docs: add internal web_fetch configuration guide

Author: TiaraBasori

docs/configuration.md

@@ -32,6 +32,7 @@
 | `DISABLE_TOOLS` | `true` | 禁用 OpenCode 工具调用 |
 | `OPENCODE_EXTERNAL_TOOLS_MODE` | `proxy-bridge` | 外部工具桥接模式；当前仅支持 `proxy-bridge` |
 | `OPENCODE_EXTERNAL_TOOLS_CONFLICT_POLICY` | `namespace` | 外部工具冲突隔离策略；当前仅支持 `namespace` |
+| `OPENCODE_INTERNAL_WEB_FETCH_ENABLED` | `false` | 当请求未传入 `tools` 时，仅放行 OpenCode 内置 `web_fetch` |
 | `USE_ISOLATED_HOME` | `false` | 使用隔离的 OpenCode 配置目录 |
 | `PROMPT_MODE` | `standard` | 提示词处理模式 |
 | `OMIT_SYSTEM_PROMPT` | `false` | 忽略传入的 system prompt |
@@ -60,6 +61,7 @@
     "DISABLE_TOOLS": true,
     "EXTERNAL_TOOLS_MODE": "proxy-bridge",
     "EXTERNAL_TOOLS_CONFLICT_POLICY": "namespace",
+    "INTERNAL_WEB_FETCH_ENABLED": false,
     "USE_ISOLATED_HOME": false,
     "PROMPT_MODE": "standard",
     "OMIT_SYSTEM_PROMPT": false,
@@ -93,12 +95,21 @@ OpenCode2API 现在支持把外部客户端传入的 OpenAI-compatible `tools` 
 - 代理内部会使用类似 `external__web_fetch` 的命名空间名避免冲突。
 - 这些内部命名空间名称不会作为公开 API 的一部分暴露给客户端。
 
+### 内置 `web_fetch` 透传
+
+- 仅当请求 **未传入** `tools` 且 `OPENCODE_INTERNAL_WEB_FETCH_ENABLED=true` 时生效。
+- 该模式不会启用外部工具桥接协议，而是直接放行 OpenCode 原生 `web_fetch`。
+- 代理会读取后端工具列表，并仅允许名为 `web_fetch`（或以 `.web_fetch` / `/web_fetch` 结尾）的内置工具。
+- 一旦客户端传入 `tools`，请求立即切回外部工具桥接模式，所有 OpenCode 内置工具继续保持禁用。
+- 如果后端未提供 `web_fetch`，代理会自动回退到“全部内置工具禁用”的安全模式。
+
 ### 推荐生产配置
 
 ```bash
 DISABLE_TOOLS=true
 OPENCODE_EXTERNAL_TOOLS_MODE=proxy-bridge
 OPENCODE_EXTERNAL_TOOLS_CONFLICT_POLICY=namespace
+OPENCODE_INTERNAL_WEB_FETCH_ENABLED=false
 OPENCODE_PROXY_PROMPT_MODE=plugin-inject
 OPENCODE_PROXY_OMIT_SYSTEM_PROMPT=true
 OPENCODE_PROXY_AUTO_CLEANUP_CONVERSATIONS=true
@@ -123,6 +134,7 @@ OPENCODE_PROXY_AUTO_CLEANUP_CONVERSATIONS=true
 DISABLE_TOOLS=true
 OPENCODE_EXTERNAL_TOOLS_MODE=proxy-bridge
 OPENCODE_EXTERNAL_TOOLS_CONFLICT_POLICY=namespace
+OPENCODE_INTERNAL_WEB_FETCH_ENABLED=false
 OPENCODE_PROXY_PROMPT_MODE=plugin-inject
 OPENCODE_PROXY_OMIT_SYSTEM_PROMPT=true
 OPENCODE_PROXY_AUTO_CLEANUP_CONVERSATIONS=true