---
name: scope_hook
when: '文件范围, 路径校验, 越权检测, symlink 解析'
scope: ['*']
products:
  - '*'
id: ka-pattern-scope_hook
asset_kind: pattern
lifecycle_status: active
authority: supporting
routes:
  - '*'
primary_triggers:
  - 文件范围
  - 路径校验
  - 越权检测
  - symlink 解析
priority: P2
specificity: 3
version: 1.1.0
last_reviewed: '2026-06-01'
consumes: []
emits: []
secondary_triggers: []
negative_triggers: []
type: pattern
stages: ["*"]
owner_mechanism_id: mc-engine-runtime
---

## 决策规则

- checkScope() 校验文件路径是否在 allowed_paths 范围内
- symlink 解析后校验真实路径，防止路径穿越
- 路径匹配使用规范化比较，支持通配符
- 越权访问为 enforced 级别，违规即 hard fail

## 验收项

- [AC-01] 合法路径通过校验
- [AC-02] symlink 路径穿越被拦截
- [AC-03] 越权路径产生 hard fail
- [AC-04] 通配符匹配正确

## 何时使用

文件范围和安全是强制门禁

## 是否 hard block

是。此能力为 enforced 状态，违规即 hard fail 阻断流程。

## 证据要求

- 路径匹配 + symlink 测试通过
- 密钥扫描 golden set 通过
- 无已知越权逃逸
-

## 人工确认/降级边界

- enforced 能力不可跳过，违反即阻断
- 降级需经 sf_capability_update + 人工确认，提供 escape report 证据
