feat: vendor permission system source

README.md

@@ -14,7 +14,7 @@
 - `pi-hermes-memory@0.9.6`：提供持久记忆、会话搜索和 secret scanning。
 - `@ogulcancelik/pi-codex-compaction@0.1.3`：为 `openai-codex` 提供原生远程压缩。
 - 本仓库维护的 `pi-permission-auto-review`：作为 `pi-permission-system` authorizer，使用 Codex Guardian 风格策略自动复核 `ask` 请求。
-- `@gotgenes/pi-permission-system@26.2.1`：负责工具、路径、MCP、硬拒绝和兜底权限基线。
+- 本仓库维护的 `pi-permission-system`：从 `@gotgenes/pi-permission-system@26.2.1` 源码导入，负责工具、路径、MCP、硬拒绝和兜底权限基线。
 - `extensions/tool-routing.ts`：保留 Pi 默认系统提示词，并按当前激活工具追加简短的工具与搜索路由规则；提供 `/dump-system-prompt` 导出当前有效提示词。
 
 ## 安装、升级与卸载
@@ -191,6 +191,8 @@ codegraph status
 
 ### 权限基线自动部署
 
+`pi-permission-system/` 从上游 `pi-permission-system-v26.2.1` tag 导入，初始源码快照为 `ec4fdb11343dc94f7185b113e559a4cf9f8dc035`。根包通过本地 `file:` 依赖提供其运行时依赖，并由包装入口直接加载仓库源码，不再加载 npm 包中的实现。
+
 `extensions/permission-system.ts` 在权限扩展注册前，把仓库中的
 `config/pi-permission-system.json` 同步到 Pi agent 目录。仓库文件是权威配置；直接在
 运行目录通过 UI 修改的策略会在下次加载组合包时被覆盖，长期调整应提交到本仓库。
@@ -218,7 +220,7 @@ codegraph status
 
 - `allow`：权限基线已明确允许的常规操作不会调用 reviewer。
 - `deny`：Bash 直搜、敏感凭据路径等硬拒绝不会交给 reviewer，也不能被其绕过。
-- `ask`：Git 非只读操作、包管理、文件/系统/网络/环境操作和普通 MCP 调用交给 reviewer；`path` 与 `external_directory` 即使模型返回允许，也会被 `pi-permission-system` 的 delegation envelope 降级为人工确认。
+- `ask`：Git 非只读操作、包管理、文件/系统/网络/环境操作和普通 MCP 调用交给 reviewer；`path` 仍全部受 delegation envelope 保护。`external_directory` 仅允许内置 `read` 接受 reviewer 的 `allow`，`write`、`edit`、Bash、未知工具及其他外部目录访问仍降级为人工确认。
 
 reviewer 默认使用 `openai-codex/codex-auto-review`、low reasoning 和内置 Codex Guardian 风格策略，并读取当前 session active branch 中的可信用户证据。可通过 `/permission-auto-review` 查看或调整全局/项目配置；无配置时使用源码内置默认值。