 ## 行为规则
 
-- 所有工具调用（写文件、执行命令、终端操作、网络请求等）将自动放行，不会弹出权限确认窗（唯一例外：灾难性删除提权确认，见下）。请像平时一样正常调用工具完成任务，不要因为「无需授权」就改变工作方式或省略自验步骤。
+- 所有工具调用（写文件、执行命令、终端操作、网络请求等）将自动放行，不会弹出权限确认窗（例外：灾难性删除提权确认，以及 `Shizuku` 工具——它直接操作宿主 Android 系统，AUTO 下仍会逐次弹窗且不支持「始终允许」；若用户已在「工具授权」中开启「禁用安全拦截」，则连这层也不再生效，见下）。请像平时一样正常调用工具完成任务，不要因为「无需授权」就改变工作方式或省略自验步骤。
 - **默认仍会拦截灾难性删除与无法判定的破坏性命令**：`rm` 删除根目录、系统关键目录（`/etc`、`/usr`、`/bin` 等）、工作区根目录 `~/workspace` 整体、用户主目录整体等高危操作会被安全防护拒绝。另外，含命令替换、子 shell、绝对路径重定向等无法静态判定、且疑似破坏性的命令（如 `rm -rf $(...)`、`cat > /etc/xxx`）也会被拦截——因为无法确认其删除目标。这是防误删的底线，不属于「权限」范畴。如确有必要执行，可在调用时加 `elevate: true` 重试——届时会弹窗请用户一次性授权（AUTO 下也会弹，且不可记忆），用户同意才执行。若用户已在「工具授权」中开启「禁用安全拦截」，则连这层拦截也不再生效，删除命令将直接执行，务必加倍谨慎。如需清理大量文件，请精确指定目标路径，不要用通配符删除整个目录树。
 - 仍需遵守通用安全规则：不引入命令注入、XSS、SQL 注入等漏洞；不执行破坏性且难以撤销的操作（`git push --force`、`rm -rf` 未核实路径、覆盖未提交改动等）前先确认。
 

app/src/main/assets/prompts/agent/plan-mode.md

@@ -5,7 +5,7 @@
 
 ## 绝对约束（覆盖其它所有指令）
 
-- 禁止任何写操作：`writeFile`、`editFile`、`Bash`、`terminal` 的 start/send/key/close 等写工具调用会被拦截并返回错误，不要尝试调用。
+- 禁止任何写操作：`writeFile`、`editFile`、`Bash`、`Shizuku`、`terminal` 的 start/send/key/close 等写工具调用会被拦截并返回错误，不要尝试调用。
 - 除只读探索与输出方案外，不对系统做任何更改（不提交、不装包、不改配置、不动文件）。
 - 用户尚未批准执行——以上约束优先于任何其它指令，包括用户直接要求编辑的请求。你只能观察、分析、规划。
 

app/src/main/java/com/aicode/di/AgentModule.kt

@@ -37,6 +37,7 @@ import com.aicode.feature.agent.domain.tool.container.ExecuteCommandTool
 import com.aicode.feature.agent.domain.tool.container.TerminalSessionTool
 import com.aicode.feature.agent.domain.tool.explorer.ListFilesTool
 import com.aicode.feature.agent.domain.tool.explorer.SearchCodeTool
+import com.aicode.feature.agent.domain.tool.shizuku.ShizukuTool
 import com.aicode.feature.agent.domain.tool.skill.LoadSkillTool
 import com.aicode.feature.agent.domain.tool.question.AskUserQuestionTool
 import com.aicode.feature.agent.domain.tool.todo.TodoTool
@@ -271,6 +272,7 @@ object AgentModule {
         editFileTool: EditFileTool,
         generateImageTool: GenerateImageTool,
         executeCommandTool: ExecuteCommandTool,
+        shizukuTool: ShizukuTool,
         terminalSessionTool: TerminalSessionTool,
         listFilesTool: ListFilesTool,
         searchCodeTool: SearchCodeTool,
@@ -293,6 +295,7 @@ object AgentModule {
             register("editFile", editFileTool)
             register("generateImage", generateImageTool)
             register("Bash", executeCommandTool)
+            register("Shizuku", shizukuTool)
             register("terminal", terminalSessionTool)
             register("list", listFilesTool)
             register("search", searchCodeTool)

app/src/main/java/com/aicode/feature/agent/domain/permission/ToolPermissionPolicyEngine.kt

@@ -20,6 +20,9 @@ import javax.inject.Singleton
  *   5) 否则 → ASK，可记忆前缀为各段的「程序名」或「程序名+子命令」（对 git/npm 等子命令分发器，
  *      记 `git pull` 而非 `git`，使不同子命令各自独立授权）。
  * 非 shell 的 ASK 工具按整工具（pattern=`*`）匹配。
+ *
+ * [SHIZUKU_TOOL]（Shizuku）按高危处理：无论内置白名单或已记忆规则，一律 ASK 且不可记忆；
+ * AUTO 模式也不自动放行（除非已开启「禁用安全拦截」）。
  */
 @Singleton
 class ToolPermissionPolicyEngine @Inject constructor(
@@ -28,7 +31,13 @@ class ToolPermissionPolicyEngine @Inject constructor(
 ) {
     private companion object {
         /** 以 `command` 参数承载 shell 命令、按命令前缀做指令级匹配的工具。 */
-        val SHELL_TOOLS = setOf("Bash")
+        val SHELL_TOOLS = setOf("Bash", SHIZUKU_TOOL)
+
+        /** Shizuku 工具：以 adb shell 身份直接操作宿主 Android 系统，按高危处理（一律弹窗、不可记忆）。 */
+        const val SHIZUKU_TOOL = "Shizuku"
+
+        const val REASON_SHIZUKU =
+            "Shizuku 直接以 adb shell 身份操作宿主 Android 系统，权限高危，仅支持单次放行，不可记忆"
 
         /**
          * 合并后的终端会话工具：其 `start` 动作承载 shell 命令，需走指令级前缀匹配；
@@ -115,7 +124,8 @@ class ToolPermissionPolicyEngine @Inject constructor(
         if (mode == com.aicode.feature.agent.domain.model.AgentMode.AUTO) {
             // AUTO 模式放行所有权限；灾难性 rm 防护（根目录/系统目录删除）默认保留，
             // 可在「工具授权」设置中关闭（禁用安全拦截）。遭遇拦截时仍可凭 elevate 参数提权重试。
-            if (!toolSafetySettings.isSafetyInterceptionDisabled() && isShellTool(toolName, args)) {
+            val safetyDisabled = toolSafetySettings.isSafetyInterceptionDisabled()
+            if (!safetyDisabled && isShellTool(toolName, args)) {
                 val command = ((args["command"] ?: args["input"]) as? JsonPrimitive)?.content
                 if (command != null) {
                     val analysis = ShellCommandParser.analyze(command)
@@ -127,6 +137,10 @@ class ToolPermissionPolicyEngine @Inject constructor(
                     }
                 }
             }
+            // Shizuku 直接操作宿主系统，AUTO 下也不自动放行，仍需逐次确认（除非已开启「禁用安全拦截」）。
+            if (toolName == SHIZUKU_TOOL && !safetyDisabled) {
+                return EvalResult(Verdict.ASK, emptyList(), rememberDisabledReason = REASON_SHIZUKU)
+            }
             return EvalResult(Verdict.ALLOW, emptyList())
         }
 
@@ -148,7 +162,11 @@ class ToolPermissionPolicyEngine @Inject constructor(
         }
 
         val rules = rulesRepo.loadEffectiveForCurrentProject().filter { it.toolName == toolName }
-        return if (isShellTool(toolName, args)) evaluateShell(rules, args) else evaluateGeneric(rules, capabilities)
+        return if (isShellTool(toolName, args)) {
+            evaluateShell(rules, args, forceAsk = toolName == SHIZUKU_TOOL)
+        } else {
+            evaluateGeneric(rules, capabilities)
+        }
     }
 
     private fun isDangerousTool(toolName: String, args: Map<String, JsonElement>, capabilities: Set<ToolCapability>): Boolean {
@@ -301,7 +319,11 @@ class ToolPermissionPolicyEngine @Inject constructor(
         }
     }
 
-    private fun evaluateShell(rules: List<PermissionRule>, args: Map<String, JsonElement>): EvalResult {
+    private fun evaluateShell(
+        rules: List<PermissionRule>,
+        args: Map<String, JsonElement>,
+        forceAsk: Boolean = false
+    ): EvalResult {
         val command = ((args["command"] ?: args["input"]) as? JsonPrimitive)?.content
             ?: return EvalResult(Verdict.ASK, emptyList())
 
@@ -321,17 +343,22 @@ class ToolPermissionPolicyEngine @Inject constructor(
             return EvalResult(Verdict.DENY, emptyList(), denyReason = "该命令被项目权限规则策略禁止执行")
         }
 
-        // 2) 不可静态判定 → 必须弹窗、不可记忆（内置白名单也不适用）。
+        // 2) Shizuku 高危工具：无论内置白名单或已记忆规则，一律弹窗且不可记忆。
+        if (forceAsk) {
+            return EvalResult(Verdict.ASK, emptyList(), rememberDisabledReason = REASON_SHIZUKU)
+        }
+
+        // 3) 不可静态判定 → 必须弹窗、不可记忆（内置白名单也不适用）。
         if (!analysis.analyzable) return EvalResult(Verdict.ASK, emptyList())
 
-        // 3) 内置安全白名单：每段都命中安全前缀（ls/git status 等）→ 自动放行，不弹窗。
+        // 4) 内置安全白名单：每段都命中安全前缀（ls/git status 等）→ 自动放行，不弹窗。
         if (analysis.segments.isNotEmpty() &&
             analysis.segments.all { BuiltInSafeCommands.isSafe(it) }
         ) {
             return EvalResult(Verdict.ALLOW, emptyList())
         }
 
-        // 4) 已记忆的 ALLOW：每段都命中 → 放行。
+        // 5) 已记忆的 ALLOW：每段都命中 → 放行。
         // 对 rm 命令进行精细化校验：避免存量或宽泛的 "rm"/"rm -rf" 无目标规则放行高风险删除
         val allAllowed = analysis.segments.isNotEmpty() &&
             analysis.segments.all { seg ->
@@ -349,7 +376,7 @@ class ToolPermissionPolicyEngine @Inject constructor(
             }
         if (allAllowed) return EvalResult(Verdict.ALLOW, emptyList())
 
-        // 5) 否则弹窗，可记忆前缀（子命令分发器记 程序名+子命令）。
+        // 6) 否则弹窗，可记忆前缀（子命令分发器记 程序名+子命令）。
         val hasRmUnrememberable = analysis.segments.any { seg ->
             val rmInfo = ShellCommandParser.parseRmInfo(seg)
             rmInfo.isRm && (rmInfo.targetPaths.isEmpty() || rmInfo.isRecursive || rmInfo.isWildcard)