工作区信任

文件夹信任决定是否加载项目自己的配置。此功能默认关闭；要启用，在用户 settings.json 中设置并重启：

{
  "security": {
    "folderTrust": {
      "enabled": true
    }
  }
}

首次选择

启用后进入项目，可选择信任当前目录、信任父目录或不信任。信任父目录会覆盖其全部子目录，范围比单个项目更大。

选择保存到 ~/.qwen/trustedFolders.json。尚未做出选择时视为不信任；文件缺失时，无法由更高优先级信号决定的目录也从不信任开始，不能假定以前的选择仍然存在。

信任判断先查询 IDE 信号，再检查本地信任文件。因此连接 IDE 时，应同时确认编辑器的工作区信任状态。

不信任时的限制

项目 .qwen/settings.json 和项目 .env 不加载；扩展不能安装、更新或卸载；工具自动接受停用，运行工具要确认；不会自动从本地设置指定的目录加载记忆。

这是项目配置的信任边界，与审批模式和进程沙箱分别配置。

修改决定

终端中运行 /permissions 可重新打开当前目录信任对话框；全部规则可在 trustedFolders.json 查看。

Web Shell 的工作区概览只有在 daemon 广告 workspace_trust_grant 能力时才显示 Trust 操作。该能力要求运行时支持信任热重载；选择后需等待运行时重建。

没有热重载的 daemon 即使提供 grant API，写入规则后也可能要重启才能更新启动时的限制。另一终端或手工文件编辑不会立即刷新 daemon 缓存的 v1 信任状态，应重启读取。

信任文件损坏

文件支持 JSONC 注释与尾逗号。读不到、语法错误或内容不是对象时，走到文件检查的流程会报配置错误；CLI 可提示修复后重试，daemon v1 可返回 500 trusted_folders_invalid。

手工修复或移除损坏文件后重启 daemon，以清除失败缓存。移除文件意味着已有规则消失，不能作为保留信任的修复。

v2 策略读取会验证信任级别并可用 HTTP 200 携带 configured.state: "error"；旧 v1 读取器不做同等值校验。缓存后再损坏可能在授权写入时报 500 internal_error，或写后验证时报 409 trust_grant_ineffective。不能只凭 HTTP 200 或写入成功就断言运行时已信任。