CellSpec 引擎保护路径（EnginePaths）

wesgine 的 CellSpec.EnginePaths 声明引擎内部保护的路径，与 DenyPaths 配合实现完整的路径边界判定。

设计目的

EnginePaths 标识引擎自身需要保护的路径，这些路径由引擎自动设定，不需要消费方显式声明。典型包括：

与 DenyPaths 的区别

字段设定者内容作用
DenyPaths消费方声明 + Compliance 预设注入敏感业务路径禁止 Agent 读写
EnginePaths引擎自动设定引擎内部路径引擎内部保护

两者共同参与 internal/pathaccess/ 模块的路径边界判定。

路径边界判定流程

Agent read/write/exec 请求
    ↓
pathaccess.Check(path, denyPaths, enginePaths)
    ├── 命中 DenyPaths → ErrPathDenied
    ├── 命中 EnginePaths → ErrPathDenied
    └── 均未命中 → 放行

与 File I/O 模型的关系

wesgine 的 File I/O 分三域：

域路径说明
ArtifactDir{CellDataDir}/workspace/{actor}/持久产出目录
ScratchDir.scratch/{runID}/临时计算目录（Run 结束后 GC）
HostPathsAllowPaths 声明的路径宿主文件系统（只验证边界）

EnginePaths 保护的是 Cell 数据目录中不属于 workspace/ 和 .scratch/ 的部分（数据库、配置等）。

不变量

相关文档