1. 项目概述：CLI-Anything 不是又一个命令行工具，而是 CLI 生态的“操作系统级抽象层”

你有没有遇到过这样的场景：在写一个自动化脚本时，想调用 GitHub API，得先装gh；想操作 Docker，得确保docker命令在 PATH 里；想查 Kubernetes 集群状态，又得确认kubectl已正确配置上下文；更别说还要对接内部的运维平台 CLI、CI/CD 流水线 CLI、甚至某个老系统自己写的 Python 脚本封装的./bin/deploy.sh。结果就是——你的 shell history 里全是which gh,export KUBECONFIG=...,pipx install kubectl,chmod +x ./scripts/*.sh这类碎片化操作。CLI-Anything 的核心价值，不是让你多学一个 CLI，而是让你彻底忘记“哪个 CLI 该装在哪、怎么配、版本是否兼容”这件事。它本质上是一个 agent-native 的 CLI 协议网关，把所有命令行工具统一建模为可发现、可编排、可验证、可沙箱执行的“能力单元”。关键词里的agent-native是题眼——它不试图替代任何 CLI，而是站在智能体（Agent）视角，把 CLI 当作一种标准化的服务接口来消费。比如，你告诉它“我要把当前目录打包成 tar.gz 并上传到 S3”，它会自动识别出需要tar和aws两个 CLI 能力，检查本地是否存在、权限是否足够、版本是否满足最小要求（如aws --version >= 2.15.0），再生成安全的执行链路，而非硬编码调用subprocess.run(['tar', ...])。这和codex cli或claude cli有本质区别：后者是把大模型能力封装成 CLI，属于“AI in CLI”；而 CLI-Anything 是把 CLI 本身变成 AI 可调度的原子能力，属于“CLI as AI Primitive”。它解决的不是“怎么用 AI 写命令”，而是“怎么让 AI 安全、可靠、可审计地调用真实世界的命令行工具”。对 Python 开发者尤其友好，因为它的核心运行时基于 Python（非 Node.js 或 Rust），所有能力注册、参数解析、执行沙箱、错误归一化都深度适配 CPython 的进程模型与环境隔离机制——这也是为什么热词中反复出现python,pipx,vscode python环境配置等关联项。它不是给终端用户用的“快捷命令集”，而是给构建自动化工作流、智能运维 Agent、低代码集成平台的工程师准备的底层能力中枢。

2. 整体架构设计：为什么必须是 agent-native？三层抽象模型拆解

2.1 传统 CLI 工具链的三大结构性缺陷

要理解 CLI-Anything 的设计必要性，得先看清现有 CLI 生态的顽疾。我过去三年在金融和电商领域做过 7 个大型自动化平台，踩过的坑几乎都源于 CLI 的“不可控性”：

• 发现不可控：which docker返回路径不代表docker version能成功执行（可能因权限或 daemon 未启动失败）；pip list | grep awscli显示已安装，但aws s3 ls可能报No module named 'botocore'（依赖冲突）。传统方式只能靠try/except捕获运行时错误，无法在调用前静态验证能力可用性。

• 参数不可控：git commit -m "msg"和git commit --message="msg"语义相同，但curl -X POST -H "Content-Type: application/json" -d '{"k":"v"}'和curl -X POST -H 'Content-Type: application/json' --data '{"k":"v"}'在某些 shell 下行为不同。CLI-Anything 必须将参数解析从 shell 层剥离，建立统一的声明式参数模型（类似 OpenAPI Schema），否则 Agent 生成的命令永远存在 shell 注入或引号逃逸风险。

• 执行不可控：rm -rf /这种命令，不能靠“文档里写了别这么用”来防范。真实生产环境里，我们见过因 CI 脚本变量未赋值导致rsync -av $SRC/ $DST/变成rsync -av / /backup的事故。CLI-Anything 的沙箱机制不是简单chroot，而是基于 Linux namespace + seccomp-bpf 的细粒度系统调用过滤，例如禁止openat(AT_FDCWD, "/etc/shadow", ...)，但允许openat(AT_FDCWD, "./config.yaml", ...)。

提示：CLI-Anything 的agent-native定位，正是为了根治这三类问题。它不提供新命令，而是为所有现有 CLI 构建一套“能力身份证”——每个 CLI 能力注册时，必须声明其输入 Schema、输出 Schema、所需权限、最小版本、执行超时阈值。这就像给每台机器装上标准化的设备驱动，Agent 才能像调用 HTTP API 一样调用tar或kubectl。

2.2 CLI-Anything 的三层抽象模型：Capability → Adapter → Runtime

CLI-Anything 的核心创新在于将 CLI 调用解耦为三个正交层，每一层都可独立替换或扩展：

• Capability 层（能力定义）：这是最顶层的契约。以aws-s3-list-buckets为例，其 Capability 定义是一个 YAML 文件：

  name: aws-s3-list-buckets description: List all S3 buckets in the configured AWS account input_schema: type: object properties: region: type: string default: "us-east-1" output_schema: type: array items: type: object properties: Name: {type: string} CreationDate: {type: string} required_permissions: ["s3:ListAllMyBuckets"] min_version: "2.15.0"

  注意：这里没有写aws s3 list-buckets --region {region}，因为具体命令由下层 Adapter 决定。这个 Schema 是 Agent 编排的唯一依据。

• Adapter 层（适配器）：负责将 Capability 的声明式描述，翻译为具体 CLI 的执行指令。一个awsAdapter 可能支持aws-s3-list-buckets、aws-ec2-describe-instances等多个 Capability。它内部维护着命令模板、参数映射规则、错误码归一化表（如将aws的ClientError统一转为403 Forbidden）。关键点在于：Adapter 是可插拔的。你可以用 Python 写一个awsAdapter，也可以用 Go 写一个kubectlAdapter，只要它们实现相同的 Adapter 接口（即execute(input: dict) -> (output: dict, error: str)）。

• Runtime 层（运行时）：这是最底层的安全执行引擎。CLI-Anything 默认使用subprocess.Popen+prctl设置PR_SET_NO_NEW_PRIVS，但真正关键的是它的沙箱策略引擎。例如，当执行aws-s3-list-buckets时，Runtime 会动态生成 seccomp 规则，只允许openat,read,write,connect等必要系统调用，禁止clone,execve（防止 fork 新进程），并挂载/tmp为 tmpfs（内存文件系统）避免磁盘写入。实测下来，一个被恶意篡改的awsCLI 二进制，在 CLI-Anything Runtime 下连cat /etc/passwd都会被 seccomp 拦截。

注意：这种分层不是理论设计，而是为了解决真实痛点。我们在某次灰度发布中，发现旧版kubectl（1.22）的--dry-run=client参数在新版（1.26）已被废弃，但业务脚本仍硬编码调用。CLI-Anything 的 Capability 层通过min_version强制校验，直接在预检阶段报错kubectl version 1.22 < required 1.26，而不是等到执行时报unknown flag: --dry-run，大幅缩短故障定位时间。

2.3 为什么选择 Python 作为核心运行时？工程权衡详解

热词中高频出现python,pipx,vscode python环境配置，绝非偶然。CLI-Anything 选择 Python 作为主运行时，是经过 12 个实际项目验证后的务实决策：

• 生态兼容性：90% 的 DevOps 工具链（Ansible, Terraform Provider, Airflow Operator）都提供 Python SDK。CLI-Anything 的 Adapter 可直接复用boto3,kubernetes.client,github.Github等成熟库，无需重复造轮子。对比 Node.js，Python 的subprocess对二进制 CLI 的封装更自然（shell=False默认安全，Node.js 的spawn默认shell=true易引入注入）。

• 环境隔离成熟度：pipx已成为 Python CLI 工具的事实标准分发方式（pipx install cli-anything）。它自动为每个 CLI 创建独立虚拟环境，完美解决awscli和terraform依赖requests版本冲突的问题。而 Node.js 的npx在 Windows 上常因路径空格崩溃，cargo install则要求用户装 Rust 工具链，门槛过高。

• 调试与可观测性：Python 的pdb和 VS Code 的调试器对 subprocess 调用链支持极佳。我们曾用breakpoint()在 Runtime 层直接 inspectproc.args和proc.env，快速定位出某次git命令失败是因为GIT_SSH_COMMAND环境变量被意外覆盖。这种深度调试能力，在 Go 或 Rust 中需额外集成 cgo 或 ptrace，成本高得多。

• Agent 集成友好：主流 Agent 框架（LangChain, LlamaIndex）原生支持 Python。CLI-Anything 的 Python SDK 可直接作为 Tool 注册到 Agent 的 Tool Registry 中，Agent 无需 JSON Schema 解析器，直接调用cli_anything.execute("aws-s3-list-buckets", {"region": "cn-north-1"})。而如果用 Rust 实现，就得额外开发 Python binding，增加维护负担。

当然，Python 也有短板：GIL 限制并发吞吐。但 CLI-Anything 的典型负载是 I/O 密集型（网络请求、磁盘读写），而非 CPU 密集型，所以 GIL 影响极小。实测在 16 核服务器上，并发执行 100 个aws s3 ls命令，Python Runtime 吞吐量比同等配置的 Rust 实现仅低 8%，但开发效率提升 3 倍以上。

3. 核心能力实现：从零注册一个 CLI 能力的完整流程

3.1 能力注册：不是“安装 CLI”，而是“声明能力契约”

CLI-Anything 的哲学是：“安装 CLI 是运维的事，注册能力是开发的事”。这意味着你不需要sudo apt install docker.io，而是用声明式 YAML 描述 Docker 的能力边界。以下是以docker-images为例的完整注册流程：

第一步：创建 Capability 定义文件docker-images.yaml

name: docker-images description: List local Docker images with optional filtering input_schema: type: object properties: filter: type: string description: Filter images by name or ID (e.g., "nginx" or "abc123") format: type: string enum: ["table", "json"] default: "table" required: [] output_schema: type: array items: type: object properties: REPOSITORY: {type: string} TAG: {type: string} IMAGE_ID: {type: string} CREATED: {type: string} SIZE: {type: string} required_permissions: ["docker:ListImages"] min_version: "24.0.0"

关键细节：required_permissions不是随意写的，而是 CLI-Anything 内置的权限分类体系。docker:ListImages表示该能力只读取镜像列表，不涉及docker run或docker build等危险操作。这为后续的 RBAC 控制打下基础。

第二步：编写 Docker Adapter（adapters/docker.py）

from cli_anything.adapter import BaseAdapter import subprocess import json class DockerAdapter(BaseAdapter): def __init__(self): super().__init__() self.cli_path = self._find_cli("docker") # 自动探测 docker 位置 def execute(self, input_data: dict) -> tuple[dict, str]: cmd = [self.cli_path, "images"] if input_data.get("filter"): cmd.extend(["--filter", f"reference={input_data['filter']}"]) if input_data.get("format") == "json": cmd.append("--format='{{json .}}'") # 注意：这里用 --format 而非 --format=json，因为 docker 的 json 格式不标准 else: cmd.append("--format='{{.Repository}}\\t{{.Tag}}\\t{{.ID}}\\t{{.CreatedAt}}\\t{{.Size}}'") try: result = subprocess.run( cmd, capture_output=True, text=True, timeout=30, env=self._get_safe_env() # 过滤掉危险环境变量 ) if result.returncode != 0: return {}, f"Docker error: {result.stderr.strip()}" if input_data.get("format") == "json": # 解析 docker 的非标准 JSON 输出 lines = [line.strip() for line in result.stdout.splitlines() if line.strip()] parsed = [json.loads(line) for line in lines] return {"images": parsed}, "" else: # 解析 tab 分隔的表格 rows = [line.split('\t') for line in result.stdout.splitlines() if line.strip()] headers = ["REPOSITORY", "TAG", "IMAGE_ID", "CREATED", "SIZE"] return {"images": [dict(zip(headers, row)) for row in rows]}, "" except subprocess.TimeoutExpired: return {}, "Command timeout after 30 seconds" except Exception as e: return {}, f"Unexpected error: {str(e)}"

实操心得：Adapter 的核心是execute方法，它必须处理三类异常：CLI 自身错误（returncode != 0）、超时（TimeoutExpired）、解析错误（JSON decode fail）。我试过直接json.loads(result.stdout)，结果因 docker 输出末尾有换行符导致JSONDecodeError，后来改成splitlines()过滤空行才稳定。

第三步：注册到 CLI-Anything 运行时

# 将 capability 和 adapter 放入标准目录 mkdir -p ~/.cli-anything/capabilities mkdir -p ~/.cli-anything/adapters cp docker-images.yaml ~/.cli-anything/capabilities/ cp adapters/docker.py ~/.cli-anything/adapters/ # 重新加载能力（CLI-Anything 会自动扫描目录） cli-anything reload

提示：CLI-Anything 的reload命令不是重启进程，而是热重载 Capability 和 Adapter。它会验证 YAML Schema 是否合法，检查 Adapter Python 语法，然后更新内存中的能力注册表。整个过程 < 200ms，不影响正在运行的 Agent。

3.2 能力调用：Agent 如何安全地“说人话”触发 CLI

注册完成后，能力即可被 Agent 或 CLI 直接调用。以下是三种典型调用方式：

方式一：直接 CLI 调用（适合调试）

# 查看所有已注册能力 cli-anything list-capabilities # 执行 docker-images 能力 cli-anything execute docker-images --filter nginx --format json # 输出示例： { "images": [ { "REPOSITORY": "nginx", "TAG": "latest", "IMAGE_ID": "abc123...", "CREATED": "2024-03-15T10:20:30Z", "SIZE": "154MB" } ] }

注意：CLI 参数--filter和--format会自动映射到 Capability 的input_schema，CLI-Anything 内部完成类型转换（如字符串"json"→ Pythonstr）。

方式二：Python SDK 调用（适合集成到脚本）

from cli_anything import CLIAgent agent = CLIAgent() try: result, error = agent.execute( capability_name="docker-images", input_data={"filter": "redis", "format": "json"} ) if error: print(f"Execution failed: {error}") else: print(f"Found {len(result['images'])} Redis images") except Exception as e: print(f"SDK error: {e}")

实操心得：SDK 的execute方法返回(result, error)元组，而非抛异常。这是刻意设计——因为 CLI 执行失败是常态（如网络超时、权限不足），不应打断主业务逻辑。我们在线上环境用if error: log.warning(...)处理，而非try/except。

方式三：Agent Tool 调用（适合 LangChain 等框架）

from langchain.agents import Tool from cli_anything import CLIAgent cli_agent = CLIAgent() docker_tool = Tool( name="docker-images", func=lambda input_str: cli_agent.execute("docker-images", json.loads(input_str))[0], description="List local Docker images. Input is JSON like {'filter': 'nginx', 'format': 'json'}" ) # 注册到 Agent 的 ToolKit agent_executor = initialize_agent( tools=[docker_tool], llm=ChatOpenAI(model="gpt-4"), agent=AgentType.ZERO_SHOT_REACT_DESCRIPTION )

关键点：func包装器将 Agent 的字符串输入（LLM 生成的 JSON 字符串）转为 Python dict，并提取result（忽略error，由 Agent 自己处理失败重试）。这样 Agent 就能像调用普通函数一样调用 CLI。

3.3 沙箱执行与安全策略：seccomp 规则如何精准放行

CLI-Anything 的 Runtime 层安全机制是其核心竞争力。以下以aws-s3-list-buckets为例，详解沙箱策略生成逻辑：

Step 1：静态分析 CLI 二进制CLI-Anything 启动时，会对aws二进制执行readelf -d /usr/local/bin/aws | grep NEEDED，获取其依赖的共享库（如libssl.so.1.1），再用strings /usr/local/bin/aws | grep -E "(s3|list|bucket)"提取敏感字符串。这一步确定aws二进制大概率会进行网络连接和 S3 API 调用。

Step 2：动态生成 seccomp 规则当执行aws s3 ls时，Runtime 动态生成如下 seccomp 规则（简化版）：

{ "defaultAction": "SCMP_ACT_ERRNO", "syscalls": [ { "names": ["openat", "read", "write", "close", "lseek"], "action": "SCMP_ACT_ALLOW" }, { "names": ["connect", "sendto", "recvfrom", "getaddrinfo"], "action": "SCMP_ACT_ALLOW", "args": [ { "index": 2, "value": 2, // AF_INET "op": "SCMP_CMP_EQ" } ] }, { "names": ["clone", "fork", "execve", "mmap"], "action": "SCMP_ACT_ERRNO" } ] }

解释：defaultAction设为SCMP_ACT_ERRNO（返回 EPERM 错误），意味着只显式允许的系统调用才能执行。connect允许，但只允许 IPv4（value: 2），禁止 IPv6（value: 10）以防绕过防火墙。clone和execve被明确禁止，杜绝进程派生。

Step 3：挂载隔离文件系统Runtime 启动时，会创建一个临时目录/tmp/cli-anything-<uuid>，并用mount -t tmpfs -o size=100M tmpfs /tmp/cli-anything-<uuid>挂载为内存文件系统。然后chroot到该目录，并将~/.aws/credentials符号链接进来（只读），其他路径（如/etc,/usr）均不可见。实测表明，即使awsCLI 有漏洞能读取任意文件，在此沙箱下也只能读到~/.aws/credentials和/tmp/cli-anything-<uuid>下的内容。

注意：seccomp 规则不是一劳永逸的。CLI-Anything 提供cli-anything audit-seccomp <capability>命令，可运行该能力 100 次，收集所有实际触发的系统调用，生成最小化白名单规则。我们曾用此功能将kubectl get pods的允许系统调用从 127 个精简到 43 个，显著提升安全性。

4. 实战问题排查：从 “unable to locate the codex cli binary” 到生产级诊断

4.1 热词高频报错深度解析：“unable to locate the codex cli binary or required runtime components”

这个错误在热词中反复出现，表面看是codex cli安装问题，实则是 CLI-Anything 能力发现机制的典型故障。我们来拆解其背后的真实原因和 CLI-Anything 的应对方案：

错误根源分析（非 CLI-Anything 专属，但 CLI-Anything 提供了系统化解法）：

• PATH 污染：用户执行pip install codex-cli后，codex命令被安装到~/.local/bin/codex，但该路径未加入PATH。传统做法是export PATH="$HOME/.local/bin:$PATH"，但 CLI-Anything 的cli-anything discover codex命令会主动扫描~/.local/bin,/usr/local/bin,~/pipx/bin等常见路径，无需手动配置。

• 二进制损坏：pipx install codex-cli时网络中断，导致~/.local/pipx/venvs/codex-cli/bin/codex是不完整的 ELF 文件。CLI-Anything 在discover阶段会执行file ~/.local/pipx/venvs/codex-cli/bin/codex，若输出非ELF 64-bit LSB pie executable，则标记为INVALID_BINARY。

• 依赖缺失：codex依赖libglib-2.0.so.0，但系统未安装glib2包。CLI-Anything 会调用ldd ~/.local/pipx/venvs/codex-cli/bin/codex | grep "not found"，并将缺失依赖列为MISSING_LIBRARY。

CLI-Anything 的诊断命令：

# 全面诊断 codex 能力 cli-anything diagnose codex # 输出示例： { "status": "INCOMPLETE", "issues": [ { "type": "MISSING_BINARY", "message": "codex binary not found in any PATH directory", "suggestion": "Run 'pipx install codex-cli' or download from official site" }, { "type": "INVALID_VERSION", "message": "Found codex v0.8.1, but minimum required is v1.2.0", "suggestion": "Upgrade with 'pipx upgrade codex-cli'" } ], "capabilities": ["codex-explain-code", "codex-generate-test"] }

这个diagnose命令是 CLI-Anything 的核心优势——它把零散的运维知识（PATH、ldd、file）封装成一键诊断，输出结构化 JSON，可直接集成到 CI/CD 的 pre-check 步骤。

4.2 常见问题速查表：从开发到生产的 7 类典型故障

实操心得：cli-anything logs是我的救命稻草。它默认将所有 Runtime 日志写入~/.cli-anything/logs/runtime.log，包含沙箱创建、seccomp 加载、进程 execve 等关键事件。有一次kubectl调用失败，日志显示seccomp: blocked syscall connect(2) on fd 3，立刻意识到是 seccomp 规则过于严格，用cli-anything audit-seccomp kubectl重新生成规则后解决。

4.3 生产环境避坑指南：3 个血泪教训

教训一：不要在 Capability 中硬编码绝对路径错误写法：

# BAD: 绝对路径在不同机器上失效 input_schema: properties: config_path: type: string default: "/etc/myapp/config.yaml"

正确做法：用相对路径或环境变量。

# GOOD: 用环境变量，由 Runtime 注入 input_schema: properties: config_path: type: string default: "${APP_CONFIG_PATH}"

CLI-Anything 的 Runtime 会自动替换${APP_CONFIG_PATH}为os.environ.get("APP_CONFIG_PATH", "")。我们在某次跨环境部署中，因硬编码/opt/app/config.yaml，导致测试环境正常，生产环境因路径不同而失败。

教训二：Adapter 的execute方法必须处理 SIGTERMCLI-Anything 的 Runtime 会向子进程发送SIGTERM请求优雅退出。如果 Adapter 用subprocess.run且未设置timeout，进程可能僵死。正确写法：

# GOOD: 使用 timeout 并捕获 TimeoutExpired try: result = subprocess.run(cmd, timeout=30, ...) except subprocess.TimeoutExpired as e: # 发送 SIGTERM 后等待 5 秒，再 SIGKILL if e.process and e.process.poll() is None: e.process.terminate() try: e.process.wait(timeout=5) except subprocess.TimeoutExpired: e.process.kill() raise

教训三：Capability 的min_version必须定期更新我们曾将kubectl的min_version设为1.20.0，但 Kubernetes 1.26 引入了新的--show-managed-fields参数，旧版kubectl不支持。CLI-Anything 的min_version检查只在首次加载时执行，不会自动更新。解决方案是：在 CI/CD 流水线中加入cli-anything check-version kubectl步骤，失败则阻断发布，并通知管理员更新 Capability YAML。

5. 进阶应用：CLI-Anything 如何重塑自动化工作流开发范式

5.1 从脚本到工作流：用 CLI-Anything 构建可编排的“能力图谱”

传统 Shell 脚本的致命缺陷是“不可组合”。deploy.sh里写死git pull && npm install && docker build -t myapp . && docker push myapp，一旦npm install失败，整个流程中断，且无法单独重试docker push。CLI-Anything 的能力模型让工作流变成 DAG（有向无环图）：

Step 1：定义原子能力

# capabilities/git-pull.yaml name: git-pull input_schema: {type: object, properties: {repo: {type: string}}} output_schema: {type: object, properties: {commit: {type: string}}} # capabilities/docker-build.yaml name: docker-build input_schema: {type: object, properties: {tag: {type: string}}} output_schema: {type: object, properties: {image_id: {type: string}}} # capabilities/docker-push.yaml name: docker-push input_schema: {type: object, properties: {image_id: {type: string}}} output_schema: {type: object, properties: {pushed_at: {type: string}}}

Step 2：用 YAML 定义工作流

# workflows/deploy.yaml name: deploy-to-staging steps: - name: pull-code capability: git-pull input: {repo: "https://github.com/myorg/myapp.git"} outputs: [commit] - name: build-image capability: docker-build input: {tag: "staging-${{ steps.pull-code.outputs.commit }}"} outputs: [image_id] depends_on: [pull-code] - name: push-image capability: docker-push input: {image_id: "${{ steps.build-image.outputs.image_id }}"} depends_on: [build-image]

Step 3：CLI-Anything 执行工作流

cli-anything run-workflow deploy-to-staging

CLI-Anything 的 Workflow Engine 会：

• 自动解析depends_on构建执行顺序
• 将steps.pull-code.outputs.commit注入到build-image的input
• 每个步骤在独立沙箱中执行，失败时只重试该步骤
• 生成执行报告~/.cli-anything/workflows/deploy-to-staging-20240315-102030.json

提示：这种工作流不是 Airflow 的简化版，而是 CLI 原生的编排。它不需要数据库、Web UI、Scheduler 进程，所有状态保存在 JSON 文件中，适合轻量级自动化场景。

5.2 Agent-Native 的终极形态：让 LLM 直接“理解” CLI 能力

热词中codex cli,claude cli,minimax code cli都指向一个趋势：用 LLM 生成 CLI 命令。但 CLI-Anything 让这个过程更安全、更可控：

传统方式（危险）：

# LLM 生成的字符串，直接 eval 或 os.system llm_output = "aws s3 cp ./data/ s3://my-bucket/ --recursive" os.system(llm_output) # ⚠️ 严重安全风险！

CLI-Anything 方式（安全）：

# LLM 生成的是结构化能力调用 llm_output = { "capability": "aws-s3-copy", "input": {"source": "./data/", "destination": "s3://my-bucket/", "recursive": True} } # CLI-Anything 验证并执行 result, error = cli_agent.execute( capability_name=llm_output["capability"], input_data=llm_output["input"] )

CLI-Anything 的execute方法会：

• 检查aws-s3-copy是否在注册表中
• 验证input_data是否符合input_schema（如recursive必须是布尔值）
• 检查required_permissions是否被授权（RBAC 控制）
• 在沙箱中执行，而非裸os.system

我们在某客户项目中，用此模式实现了“自然语言运维”：运维人员说“把 prod 环境的数据库备份上传到 S3”，LLM 生成{"capability": "pg-dump-upload", "input": {"env": "prod"}}，CLI-Anything 自动调用pg_dump+aws s3 cp，全程无需人工干预。

5.3 未来演进：CLI-Anything 的“能力市场”与社区共建

CLI-Anything 的设计天然支持能力共享。我们已看到社区自发贡献的 23 个 Capability：

• `terraform-plan