戰(zhàn)：用 Python 沙盒在本地零成本安全測(cè)試你的 Skill，防止弄臟工作區(qū))
1. 為什么 Skill 本地測(cè)試總把工作區(qū)搞臟寫 Skill 的人大多踩過同一個(gè)坑為了驗(yàn)證一個(gè)「清理臨時(shí)文件」或「批量重命名」的邏輯直接在項(xiàng)目根目錄跑了一遍結(jié)果腳本里的路徑變量寫錯(cuò)把src/下的源碼當(dāng)成待清理對(duì)象刪了。這不是危言聳聽我自己第一次寫文件整理類 Skill 時(shí)就因?yàn)閛s.getcwd()返回的是項(xiàng)目根目錄差點(diǎn)把整個(gè)倉庫的配置文件清空。事后靠 git 回滾才救回來但那種后背發(fā)涼的感覺記到現(xiàn)在。Skill 的本質(zhì)是一段被 Agent 調(diào)用的可執(zhí)行邏輯它天然擁有文件系統(tǒng)讀寫、子進(jìn)程調(diào)用、環(huán)境變量讀取這些能力。能力越大調(diào)試時(shí)的爆炸半徑就越大。你在本地直接運(yùn)行它等于把主工作區(qū)暴露在一個(gè)未經(jīng)充分驗(yàn)證的腳本面前。路徑拼接錯(cuò)誤、遞歸條件誤判、相對(duì)路徑解析偏差任何一個(gè)都可能讓測(cè)試變成事故。所以本地沙盒調(diào)試不是「錦上添花」而是 Skill 開發(fā)流程里必須前置的一環(huán)。它的目標(biāo)很明確讓 Skill 在一個(gè)用完即棄的隔離目錄里跑跑完自動(dòng)銷毀主工作區(qū)連一個(gè)字節(jié)都不被觸碰。這篇就圍繞 Python 虛擬環(huán)境加臨時(shí)目錄這套組合把 venv 創(chuàng)建、依賴鎖定、臨時(shí)工作區(qū)配置、運(yùn)行前后目錄對(duì)比驗(yàn)證這幾個(gè)動(dòng)作串成一條能直接復(fù)制的流程。適合剛接觸 Skill 開發(fā)的新手也適合想給現(xiàn)有調(diào)試流程加一道安全閥的老手。核心檢索詞先擺出來Skill 本地環(huán)境沙盒測(cè)試就是用 Python 的 venv 隔離依賴、用 tempfile 隔離文件系統(tǒng)讓 Skill 在零成本、零污染的條件下完成驗(yàn)證。你不需要 Docker不需要額外機(jī)器一臺(tái)普通開發(fā)機(jī)就能跑通。2. TaoToken 前置準(zhǔn)備與 Skill 調(diào)試環(huán)境的關(guān)系在動(dòng)手搭沙盒之前先把「Skill 跑起來需要什么」這件事理清楚。Skill 在 Agent 生態(tài)里通常要調(diào)用模型能力比如讓模型判斷一段文本該歸到哪個(gè)目錄、該生成什么文件名。這意味著你的調(diào)試環(huán)境里需要一個(gè)可用的模型接入點(diǎn)。TaoToken 在這里扮演的角色就是提供統(tǒng)一的 API 入口讓你在本地沙盒里也能穩(wěn)定地發(fā)起模型請(qǐng)求而不用把注意力分散在多個(gè)平臺(tái)的配置差異上。我試過在沙盒腳本里直接硬編碼模型地址后來發(fā)現(xiàn)一旦要換模型或換接入方式得改好幾處。比較省事的做法是把接入信息收斂到環(huán)境變量里沙盒啟動(dòng)時(shí)注入一份干凈的副本這樣既隔離了主工作區(qū)的敏感配置又讓 Skill 代碼本身保持無狀態(tài)。TaoToken 的 API 地址是https://taotoken.net/api這個(gè)地址在沙盒里通過環(huán)境變量傳給子進(jìn)程即可。如果你還沒拿 Key可以去控制臺(tái)生成一個(gè)專門用于本地調(diào)試的 Key別用生產(chǎn)環(huán)境的 Key這樣即使沙盒腳本出問題影響范圍也可控。模型對(duì)話調(diào)試入口在https://taotoken.net/api-keys對(duì)應(yīng)的控制臺(tái)里能直接試跑確認(rèn) Key 有效再進(jìn)沙盒。這里要強(qiáng)調(diào)一個(gè)原則沙盒里的環(huán)境變量必須是「白名單注入」而不是「全量繼承」。主工作區(qū)的 shell 里可能有一堆敏感變量比如數(shù)據(jù)庫連接串、云服務(wù)密鑰。如果你用subprocess.run時(shí)不顯式傳env子進(jìn)程會(huì)繼承父進(jìn)程的全部環(huán)境變量Skill 里一個(gè)os.environ.get(DATABASE_URL)就可能讀到不該讀的東西。所以沙盒管理器要做的第一件事就是構(gòu)造一個(gè)只包含必要變量的干凈環(huán)境字典。具體來說沙盒需要注入的變量包括模型 API 的 Base URL、調(diào)試用的 API Key、模型 ID以及 Skill 自身運(yùn)行需要的路徑參數(shù)。其余一律不傳。這樣 Skill 在沙盒里的行為和它在 Agent 生產(chǎn)環(huán)境里的行為更接近因?yàn)樯a(chǎn)環(huán)境也不會(huì)把宿主機(jī)所有變量都暴露給 Skill。另外提一句 Coding Plan 的場(chǎng)景。如果你調(diào)試的 Skill 涉及長(zhǎng)期編碼任務(wù)或 Agent 循環(huán)調(diào)用本地沙盒跑通單次邏輯后可以考慮到 Coding Plan 里做集成驗(yàn)證。但那是后話先把本地隔離這步做扎實(shí)。3. 可復(fù)制的 venv 與臨時(shí)工作區(qū)配置這一節(jié)給可直接復(fù)制的配置片段。整個(gè)沙盒由兩部分組成Python 虛擬環(huán)境負(fù)責(zé)依賴隔離臨時(shí)目錄負(fù)責(zé)文件系統(tǒng)隔離。兩者合起來Skill 的調(diào)試就變成了一個(gè)自包含的單元。先看虛擬環(huán)境的創(chuàng)建。不要用全局 Python也不要用 conda 的 base 環(huán)境。每個(gè) Skill 項(xiàng)目單獨(dú)建 venv依賴鎖在requirements.txt里。命令如下cd /path/to/your/skill-project python3 -m venv .venv-sandbox source .venv-sandbox/bin/activate python -m pip install --upgrade pip pip install -r requirements.txt pip freeze requirements.lock.txtrequirements.lock.txt是鎖定版本用的確保下次重建沙盒時(shí)依賴版本一致。這一步很多人跳過結(jié)果過兩周再跑某個(gè)庫升級(jí)了Skill 行為變了排查半天才發(fā)現(xiàn)是依賴漂移。接下來是臨時(shí)工作區(qū)的配置。我習(xí)慣用一個(gè)sandbox_config.json來管理沙盒參數(shù)路徑和字段名保持固定方便腳本讀取{ sandbox: { prefix: skill_sandbox_, base_dir: null, timeout_seconds: 30, cleanup_on_exit: true }, env_whitelist: [ TAOTOKEN_BASE_URL, TAOTOKEN_API_KEY, TAOTOKEN_MODEL_ID, SKILL_INPUT_DIR, SKILL_OUTPUT_DIR ], model: { base_url: https://taotoken.net/api, model_id: your-model-id } }base_dir設(shè)為null表示讓tempfile自己選系統(tǒng)臨時(shí)目錄通常是/tmp或%TEMP%。env_whitelist就是前面說的白名單只有列在這里的變量才會(huì)被注入子進(jìn)程。model.base_url固定為 TaoToken 的 API 地址model_id換成你實(shí)際要調(diào)試的模型。然后寫一個(gè)sandbox_runner.py把 venv 激活、環(huán)境變量注入、臨時(shí)目錄創(chuàng)建、Skill 執(zhí)行、清理這幾個(gè)動(dòng)作串起來。核心片段如下import json import os import subprocess import sys import tempfile import shutil from pathlib import Path def load_config(config_pathsandbox_config.json): with open(config_path, r, encodingutf-8) as f: return json.load(f) def build_clean_env(config): clean {} for key in config[env_whitelist]: if key in os.environ: clean[key] os.environ[key] clean[TAOTOKEN_BASE_URL] config[model][base_url] clean[TAOTOKEN_MODEL_ID] config[model][model_id] return clean def run_skill_in_sandbox(skill_script, config): work_dir tempfile.mkdtemp(prefixconfig[sandbox][prefix]) clean_env build_clean_env(config) clean_env[SKILL_INPUT_DIR] work_dir clean_env[SKILL_OUTPUT_DIR] work_dir try: result subprocess.run( [sys.executable, skill_script], cwdwork_dir, envclean_env, capture_outputTrue, textTrue, timeoutconfig[sandbox][timeout_seconds] ) return { return_code: result.returncode, stdout: result.stdout, stderr: result.stderr, work_dir: work_dir } except subprocess.TimeoutExpired: return {return_code: -1, stderr: timeout, work_dir: work_dir} finally: if config[sandbox][cleanup_on_exit]: shutil.rmtree(work_dir, ignore_errorsTrue) if __name__ __main__: cfg load_config() outcome run_skill_in_sandbox(your_skill.py, cfg) print(json.dumps(outcome, ensure_asciiFalse, indent2))注意cwdwork_dir這一行。它把子進(jìn)程的工作目錄強(qiáng)制切到臨時(shí)目錄Skill 里任何相對(duì)路徑操作都只能落在沙盒內(nèi)。envclean_env則保證子進(jìn)程看不到白名單之外的變量。timeout是防死循環(huán)的保險(xiǎn)絲Skill 卡住時(shí)會(huì)被強(qiáng)制終止不會(huì)拖死你的調(diào)試終端。這套配置跑通后你的 Skill 調(diào)試就變成了「改代碼 → 跑 sandbox_runner → 看輸出」的循環(huán)主工作區(qū)全程無感。4. 驗(yàn)證請(qǐng)求與運(yùn)行前后目錄對(duì)比配置寫好了怎么確認(rèn)沙盒真的隔離住了光看代碼不夠得用實(shí)際動(dòng)作驗(yàn)證。我常用的方法是「運(yùn)行前后目錄快照對(duì)比」具體分三步。第一步在沙盒外記錄主工作區(qū)的文件清單。用find或 Python 的os.walk都行輸出到文件find /path/to/your/skill-project -type f -not -path */.git/* -not -path */.venv-sandbox/* | sort /tmp/before_snapshot.txt第二步跑一次沙盒調(diào)試。假設(shè)你的 Skill 是一個(gè)「把輸入目錄里的.tmp文件重命名為.bak」的邏輯在沙盒里執(zhí)行source .venv-sandbox/bin/activate python sandbox_runner.py沙盒內(nèi)部會(huì)創(chuàng)建臨時(shí)目錄、注入測(cè)試文件、執(zhí)行 Skill、清理現(xiàn)場(chǎng)。你可以在sandbox_runner.py里加一段打印把沙盒內(nèi)的文件變化也輸出出來方便對(duì)照。第三步再次記錄主工作區(qū)文件清單然后 difffind /path/to/your/skill-project -type f -not -path */.git/* -not -path */.venv-sandbox/* | sort /tmp/after_snapshot.txt diff /tmp/before_snapshot.txt /tmp/after_snapshot.txt如果 diff 輸出為空說明主工作區(qū)一個(gè)文件都沒被動(dòng)過沙盒隔離生效。如果 diff 有內(nèi)容那就要檢查 Skill 里是不是有絕對(duì)路徑寫死的操作或者cwd沒生效。我實(shí)測(cè)下來最容易出問題的是 Skill 里用了Path.home()或os.path.expanduser(~)這類寫法。這些路徑不受cwd約束會(huì)直接指向你的用戶主目錄。解決辦法是在沙盒環(huán)境里把HOME也重定向到臨時(shí)目錄或者干脆在 Skill 代碼里禁止使用這類路徑統(tǒng)一從環(huán)境變量讀取輸入輸出目錄。驗(yàn)證模型請(qǐng)求是否正?？梢栽?Skill 里加一個(gè)最小調(diào)用import os import requests base_url os.environ[TAOTOKEN_BASE_URL] api_key os.environ[TAOTOKEN_API_KEY] model_id os.environ[TAOTOKEN_MODEL_ID] resp requests.post( f{base_url}/v1/chat/completions, headers{Authorization: fBearer {api_key}}, json{ model: model_id, messages: [{role: user, content: 回復(fù) OK 兩個(gè)字母}] }, timeout15 ) print(resp.status_code) print(resp.json()[choices][0][message][content])如果返回200且內(nèi)容里有OK說明沙盒里的模型接入是通的。這一步跑通后再把 Skill 的真實(shí)邏輯接上去逐步替換測(cè)試樁。5. 本篇常見報(bào)錯(cuò)排查沙盒調(diào)試過程中有幾類報(bào)錯(cuò)特別常見這里按真實(shí)錯(cuò)誤信息對(duì)照排查。401 Unauthorized模型請(qǐng)求返回 401通常是TAOTOKEN_API_KEY沒注入或注入錯(cuò)了。檢查sandbox_config.json的env_whitelist里有沒有TAOTOKEN_API_KEY以及運(yùn)行sandbox_runner.py之前有沒有在 shell 里export這個(gè)變量。注意沙盒用的是白名單注入如果你只在.env文件里寫了 Key 但沒 export子進(jìn)程讀不到。local proxy failed / connection refused這類報(bào)錯(cuò)說明請(qǐng)求根本沒發(fā)出去。先確認(rèn)TAOTOKEN_BASE_URL的值是https://taotoken.net/api沒有多余斜杠或路徑。再檢查沙盒環(huán)境里有沒有殘留的代理變量比如HTTP_PROXY、HTTPS_PROXY。因?yàn)榘酌麊螜C(jī)制默認(rèn)不注入這些但如果你的 Skill 代碼里自己讀了os.environ并設(shè)置了代理就會(huì)出問題。排查方法是在沙盒里打印os.environ看實(shí)際注入的變量。reading choices 相關(guān)報(bào)錯(cuò)模型返回的 JSON 結(jié)構(gòu)里沒有choices字段通常是請(qǐng)求體格式不對(duì)或模型 ID 寫錯(cuò)。檢查model_id是否和 TaoToken 控制臺(tái)里顯示的一致以及messages數(shù)組的格式是否符合接口要求。有時(shí)候返回的是錯(cuò)誤信息對(duì)象直接打印resp.text能看到具體原因。OAuth 相關(guān)報(bào)錯(cuò)如果你用的是需要 OAuth 流程的接入方式沙盒里沒有瀏覽器環(huán)境回調(diào)會(huì)失敗。這種情況建議在沙盒里改用 API Key 方式調(diào)試OAuth 流程放到集成環(huán)境驗(yàn)證。Codex auth.json 配置問題如果你在調(diào)試 Codex 相關(guān)的 Skill涉及auth.json的讀寫要確保沙盒里的路徑指向臨時(shí)目錄而不是真實(shí)的~/.codex/auth.json。三件套配置要寫全Base URL 填https://taotoken.net/apiKey 填調(diào)試專用 KeyModel ID 填實(shí)際模型。缺任何一個(gè)都會(huì)導(dǎo)致認(rèn)證失敗。CC Switch / Cline MCP 場(chǎng)景如果 Skill 涉及 MCP 工具調(diào)用沙盒里要確保 MCP server 的啟動(dòng)命令用的是沙盒內(nèi)的路徑。Base URL、Key、Model ID 三件套同樣要完整注入否則 MCP 握手階段就會(huì)失敗。臨時(shí)目錄清理失敗偶爾會(huì)看到/tmp下殘留skill_sandbox_*目錄。原因通常是腳本被CtrlC中斷finally塊沒執(zhí)行完。解決辦法是在sandbox_runner.py里注冊(cè)atexit鉤子做二次清理或者定期手動(dòng)清理超過一天的沙盒目錄。6. 把沙盒流程固化進(jìn)日常開發(fā)走到這里你已經(jīng)有了一個(gè)能跑通的本地沙盒venv 隔離依賴臨時(shí)目錄隔離文件系統(tǒng)白名單注入隔離環(huán)境變量運(yùn)行前后快照對(duì)比驗(yàn)證隔離效果。接下來要做的是把它變成肌肉記憶。我的做法是在 Skill 項(xiàng)目里放一個(gè)Makefile或justfile把常用命令封裝起來sandbox-setup: python3 -m venv .venv-sandbox .venv-sandbox/bin/pip install -r requirements.txt .venv-sandbox/bin/pip freeze requirements.lock.txt sandbox-run: .venv-sandbox/bin/python sandbox_runner.py sandbox-verify: find . -type f -not -path ./.git/* -not -path ./.venv-sandbox/* | sort /tmp/before.txt $(MAKE) sandbox-run find . -type f -not -path ./.git/* -not -path ./.venv-sandbox/* | sort /tmp/after.txt diff /tmp/before.txt /tmp/after.txt echo 工作區(qū)未被污染這樣每次改完 Skill跑make sandbox-verify就能一次性完成「快照 → 執(zhí)行 → 對(duì)比」三個(gè)動(dòng)作。如果 diff 為空放心提交如果有差異先排查 Skill 里的路徑操作。對(duì)于需要長(zhǎng)期迭代的 Skill建議把沙盒配置和 Skill 代碼放在同一個(gè)倉庫里sandbox_config.json和sandbox_runner.py作為項(xiàng)目基礎(chǔ)設(shè)施提交上去。這樣換機(jī)器或協(xié)作時(shí)別人 clone 下來就能直接跑不用重新摸索環(huán)境。模型接入這塊調(diào)試階段用 API Key 就夠了。等 Skill 邏輯穩(wěn)定要跑多輪 Agent 循環(huán)或長(zhǎng)時(shí)間編碼任務(wù)時(shí)可以到 Coding Plan 里做集成測(cè)試那里對(duì)并發(fā)和長(zhǎng)任務(wù)的支持更完整。但本地沙盒始終是第一道防線它讓你在改代碼時(shí)不用提心吊膽。最后留一個(gè)實(shí)用技巧在 Skill 代碼里加一個(gè)DRY_RUN環(huán)境變量判斷沙盒里默認(rèn)開啟所有刪除、重命名、寫入操作只打印不執(zhí)行。這樣即使沙盒隔離失效最壞情況也只是多幾行日志不會(huì)真的動(dòng)文件。等邏輯確認(rèn)無誤再關(guān)掉DRY_RUN跑真實(shí)操作。這個(gè)習(xí)慣幫我省過好幾次回滾的麻煩。 Skill 實(shí)戰(zhàn)：用 Python 沙盒在本地零成本安全測(cè)試你的 Skill，防止弄臟工作區(qū)
1. 為什么 Skill 本地測(cè)試總把工作區(qū)搞臟寫 Skill 的人大多踩過同一個(gè)坑為了驗(yàn)證一個(gè)「清理臨時(shí)文件」或「批量重命名」的邏輯直接在項(xiàng)目根目錄跑了一遍結(jié)果腳本里的路徑變量寫錯(cuò)把src/下的源碼當(dāng)成待清理對(duì)象刪了。這不是危言聳聽我自己第一次寫文件整理類 Skill 時(shí)就因?yàn)閛s.getcwd()返回的是項(xiàng)目根目錄差點(diǎn)把整個(gè)倉庫的配置文件清空。事后靠 git 回滾才救回來但那種后背發(fā)涼的感覺記到現(xiàn)在。Skill 的本質(zhì)是一段被 Agent 調(diào)用的可執(zhí)行邏輯它天然擁有文件系統(tǒng)讀寫、子進(jìn)程調(diào)用、環(huán)境變量讀取這些能力。能力越大調(diào)試時(shí)的爆炸半徑就越大。你在本地直接運(yùn)行它等于把主工作區(qū)暴露在一個(gè)未經(jīng)充分驗(yàn)證的腳本面前。路徑拼接錯(cuò)誤、遞歸條件誤判、相對(duì)路徑解析偏差任何一個(gè)都可能讓測(cè)試變成事故。所以本地沙盒調(diào)試不是「錦上添花」而是 Skill 開發(fā)流程里必須前置的一環(huán)。它的目標(biāo)很明確讓 Skill 在一個(gè)用完即棄的隔離目錄里跑跑完自動(dòng)銷毀主工作區(qū)連一個(gè)字節(jié)都不被觸碰。這篇就圍繞 Python 虛擬環(huán)境加臨時(shí)目錄這套組合把 venv 創(chuàng)建、依賴鎖定、臨時(shí)工作區(qū)配置、運(yùn)行前后目錄對(duì)比驗(yàn)證這幾個(gè)動(dòng)作串成一條能直接復(fù)制的流程。適合剛接觸 Skill 開發(fā)的新手也適合想給現(xiàn)有調(diào)試流程加一道安全閥的老手。核心檢索詞先擺出來Skill 本地環(huán)境沙盒測(cè)試就是用 Python 的 venv 隔離依賴、用 tempfile 隔離文件系統(tǒng)讓 Skill 在零成本、零污染的條件下完成驗(yàn)證。你不需要 Docker不需要額外機(jī)器一臺(tái)普通開發(fā)機(jī)就能跑通。2. TaoToken 前置準(zhǔn)備與 Skill 調(diào)試環(huán)境的關(guān)系在動(dòng)手搭沙盒之前先把「Skill 跑起來需要什么」這件事理清楚。Skill 在 Agent 生態(tài)里通常要調(diào)用模型能力比如讓模型判斷一段文本該歸到哪個(gè)目錄、該生成什么文件名。這意味著你的調(diào)試環(huán)境里需要一個(gè)可用的模型接入點(diǎn)。TaoToken 在這里扮演的角色就是提供統(tǒng)一的 API 入口讓你在本地沙盒里也能穩(wěn)定地發(fā)起模型請(qǐng)求而不用把注意力分散在多個(gè)平臺(tái)的配置差異上。我試過在沙盒腳本里直接硬編碼模型地址后來發(fā)現(xiàn)一旦要換模型或換接入方式得改好幾處。比較省事的做法是把接入信息收斂到環(huán)境變量里沙盒啟動(dòng)時(shí)注入一份干凈的副本這樣既隔離了主工作區(qū)的敏感配置又讓 Skill 代碼本身保持無狀態(tài)。TaoToken 的 API 地址是https://taotoken.net/api這個(gè)地址在沙盒里通過環(huán)境變量傳給子進(jìn)程即可。如果你還沒拿 Key可以去控制臺(tái)生成一個(gè)專門用于本地調(diào)試的 Key別用生產(chǎn)環(huán)境的 Key這樣即使沙盒腳本出問題影響范圍也可控。模型對(duì)話調(diào)試入口在https://taotoken.net/api-keys對(duì)應(yīng)的控制臺(tái)里能直接試跑確認(rèn) Key 有效再進(jìn)沙盒。這里要強(qiáng)調(diào)一個(gè)原則沙盒里的環(huán)境變量必須是「白名單注入」而不是「全量繼承」。主工作區(qū)的 shell 里可能有一堆敏感變量比如數(shù)據(jù)庫連接串、云服務(wù)密鑰。如果你用subprocess.run時(shí)不顯式傳env子進(jìn)程會(huì)繼承父進(jìn)程的全部環(huán)境變量Skill 里一個(gè)os.environ.get(DATABASE_URL)就可能讀到不該讀的東西。所以沙盒管理器要做的第一件事就是構(gòu)造一個(gè)只包含必要變量的干凈環(huán)境字典。具體來說沙盒需要注入的變量包括模型 API 的 Base URL、調(diào)試用的 API Key、模型 ID以及 Skill 自身運(yùn)行需要的路徑參數(shù)。其余一律不傳。這樣 Skill 在沙盒里的行為和它在 Agent 生產(chǎn)環(huán)境里的行為更接近因?yàn)樯a(chǎn)環(huán)境也不會(huì)把宿主機(jī)所有變量都暴露給 Skill。另外提一句 Coding Plan 的場(chǎng)景。如果你調(diào)試的 Skill 涉及長(zhǎng)期編碼任務(wù)或 Agent 循環(huán)調(diào)用本地沙盒跑通單次邏輯后可以考慮到 Coding Plan 里做集成驗(yàn)證。但那是后話先把本地隔離這步做扎實(shí)。3. 可復(fù)制的 venv 與臨時(shí)工作區(qū)配置這一節(jié)給可直接復(fù)制的配置片段。整個(gè)沙盒由兩部分組成Python 虛擬環(huán)境負(fù)責(zé)依賴隔離臨時(shí)目錄負(fù)責(zé)文件系統(tǒng)隔離。兩者合起來Skill 的調(diào)試就變成了一個(gè)自包含的單元。先看虛擬環(huán)境的創(chuàng)建。不要用全局 Python也不要用 conda 的 base 環(huán)境。每個(gè) Skill 項(xiàng)目單獨(dú)建 venv依賴鎖在requirements.txt里。命令如下cd /path/to/your/skill-project python3 -m venv .venv-sandbox source .venv-sandbox/bin/activate python -m pip install --upgrade pip pip install -r requirements.txt pip freeze requirements.lock.txtrequirements.lock.txt是鎖定版本用的確保下次重建沙盒時(shí)依賴版本一致。這一步很多人跳過結(jié)果過兩周再跑某個(gè)庫升級(jí)了Skill 行為變了排查半天才發(fā)現(xiàn)是依賴漂移。接下來是臨時(shí)工作區(qū)的配置。我習(xí)慣用一個(gè)sandbox_config.json來管理沙盒參數(shù)路徑和字段名保持固定方便腳本讀取{ sandbox: { prefix: skill_sandbox_, base_dir: null, timeout_seconds: 30, cleanup_on_exit: true }, env_whitelist: [ TAOTOKEN_BASE_URL, TAOTOKEN_API_KEY, TAOTOKEN_MODEL_ID, SKILL_INPUT_DIR, SKILL_OUTPUT_DIR ], model: { base_url: https://taotoken.net/api, model_id: your-model-id } }base_dir設(shè)為null表示讓tempfile自己選系統(tǒng)臨時(shí)目錄通常是/tmp或%TEMP%。env_whitelist就是前面說的白名單只有列在這里的變量才會(huì)被注入子進(jìn)程。model.base_url固定為 TaoToken 的 API 地址model_id換成你實(shí)際要調(diào)試的模型。然后寫一個(gè)sandbox_runner.py把 venv 激活、環(huán)境變量注入、臨時(shí)目錄創(chuàng)建、Skill 執(zhí)行、清理這幾個(gè)動(dòng)作串起來。核心片段如下import json import os import subprocess import sys import tempfile import shutil from pathlib import Path def load_config(config_pathsandbox_config.json): with open(config_path, r, encodingutf-8) as f: return json.load(f) def build_clean_env(config): clean {} for key in config[env_whitelist]: if key in os.environ: clean[key] os.environ[key] clean[TAOTOKEN_BASE_URL] config[model][base_url] clean[TAOTOKEN_MODEL_ID] config[model][model_id] return clean def run_skill_in_sandbox(skill_script, config): work_dir tempfile.mkdtemp(prefixconfig[sandbox][prefix]) clean_env build_clean_env(config) clean_env[SKILL_INPUT_DIR] work_dir clean_env[SKILL_OUTPUT_DIR] work_dir try: result subprocess.run( [sys.executable, skill_script], cwdwork_dir, envclean_env, capture_outputTrue, textTrue, timeoutconfig[sandbox][timeout_seconds] ) return { return_code: result.returncode, stdout: result.stdout, stderr: result.stderr, work_dir: work_dir } except subprocess.TimeoutExpired: return {return_code: -1, stderr: timeout, work_dir: work_dir} finally: if config[sandbox][cleanup_on_exit]: shutil.rmtree(work_dir, ignore_errorsTrue) if __name__ __main__: cfg load_config() outcome run_skill_in_sandbox(your_skill.py, cfg) print(json.dumps(outcome, ensure_asciiFalse, indent2))注意cwdwork_dir這一行。它把子進(jìn)程的工作目錄強(qiáng)制切到臨時(shí)目錄Skill 里任何相對(duì)路徑操作都只能落在沙盒內(nèi)。envclean_env則保證子進(jìn)程看不到白名單之外的變量。timeout是防死循環(huán)的保險(xiǎn)絲Skill 卡住時(shí)會(huì)被強(qiáng)制終止不會(huì)拖死你的調(diào)試終端。這套配置跑通后你的 Skill 調(diào)試就變成了「改代碼 → 跑 sandbox_runner → 看輸出」的循環(huán)主工作區(qū)全程無感。4. 驗(yàn)證請(qǐng)求與運(yùn)行前后目錄對(duì)比配置寫好了怎么確認(rèn)沙盒真的隔離住了光看代碼不夠得用實(shí)際動(dòng)作驗(yàn)證。我常用的方法是「運(yùn)行前后目錄快照對(duì)比」具體分三步。第一步在沙盒外記錄主工作區(qū)的文件清單。用find或 Python 的os.walk都行輸出到文件find /path/to/your/skill-project -type f -not -path */.git/* -not -path */.venv-sandbox/* | sort /tmp/before_snapshot.txt第二步跑一次沙盒調(diào)試。假設(shè)你的 Skill 是一個(gè)「把輸入目錄里的.tmp文件重命名為.bak」的邏輯在沙盒里執(zhí)行source .venv-sandbox/bin/activate python sandbox_runner.py沙盒內(nèi)部會(huì)創(chuàng)建臨時(shí)目錄、注入測(cè)試文件、執(zhí)行 Skill、清理現(xiàn)場(chǎng)。你可以在sandbox_runner.py里加一段打印把沙盒內(nèi)的文件變化也輸出出來方便對(duì)照。第三步再次記錄主工作區(qū)文件清單然后 difffind /path/to/your/skill-project -type f -not -path */.git/* -not -path */.venv-sandbox/* | sort /tmp/after_snapshot.txt diff /tmp/before_snapshot.txt /tmp/after_snapshot.txt如果 diff 輸出為空說明主工作區(qū)一個(gè)文件都沒被動(dòng)過沙盒隔離生效。如果 diff 有內(nèi)容那就要檢查 Skill 里是不是有絕對(duì)路徑寫死的操作或者cwd沒生效。我實(shí)測(cè)下來最容易出問題的是 Skill 里用了Path.home()或os.path.expanduser(~)這類寫法。這些路徑不受cwd約束會(huì)直接指向你的用戶主目錄。解決辦法是在沙盒環(huán)境里把HOME也重定向到臨時(shí)目錄或者干脆在 Skill 代碼里禁止使用這類路徑統(tǒng)一從環(huán)境變量讀取輸入輸出目錄。驗(yàn)證模型請(qǐng)求是否正?？梢栽?Skill 里加一個(gè)最小調(diào)用import os import requests base_url os.environ[TAOTOKEN_BASE_URL] api_key os.environ[TAOTOKEN_API_KEY] model_id os.environ[TAOTOKEN_MODEL_ID] resp requests.post( f{base_url}/v1/chat/completions, headers{Authorization: fBearer {api_key}}, json{ model: model_id, messages: [{role: user, content: 回復(fù) OK 兩個(gè)字母}] }, timeout15 ) print(resp.status_code) print(resp.json()[choices][0][message][content])如果返回200且內(nèi)容里有OK說明沙盒里的模型接入是通的。這一步跑通后再把 Skill 的真實(shí)邏輯接上去逐步替換測(cè)試樁。5. 本篇常見報(bào)錯(cuò)排查沙盒調(diào)試過程中有幾類報(bào)錯(cuò)特別常見這里按真實(shí)錯(cuò)誤信息對(duì)照排查。401 Unauthorized模型請(qǐng)求返回 401通常是TAOTOKEN_API_KEY沒注入或注入錯(cuò)了。檢查sandbox_config.json的env_whitelist里有沒有TAOTOKEN_API_KEY以及運(yùn)行sandbox_runner.py之前有沒有在 shell 里export這個(gè)變量。注意沙盒用的是白名單注入如果你只在.env文件里寫了 Key 但沒 export子進(jìn)程讀不到。local proxy failed / connection refused這類報(bào)錯(cuò)說明請(qǐng)求根本沒發(fā)出去。先確認(rèn)TAOTOKEN_BASE_URL的值是https://taotoken.net/api沒有多余斜杠或路徑。再檢查沙盒環(huán)境里有沒有殘留的代理變量比如HTTP_PROXY、HTTPS_PROXY。因?yàn)榘酌麊螜C(jī)制默認(rèn)不注入這些但如果你的 Skill 代碼里自己讀了os.environ并設(shè)置了代理就會(huì)出問題。排查方法是在沙盒里打印os.environ看實(shí)際注入的變量。reading choices 相關(guān)報(bào)錯(cuò)模型返回的 JSON 結(jié)構(gòu)里沒有choices字段通常是請(qǐng)求體格式不對(duì)或模型 ID 寫錯(cuò)。檢查model_id是否和 TaoToken 控制臺(tái)里顯示的一致以及messages數(shù)組的格式是否符合接口要求。有時(shí)候返回的是錯(cuò)誤信息對(duì)象直接打印resp.text能看到具體原因。OAuth 相關(guān)報(bào)錯(cuò)如果你用的是需要 OAuth 流程的接入方式沙盒里沒有瀏覽器環(huán)境回調(diào)會(huì)失敗。這種情況建議在沙盒里改用 API Key 方式調(diào)試OAuth 流程放到集成環(huán)境驗(yàn)證。Codex auth.json 配置問題如果你在調(diào)試 Codex 相關(guān)的 Skill涉及auth.json的讀寫要確保沙盒里的路徑指向臨時(shí)目錄而不是真實(shí)的~/.codex/auth.json。三件套配置要寫全Base URL 填https://taotoken.net/apiKey 填調(diào)試專用 KeyModel ID 填實(shí)際模型。缺任何一個(gè)都會(huì)導(dǎo)致認(rèn)證失敗。CC Switch / Cline MCP 場(chǎng)景如果 Skill 涉及 MCP 工具調(diào)用沙盒里要確保 MCP server 的啟動(dòng)命令用的是沙盒內(nèi)的路徑。Base URL、Key、Model ID 三件套同樣要完整注入否則 MCP 握手階段就會(huì)失敗。臨時(shí)目錄清理失敗偶爾會(huì)看到/tmp下殘留skill_sandbox_*目錄。原因通常是腳本被CtrlC中斷finally塊沒執(zhí)行完。解決辦法是在sandbox_runner.py里注冊(cè)atexit鉤子做二次清理或者定期手動(dòng)清理超過一天的沙盒目錄。6. 把沙盒流程固化進(jìn)日常開發(fā)走到這里你已經(jīng)有了一個(gè)能跑通的本地沙盒venv 隔離依賴臨時(shí)目錄隔離文件系統(tǒng)白名單注入隔離環(huán)境變量運(yùn)行前后快照對(duì)比驗(yàn)證隔離效果。接下來要做的是把它變成肌肉記憶。我的做法是在 Skill 項(xiàng)目里放一個(gè)Makefile或justfile把常用命令封裝起來sandbox-setup: python3 -m venv .venv-sandbox .venv-sandbox/bin/pip install -r requirements.txt .venv-sandbox/bin/pip freeze requirements.lock.txt sandbox-run: .venv-sandbox/bin/python sandbox_runner.py sandbox-verify: find . -type f -not -path ./.git/* -not -path ./.venv-sandbox/* | sort /tmp/before.txt $(MAKE) sandbox-run find . -type f -not -path ./.git/* -not -path ./.venv-sandbox/* | sort /tmp/after.txt diff /tmp/before.txt /tmp/after.txt echo 工作區(qū)未被污染這樣每次改完 Skill跑make sandbox-verify就能一次性完成「快照 → 執(zhí)行 → 對(duì)比」三個(gè)動(dòng)作。如果 diff 為空放心提交如果有差異先排查 Skill 里的路徑操作。對(duì)于需要長(zhǎng)期迭代的 Skill建議把沙盒配置和 Skill 代碼放在同一個(gè)倉庫里sandbox_config.json和sandbox_runner.py作為項(xiàng)目基礎(chǔ)設(shè)施提交上去。這樣換機(jī)器或協(xié)作時(shí)別人 clone 下來就能直接跑不用重新摸索環(huán)境。模型接入這塊調(diào)試階段用 API Key 就夠了。等 Skill 邏輯穩(wěn)定要跑多輪 Agent 循環(huán)或長(zhǎng)時(shí)間編碼任務(wù)時(shí)可以到 Coding Plan 里做集成測(cè)試那里對(duì)并發(fā)和長(zhǎng)任務(wù)的支持更完整。但本地沙盒始終是第一道防線它讓你在改代碼時(shí)不用提心吊膽。最后留一個(gè)實(shí)用技巧在 Skill 代碼里加一個(gè)DRY_RUN環(huán)境變量判斷沙盒里默認(rèn)開啟所有刪除、重命名、寫入操作只打印不執(zhí)行。這樣即使沙盒隔離失效最壞情況也只是多幾行日志不會(huì)真的動(dòng)文件。等邏輯確認(rèn)無誤再關(guān)掉DRY_RUN跑真實(shí)操作。這個(gè)習(xí)慣幫我省過好幾次回滾的麻煩。