@feng0531/dsh-code-review 0.43.1 → 0.45.0

package/CHANGELOG.md

@@ -2,9 +2,17 @@
 
 本文件介绍对使用者有意义的变化。安装与参数见 [README](README.md)，本次发布正文见 [发布说明](RELEASE-NOTES.md)。历史提交和安装包保留在 [GitHub Releases](https://github.com/f-e-n-g-0531/dsh-code-review/releases)；本文不把开发日志当作功能介绍。
 
+## 0.45.0 — 必要调用者绑定
+
+已捕获的调用方文件会附带导入行、本地别名、调用行与变更文件中唯一声明行的语法绑定，仅在两侧正文都已批准时生成，不新增读取。未批准调用方、歧义声明与历史审查不产生绑定；不证明可达、分派或完整调用覆盖。
+
+## 0.44.0 — 默认导入的定义位置
+
+默认导入可指向已批准正文中唯一的 default 导出，匿名导出只标行号；混合默认与命名导入同时给出两类位置。多个 default、重导出、注释、模板与续行字符串不猜测，命名空间导入与 import type 保持原样。不新增读取权限，也不表示完整语义绑定。已正式发布；407 项回归、实际宿主、独立安装及四组 CI 通过，公开安装包与原包一致。
+
 ## 0.43.1 — 已批准正文中的唯一定义位置
 
-命名导入可标出已批准目标正文里唯一的 function、const、let 或 class 位置。没有调用也会进入审查输入；重复、注释、重导出和跨侧正文不猜测。默认导出与命名导入不混用，同一行竞争及续行字符串拒绝提示。不新增读取权限，也不表示完整语义绑定。v0.43.0 候选在发布前复核被替代，未作为正式交付。
+命名导入可标出已批准目标正文里唯一的 function、const、let 或 class 位置。没有调用也会进入审查输入；重复、注释、重导出和跨侧正文不猜测。默认导出与命名导入不混用，同一行竞争及续行字符串拒绝提示。不新增读取权限，也不表示完整语义绑定。已正式发布；406 项回归、实际宿主、独立安装及四组 CI 通过，公开安装包与原包一致。v0.43.0 候选在发布前复核被替代，未作为正式交付。
 
 ## 0.42.0 — SVN 安全依赖链
 

package/CORE-ALIGNMENT-TASKS.md

@@ -23,22 +23,24 @@
 
 | 优先级 | 未完成项 | 验收重点 |
 |---|---|---|
-| 1 | 必要语义调用者、别名及实例上下文 | 唯一定义位置已接入已批准正文；完整调用者与实例仍待验收 |
+| 1 | 实例方法与成员级上下文 | 命名、默认导入与调用方绑定已交付；实例与成员级仍待验收 |
 | 2 | 剩余历史来源与旧侧组合 | Git 历史与 SVN 三层链已交付；其他旧侧来源仍待验收 |
 | 3 | 其他旧侧独有来源 | 来源、版本、权限与删除场景保持一致 |
 | 4 | 剩余语言与路径专用指导 | 只提示具体缺陷和反证；不照搬风格禁令 |
 | 5 | 剩余预算组合与端到端矩阵 | 分组、窗口、检索、多次审查的终态与覆盖一致 |
 | 后置 | 真实模型质量评测 | 保存真实输出，人工裁决，分开统计失败和未完成 |
 
-Git 工作区三层字面依赖链已实现并通过测试。这解决了“导入转发文件后，未取得后续实现正文”的部分问题，但仍不是完整定义绑定。本批还补齐了手动上下文作为链入口，真实 Git、服务与独立安装四项测试通过，388 项全量回归和实际宿主检查通过，已随 v0.40.0 正式交付。Git 历史三层链本批已实现，5 项独立安装验收及 393 项回归、实际宿主检查通过，已随 v0.41.0 正式交付；SVN 安全三层链本批已实现，6 项独立安装验收及节点属性变化专项通过，400 项完整回归与实际宿主检查通过，已随 v0.42.0 正式交付。唯一定义位置本批已接入审查输入，原候选 8 项独立安装验收及 403 项回归通过；发布前复核发现默认导出误匹配，已修正并增加反例，v0.43.1 待完整复验和正式发布。
+Git 工作区三层字面依赖链已实现并通过测试。这解决了“导入转发文件后，未取得后续实现正文”的部分问题，但仍不是完整定义绑定。本批还补齐了手动上下文作为链入口，真实 Git、服务与独立安装四项测试通过，388 项全量回归和实际宿主检查通过，已随 v0.40.0 正式交付。Git 历史三层链本批已实现，5 项独立安装验收及 393 项回归、实际宿主检查通过，已随 v0.41.0 正式交付；SVN 安全三层链本批已实现，6 项独立安装验收及节点属性变化专项通过，400 项完整回归与实际宿主检查通过，已随 v0.42.0 正式交付。唯一定义位置与默认导入绑定本批已接入审查输入，原候选 8 项独立安装验收及 403 项回归通过；发布前复核发现默认导出误匹配，已修正并增加反例，v0.43.1 已正式发布；默认导入的定义位置已随 v0.44.0 正式交付；调用方绑定本批已实现，待完整复验与发布。
 
 ## 当前验证结论
 
-- 最近完整回归：403 项通过。
+- 最近完整回归：407 项通过。
 - 实际 DSH 工具运行时检查通过；模型响应受控，不是质量成绩。
 - v0.39.0 独立安装包的真实 Git、服务与预算测试：5 项通过。
 - v0.39.1 已正式交付，包含 Git 工作区三层依赖能力。四组 CI 通过；npm、Release 与保存原包的 91,502 字节完全一致，SHA-256、SHA-512 和校验清单通过。v0.39.0 不单独计作已核验交付。
 - v0.40.0 已正式交付手动上下文依赖导航。四组 CI 与唯一发布通过，npm、Release 与保存原包的 91,901 字节完全一致，双哈希及校验清单通过。准确语义绑定和剩余旧侧来源等差距仍保留。
+- v0.44.0 已正式交付默认导入的定义位置。407 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 95,672 字节一致，双哈希及校验清单通过。
+- v0.43.1 已正式交付已批准正文中的唯一定义位置。406 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 95,203 字节一致，双哈希及校验清单通过。v0.43.0 候选在发布前复核被替代，不计作交付。
 - v0.42.0 已正式交付 SVN 安全三层链。400 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 94,404 字节一致，双哈希及校验清单通过。
 - v0.41.0 已正式交付 Git 历史两侧三层链。393 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 93,202 字节一致，双哈希及校验清单通过。
 

package/README.md

@@ -59,7 +59,7 @@ DSH 的只读代码审查插件。它比较 Git 或 SVN 中的代码变更，使
 | repositoryPath | 指定工作区内的子仓库 | "project-a" |
 | contextPaths | 手动加入理解代码所需的文件 | ["src/types.ts"] |
 | autoContext | 从变更及手动上下文寻找依赖；Git 和 SVN 最多沿三层依赖链读取 | true |
-| callerScopePaths | 在指定目录中寻找引用变更文件的代码 | ["src/clients"] |
+| callerScopePaths | 在指定目录中寻找引用变更文件的代码；已捕获调用方会标出调用行与唯一声明行 | ["src/clients"] |
 | oldContextPaths | Git 历史审查中，只加入旧版本的上下文 | ["src/removed-helper.ts"] |
 | rulePaths | 加入项目审查规则，最多四个 UTF-8 Markdown 或文本文件 | ["review-rules.md"] |
 | businessRequirement | 提供业务要求；不是缺陷证据，也不会增加读取权限 | "请求失败时必须释放连接" |
@@ -67,7 +67,7 @@ DSH 的只读代码审查插件。它比较 Git 或 SVN 中的代码变更，使
 
 commit 与 baseRevision/targetRevision 不能同时使用。oldContextPaths 只能用于 Git 历史审查。
 
-自动上下文和引用方发现是保守的文本导航，不是编译器分析。动态导入、宏、重载、继承和实例方法可能无法解析；找到引用不等于证明函数实际被调用。Git 历史可沿修改前后两侧分别捕获最多三层依赖；SVN 可沿安全的当前工作副本节点取得最多三层依赖，不读取 SVN 历史。已批准正文中的唯一命名声明会标出位置；同名或跨侧内容不猜测。
+自动上下文和引用方发现是保守的文本导航，不是编译器分析。动态导入、宏、重载、继承和实例方法可能无法解析；找到引用不等于证明函数实际被调用。Git 历史可沿修改前后两侧分别捕获最多三层依赖；SVN 可沿安全的当前工作副本节点取得最多三层依赖，不读取 SVN 历史。已批准正文中的唯一命名声明和唯一 default 导出会标出位置；同名、重导出或跨侧内容不猜测。
 
 ## 如何读报告
 

package/RELEASE-NOTES.md

@@ -1,19 +1,19 @@
-# v0.43.1 发布说明
+# v0.45.0 发布说明
 
-## 新增：已批准正文中的唯一定义位置
+## 新增：必要调用者绑定
 
-命名导入现在可以标出目标文件里唯一的直接声明位置，包括 function、const、let 和 class。没有实际调用时也会保留该位置，供审查输入使用。
+启用 callerScopePaths 后，已捕获的调用方文件会附带语法绑定：导入行、本地别名、调用行，以及变更文件中唯一声明的所在行。这回答“谁调用了你改的函数”，而不只是“谁提到了这个文件”。
 
-只检查已经批准的变更或上下文正文，不新增文件读取，也不扫描整个仓库。
+绑定只在调用方正文与变更文件正文都已批准时生成，不新增文件读取。
 
 ## 限制
 
-- 默认导出不能匹配命名导入；同一行重复名称、别名冲突、注释、模板、续行字符串、重导出或未导入名称不生成定义位置。
-- 旧侧只使用旧正文，不会借用目标侧声明。
-- 这些位置仍是语法线索，不证明语义绑定、调用可达或因果。
+- 调用方正文未获批（例如超出上下文名额）或变更声明有歧义时不给出绑定。
+- 历史审查不产生这类调用方绑定，避免把当前侧调用行当作旧版本证据。
+- 绑定不证明执行可达、动态分派、重载选择或完整调用覆盖，也不代表全部调用方。
 
 ## 验证
 
-测试覆盖无调用的唯一定义、旧侧隔离、重复声明和审查输入过滤。全量回归、实际宿主、独立安装和四组 CI 是正式发布条件，不是模型效果成绩。
+测试覆盖真实 Git 调用方绑定、未批准调用方拒绝、歧义拒绝、审查输入投递与历史排除。全量回归、实际宿主、独立安装和四组 CI 是正式发布条件，不是模型效果成绩。
 
 使用方法见 [README](README.md)，维护步骤见 [开发指南](DEVELOPMENT.md)。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@feng0531/dsh-code-review",
-  "version": "0.43.1",
+  "version": "0.45.0",
   "private": false,
   "license": "SEE LICENSE IN LICENSE",
   "publishConfig": { "access": "public", "registry": "https://registry.npmjs.org/" },

package/src/caller-candidates.mjs

@@ -1,6 +1,25 @@
 import { contextCandidates } from './context-candidates.mjs';
+import { directImportBindings } from './import-bindings.mjs';
+import { importedCallSites, indexStandaloneCalls } from './import-call-sites.mjs';
 import { relativePath } from './content.mjs';
 import { isSecretPath } from './secret-path.mjs';
+import path from 'node:path';
+const importExtensions=['.mjs','.cjs','.js','.jsx','.ts','.tsx'];
+// Approved caller body plus approved target text only; no additional reads.
+function callerBindings(fromPath, targetPath, scannedText, targetText) {
+ if (typeof scannedText !== 'string' || typeof targetText !== 'string') return [];
+ const lines = scannedText.split(String.fromCharCode(10)), callIndex = indexStandaloneCalls(lines), result = [];
+ for (let i = 0; i < lines.length; i++) {
+  const match = /^\s*(?:import\s+(?:(?:[^'";]+)\s+from\s+)?|export\s+(?:[^'";]+)\s+from\s+)(['"])([^'"\\]+)\1\s*;?\s*(?:\/\/.*)?$/.exec(lines[i]);
+  if (!match || !(match[2].startsWith('./') || match[2].startsWith('../'))) continue;
+  const target = path.posix.normalize(path.posix.join(path.posix.dirname(fromPath), match[2]));
+  try { relativePath(target); } catch { continue; }
+  const candidates = path.posix.extname(target) ? [target] : [target, ...importExtensions.map(ext => target + ext), ...importExtensions.map(ext => target + '/index' + ext)];
+  if (!candidates.includes(targetPath)) continue;
+  result.push(...directImportBindings(lines, i + 1, importedCallSites(lines, i + 1, callIndex), targetText));
+ }
+ return result.slice(0, 20);
+}
 
 // Pure reverse navigation; resolutionPaths must contain every competitor.
 export function callerCandidates(files, scanned, resolutionPaths) {
@@ -25,7 +44,7 @@ export function callerCandidates(files, scanned, resolutionPaths) {
       if (probes.size > 512) throw new Error('Caller resolution probe limit exceeded');
     }});
     if (plan.truncated) throw new Error('Caller navigation result limit exceeded');
-    for (const target of plan.candidates) if (targets.has(target.path)) candidates.push({fromPath:source.path,targetPath:target.path,reason:target.reasons[0],confidence:'navigation-only'});
+    for (const target of plan.candidates) if (targets.has(target.path)) { const bindings=callerBindings(source.path,target.path,source.text,files.find(f=>f.path===target.path)?.right?.text); candidates.push({fromPath:source.path,targetPath:target.path,reason:target.reasons[0],confidence:'navigation-only',...(bindings.length?{bindings}:{})}); }
   }
   const compare=(a,b)=>a<b?-1:a>b?1:0;
   return {candidates:candidates.sort((a,b)=>compare(a.fromPath,b.fromPath)||compare(a.targetPath,b.targetPath)),probePaths:[...probes].sort(),notice:'Literal module/include references only; not function calls, reachability, semantic binding or complete caller coverage.'};

package/src/import-bindings.mjs

@@ -53,7 +53,7 @@ export function uniqueApprovedDeclarations(lines, imported) {
 // Named imports only. Missing, duplicate, comment, or reexport names stay unresolved.
 export function namedImportDefinitions(importLine, targetText) {
  if (typeof targetText !== 'string' || Buffer.byteLength(targetText) > 256 * 1024 || /[\x60]|\/\*/.test(targetText)) return [];
- const match = /^\s*import\s+\{([^}]+)\}\s+from\s+(['"])[^'"]+\2\s*;?\s*(?:\/\/.*)?$/.exec(importLine);
+ const match = /^\s*import\s+(?:[A-Za-z_$][A-Za-z0-9_$]*\s*,\s*)?\{([^}]+)\}\s+from\s+(['"])[^'"]+\2\s*;?\s*(?:\/\/.*)?$/.exec(importLine);
  if (!match) return [];
  const names = match[1].split(',').map(part => /^\s*([A-Za-z_$][A-Za-z0-9_$]*)(?:\s+as\s+([A-Za-z_$][A-Za-z0-9_$]*))?\s*$/.exec(part));
  if (!names.length || names.some(item => !item) || new Set(names.map(item => item[1])).size !== names.length || new Set(names.map(item => item[2] ?? item[1])).size !== names.length) return [];
@@ -64,3 +64,18 @@ export function namedImportDefinitions(importLine, targetText) {
  }
  return result.slice(0, 20);
 }
+
+// Unique default export inside already approved text; anonymous defaults keep their line only.
+export function defaultImportDefinition(importLine, targetText) {
+ if (typeof targetText !== 'string' || Buffer.byteLength(targetText) > 256 * 1024 || /[\x60]|\/\*/.test(targetText)) return [];
+ if (targetText.includes(String.fromCharCode(92,10)) || targetText.includes(String.fromCharCode(92,13,10))) return [];
+ const match = /^\s*import\s+([A-Za-z_$][A-Za-z0-9_$]*)\s*(?:,\s*\{[^}]*\}\s*)?from\s+(['"])[^'"]+\2\s*;?\s*(?:\/\/.*)?$/.exec(importLine);
+ if (!match) return [];
+ const lines = targetText.split(String.fromCharCode(10)), declarations = [];
+ for (let i = 0; i < lines.length; i++) if (/^\s*export\s+default\b/.test(lines[i])) declarations.push(i + 1);
+ if (declarations.length !== 1) return [];
+ const line = lines[declarations[0] - 1];
+ const kind = /^\s*export\s+default\s+(?:function|class)\b/.test(line) ? 'default-declaration' : /^\s*export\s+default\s+[^=;]+;\s*(?:\/\/.*)?$/.test(line) ? 'default-expression' : undefined;
+ if (!kind) return [];
+ return [{ imported: 'default', local: match[1], declarationLine: declarations[0], declarationKind: kind, confidence: 'approved-default-syntax-only' }];
+}

package/src/import-relations.mjs

@@ -1,5 +1,5 @@
 import path from 'node:path';
-import { directImportBindings, namedImportDefinitions } from './import-bindings.mjs';
+import { directImportBindings, namedImportDefinitions, defaultImportDefinition } from './import-bindings.mjs';
 import { importedCallSites, indexStandaloneCalls } from './import-call-sites.mjs';
 
 const extensions = ['.mjs', '.cjs', '.js', '.jsx', '.ts', '.tsx'];
@@ -39,7 +39,7 @@ export function inferImportRelations(files) {
         const callSites = importedCallSites(lines, i + 1, callIndex);
         const targetText = (side === 'old' ? matches[0].left : matches[0].right)?.text;
         const bindingHints = directImportBindings(lines, i + 1, callSites, targetText);
-        const definitionHints = namedImportDefinitions(lines[i], targetText);
+        const definitionHints = [...namedImportDefinitions(lines[i], targetText), ...defaultImportDefinition(lines[i], targetText)];
         edges.push({ from: file.id, to: matches[0].id, reason: 'relative-import:' + side + ':L' + (i + 1), side, line: i + 1, specifier: match[2], callSites, bindingHints, definitionHints });
         if (callSites.length && edges.length < 2000) edges.push({ from: file.id, to: matches[0].id, reason: 'imported-call-syntax:' + side + ':L' + callSites.map(c => c.line).join(','), side, callSites });
         if (edges.length >= 2000) return edges;

package/src/primary-input.mjs

@@ -26,6 +26,11 @@ export function preparePrimaryInput(input, file, { instructions, scope, grouping
   }
   const csharpHints = inferCsharpContext(input, file);
   if (csharpHints.length) { base.csharpContextHints = csharpHints; base.csharpContextNotice = '仅批准context的C#静态类型/方法语法位置；历史输入按contextSide/contextVersion区分正文，无旧正文不回退目标侧。不证明语义绑定或执行可达。歧义不推定，线索不增加审查覆盖。'; }
+  if (!input.history && input.callerDiscovery) {
+    const approved = new Set((input.context ?? []).filter(c => typeof c.text === 'string').map(c => c.path));
+    const callerBindings = input.callerDiscovery.candidates.filter(c => c.targetPath === file.path && c.bindings?.length && approved.has(c.fromPath)).map(({ fromPath, bindings }) => ({ fromPath, bindings }));
+    if (callerBindings.length) { base.callerBindings = callerBindings; base.callerBindingNotice = '调用方文件的导入行、调用行与目标声明行仅为语法位置线索，来源限于已批准上下文；不证明执行可达、动态分派、重载选择或完整调用覆盖，也不代表全部调用方。'; }
+  }
   let payload = JSON.stringify(base);
   const measure = value => initialInputBudget({ instructions, input: value }, scope, maxInputBytes);
   const metadata = {};