用途：DCG 是破坏性命令防护工具，在命令执行前拦截可能造成不可逆损失的操作，并帮助使用者理解拦截原因、选择更安全的替代做法，而非简单绕过。
主要能力：支持 49+ 规则包（数据库、容器、Kubernetes、云等）；提供拦截说明与判定轨迹；可对命令做干跑测试；支持按项目配置与规则包启停；可扫描暂存内容用于提交前检查；对环境变量、内联脚本等做上下文判断；被拦截的临时目录 rm -rf 有特定豁免范围。
使用方式：被拦截后按流程处理：先运行 dcg explain "cmd" 理解原因，再查安全替代方案，若无替代则说明风险交人工决定；人工确认后由本人运行 dcg allow-once CODE。常用命令包括 dcg doctor、dcg explain、dcg test、dcg packs、dcg scan --staged、dcg allow-once CODE。配置通过 .dcg.toml 的 packs 与 overrides 段，或环境变量 DCG_PACKS、DCG_DISABLE、DCG_BYPASS。
适用场景：AI 代理或自动化流程中需要机械性安全拦截的场合，例如 git 破坏性操作、文件系统删除、数据库 DROP/TRUNCATE、Kubernetes 命名空间删除等。
限制与注意：allow-once 为 4 位十六进制码，24 小时有效，绑定精确命令与目录，只能由人工授权执行；禁止请求、生成或运行绕过；不得静默重试或混淆命令；风险分层审批不得合并为一次批量批准；超时采取放行策略；内联片段可能因命令字符串中出现破坏性标记而产生误报，应把载荷移出命令行（如 git commit -F 文件）；$TMPDIR 之外的未解析变量不视为临时目录；DCG_BYPASS 仅为人工逃生通道。资料未说明具体收费与价格。