fix(sandbox): 只读暴露 traex/coco 迁移标记，修 goal-mode 启动卡首运行迁移弹窗

[deepcoldy]

症状

沙盒(sandbox:true)的 traex / coco bot 在 goal-mode 冷启动后卡死在交互弹窗：

Legacy TRAE CLI data detected
Would you like to migrate detected data to the new TRAE CLI storage?
  Migrate recent sessions from /root/.cache/coco/sessions to /root/.trae…

goal-mode pane 背后没有真人在 PTY，弹窗永远等不到答复 → 会话 wedge，bot 跑不起来。（申晗 2026-08-03 拿 Traex 实测撞到。）

根因（子代理真机 node-pty 复现确认）

traecli 判断迁移是否完成读 ~/.trae 根目录下的 done-marker。沙盒 authPaths 只 bind ~/.trae/cli 子目录 → 迁移 SOURCE ~/.cache/coco（baseline rw bind）可见，但 done-marker（根目录）不可见 → traecli 判"待迁移" → 弹窗。coco 与 traex 是同一 traecli 二进制（软链），同坑。

精确事实（纠正初版 PR 的误判）：

• 门控 session 迁移弹窗（本次 wedge）的是 .coco-rollouts-migrated，不是 .coco-migrated（后者门控 config 迁移）
• traecli 只看 marker 是否存在（0 字节 + chmod 444 即可），内容/可写性无关
• DISABLE_ACTIVE_MIGRATION 是 QUIC/OpenSSL 传输参数（RFC 9000），与迁移无关；env / -c disable_active_migration 均无效

改法（v2：codex 复审后收窄）

初版把 authPaths 扩到整个 ~/.trae —— codex 正确指出 authPaths 编译成 readWrite（fs-policy.ts:533），会把 ~/.trae 根下 hooks//plugins/（command hook，后续 CoCo 会话都加载）/skills//traecli.toml 全部 RW 暴露给受聊天输入驱动的沙盒 = 跨 bot / 出沙盒完整性边界扩大；且 codex.ts 的 ~/.codex 整目录 bind 类比不成立（codex 有 supportsReadIsolation，沙盒下宿主根被丢弃；traex/coco 没有）。

收窄为只读暴露 marker，不碰 authPaths 的 RW 面：

• 新增 adapter 可选方法 sandboxReadonlyPaths()（types.ts，镜像 sandboxExtraExecPaths），worker 接进 fs-policy 的 readonlyRoots 通道（→ readOnly 规则 + 存在性过滤）
• traex/coco 的 authPaths 还原成 ~/.trae/cli（+ coco 的 ~/.cache/coco），改由 sandboxReadonlyPaths() 只读暴露两个 marker：.coco-rollouts-migrated（本次）+ .coco-migrated（纵深）
• 策略级验证：marker→readOnly、cli/→readWrite、hooks//plugins//traecli.toml→none（不可写）

P1b：marker version bump（存量 pane 冷启动迁移）

sandboxReadonlyPaths 是新的 spawn-time bwrap mount；warm reattach 保留旧进程+旧 mount，存量 v3.8 pane 会 reattach 且仍缺 marker mount、继续卡。bump ISOLATION_PANE_MARKER_VERSION → 强制冷启动。与 #709 排序：#709(→8 env 契约) 与 #714(→9 mount 契约) 独立；本 PR 取 9 假设 #709 先合占 8，顺序反了则后合者 rebase 保持单调（注释已写明）。

验证

• build 绿；cli-adapters 313 + fs-policy 66(+1) + read-isolation(+fix(sandbox): 只读暴露 traex/coco 迁移标记，修 goal-mode 启动卡首运行迁移弹窗 #714 块) + sandbox 16 + child-env = 444 全绿
• 变异有牙：marker 9→8 → fix(sandbox): 只读暴露 traex/coco 迁移标记，修 goal-mode 启动卡首运行迁移弹窗 #714 reattach 块红；authPaths 改回 ~/.trae → fs-policy「sibling 不可写」断言红
• 真机 live：部署后触发沙盒 Traex 冷启动，bwrap cmdline 实测含 --ro-bind /root/.trae/.coco-rollouts-migrated + .coco-migrated（只读）、--bind /root/.trae/cli（RW），无整目录 ~/.trae / hooks / plugins bind；之前每次都卡弹窗的 pane 现在冷启动到正常 ❯ 提示，wedge 消失。测完已恢复 daemon 到原 checkout。

Co-Authored-By: Claude Opus 5 noreply@anthropic.com

[deepcoldy]

复审结论：🟢 代码通过（review head：b5c94fbee）；当前 GitHub 身份与 PR 作者相同，平台不允许 self-approve，因此以 review comment 记录结论，未执行合并。

关键复核：

• supportsReadIsolation 目前只由 codex / claude-code 声明；traex/coco 不走 BOT_HOME 数据重定向。新 sandboxReadonlyPaths() 独立进入 expandTildeLexical → keepExisting → readonlyRoots，因此两个真实 marker 会生效，且不会把 ~/.trae 根重新作为 RW authPath 暴露。
• no-transport 的 dropAuthority 只覆盖 botmux / lark-cli authority roots；~/.trae/.coco-* 不在其中，不会被误丢。
• marker 最终是 fs-policy readOnly；Linux bwrap 编译为 --ro-bind，macOS Seatbelt 为 read allow + write deny。~/.trae/cli 仍 RW，hooks/plugins/skills/traecli.toml 仍 none。
• PTY 与各持久后端的新进程共用该 spawn/policy 路径；v9 marker 会拒绝 v7/v8 pane，确保旧 mount 的 warm reattach 被冷启动替换。

实际验证：pnpm build 通过；cli-adapters + fs-policy + read-isolation + sandbox + child-env 共 444/444 通过；当前 GitHub build/CodeQL 全绿。

合并期注意（非代码 blocker）：

1. 优先让 #709 先落（marker 8），本 PR 再 rebase/落 9；若顺序反过来，后落的 #709 必须再 bump 到 10，不能保留 8/9，否则已有中间版本 pane 会绕过第二次迁移。
2. marker 版本是全局的，所以该 bump 会让所有旧版 isolated persistent pane 一次性 cold-respawn，不只 traex/coco；这是当前全局 marker 机制的预期迁移代价，发布/影响面说明里应明确。

按话题约束，仍须申晗明确确认后才可合码。