Classify PowerShell certutil hashfile as read-only

Author: SqlRush

docs/cc-100-roadmap.md

@@ -209,6 +209,8 @@ M5 补充：Bash read-only classifier 现在覆盖常见 checksum 命令 `md5sum
 
 M5 补充：PowerShell read-only classifier 现在覆盖 `Get-FileHash` 的安全路径读取和常见 native checksum 命令 `md5sum`/`sha*sum`/`b2sum`/`shasum`/`cksum`/`sum`，同时拒绝 `Get-FileHash -InputStream` 表达式和 `-c`/`--check` 校验清单模式。
 
+M5 补充：PowerShell read-only classifier 继续覆盖 Windows `certutil -hashfile <path> [algorithm]` 的安全相对路径 checksum 形态，同时拒绝 `certutil` 其它子命令、pass-through、越界路径、动态算法和额外参数。
+
 M5 补充：Bash 前台输出和 `BashOutput` 现在都走统一 tool-result budget 截断/落盘路径；`BashOutput` 增加 100k 最大结果限制，大后台输出会保存完整内容并返回 `full_output_path` 元数据。
 
 M5 补充：Bash/PowerShell 后台任务现在会发 `*_background_started` 和 `*_background_finished` tool progress 事件，包含后台 ID、shell/status、exit/timed_out/cancelled、duration、时间戳和输出字节数，不携带 command 文本；completed、timed_out、cancelled 终态均已覆盖测试。

docs/claude-code-go-rewrite-plan.md

@@ -216,6 +216,7 @@ test/parity/                 # golden tests against TS/official behavior
 - 本轮补充：Bash read-only classifier 继续覆盖 `comm` 文件比较命令，`comm -12 old.txt new.txt`、`comm --check-order ...` 这类只读比较不再误触发写权限确认，同时仍拒绝越界路径。
 - 本轮补充：Bash read-only classifier 现在覆盖常见 checksum 命令 `md5sum`/`sha*sum`/`b2sum`/`shasum`/`cksum`/`sum` 的普通文件读取形态，同时阻断 `-c`/`--check` 校验清单模式，避免清单内路径绕过路径权限。
 - 本轮补充：PowerShell read-only classifier 现在覆盖 `Get-FileHash` 的安全路径读取和常见 native checksum 命令 `md5sum`/`sha*sum`/`b2sum`/`shasum`/`cksum`/`sum`，同时拒绝 `Get-FileHash -InputStream` 表达式和 `-c`/`--check` 校验清单模式。
+- 本轮补充：PowerShell read-only classifier 继续覆盖 Windows `certutil -hashfile <path> [algorithm]` 的安全相对路径 checksum 形态，同时拒绝 `certutil` 其它子命令、pass-through、越界路径、动态算法和额外参数。
 - 本轮补充：`BashOutput` 现在设置 100k 最大结果大小，和前台 `Bash` 一起覆盖大输出 tool-result preview 截断、完整输出落盘及 `full_output_path` 元数据。
 - 本轮补充：Bash/PowerShell 后台命令现在会通过 tool progress 通道发 started/finished 事件，记录后台 ID、shell/status、exit/timed_out/cancelled、duration、时间戳和 stdout/stderr byte count，且 completed、timed_out、cancelled 终态测试确保 progress 不携带 command 文本。
 - 本轮补充：WebSearch domain filters 现在在 schema 层声明 array `items:string`，通用 tool schema validator 同步支持 `items` 校验；`allowed_domains`/`blocked_domains` 会拒绝空字符串、URL/port、非法 wildcard 和非域名 label。

internal/tools/powershell/tools.go

@@ -1601,6 +1601,8 @@ func readOnlyWords(words []string) bool {
 	switch command {
 	case "git":
 		return bashtools.IsReadOnlyCommand(powerShellGitCommand(words))
+	case "certutil":
+		return readOnlyCertutil(words[1:])
 	case "docker":
 		return readOnlyDocker(words[1:])
 	case "dotnet":
@@ -1798,6 +1800,33 @@ func readOnlyDotnet(words []string) bool {
 	return true
 }
 
+func readOnlyCertutil(words []string) bool {
+	if len(words) < 2 || len(words) > 3 {
+		return false
+	}
+	for _, word := range words {
+		if strings.TrimSpace(word) == "--%" {
+			return false
+		}
+	}
+	if strings.ToLower(strings.Trim(strings.TrimSpace(words[0]), `"'`)) != "-hashfile" {
+		return false
+	}
+	if !safeRelativePowerShellPath(words[1]) {
+		return false
+	}
+	return len(words) == 2 || safeCertutilHashAlgorithm(words[2])
+}
+
+func safeCertutilHashAlgorithm(value string) bool {
+	switch strings.ToLower(strings.Trim(strings.TrimSpace(value), `"'`)) {
+	case "md2", "md4", "md5", "sha1", "sha256", "sha384", "sha512":
+		return true
+	default:
+		return false
+	}
+}
+
 func readOnlyDocker(words []string) bool {
 	if len(words) == 0 {
 		return true

internal/tools/powershell/tools_test.go

@@ -211,6 +211,9 @@ func TestPowerShellCommandClassification(t *testing.T) {
 		"shasum -a 256 README.md",
 		"cksum --algorithm crc README.md",
 		"sum -r README.md",
+		"certutil -hashfile README.md SHA256",
+		"certutil.exe -hashfile README.md",
+		`certutil -hashfile .\README.md SHA1`,
 		"dotnet --info",
 		"dotnet --list-runtimes --list-sdks",
 		"docker ps",
@@ -341,6 +344,12 @@ func TestPowerShellCommandClassification(t *testing.T) {
 		"sha256sum --check checksums.txt",
 		"md5sum --check=checksums.txt",
 		"shasum -c checksums.txt",
+		"certutil -hashfile /etc/passwd SHA256",
+		`certutil -hashfile C:\Users\secret.txt SHA256`,
+		"certutil -hashfile README.md $env:ALG",
+		"certutil -hashfile README.md SHA256 extra",
+		"certutil --% -hashfile README.md SHA256",
+		"certutil -urlcache -split -f https://example.com/file out.bin",
 		"dotnet build",
 		"dotnet --info $env:SECRET",
 		"docker run alpine",