企业官网建设流程全解析

obsidian-yolo 是一款把 AI 助手装进 Obsidian 的插件，它的工具系统与权限审批机制决定了 AI 到底能对你的 Vault 做什么。这篇文章给出一份完整清单：AI 能调哪些工具、哪些操作必须经过你的同意、哪些开关能让它"自动放行"，以及怎么把它的活动范围关进你指定的目录里。

先记住三件事，就有基本的安全感了：

1. 模式决定权限上限——Ask 不能改笔记正文，Agent 能改库内文件，Max 能碰本机任意文件；
2. 默认情况下，改文件和跑终端都要你点同意，可以改成自动放行，但那是你主动做的选择；
3. 工作区范围不是沙箱——它约束的是 AI 的自主行为，不是安全隔离。

三种模式：一眼看懂 AI 的权限上限

模式在对话输入框旁边的下拉框里切换，它是整个插件最重要的概念：选错模式，要么觉得"它怎么什么都干不了"，要么惊讶"它怎么敢动我的文件"。

上面这张是 YOLO 的对话界面：左侧是你的 Vault 文件列表，右侧是 AI 对话面板，输入框上方可以切换 Agent 模式和模型。

⚠️ 两个容易误解的点：

• Ask 不等于绝对只读。它虽然改不了笔记里的字，但能在库内执行mkdir、mv、rm（移动和删除文件），这类危险操作每次都会单独问你；
• Max + 自动放行是权限最大的组合：本机任意路径 + 写入类终端命令全部免审批，建议只在你完全清楚任务边界时使用。

13 个工具能力完整清单

YOLO 把能力打包成13 个「工具能力」。你启用、禁用、配置审批的单位是"能力"，而不是单个工具。管理入口：设置 → YOLO → Agent → 全局能力 → 工具 →「管理工具」。

这里还有几个关键设计，值得单独说清楚：

• 「虚拟终端」不是真终端。它是用 JavaScript 重写的沙箱 shell，挂载在库根目录上，碰不到操作系统的文件系统。真正能执行本机命令的只有「终端命令」，它默认关闭，而且不允许设成"始终允许"；
• 联网搜索默认放行。默认配置下，AI 联网搜索、抓取网页不会弹窗问你——介意的话去「管理工具」里调高审批档位或直接关掉（注意：这不影响模型 API 本身的调用）；
• 「本地文件工具集」只在 Max 模式存在。Agent 走 Obsidian 的库接口，Max 才是真正操作本机磁盘的身份，两者互斥。

知识库检索的设置入口在「Knowledge」标签页，可以看到当前 Vault 建索引的文档数、块数和待更新状态：

而「管理工具」里关掉联网搜索，不等于断掉 AI 与模型服务之间的通信——模型 API 的配置在「Models」标签页，两者是独立的两层：

审批机制：AI 想动手时，你怎么管

三种审批档位

每个能力都可以设成三档之一：

• 完全放行——不问，直接执行；
• 需要审批——每次调用都停下来等你确认；
• 危险操作审批——只有虚拟终端有这一档：只读命令和mkdir直接放行，mv和rm逐条停下来问。

档位在Agent 编辑器 → 工具标签里按 Agent 单独设置。全局闸门和单个 Agent 的设置是「与」的关系：全局开着、单个 Agent 关着，那个 Agent 依然用不了。

弹出审批时的四个选项

虚拟终端和终端命令不提供「本对话内允许」——它们被刻意设计成不能绕过逐次确认。

修改笔记怎么落地

模型改笔记不是直接覆盖：它会先给出一段 diff，你点应用才会写进文件。还有一个「修改回顾」界面，可以逐处决定：接受 / 拒绝 / 保留 / 回退 / 合并，每一轮回复下方有编辑摘要，可以整体或按文件撤销。

撤销依赖本机快照，快照不随笔记同步——重要改动请依赖 Git 或 Obsidian 的文件恢复功能。

YOLO 自动放行开关与危险命令黑名单

Agent 和 Max 模式各带一个「YOLO」子开关，打开后当前模式下所有工具调用不再逐条确认。首次开启会弹风险提示，需要勾选"我已了解风险"，提示里说的三件事都是真的：

• 工具调用不再逐条确认，但危险命令前缀黑名单仍然拦截；
• 自主执行可能消耗较多 Token；
• 请提前备份。

**黑名单在任何情况下都生效，包括自动放行模式。**默认拦截这些命令开头：rm、dd、mkfs、fdisk、shutdown、reboot、poweroff、halt，可以在「配置终端命令」里增删。这是整个审批体系里最硬的一道防线——开关可以放开，底线收不回来。

工作区范围：限制 AI 能自主翻到哪

配置位置：Agent 编辑器 → 工作区标签，打开「限制自主工作范围」，用可视化目录选择器标记包含和排除。三条必须知道的规则：

1. 你主动给的东西不受限制。你用@引用的文件、当前正在编辑的文件，AI 永远能读到，哪怕在范围外。范围限制的是 AI自己去翻的能力，不是你主动递给它的东西；
2. 记忆和 Skill 目录始终豁免。即使没写进包含范围，AI 依然能读写自己的记忆和已授权的 Skill；
3. 它不是安全边界——如果这个 Agent 启用了终端命令或第三方 MCP 工具，工作区范围可以被绕过，因为真实 shell 和外部进程都不经过 YOLO 的路径检查。

所以工作区范围应该理解为"让 AI 专注在相关目录、别到处乱翻"的自主性约束，而不是"把 AI 关进笼子"的隔离机制。真需要隔离，正确做法是不给这个 Agent 终端和不受信的 MCP 工具。

另外，YOLO 自己的内部数据目录（根目录下的data）无论范围怎么设都对 AI 隐藏，访问时返回"文件不存在"——连它的存在都不暴露。这道检查统一收口在所有工具共用的一处安全边界逻辑里：security-boundary.ts。

运行时组件：工具系统背后的额外下载

有些能力依赖额外下载的运行组件，在设置 → YOLO → 模块 → 运行组件里管理：

注意区分两层概念：运行组件的开关管的是组件存不存在，「管理工具」里的开关管的是工具对 AI 可不可见。比如关掉 Bash 引擎，虚拟终端就没有底层支撑；而在管理工具里关掉虚拟终端，引擎还在，只是 AI 用不了。这些组件下载到插件目录内，不在你的库内、不参与同步。

五种常见立场对应的配置建议

• 「我只想安全地问问题」——用 Ask 模式，不用动任何设置；
• 「我想让它改笔记，但每一步我要知道」——Agent 模式，不开自动放行，保持文件编辑「需要审批」；
• 「我信任它，让它自己跑完」——Agent + 自动放行，先确认库在 Git 里，或至少 Obsidian 文件恢复开着；
• 「我不想让它碰某些目录」——配工作区范围，同时不要给这个 Agent 终端命令能力，否则范围形同虚设；
• 「我完全不想让它联网」——去「管理工具」关掉联网搜索工具集。

相关文档与源码路径

想深入细节，可以从这些位置继续看：

• 官方文档（工具与权限专题）：tools-and-permissions.md
• 对话与三种模式说明：chat.md
• 按用途配置不同权限的角色：assistants.md
• 13 个内置能力定义源码：capabilities/
• 真实终端命令工具：terminal_command/
• 虚拟终端（沙箱 shell）：bash/
• 工作区范围校验逻辑：workspaceScope.ts