https://x7peeps.com/%E5%AE%89%E5%85%A8/denyWrite-%E7%9A%84%E4%B8%AD%E9%97%B4%E9%80%9A%E9%85%8D%E7%AC%A6%E5%9C%A8-Linux-%E8%A2%AB%E9%9D%99%E9%BB%98%E4%B8%A2%E6%8E%89/index.html一个把工作区锁得挺严的沙箱配置，在 Linux 上有个不报错的缺口：sandbox.filesystem.denyWrite 只认两种形状——完全写死的绝对路径，和以 /** 结尾的目录前缀。夹在路径中间的通配符（/workspace/**/probe.txt、/workspace/*/probe.txt）不会被拦，也不会报错，规则在 /status 里照样显示为已生效。Hugozh-CN