先运行安全 demo，再保护一个真实工具边界

1. 60 秒 demo

npx @ruleoak/cli@latest demo quickstart

demo 不执行破坏性或外部调用，会展示 ALLOW、NEEDS_APPROVAL、DENY，并在 .ruleoak-demo-output/ 下生成本地证据与离线 HTML 报告。

2. 保护 Node.js 进程的受支持工具流量

npx @ruleoak/cli@latest protect -- node agent.js

protect 不是任意子进程内部行为监控器。要生效，工具动作必须通过 RuleOak 支持的边界，例如 MCP/JSON-RPC stdio 或显式 SDK 包装。

3. Node.js SDK

npx @ruleoak/cli@latest init --dir . --policy-pack cautious
npm install @ruleoak/core

import { createRuleOak } from '@ruleoak/core'

const ruleoak = await createRuleOak({ workspace: '.' })
const guarded = ruleoak.guardFunction({
  name: 'filesystem.read',
  category: 'file',
  operation: 'read',
  resource: ([path]) => path,
  scope: 'local',
  sensitivity: 'public',
  execute: readFile
})

4. 本地检查

ruleoak doctor
ruleoak workspace status
ruleoak policy lint
ruleoak replay --verify
ruleoak approve