mirrors/WeKnora

feat(lite): ask before host deletes and widen the sandbox on approval (#4076)

feat(localsandbox): path grants, git metadata protection and delete detection

Grants now name a directory and read or write access. ProposeGrant only offers a directory the policy really withholds, and never the home, system dirs, credentials, the application tree or anything inside .git. Write grants and project workspaces keep every .git below them read-only, and read-only subpaths are final denies in Seatbelt and in PathGuard so a covering root cannot reopen them. DeleteSegments recognizes rm, rmdir, unlink, git rm/clean and find -delete, including wrapped and hidden forms, and reduces each to a session rule.

feat(localsandbox): ask the user before deletes and widen the sandbox on approval

Run asks before any delete and, after a Seatbelt denial it can tie to a path, offers that directory and re-runs the command once approved, at most two directories per call. Approvals wait outside the root lock. Session approvals (delete rules per cwd, directory grants) live in memory and are released with the session; a grant also widens the file tools’ layout. The approver travels in the context from the caller; without one every question is refused.

feat(lite): keep session workspaces under ~/.weknora/sessions

Auto-allocated workspaces move from ~/Documents/WeKnoraLite to ~/.weknora/sessions///

/session-. The policy builder is told where they live so no grant can open another session’s workspace.

feat(approval): host command approvals through the tool approval gate

RequestHostAndWait emits a tool_approval_required event with kind host_command and the command details, and never takes the nil-checker shortcut that auto-approves MCP calls. The resolve endpoint accepts scope (once or session) and access (read or write); MCP events serialize as before.

feat(agent): let shell_exec on a Lite host wait for the session owner

On a host workspace shell_exec attaches an approver that asks through the gate with this turn’s event bus, user and tool call. The wait is rooted at the approval context so it does not use up the command timeout. Deleting a session releases its host approvals. The tool description says paths outside the workspace may be tried and that deletes ask.

feat(session): store approval decisions with agent steps and push waiting prompts

Each approval and its outcome is attached to the step that ran the tool, so a reloaded chat still shows what was allowed or refused. After an approval or OAuth prompt the stream writes a 32 KB SSE comment: the Lite webview holds back a short trailing chunk, and the prompt is otherwise the last write until the user answers.

feat(agent): tell the Lite model about approved directories

The host system prompt, the attachment prompt and the read/write/edit tool descriptions now say that directories the user approved for this session are in scope, that shell_exec may try paths outside the workspace, and that deletes ask first. Remote sandbox wording is unchanged.

feat(frontend): host approval cards above the chat composer

Pending approvals stack above the composer as HostApprovalCard (Lite host commands) or ToolApprovalCard (MCP), one per pending_id, and close as soon as the user answers. Resolved approvals stay in the step timeline and are rebuilt from stored agent steps on reload. The card shows the command, the directory to open with a read-only option, the session rules a delete would remember, and the block details.

fix(localsandbox): ask once before deleting outside the workspace

Deleting a file outside the workspace showed two cards: the delete question, then, after the sandbox blocked the run, a second card for the directory and a re-run. The delete card now carries the directory the delete needs (the target’s parent), the command runs once with it, and a session approval remembers both the delete rule and the directory. The delete card no longer offers read-only, which a delete cannot use.

fix(localsandbox): detect quoted git -C deletes with shell word splitting

commandWords split segments on whitespace, so a quoted path after git -C (e.g. git -C “my repo” clean -fd) shifted the subcommand out of position: gitSubcommandArgs skipped only the first word of the path, saw “repo” as the subcommand and left the delete unclassified, skipping the approval card. Reuse shellWords, which honours quotes and escapes, at the three call sites and drop commandWords.

Add a classification and rule regression for quoted/escaped git -C paths, and an approval-path test asserting the delete card still appears.

fix(localsandbox): never grant directories under a home dot entry

Toolchain bins (~~/.local/bin, ~/.cargo/bin), version managers (~~/.nvm) and shell or git config (~/.config/fish, ~/.config/git) run outside the sandbox the next time the user uses them. A write grant on one of them is a persistent escape, and the card cannot tell the user that.

fix(localsandbox): keep session delete rules below cwd

A session rule ignores operands, so approving rm -rf build also covered rm -rf *, rm -rf . and deletes in a directory the session had opened for something else. A delete is now rememberable only when every target stays strictly inside cwd; anything else is asked every time.

A program word that is itself an expansion ( $R M : - r m,$ x, $(printf rm)) is treated as a hidden delete when the command mentions a delete program.

refactor(localsandbox): put session workspaces at sessions/session-

The dated layout made the path depend on when the session started, so every resolve globbed three directory levels. The path now follows from the session ID alone. Resolve also refuses a symlink planted where the workspace should be: MkdirAll accepts it as an existing directory.

fix(agent): keep the output budget on host commands

hostApprovalContext roots the command at ApprovalCtx, which dropped the registry’s output budget. Also drop waiter.prompt, which nothing read.

fix(frontend): give the progress timeline test the approval filter

The chronological stream hides host cards that live above the composer, and the extracted displayEvents slice needs that filter in its test context.

fix(approval): pass the answered prompt into consumeDecision

Upstream now remembers session grants from the prompt itself, so the host approval path has to hand over that prompt instead of the old session fields.

Co-authored-by: hailongzhao hailongzhao@tencent.com Co-authored-by: wizardchen wizardchen@tencent.com

English · 简体中文 · 日本語 · 한국어

项目介绍

WeKnora（维娜拉） 是一款开源的、基于大语言模型（LLM）的知识管理框架，面向企业级文档理解、语义检索与智能推理场景。它把团队分散的文档汇集起来，用于检索、推理，并随资料更新持续维护。

https://github.com/user-attachments/assets/5722b10d-d04d-49ed-a6cc-635a8c77d91f

_{1 分 52 秒 · 1080p · 无旁白，英文画面文字}

查询资料用 RAG，处理多步任务用 Agent，整理知识用 Wiki。三种能力共享同一知识库。

01 RAG：回答有据可查，混合检索、多模态解析、原文引用。02 Agent：用知识和工具完成任务，多步推理、技能与沙箱、本机浏览器、MCP 工具、长期记忆。03 Wiki：把文档整理成 Wiki，自动组织、知识图谱、版本回滚。

Agent 的工具箱。 技能可从 ClawHub / SkillHub / Git / ZIP 安装，在会话级持久的 Docker / E2B / Cube 沙箱中运行，对话旁可打开交互式终端与图形桌面。借助 BrowserSkill 扩展，Agent 可以操作用户自己的 Chrome / Edge；外部 MCP 服务（支持 OAuth）可以接入，并按工具逐个启用。

除此之外：

记忆与知识整理：跨会话长期记忆保存用户确认过的个人信息、偏好与事实；文件夹上传保留原始目录结构；检索分块可以编辑、比对与回滚。
数据源与格式：飞书知识库 / 飞书云盘 / Confluence / GitLab / 腾讯 IMA / Notion / 语雀 / 钉钉文档 / Seafile / RSS 自动同步，更多数据源持续接入中；覆盖 PDF、Word、图片、Excel、XMind 等十余种格式，Office 文档由 anydoc 在 Go 进程内解析。
渠道与集成：企业微信、飞书、Slack、Telegram 等 IM 频道内直接问答；网站嵌入 Widget 把智能体发布到外部站点；内置 MCP Server 供 Cursor、Claude 等 AI 工具连接；权限范围 API Key 与 Principal 模型用于程序化集成。
模型：内置 29 家模型厂商与自动生成的模型目录，兼容 OpenAI、DeepSeek、Qwen（阿里云）、智谱、混元、Gemini、MiniMax、NVIDIA、LiteLLM、Ollama 等。
权限与运维：多空间 RBAC（四级角色、资源归属、空间审计日志）、每空间多实例存储后端、运行时任务队列面板与 Worker 池治理，并通过 Langfuse 追踪 Agent 步骤、Token 用量与任务流水线。
部署：大模型、向量数据库、存储后端均可替换，支持本地与私有云部署，数据留在你自己的环境中。

快速开始

_在线使用
微信对话开放平台
在线管理知识库，将问答服务接入公众号、小程序等微信场景。

进入平台 →

_云端部署
腾讯云轻量应用服务器
通过应用模板部署 WeKnora，在自己的云服务器上运行。

前往腾讯云部署 →

_自行部署
部署到自己的环境
使用 Docker 或 Kubernetes 部署，自行配置模型、存储和网络。

使用 Docker Compose 部署 ↓

使用 Docker Compose 部署

需要 Docker、Docker Compose 与 Git。

git clone https://github.com/Tencent/WeKnora.git
cd WeKnora
cp .env.example .env    # 按需编辑 .env，详见文件内注释
docker compose pull     # 拉取最新镜像
docker compose up -d    # 启动核心服务

启动成功后访问 **http://localhost**，按新手引导完成配置即可使用。带样例数据的完整上手流程见快速上手。

[!TIP] 如需使用本地 Ollama 模型，请先运行 ollama serve > /dev/null 2>&1 &。Ollama 向量模型名、OLLAMA_BASE_URL 与内存说明见配置文档。

服务	地址
Web UI	`http://localhost`
后端 API	`http://localhost:8080`
链路追踪 (Langfuse)	`http://localhost:3000`

可选服务

按需添加 --profile 启动额外组件，多个 profile 可叠加使用：

Profile	说明
(默认)	核心服务
`full`	全部功能
`neo4j`	知识图谱 (Neo4j)
`minio`	对象存储 (MinIO)
`langfuse`	链路追踪 (Langfuse)

docker compose --profile neo4j --profile minio pull
docker compose --profile neo4j --profile minio up -d
docker compose down     # 停止服务

版本升级

若已有部署并下载了更新的 release：

# 在 .env 中将 WEKNORA_VERSION 设为目标版本（如 0.8.3），或保持 latest
docker compose pull     # 拉取与 WEKNORA_VERSION 匹配的镜像
docker compose up -d    # 用新镜像重建容器

[!NOTE] 仅执行 docker compose up -d 会复用本地缓存镜像，可能导致 Web UI 显示版本与下载的 release 不一致。升级前请先阅读升级须知。

其他部署方式

方式	适用场景
Docker Compose	上面的标准部署，功能完整，多服务
Kubernetes (Helm)	生产集群；Chart 位于 `helm/`
Lite 单二进制	本机或低资源环境，零外部依赖（SQLite + 内存队列）；与标准版的差异见 Lite 与标准版区别
桌面应用	带图形界面的 Lite 运行时，免登录启动，macOS 上提供本机沙箱；尚未提供安装包，需自行构建

全部部署形态、硬件要求与常见拓扑见安装部署。

[!WARNING] WeKnora 已提供登录鉴权，但在生产环境部署时，我们强烈建议：

将 WeKnora 服务部署在内网 / 私有网络环境中，而非公网环境；

避免将服务直接暴露在公网上，以防止重要信息泄露风险；

为部署环境配置适当的防火墙规则和访问控制；

定期更新到最新版本以获取安全补丁和改进。

功能展示

快速问答与智能推理

两种提问方式。 快速问答基于知识库做 RAG 检索作答，并标注引用来源；智能推理由智能体规划多步任务，检索、阅读文档、调用工具与技能，每一步都在对话中展示。文档 →

本机浏览器

操作你电脑上的浏览器。 借助腾讯开源的 BrowserSkill 扩展，智能体直接在你的 Chrome 或 Edge 中打开网页、填写表单；遇到登录或验证码时交给你。文档 →

技能与沙箱

运行技能，生成文件。 支持 Docker、E2B、Cube。同一会话的多轮任务共用一个工作区，生成的文件可预览和下载；还可以在对话旁打开图形桌面或交互终端，查看智能体的每一步操作，必要时亲自接手。文档 →

工具箱：MCP 服务与技能

智能体可用的工具。 接入外部 MCP 服务，逐个选择启用哪些工具、哪些调用需要审批；从 ClawHub、SkillHub、Git 或 ZIP 安装技能，在空间内统一管理，供各个沙箱复用。文档 →

自动 Wiki

把文档整理成可浏览的 Wiki。 开启 Wiki 后，从知识库文档中提取人物、产品和概念，生成带来源引用的页面，按目录浏览；在知识图谱中查看页面之间的关系，页面可直接编辑，改动可回溯。文档 →

可观测性

追踪与运行监控。 Langfuse 追踪智能体每一步的推理、工具调用与 Token 用量；文档解析时间线逐阶段展示进度；任务队列面板列出排队与失败的任务。文档 →

架构设计

WeKnora 架构：客户端与渠道接入 WeKnora 主服务，RAG 问答、Agent 推理与自动 Wiki 共享同一条知识处理流水线；主服务调用运行时服务，数据存放在 PostgreSQL、Redis 及可选存储中

从文档解析、向量化、检索到大模型推理，各环节模块化解耦，组件可替换、可扩展。支持本地与私有云部署，Web UI 开箱即用。延伸阅读：架构总览 · RAG 流水线 · 扩展点。

功能概览

领域	要点
问答与 Agent	快速问答基于知识库作答并附来源引用；智能推理由 ReAct Agent 编排知识库、网络搜索、MCP 工具、技能与本机浏览器。进行中的对话可以补充要求、分叉或回滚，并支持跨会话的长期记忆
Wiki	Agent 生成相互链接的 Wiki 页面与知识图谱；支持浏览器内编辑、版本 diff 与回滚
技能与沙箱	技能目录支持从 ClawHub / SkillHub / Git / ZIP 安装；会话级持久的 Docker / E2B / Cube 沙箱，按配置设置网络策略；对话旁提供交互式终端与图形桌面
知识库	FAQ、文档、Wiki 三类知识库；文件夹树；分块编辑与版本历史；按批次设置解析、分块与多模态；自动打标签
检索	关键词 + 向量混合检索、重排序、父子分块与 GraphRAG（Neo4j）；端到端评测召回命中率与 BLEU / ROUGE
权限与安全	空间 RBAC 四级角色与审计日志；权限范围 API Key；OIDC；凭据 AES-256-GCM 加密；防 SSRF 的出站请求与仅白名单出站模式
运维	Langfuse 追踪 Agent 步骤、Token 用量与任务流水线；文档解析时间线；带 Worker 池的任务队列面板；版本升级自动迁移数据库

支持的组件

组件	可选项
模型厂商	内置 29 家，包括 OpenAI / Azure OpenAI / Anthropic / DeepSeek / Qwen（阿里云）/ 智谱 / 混元 / 豆包（火山引擎）/ Gemini / MiniMax / NVIDIA / SiliconFlow / OpenRouter / LiteLLM / Ollama
Embedding	Ollama / BGE / GTE / 智谱 / OpenAI 兼容接口
向量数据库	PostgreSQL (pgvector + ParadeDB) / Elasticsearch / OpenSearch / Milvus / Weaviate / Qdrant / Apache Doris / 腾讯云 VectorDB
对象存储	本地 / 腾讯云 COS / MinIO / AWS S3 / 火山引擎 TOS / 阿里云 OSS / 金山云 KS3 / 华为云 OBS
文档格式	PDF / Word / PPT / Excel / CSV / TXT / Markdown / HTML / EPUB / MHTML / JSON / XMind / 图片
数据源	飞书知识库 / 飞书云盘 / Lark / Confluence / GitLab / 腾讯 IMA / Notion / 语雀 / 钉钉文档 / Seafile / RSS
IM 渠道	企业微信 / 飞书 / Lark / QQBot / Slack / Telegram / 钉钉 / Mattermost / 微信 / 云之家
网络搜索	DuckDuckGo / Bing / Google / Tavily / Baidu / Ollama / SearXNG / Keenable / 智谱 AI / Exa / Metaso / 博查 / Serply
部署	Docker Compose / Kubernetes (Helm) / Lite 单二进制 / 桌面版；支持离线与私有云部署；界面支持中文、英文、日文、韩文、俄文

客户端与生态

	客户端	用途
	命令行 `weknora`	Agent 优先的命令行，覆盖完整 API，附带精选 MCP 工具面与内置 Agent Skills
	内置 MCP Server	通过 Streamable HTTP 把知识库开放给 Cursor、Claude 等 MCP 客户端；`mcp-server/` 下的 Python 服务已弃用
	本地浏览器（BrowserSkill）	让智能体操作用户自己的 Chrome / Edge
	Chrome 插件	在浏览器中选中文本、图片或整个页面，一键保存为知识条目，无需复制粘贴或手动上传文件
	微信小程序	轻量移动端：配置 WeKnora API、选择知识库、导入 URL，并在微信内向知识库提问
	ClawHub Skill	发布在 ClawHub 上的 WeKnora 技能，通过 REST API 导入文档、混合检索与管理知识条目
	DeepSeek Harness 插件	为 `dsh` 编码 Agent 提供四个只读工具：检索、读取文档、提问、列出知识库
	网站嵌入 Widget	将智能体发布到外部站点
	Go SDK	知识库、文档、会话等资源的 CRUD 与 SSE 流式问答
	微信对话开放平台	基于 WeKnora 的托管问答平台，上传知识即可在微信内发布问答服务，无需写代码

命令行工具

weknora 是官方命令行工具，可在终端或 AI Agent 中驱动 API。它以 Agent 为先：每条命令默认输出稳定的 JSON 信封（带类型化错误码并映射到退出码），--format text 则面向人类阅读。它还提供精选的 MCP 工具面（weknora mcp serve），并内置 Agent Skills。

weknora profile add prod --host https://kb.example.com --use
weknora auth login
weknora kb list
weknora link --kb my-knowledge-base    # 绑定当前目录
weknora doc upload notes.md
weknora chat "总结一下设计文档"

在无界面 / CI 场景下，设置 WEKNORA_API_KEY 与 WEKNORA_HOST 即可跳过 auth login，不会有凭据写入磁盘。安装与 5 分钟上手见 cli/README.md，AI Agent 依赖的操作约定见 cli/AGENTS.md。

文档

完整产品文档见 **weknora.weixin.qq.com/docs**，按「入门 → 架构 → 功能 → API → 客户端 → 开发」六个板块组织，覆盖约 360 个 API 端点、约 150 个环境变量与 9 大扩展点。

从这里开始
产品介绍	能力总览
安装部署	Docker Compose、Helm、Lite 与桌面端
配置说明	环境变量与模型配置
常见问题排查	常见问题与解决办法
API 文档	REST API 总览
版本说明	各版本变更详解

开发指南

频繁修改代码时不需要每次重新构建 Docker 镜像，使用快速开发模式即可：

make dev-start      # 启动基础设施
make dev-app        # 启动后端（新终端）
make dev-frontend   # 启动前端（新终端）

前端修改自动热重载（无需重启）
后端修改快速重启（5-10 秒，支持 Air 热重载）
无需重新构建 Docker 镜像
支持 IDE 断点调试

详细说明见开发环境快速入门。

文档站与产品主页的源码位于 website-docs/。使用 Node.js 24 运行 cd website-docs && npm run setup && npm run build && npm run preview 即可同时预览两者；统一的静态产物在 / 提供主页、在 /docs/ 提供文档。Nginx 与 Docker 部署方式见该目录的 README。

贡献指南

欢迎通过 Issue 反馈问题或提交 Pull Request。

流程： Fork → 新建分支 → 提交更改 → 创建 PR
规范： 使用 gofmt 格式化代码，遵循 Conventional Commits 提交（feat: / fix: / docs: / test: / refactor:）

验证方式

对于范围集中的 PR，优先验证本次改动涉及的文件和包：

git fetch origin main
git diff --check origin/main...HEAD
golangci-lint run --new-from-rev=origin/main ./...
go test ./path/to/changed/package -count=1

提交前请对改动过的 Go 文件运行 gofmt。对于前端改动，请在 frontend/ 目录运行相关测试；如果改动涉及 TypeScript 或 Vue 组件，还应运行 npm run type-check。

维护者使用的全仓验证命令仍然是：

make fmt
make lint
make test

make fmt 会格式化整个 Go 仓库，因此请仅在工作区干净时运行，并检查产生的 diff。部分全量测试依赖本地基础设施或服务配置。如果全仓检查因无关的基线问题或环境依赖失败，请在 PR 中写明具体命令和错误，同时提供本次改动范围内通过的定向测试。

贡献者

感谢所有贡献者：

项目介绍

快速开始

使用 Docker Compose 部署

可选服务

版本升级

其他部署方式

最新更新

v0.8.3 _{· 2026-10-14 · 版本说明}

v0.8.2 _{· 2026-09-24 · 版本说明}

v0.8.0 _{· 版本说明}

功能展示

快速问答与智能推理

本机浏览器

技能与沙箱

工具箱：MCP 服务与技能

自动 Wiki

可观测性

架构设计

功能概览

支持的组件

客户端与生态

命令行工具

文档

开发指南

贡献指南

贡献者

许可证

项目介绍

快速开始

使用 Docker Compose 部署

可选服务

版本升级

其他部署方式

最新更新

v0.8.3 · 2026-10-14 · 版本说明

v0.8.2 · 2026-09-24 · 版本说明

v0.8.0 · 版本说明

功能展示

快速问答与智能推理

本机浏览器

技能与沙箱

工具箱：MCP 服务与技能

自动 Wiki

可观测性

架构设计

功能概览

支持的组件

客户端与生态

命令行工具

文档

开发指南

贡献指南

贡献者

许可证

v0.8.3 _{· 2026-10-14 · 版本说明}

v0.8.2 _{· 2026-09-24 · 版本说明}

v0.8.0 _{· 版本说明}