14 Aug 2026
2 分钟阅读
Docker Sandboxes 工作区怎么接：Direct、Clone 和它们的边界
TL;DR
Direct 模式下，工作区以读写方式挂进 sandbox，Agent 改的文件立刻出现在 Mac 上，适合人在旁边、和 Agent 改同一棵树；代价是 Agent 也能删掉或弄乱这棵树。
Clone 模式（--clone）反过来：宿主机仓库只读挂载，Agent 在 sandbox 内部一份私有 clone 里改、commit。宿主机看不到实时变化，要主动 git fetch sandbox-<name> 才能拿到提交；删除 sandbox 前不 fetch，未保存的提交跟着一起没。这是官方建议无人值守场景优先验证的模式，不是 Direct 的可选装饰。
上一篇留的边界
上一篇 装完 sbx、跑通 OpenCode 后收在一句话：工作区挂进去之后，.env 对 Agent 是可见的，隔离挡的是工作区外面，不是工作区里面。
这句话说的其实是默认行为——Direct 模式。工作区外面有 kernel、文件系统、网络、Docker Engine 四层墙；工作区里面呢，Agent 和你本人权限一样，没有额外限制。这一篇拆开这道边界本身：它是不是必须这样，能不能换一种挂法。
