@feng0531/dsh-code-review 0.38.0 → 0.40.0

package/CHANGELOG.md

@@ -1,439 +1,71 @@
-# 变更记录
+# 版本变化
 
-## 0.38.0
+本文件介绍对使用者有意义的变化。安装与参数见 [README](README.md)，本次发布正文见 [发布说明](RELEASE-NOTES.md)。历史提交和安装包保留在 [GitHub Releases](https://github.com/f-e-n-g-0531/dsh-code-review/releases)；本文不把开发日志当作功能介绍。
 
-- protobuf/thrift/capnp/GraphQL/Prisma五类专用缺陷指导替换同泛化protocol提示，区分wire/JSON/生成API/迁移兼容方向，保留实际消费者/版本及反证前提；GraphQL不混wire/tag概念。
-- 仅精确扩展名选取（大小写兼容），不匹配备份/伪后缀；原common与notice保持，指导不授读取或证据权限。主审/窗口/交互/复核指导继承与原输入预算验收，378全量测试通过，无新增调用；待固定标签原工件发布。
+## 0.40.0 — 手动上下文的依赖导航
 
-## 0.37.0
+Git 工作区启用 autoContext 后，也沿 contextPaths 指定文件的静态依赖取得必要实现。手动与自动来源共享数量、正文和时间限制；不改变未启用时的行为，不把排除变更或未跟踪依赖重新纳入。历史与 SVN 仍仅直接导航。
 
-- callerScopePaths接入SVN离线限定目录normal引用方扫描；正文及负匹配hash/node/index/probe复核，共享原30秒、128正文/1MiB、复核2MiB、20上下文/4MiB快照，字面导航不证明语义调用覆盖。
-- 祖先与节点真实路径/URL链/wcroot/UUID及属性校验，拒绝switched/external/special/keywords；竞争含本地未跟踪路径但无正文权限。真实SVN预览零发送、过期拒绝、满槽、二进制及超限验收，375项离线通过；固定标签CI37933398779四矩阵通过；唯一npm发布37933848198成功但tarball传播404使核验超时，同原artifact11617224527恢复37935128694成功；99052字节npm/Release逐字节及双hash/清单匹配正式交付，无重新pack或npm publish。
+## 0.39.1 — 文档整理
 
-## 0.36.0
+- 重写安装、使用、参数和报告说明，去掉开发流水账与未解释术语。
+- 分开用户说明、开发发布流程、能力差距和评测观察。
+- GitHub Release 使用专门编写的发布说明，不再只展示自动生成的提交列表。
+- 不改变审查工具参数或运行行为。已正式发布；四组 CI 通过，npm 与 GitHub Release 的实际安装包和保存原包一致，发布正文为新版用户说明。
 
-- callerScopePaths支持Git固定commit/range两侧对象内有界字面引用发现；读取匹配/非匹配blob并绑定OID/hash/version与索引/竞争探针，execute重捕获；不checkout/fetch/读取工作树，SVN仍不支持。
-- 两侧共用30秒、128正文/1MiB、256记录/64KiB及512探针/1MiB；共享20上下文/4MiB快照，oldOnly复用不自动批准new侧；根提交、删除、竞争歧义、共享扫描耗尽及预览执行已验收。导航不证明调用/语义绑定或完整覆盖，真实模型质量未验收。370冻结测试及四矩阵通过；唯一发布37929860863原artifact11615712667的95603字节与npm/Release逐字节、双hash及清单一致。
+## 0.39.0 — Git 工作区依赖上下文
 
-## 0.35.0
+启用 autoContext 后，最多沿三层静态 import/include 依赖取得上下文。循环依赖不会重复读取；所有层共享路径查询、文件和时间上限。排除的变更不会作为上下文重新进入。
 
-- 自动历史旧侧直接依赖导航命中已批准删除时复用原changed-old身份，excluded/blocked不能重新作为context进入，不多占上下文槽；共享原512探针、20候选/上下文、blob/快照字节限额，无checkout/fetch/工作树读取。
-- 普通变更继续走原变化身份，不新增重复正文；显式oldContext去重，满上下文槽不阻塞已批准旧身份复用。导航不证明语义调用/绑定，B2完整能力仍需后续来源场景。363离线验收、固定标签四矩阵及唯一发布37918056608通过；原artifact11610243325的92968字节与npm/Release逐字节、双hash及校验清单一致。
+仅适用于 Git 工作区。Git 历史和 SVN 仍是直接依赖导航；不等于编译器的符号绑定或完整调用图。本会话尚未核验该版本的正式发布完成情况。
 
-## 0.34.1
+## 0.38.0 — 协议文件审查指导
 
-- preview工具显式reviewRounds整数1..3，默认1，预览minimumCalls显示工作量并绑定服务保存值；execute不接受覆盖，调用者改参数或返回preview不改变批准发送量。
-- 非法/null轮次在capture及发送之前拒绝；沿用原owner/route/TTL/快照校验与共享预算，不增加审批。360冻结离线及四矩阵通过，唯一发布37916636188原工件92590字节与npm/Release逐字节及双hash一致。
+分别为 Protobuf、Thrift、Cap’n Proto、GraphQL 和 Prisma 提供兼容性检查提示，区分数据格式、生成代码、客户端和迁移的变化。提示不代替实现证据，也不自动增加读取范围。
 
-## 0.34.0
+## 0.35.0～0.37.0 — 历史与 SVN 上下文
 
-- 服务显式reviewRounds=1..3（默认1避免静默增加发送）支持独立pass，后续轮不带首轮计划，各轮主审/候选反证与综合共享原调用/检索/超时预算，不继承模型对话或已读证据。
-- 各阶段reviewPasses与候选reviewRound保留，跨文件completedRounds完整才标完成；调用耗尽后未发送pass保留pending，取消/超时不伪造完成。预览minimumCalls及Markdown披露工作量。
-- 353冻结离线测试及真实宿主smoke、固定标签四矩阵通过；唯一发布37915572586原工件92276字节与npm/Release逐字节及双hash一致。
+- 0.35.0：历史旧版本依赖已批准删除文件时，复用原来的旧侧内容，不重复占用上下文名额。
+- 0.36.0：在指定目录内寻找 Git 历史版本中的字面引用方，只读取固定版本，不读取当前工作区。
+- 0.37.0：把指定目录内的字面引用方发现扩展到 SVN；不支持的工作副本状态会被拒绝。
 
-## 0.33.7
+## 0.33.0～0.34.1 — 历史上下文与审查可靠性
 
-- C++窗口导航重复逐项confidence/notice移为统一免责声明，保留全部已生成line/expression/side，不裁剪hunk或批准源码。复现12KiB阻塞场景现为7217字节ready，预览/执行一致；导航不证明绑定/可达性或全部调用覆盖。
-- 340冻结离线测试及固定标签四矩阵通过，唯一发布37914089607原工件91349字节与npm/Release逐字节及双hash一致。
+- 手动指定历史旧版本上下文，不把它当作新版本证据。
+- 增加失败原因和实际覆盖状态；零选择、全排除或全阻断不再看起来像审查成功。
+- 兼容单个完整 JSON 代码块，但仍严格检查结构和证据。
+- 减少大窗口输入中的重复说明；超预算时明确阻断，不丢弃源码证据。
+- 小变更可减少规划和分组调用。
+- 支持 1～3 次独立审查，默认一次，各次共享已有上限。
 
-## 0.33.6
+## 0.27.0～0.32.0 — 检索、规划与工作区引用方
 
-- 启用风险规划的服务默认按完整批准正文阈值决定独立规划：单文件增删>=50或多文件总>=100时规划，未知精度不跳过；小变更只免规划调用，保留主审/反证/证据校验。
-- 预览与执行同决策及minimumCalls，窗口使用完整主文件而非局部窗口大小；低层skipSmallRiskPlans显式启用、可保留原无条件规划。336冻结离线及四矩阵通过；唯一发布37912784526原工件91049字节与npm/Release逐字节及双hash一致。
+增加批准文件目录内的查找和限定搜索、业务需求输入、风险规划失败后的回退，以及指定 Git 工作区目录内的引用方发现。所有检索仍受预览范围约束。
 
-## 0.33.5
+## 0.18.0～0.26.0 — 审查调度与诊断
 
-- 少于4个可审查文件免模型分组：精确增删行数<200本地合组，否则逐文件；未知精度不合组。仅调度导航，不证明语义依赖，不免主审或风险/证据校验。
-- 预览同算法计入本地综合输入及调用预算，综合超限仍明确blocked；331冻结离线测试、固定标签四矩阵通过，唯一发布37911400566原工件90189字节与npm/Release逐字节及双hash一致。
+改进风险规划、分组回退、模型失败处理和覆盖状态。完整逐版历史见相应标签；这些机制不代表真实模型效果已经达标。
 
-## 0.33.4
+## 0.17.0 — 沿用宿主权限
 
-- 文件失败保留明确MODEL_INVALID_JSON/MODEL_TIMEOUT错误码；取消为CANCELLED，其余未知错误为REVIEW_EXECUTION_FAILED，不猜测根因、不重试。
-- 报告selection保留total/reviewable/excluded/blocked分母；零选择、全排除或全阻塞返回partial及未执行限制，不冒充完整通过。327冻结离线测试及标签四矩阵通过，唯一发布37910021333原工件89493字节与npm/Release逐字节及双hash一致。
+移除插件额外的独立审批请求，改用 DSH 正常工具权限。仍须确认预览，且不能绕过宿主策略。
 
-## 0.33.3
+## 0.12.0～0.16.0 — 跨文件与跨窗口分析
 
-- 超预算主审切为精确窗口时，上下文正文留在原批准快照按需read；初始输入仅带版本侧catalog，避免上下文重复导致所有窗口持续超限。不扩大读取范围，不裁剪证据；报告明确未声明全部上下文核查。
-- 当前/历史旧侧隔离、无scope仍阻断、预览执行预算一致、超时等适配器清理且窗口pending验收通过；320离线及真实宿主离线smoke、固定标签四矩阵及唯一发布通过；npm/Release原工件88999字节双hash一致。不宣称用户碰撞审查已恢复或超时根因已定位。
+增加跨窗口综合、跨文件综合以及 JS/TS、C#、C++ 的保守关联和位置线索。这些线索不等于完整语义解析。
 
-## 0.33.2
+## 0.8.0～0.11.0 — 关联、归组与多仓库
 
-- 接受唯一完整JSON的单一json/无语言Markdown围栏，不提取任意说明中的JSON、不修正文法/字段、不重试；后续原schema及证据校验不变。
-- 不完整JSON返回MODEL_INVALID_JSON及字节/封装类型诊断，不泄露响应正文。317离线测试及固定四矩阵/唯一发布通过，npm/Release原工件88609字节双hash匹配。实际碰撞审查原始响应未知，不能宣称复现其三处根因；超时与大文件范围缺口仍待定位。
+增加有限的依赖关联、保守重复报告归组、修改前后复核，以及工作区子仓库选择。原始候选和证据仍保留。
 
-## 0.33.1
+## 0.4.0～0.7.0 — 规则、覆盖与候选复核
 
-- 修正named import alias同一调用行再次出现别名（重赋值/逃逸/嵌套调用）仍产生绑定提示的误关联；保留字面导航而不证明真实绑定。
-- 314离线测试、pack/隔离安装、固定标签四矩阵及原工件发布核验通过：npm/Release88082字节双hash一致；B3整体未完成。
+支持显式项目规则、大变更输入预检、未完成项提示和候选证据复核。引用不匹配时保留失败，不放宽证据要求。
 
-## 0.33.0
+## 0.1.1～0.3.1 — 基础审查
 
-- 新增Git历史显式oldContextPaths，baseline对象只读捕获及版本/OID/hash身份；不伪造目标正文，不绕过所选变更边界。
-- reader与导入/C#关系消费者按侧分派；schema/service预览显示旧侧元数据，生成/综合/复核提示纳入共享输入预算。
-- 链接/submodule/凭据、重复及重叠路径、root无baseline、字节/槽/快照预算拒绝；真实Git零发送预览、工作树隔离、证据receipt验收。311离线测试通过；标签CI37904841884及发布37905053267成功，npm/正式Release原字节87754及SHA512/SHA256核验匹配。
+提供 Git/SVN 只读变更采集、行号定位、受限快照检索、初步分组及中文插件标题。早期独立外发审批方式已由 0.17.0 的宿主权限方式取代。
 
-## 0.32.0
+## 证据说明
 
-- 新增显式callerScopePaths工作区Git限定字面引用方捕获；预览显示扫描身份和候选，非匹配正文不发送。
-- 元数据/正文/探针/生命周期硬预算，所有扫描hash及索引与竞争路径重核，调用者与既有上下文共享名额；历史/SVN明确拒绝。
-- 报告导航限制，不冒充完整caller或符号绑定；302离线测试通过。标签CI四矩阵通过；npm处理延迟导致原发布验证404，恢复37898945312使用原工件完成正式Release；npm/Release原字节85750及双hash匹配。
-
-## 0.31.1
-
-- 最终报告保留业务需求hash/bytes与不可信状态，不重印正文，预览发送告知补全。
-- 真实Git当前/历史需求身份及服务预算预览零发送集成回归，290测试通过。
-
-## 0.31.0
-
-- 新增显式业务需求businessRequirement预览参数，16KiB UTF8、正文hash/bytes展示及快照身份绑定。
-- 规划生成窗口综合交互复核保留不可信约束提示，纳入原预算，不扩大权限或证明缺陷；289测试通过。
-
-## 0.30.2
-
-- 对照Agent核心plan失败继续main行为，风险计划异常回退原输入主审查，不传无效假设，保留fallback原因/partial限制。
-- 原调用/时间预算与取消不绕过，不重试计划；主及交互回退287测试通过。
-
-## 0.30.1
-
-- 风险请求来源sourceReadCoverage记录本批生成阶段requested/read/unread；未读来源不能以无发现冒充完整核查。
-- search/find与旧批次不算片段读取，报告partial限制，无新调用/权限，285测试通过。
-- 完成主loop核心退出/定位/预算调度复核；agent/templates剩余核查仍待。
-
-## 0.30.0
-
-- Git自动直接上下文改512字面候选index探针，不枚举全tracked；普通tracked有效性及同probe竞态重核保持。
-- 累计metadata1MiB/每probe64KiB、目录扩张拒绝；11000大树auto及指纹相关性回归，283测试通过。SVN索引未改。
-
-## 0.29.2
-
-- Git工作副本基线捕获不再全HEAD枚举，仅可审查变更基线路径literal非递归lookup，改名使用oldPath，删除/子模块边界不变。
-- 11000无关文件大树4Shader工作变更及稳定hash/status不改回归，282测试通过；自动上下文tracked索引仍另行有界规划。
-
-## 0.29.1
-
-- 参考核心selection核实新增凭据路径不可覆盖门禁：.env家族模板例外、.ssh/私钥/包管理凭据纯路径排除。
-- Git改名旧新路径、SVN、历史blob、local context、规则与catalog统一拒绝，不读秘密正文，282测试通过。
-- 继续核心逐文件差距核查；默认复用当前DSH模型不增加独立配置。
-
-## 0.29.0
-
-- 重建固定源码能力对照任务，区分已读行为/待读核心/功能缺口/安全替代；恢复持续目标96总轮检查点。
-- 新增批准catalog路径find，大小写敏感字面子串、来源身份/版本侧/hash、truncated，复用共享calls/output及检索审计；不全仓查找。
-- 280测试通过，实际模型质量仍后置。
-
-## 0.28.0
-
-- 快照字面搜索可选sourceIds批准catalog身份过滤，精确限定文件与版本避免同名混杂。
-- 整批预校验1至20唯一已批准身份；不新增读取范围或预算，278测试通过。
-
-## 0.27.1
-
-- C#候选同名引用判断改一次标识符计数，避免每调用重扫整文件；同名多次保守跳过。
-- 真实Git基线/目标C#自动上下文及定义提示、脏工作副本不泄漏/哈希稳定/status不改，276测试通过。
-
-## 0.27.0
-
-- C#同目录静态零参调用Type.cs必要上下文有界探针，沿用批准路径/changed排除及历史对象查询。
-- 无using/dynamic/同名其他引用且file-scoped namespace窄语法，捕获不证明绑定；275测试通过。
-
-## 0.26.3
-
-- 历史依赖链接/目录/子模块参与路径歧义，不先过滤后误判唯一普通文件；仍禁止捕获非普通对象正文。
-- 重叠目录与index探针分别字面查询，避免Git合并路径展开；真实对象竞争及大树回归通过。
-
-## 0.26.2
-
-- 跨文件规划/生成输入附批准上下文import/include/caller语法绑定线索，带primaryFileId及历史contextSide/contextVersion。
-- 只已捕获快照导航，无全仓caller扫描，不增加审查覆盖或因果证明；原输入预算测量含线索，272测试通过。
-
-## 0.26.1
-
-- 跨文件生成目录附各文件专用缺陷指引，按已捕获正文选择，复核复用.m内容提示不退回路径默认。
-- 不复制正文或新增读取调用；指引纳入原输入预算，271测试通过。
-
-## 0.26.0
-
-- Shader/HLSL/GLSL/cginc/hlsli/compute直接字面include纳入有界自动上下文，不宏/条件展开，不编译搜索路径。
-- 专用坐标空间、精度/NaN、采样/资源绑定/pass变体缺陷指引；270测试通过，不保证编译或绑定。
-
-## 0.25.3
-
-- 历史C#方法语法提示按侧使用明确捕获的oldText/目标text，标记contextSide/contextVersion；缺oldText不回退新定义。
-- 268测试通过，线索不作为语义绑定或因果证明，不额外读取。
-
-## 0.25.2
-
-- 修预览已知跨文件minimumCalls计入风险规划，动态业务交互maximumAdditionalInitialCalls同样计入规划阶段。
-- 预览/实际链路一致预算断言，避免静态调用下界漏计。
-
-## 0.25.1
-
-- 修复大仓库小提交历史快照Command output limit exceeded：用diff-tree raw NUL元数据取代两端全树ls-tree，不扩大整树上限。
-- 上下文/规则局部字面非递归对象查询，自动依赖512路径限，禁目录/通配符扩张；无工作树读取或fetch。
-- 真实11000文件超1MiB树的4 Shader提交回归、自动上下文规则及安全边界通过；全量266通过。
-
-## 0.25.0
-
-- 跨文件交互批次也制定风险假设，至少两文件精确editRefs，同一主调用signal及全局预算，不冒充证据。
-- 实际生成输入/单文件假设拒绝/调用耗尽回归，业务组集成更新额外规划调用。
-
-## 0.24.1
-
-- 历史上下文关系分别对基线/目标文本推断，标记contextSide/contextVersion；缺少oldText不回退目标正文。
-- 避免旧import绑定新definition；263测试通过，不增读取调用。
-
-## 0.24.0
-
-- 历史旧侧import/include导航未修改上下文，保留oldText/oldRevision/目标revision，context-old检索身份分离并校验来源。
-- 同时保留目标侧正文，原总文件/大小预算与排除边界不变；旧侧独有/删除上下文和调用者搜索尚不支持。
-
-## 0.23.3
-
-- 发布验收实际有界下载npm tarball并逐字节/内容SHA512验证，不再仅相信metadata integrity；tarball404重试耗尽失败。
-- 仅https registry.npmjs.org且拒绝redirect，流输出限原工件长度；260测试通过。0.23.2本地tarball404验收仍未通过不冒充。
-
-## 0.23.2
-
-- .m使用已有快照前8KiB首个非空行提示区分Objective-C/MATLAB，.mm与Swift专用生命周期缺陷指引，不新读取。
-- 主输入按新侧/删除旧侧识别，复核复用主输入指引不增调用；258测试通过，识别非语义证明。
-
-## 0.23.1
-
-- 模板/IaC/协议schema按已捕获路径附缺陷检查：实际上下文转义、权限/破坏性资源变化、wire/client兼容/授权迁移风险。
-- 指引不证明执行/应用/约束，不增加读取/调用，不加风格审核；256测试通过。
-
-## 0.23.0
-
-- 补Java/Go/Python/Rust/Kotlin/PHP缺陷检查及依赖清单/GitHub Actions专用风险指引；仅已捕获路径选择，不新读取/调用，不风格审核。
-- 全量255及新增主输入集成通过；参考更多语言/文件映射仍有差距，不宣称完整覆盖。
-
-## 0.22.3
-
-- 修复浅克隆遍历隐藏父节点使非根提交误用空基线：改读原始commit头，仅真实无父节点使用空侧；缺失父树失败，不自动fetch。
-- 真实depth-1克隆验证非根失败及隐藏merge父节点仍要求区间；全量253通过。
-
-## 0.22.2
-
-- 历史显式规则只从目标提交普通blob捕获，复用现有4文件、md/txt、UTF-8、16KiB单文件/32KiB总量及排除变更校验；不读取工作树。
-- 规则与上下文路径互斥，自动候选不重复规则；真实Git脏规则不泄漏、hash变化、重复/格式拒绝，全量252通过。
-
-## 0.22.1
-
-- 历史显式/自动直接导入上下文仅捕获目标树普通blob，20总量/原文件与快照预算、显式去重、阻塞可见；不读工作树。
-- 未选/阻塞/删除变更不可重新作为上下文，历史规则继续拒绝。真实Git隔离/去重/哈希/限额及全量252、宿主离线通过。
-
-## 0.22.0
-
-- 工具注册Git指定提交/区间，预览及JSON/Markdown报告展示解析端点和精确树语义，原快照哈希/Agent再验证保留。
-- 历史上下文/规则明确拒绝避免混入工作树，SVN明确不支持。真实服务零发送预览/脏树隔离执行、全量251及宿主离线通过。
-
-## 0.21.1
-
-- 新增低层不可变Git commit/range对象快照，不读工作树；根提交空侧，merge要求明确区间，端点树差异、重命名按增删表达。
-- 严格revision参数、安全blob模式、文件/树/输出/总大小界限及取消。全量251通过；注册/上下文历史接入待完成。
-
-## 0.21.0
-
-- 注册入口开启唯一精确锚纠正，跨文件限定原组候选主ID，原候选/状态JSON保留及Markdown提示。
-- 仍校验原qualified编辑/读取/复核；故意错行C++综合全链6调用通过，全量250及宿主离线通过，未宣称整体源码对齐。
-
-## 0.20.2
-
-- 可选主文件唯一全行原文锚纠正，仅同侧且重叠原精确编辑，保留原完整候选/状态，仍经原验证，不加调用权限。
-- 歧义/无引用/不重叠拒绝，有界CPU及取消；注册/跨文件纠正未开启，全量250通过。
-
-## 0.20.1
-
-- SVN自动上下文使用离线正常节点索引，排除外部/切换/复制/冲突/属性变化，双读及规范化完整状态指纹一致性验证。
-- 报告保留自动上下文元数据及阻塞/截断限制；真实SVN及全量246通过，调用者/定义搜索待继续。
-
-## 0.20.0
-
-- 工具显式autoContext选择有界Git上下文，预览显示候选状态与实际路径不含正文，执行原选项复捕获哈希校验；默认关闭，SVN明确拒绝。
-- 全量245及真实宿主离线通过，调用者/定义/SVN等对齐继续，不声称完整上下文支持。
-
-## 0.19.2
-
-- 低层autoContext接Git有界跟踪regular索引及必要上下文安全捕获，双读/索引一致性、hash及总限额复用，阻塞元数据可见。
-- untracked/excluded不再进入；真实Git与全量245通过。入口/SVN/调用者搜索未完成，保持明确限制。
-
-## 0.19.1
-
-- 新增只读纯上下文候选导航：唯一tracked未修改直接相对import/include，排除歧义/条件宏/不支持文本/已选变更，20候选截断可见。
-- 尚未接捕获/入口，不声称上下文检索完成；全量244项通过。
-
-## 0.19.0
-
-- 注册入口启用有界业务分组，预检计一次调用并披露动态综合执行前未知/初始上界，报告展示假设状态。
-- 双文件服务预检5实际6调用链通过；全量241项及宿主离线冒烟通过，真实质量未测，其他源码对齐继续。
-
-## 0.18.4
-
-- 可选业务元数据分组闭集每主恰一次/4文件限，共享首主期限/总调用预算，失败保留原组并记限制。
-- 成功追加业务综合接原证据验证/末主期限；注册及预检启用待后续，未声称全对齐。
-
-## 0.18.3
-
-- 注册入口开启风险规划，预检相同选项计入规划初始调用并提示共享预算；报告展示计划状态/假设数，不算发现或覆盖。
-- 全量237项及真实Cordis/ToolRuntime离线两调用零重复审批只读冒烟通过；业务分组待实现，真实模型未测。
-
-## 0.18.2
-
-- 低层可选风险规划接原主批次执行，共享信号/超时/调用/读取预算；主审增加计划后重新计量输入。
-- 预检相同选项纳入规划初始调用数，计划不算发现，预算耗尽零主审保留失败状态。
-- 当前注册入口未开启、业务分组未完成；全量237项通过。
-
-## 0.18.1
-
-- 增加风险计划纯校验组件：限定批准文件/原编辑/sourceId、20风险/4文件，标记假设非发现，不增加权限。
-- 尚未接执行或业务分组，不声称已完成风险规划；定向2项及全量235项通过。
-
-## 0.18.0
-
-- 原创C++/C#/JS-TS/配置缺陷指引按文件类型进入主输入和候选复核，计入输入预算，不新增读取调用或权限，不把清单当证据。
-- 持续源码对齐计划记录七项及验收，七项不当作完整清单；单批发布不结束总体目标。
-- 全量233项通过，真实模型质量未测。
-
-## 0.17.0
-
-- 按用户选择的DSH工具权限执行，注册入口不再重复approval.request，不再要求allowModelSending开关；仅依赖tools/llm。
-- 保留preview确认、不可变快照、范围只读、证据校验及调用读取生命周期预算；不把never当自动批准，不改宿主策略。
-- 真实ToolRuntime离线入口回归：未确认0调用，正常执行0额外审批、当前Agent路由及源码不变；不是GUI权限策略或真实模型质量证明。
-
-## 0.16.1
-
-- 宿主effectivePolicy为never时明确解释自动拒绝与完整文件权限不等于外发批准；保留宿主请求与唯一allowed-once授权，不修改策略。
-- 补never诊断回归，全量231项；每批改动完成均更新版本并按标签CI/Actions发布核验，不只提交代码。
-
-## 0.16.0
-
-- 批准范围C++头/实现命名与quoted include关系接入现有分组综合，显式context原include位置及方向/当前版本注释。
-- C++零参独立调用原行导航，每侧20条，未解析宏/重载/动态，不冒充完整调用覆盖或因果。
-- 保留宿主审批闭集拒绝诊断，只有literal allowed-once放行；服务级拒绝0发送回归，不变更宿主策略。
-- 线程退出、调试器关闭、分配器生命周期缺陷/safe合成样本及跨文件精确凭据复核；230项全量与宿主只读离线冒烟通过，真实效果未测。
-
-## 0.15.0
-
-- C#显式批准上下文补窄范围静态类型/零参方法位置线索，原行号进入主输入及输入预算，无新增读取/权限。
-- 不支持目标仍保留为歧义竞争者，拒绝重载、同名遮蔽及畸形/类型外/嵌套声明；current context不冒充old历史。
-- 219项全量与宿主只读审批离线冒烟通过；仅语法提示，不是通用语义绑定或C++适配，不宣称真实模型质量。
-
-## 0.14.0
-
-- 同一批准仓库关联组追加有界跨文件综合，2–4文件，目录精确编辑与本阶段原文read覆盖，不静默截断规则/context。
-- 文件限定编辑引用、主归因一致与原锚校验，保留原候选，不参与模糊去重。
-- 综合共享批准reader、全局调用及组末主文件生命周期；预检一致，超时取消/预算不足和跨组未覆盖明确限制。
-- 215项回归及宿主只读审批离线冒烟通过；增加缺陷/safe样本判读协议，不宣称真实模型质量。
-
-## 0.13.0
-
-- 增加批准范围命名相对import别名→简单调用→同侧直接export function的保守位置线索，组输入及显式context保留原始行号。
-- 调用名其他出现、目标同名变更、重复导出/重导出及不支持语法不生成绑定线索，不冒充通用语义图或因果证明。
-- 不增加读取权限、组成员、模型调用或审查覆盖；实际主输入传输、歧义拒绝、全量及宿主只读审批离线验收通过。
-- 本轮质量增强到此冻结，最终版本发布工件核验后停止自主轮次，不自动升级或重启宿主。
-
-## 0.12.0
-
-- 多批主文件增加有界跨窗口综合，使用完整原始窗口定位目录及批准快照读取，不把目录当作源码证据。
-- 综合发现必须引用至少两个不同窗口编辑，且每个引用编辑的非空旧/新侧至少一侧在本阶段read完整覆盖；保持原始定位和精确证据复核。
-- 综合与局部/复核共享每文件超时、全局调用及读取额度；预检包含综合初始请求，局部覆盖和综合状态分别记录，超限/耗尽/取消不冒完成。
-- 离线集成覆盖综合检索、旧新证据凭据复核、取消和预算边界；不扩权限、不证明模型结论质量，不自动升级宿主。
-
-## 0.11.1
-
-- 0.11.0候选标签Windows CI发现临时目录8.3短路径与canonical长路径的测试比较差异，未触发正式发布。夹具根统一realpath，保留生产路径安全校验不放宽；原标签不移动，使用新候选。
-
-## 0.11.0
-
-- 工作区根不必是仓库：preview增加repositoryPath选择工作区相对Git/SVN子仓库，兄弟仓库独立预览/审批执行，保持会话cwd；执行绑定且重新验证选定目标。拒绝上级/绝对/链接目录与不明确根，不支持一次混审多个仓库。
-- 复核增加修改前后regression分类及批准主文件旧新侧精确证据索引；原有响应保留但明确unassessed。候选、证据全保留，不把模型分类当因果证明。
-- 报告展示对照分类/理由/覆盖；严格去重隔离对照冲突，不折叠uncertain/unassessed。没有新增模型调用或越过审批。
-- 真实临时Git/SVN子仓库只读状态、预览后链接替换阻断和宿主离线审批验证通过；不升级或重启宿主，不宣称真实模型质量结论。
-
-## 0.10.0
-
-- 增加findingGroups保守重复报告分组，严格要求复核支持及完整精确证据、触发/影响/解释和展示字段一致；不按模糊标题或部分证据重叠合并。
-- JSON保留全部候选和证据；Markdown仅精简重复说明，保留每处定位、原文和编辑引用。渲染重新核对以免过期分组误折叠。
-- 不新增模型调用，不晋升因果证明，不删除反驳/不确定/未完成候选；四项代码审查增强到此冻结，最终发布核验后停止自主开发。
-
-## 0.9.0
-
-- 完整输入超限时，在已批准检索范围内回退精确hunk窗口；保留原始旧新行号、CRLF及EOF，完整快照用于定位和证据校验。
-- 全部窗口仍超单请求时最多20批顺序审查，共用每文件超时、全局调用和检索限额；单hunk不内部截断，任一窗口不可容纳则不启动分批。
-- 预检minimumCalls包含批次；成功与待审窗口显式记录，预算耗尽/取消/超时不冒算覆盖。发现须引用本批编辑并在本窗口定位。
-- 全量与宿主离线验证不证明真实模型质量；捕获硬限和审批边界不变，无自动恢复或新管理流程。
-
-## 0.8.0
-
-- 批准快照内JS/TS单行相对静态import/export加入有界分组，并记录旧新侧和原始行号；显式context增加方向解释，不新增读取或审查覆盖。
-- 简单default/named alias导入支持有界独立调用语法位置；每源码侧一次索引，不是绑定/作用域/可达性证明。
-- 歧义、阻断/排除目标、旧路径重命名竞争、畸形引号、块注释/模板/续行字符串保守跳过；不支持完整语言依赖图。
-- 延续四文件组及输入预算回退，不改变审批、当前Agent模型或只读边界。
-
-## 0.7.0
-
-- 复核支持本次批准read结果生成的receiptId，减少模型重新抄写完整证据；兼容原六字段证据。
-- 编号仅在单次复核有效，拒绝伪造、跨次及混合覆盖；报告仍保存完整证据，最终使用批准reader精确复验并消耗共享预算。
-- 编号附加字节计入读取输出硬限；超限和无效引用仍保留候选及partial/followup。
-- 不扩大审批范围，不自动重试；离线回归不证明真实模型质量提升或历史复核失败已解决。
-
-## 0.6.2
-
-- 按用户指定以新版本继续正式发布，运行代码沿用0.6.1冻结的安全证据诊断补丁，无新增功能。
-- 0.6.1上传获npm接受但注册表可见性校验超时，未创建GitHub Release；保留原标签与失败记录，不覆盖旧版。
-
-## 0.6.1
-
-- 证据引用不匹配时报告固定字段名，不泄露原文或模型提供的值；精确匹配、审批及检索边界不变。
-- 增加安全诊断回归；仓库保存六次真实模型试跑（累计12次调用），历史引入候选复核失败如实保留为partial，不声称整体质量达标。评测资产不进入npm包。
-
-## 0.6.0
-
-- 本地预览提供全文件初始输入计划，包含实际UTF-8字节及关联回退；与执行共享输入构造。
-- 报告提供未完成文件与复核缺口的后续选择建议，要求新预览、新审批，不自动续审。
-- ready不代表已审查，minimumCalls不含检索/复核；200文件可能耗尽100次调用而仍有未完成项。
-- 不提升捕获硬限、不拆分超大文件，不承诺真实模型发现率提升。
-
-## 0.5.0
-
-- 显式rulePaths项目规则：UTF-8 Markdown/文本，最多4文件，单文件16KiB、总32KiB，不扫描或执行规则。
-- 规则纳入快照身份、预览及宿主审批，两阶段共享不可变规则数据和既有预算；报告列出路径与哈希。
-- 规则变更使预览失效，拒绝审批零外发；拒绝链接、非普通文件、二进制及排除/删除路径。
-- 不提供可执行配置、远程规则或规则继承。真实模型遵循效果未评测，未自动更新GUI。
-
-## 0.4.0
-
-- 审批后的候选增加证据与反证复核，验证来源、哈希、完整行范围及精确原文；模型支持不等于事实证明。
-- 两阶段共享调用/检索预算与单文件超时；失败、不确定及原始限制明确保留，反驳不删除候选。
-- 报告展示复核状态及转义后的理由与证据。修复通用检索指令与复核输出格式冲突。
-- 真实模型质量评测尚未完成；不宣称误报或漏报已改善，未自动安装当前GUI。
-
-## 0.3.1
-
-- 插件管理显示标题改为“代码审查”（英文Code Review），保留仓库、npm包和内部ID。通过宿主locale元数据提供，宿主详情仍可能展示技术标识。
-- 安装工件验证本地化导出，真实宿主解析器验证中英文标题。
-- 不更改审核行为；未自动安装或重启用户当前GUI。
-
-## 0.3.0
-
-- JS/TS实现—测试唯一命名关联及确定性有界分组，仅限批准快照中的可审查文件。
-- 同组两侧作为主文件上下文，每个主文件独立审查；输入预算不足明确回退并报告partial。
-- Markdown展示关联理由、拆组提示与输入覆盖；实际检索封装计入输入预检预算。
-- 发布前留存原工件30天，registry可见性延迟进行有限重试，完整性不符立即失败。
-
-限制：仅保守命名提示，不是通用依赖图；尚无独立反证复核或真实模型质量提升结论，未在当前GUI安装验收。
-
-## 0.2.0
-
-- 有界行 diff、上下文 hunk 和紧凑编辑引用，保留 EOF/换行差异，超限明确报告。
-- 发现支持变更归因引用校验及中文展示；引用有效不等于因果已被独立验证。缺失归因保留发现并报告 partial。
-- 审批后允许模型在同一批准快照内进行只读行段读取和字面搜索，不开放 shell、不访问范围外文件。
-- 检索轮次、调用次数、字节数与整个文件审查超时均受限；截断和失败显式报告。
-- 检索审计记录来源哈希及位置，包括批次中途失败前已完成的读取；本地检索不等于模型已接收。
-- 保持默认禁止模型外发和逐次宿主审批。
-
-限制：尚未完成真实模型质量评测、当前 GUI 安装验收、关联文件联合分组或独立反证复核。模型结果需要人工判断。本版本未新增自动修复能力。
-
-## 0.1.1
-
-首次完成 npm 与 GitHub Release 同工件正式发布；独立非商业源码公开许可证、Git/SVN只读采集及定位验证。
+历史上 npm 已接受发布但实际安装包暂时返回 404 时，部分版本通过原安装包恢复 GitHub Release。恢复不意味着重新打包或重复发布。工程回归测试与少量模型试跑均不能推算整体检出率、漏报率或误报率。

package/CORE-ALIGNMENT-TASKS.md

@@ -0,0 +1,47 @@
+# 核心能力对照与剩余工作
+
+本文供维护者和关注开发进度的用户阅读，不是安装说明。日常使用见 [README](README.md)。
+
+对照对象是 alibaba/open-code-review 的固定提交 2d67596c961f80436deb2afa643efa2b1725d34c。只对齐代码审查所需能力，不建设管理平台、自动修复或独立模型计费系统。
+
+**结论：主要审查流程已经具备，必要上下文和整体效果验收仍未完成。不能用版本数量或测试数量表示对齐百分比。**
+
+## 已具备的能力
+
+| 能力 | 已完成内容 | 不能据此推断 |
+|---|---|---|
+| 变更采集 | Git/SVN 本地变更、Git 固定历史版本、位置与原文校验 | 支持所有 SVN 状态或历史模式 |
+| 范围保护 | 预览确认、版本与内容指纹、执行前复核、凭据路径排除 | 普通源码中一定没有秘密 |
+| 审查流程 | 风险规划、分组与回退、窗口分析、跨文件综合、候选反证 | 模型一定找到所有问题 |
+| 检索 | 只在批准文件中查找、搜索和读行段，记录来源与证据 | 找到名称就证明符号绑定 |
+| 引用方发现 | Git 工作区、历史与 SVN 的指定目录字面引用导航 | 完整函数调用图或动态分派 |
+| 历史上下文 | 显式旧版本文件；复用已批准删除依赖的旧正文 | 自动批准对应的新正文 |
+| 审查次数 | 默认一次，可选 1～3 次，各阶段共享预算 | 次数增加就保证效果提高 |
+| 文件指导 | 常用语言大类与五类协议指导 | 全部语言专用检查已验收 |
+
+## 剩余工作与优先级
+
+| 优先级 | 未完成项 | 验收重点 |
+|---|---|---|
+| 1 | 必要语义调用者、定义、别名及实例上下文 | 歧义不能猜测；不扩大到全仓无界扫描 |
+| 2 | Git 历史两侧及 SVN 的依赖链 | 旧新版本分别捕获；共享读取上限；排除文件不能重新进入 |
+| 3 | 其他旧侧独有来源 | 来源、版本、权限与删除场景保持一致 |
+| 4 | 剩余语言与路径专用指导 | 只提示具体缺陷和反证；不照搬风格禁令 |
+| 5 | 剩余预算组合与端到端矩阵 | 分组、窗口、检索、多次审查的终态与覆盖一致 |
+| 后置 | 真实模型质量评测 | 保存真实输出，人工裁决，分开统计失败和未完成 |
+
+Git 工作区三层字面依赖链已实现并通过测试。这解决了“导入转发文件后，未取得后续实现正文”的部分问题，但仍不是完整定义绑定。本批还补齐了手动上下文作为链入口，真实 Git、服务与独立安装四项测试通过，388 项全量回归和实际宿主检查通过，待正式发布。历史与 SVN 不具备同样的链式能力。
+
+## 当前验证结论
+
+- 最近完整回归：388 项通过。
+- 实际 DSH 工具运行时检查通过；模型响应受控，不是质量成绩。
+- v0.39.0 独立安装包的真实 Git、服务与预算测试：5 项通过。
+- v0.39.1 已正式交付，包含 Git 工作区三层依赖能力。四组 CI 通过；npm、Release 与保存原包的 91,502 字节完全一致，SHA-256、SHA-512 和校验清单通过。v0.39.0 不单独计作已核验交付。
+- 文档重构与正式发布已完成。新增文档一致性检查通过；本表中的核心差距仍未完成。
+
+## 不在范围内
+
+自动改代码、管理平台、独立模型配置与费用系统、无限扫描仓库、运行项目代码。保守拒绝不支持的内容是安全边界，不应为了模拟参考实现而取消。
+
+参考来源及语言差距见 [源码对照](CORE-SOURCE-INVENTORY.md)。小规模模型观察见 [评测结果](https://github.com/f-e-n-g-0531/dsh-code-review/blob/main/evaluation/PILOT-RESULTS.md)。