@feng0531/dsh-code-review 0.44.0 → 0.45.1

package/CHANGELOG.md

@@ -2,9 +2,17 @@
 
 本文件介绍对使用者有意义的变化。安装与参数见 [README](README.md)，本次发布正文见 [发布说明](RELEASE-NOTES.md)。历史提交和安装包保留在 [GitHub Releases](https://github.com/f-e-n-g-0531/dsh-code-review/releases)；本文不把开发日志当作功能介绍。
 
+## 0.45.1 — 调用方绑定的歧义与历史隔离
+
+逐条导入检查唯一解析，防止另一条明确导入掩盖歧义；历史捕获和报告不附带当前侧声明绑定。仅为批准正文中的 JS/TS 命名导入和独立调用位置线索，不是完整语义绑定。替代存在这两项边界错误的 v0.45.0。
+
+## 0.45.0 — 必要调用者绑定（由 0.45.1 替代）
+
+已捕获的调用方文件会附带导入行、本地别名、调用行与变更文件中唯一声明行的语法绑定，仅在两侧正文都已批准时生成，不新增读取。未批准调用方、歧义声明与历史审查不产生绑定；不证明可达、分派或完整调用覆盖。
+
 ## 0.44.0 — 默认导入的定义位置
 
-默认导入可指向已批准正文中唯一的 default 导出，匿名导出只标行号；混合默认与命名导入同时给出两类位置。多个 default、重导出、注释、模板与续行字符串不猜测，命名空间导入与 import type 保持原样。不新增读取权限，也不表示完整语义绑定。
+默认导入可指向已批准正文中唯一的 default 导出，匿名导出只标行号；混合默认与命名导入同时给出两类位置。多个 default、重导出、注释、模板与续行字符串不猜测，命名空间导入与 import type 保持原样。不新增读取权限，也不表示完整语义绑定。已正式发布；407 项回归、实际宿主、独立安装及四组 CI 通过，公开安装包与原包一致。
 
 ## 0.43.1 — 已批准正文中的唯一定义位置
 

package/CORE-ALIGNMENT-TASKS.md

@@ -23,22 +23,23 @@
 
 | 优先级 | 未完成项 | 验收重点 |
 |---|---|---|
-| 1 | 必要语义调用者与实例上下文 | 命名与默认导入的唯一定义位置已接入；调用者与实例仍待验收 |
+| 1 | 必要调用方、实例与成员级上下文 | 命名与默认定义位置已交付；调用方绑定修正版待完整复验，实例与成员级仍待验收 |
 | 2 | 剩余历史来源与旧侧组合 | Git 历史与 SVN 三层链已交付；其他旧侧来源仍待验收 |
 | 3 | 其他旧侧独有来源 | 来源、版本、权限与删除场景保持一致 |
 | 4 | 剩余语言与路径专用指导 | 只提示具体缺陷和反证；不照搬风格禁令 |
 | 5 | 剩余预算组合与端到端矩阵 | 分组、窗口、检索、多次审查的终态与覆盖一致 |
 | 后置 | 真实模型质量评测 | 保存真实输出，人工裁决，分开统计失败和未完成 |
 
-Git 工作区三层字面依赖链已实现并通过测试。这解决了“导入转发文件后，未取得后续实现正文”的部分问题，但仍不是完整定义绑定。本批还补齐了手动上下文作为链入口，真实 Git、服务与独立安装四项测试通过，388 项全量回归和实际宿主检查通过，已随 v0.40.0 正式交付。Git 历史三层链本批已实现，5 项独立安装验收及 393 项回归、实际宿主检查通过，已随 v0.41.0 正式交付；SVN 安全三层链本批已实现，6 项独立安装验收及节点属性变化专项通过，400 项完整回归与实际宿主检查通过，已随 v0.42.0 正式交付。唯一定义位置与默认导入绑定本批已接入审查输入，原候选 8 项独立安装验收及 403 项回归通过；发布前复核发现默认导出误匹配，已修正并增加反例，v0.43.1 已完成完整复验与正式发布。
+Git 工作区、Git 历史两侧与 SVN 当前侧支持安全的三层字面依赖链；手动批准上下文可以作为入口。命名与默认导入支持批准正文中的唯一声明位置。这些能力不是完整语义绑定。调用方语法绑定的 v0.45.0 存在逐条导入歧义与历史发现元数据混侧错误，不计作安全对齐；v0.45.1 已修正，待完整复验与正式交付。
 
 ## 当前验证结论
 
-- 最近完整回归：406 项通过。
+- 最近完整回归：407 项通过。
 - 实际 DSH 工具运行时检查通过；模型响应受控，不是质量成绩。
 - v0.39.0 独立安装包的真实 Git、服务与预算测试：5 项通过。
 - v0.39.1 已正式交付，包含 Git 工作区三层依赖能力。四组 CI 通过；npm、Release 与保存原包的 91,502 字节完全一致，SHA-256、SHA-512 和校验清单通过。v0.39.0 不单独计作已核验交付。
 - v0.40.0 已正式交付手动上下文依赖导航。四组 CI 与唯一发布通过，npm、Release 与保存原包的 91,901 字节完全一致，双哈希及校验清单通过。准确语义绑定和剩余旧侧来源等差距仍保留。
+- v0.44.0 已正式交付默认导入的定义位置。407 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 95,672 字节一致，双哈希及校验清单通过。
 - v0.43.1 已正式交付已批准正文中的唯一定义位置。406 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 95,203 字节一致，双哈希及校验清单通过。v0.43.0 候选在发布前复核被替代，不计作交付。
 - v0.42.0 已正式交付 SVN 安全三层链。400 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 94,404 字节一致，双哈希及校验清单通过。
 - v0.41.0 已正式交付 Git 历史两侧三层链。393 项回归、实际宿主、独立安装与四组 CI 通过；npm、Release 与原包的 93,202 字节一致，双哈希及校验清单通过。

package/README.md

@@ -59,7 +59,7 @@ DSH 的只读代码审查插件。它比较 Git 或 SVN 中的代码变更，使
 | repositoryPath | 指定工作区内的子仓库 | "project-a" |
 | contextPaths | 手动加入理解代码所需的文件 | ["src/types.ts"] |
 | autoContext | 从变更及手动上下文寻找依赖；Git 和 SVN 最多沿三层依赖链读取 | true |
-| callerScopePaths | 在指定目录中寻找引用变更文件的代码 | ["src/clients"] |
+| callerScopePaths | 在指定目录中寻找引用变更文件的代码；已捕获调用方会标出调用行与唯一声明行 | ["src/clients"] |
 | oldContextPaths | Git 历史审查中，只加入旧版本的上下文 | ["src/removed-helper.ts"] |
 | rulePaths | 加入项目审查规则，最多四个 UTF-8 Markdown 或文本文件 | ["review-rules.md"] |
 | businessRequirement | 提供业务要求；不是缺陷证据，也不会增加读取权限 | "请求失败时必须释放连接" |

package/RELEASE-NOTES.md

@@ -1,20 +1,21 @@
-# v0.44.0 发布说明
+# v0.45.1 发布说明
 
-## 新增：默认导入的定义位置
+## 新增：必要调用者绑定
 
-默认导入现在可以在已批准正文中指向唯一的 default 导出，包括类、函数和表达式。匿名默认导出只标出所在行，不虚构名称。
+启用 callerScopePaths 后，已捕获的调用方文件会附带语法绑定：导入行、本地别名、调用行，以及变更文件中唯一声明的所在行。这回答“谁调用了你改的函数”，而不只是“谁提到了这个文件”。
 
-混合写法 `import Gate, { run } from "./target.js"` 会同时给出默认和命名两种定义位置。
+审查输入中的绑定只在调用方正文与变更文件正文都已批准时提供，不新增文件读取。当前仅支持保守的 JS/TS 命名导入与独立调用语法。
+
+每一条导入必须独立唯一解析；同文件另一条明确导入不能替歧义导入提供授权。历史捕获、预览、报告与审查输入均不产生这类绑定，避免新旧声明混用。v0.45.1 替代存在这两项边界错误的 v0.45.0。
 
 ## 限制
 
-- 出现多个 default 导出、`export { default }` 重导出、注释、模板或续行字符串时，不给出位置。
-- 命名空间导入、`import type` 和非默认写法的命名导入保持原样，不猜测。
-- 只检查已批准的变更或上下文正文，不新增文件读取。
-- 这些位置仍是语法线索，不证明语义绑定、调用可达或因果。
+- 调用方正文未获批（例如超出上下文名额）或变更声明有歧义时不给出绑定。
+- 历史审查不产生这类调用方绑定，避免把当前侧调用行当作旧版本证据。
+- 绑定不证明执行可达、动态分派、重载选择或完整调用覆盖，也不代表全部调用方。
 
 ## 验证
 
-测试覆盖默认导出的三种形态、复数 default、重导出拒绝、混合导入、旧侧隔离以及进入审查输入。全量回归、实际宿主、独立安装和四组 CI 是正式发布条件，不是模型效果成绩。
+测试覆盖真实 Git 调用方绑定、未批准调用方拒绝、歧义拒绝、审查输入投递与历史排除。全量回归、实际宿主、独立安装和四组 CI 是正式发布条件，不是模型效果成绩。
 
 使用方法见 [README](README.md)，维护步骤见 [开发指南](DEVELOPMENT.md)。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@feng0531/dsh-code-review",
-  "version": "0.44.0",
+  "version": "0.45.1",
   "private": false,
   "license": "SEE LICENSE IN LICENSE",
   "publishConfig": { "access": "public", "registry": "https://registry.npmjs.org/" },

package/src/caller-candidates.mjs

@@ -1,11 +1,32 @@
 import { contextCandidates } from './context-candidates.mjs';
+import { directImportBindings } from './import-bindings.mjs';
+import { importedCallSites, indexStandaloneCalls } from './import-call-sites.mjs';
 import { relativePath } from './content.mjs';
 import { isSecretPath } from './secret-path.mjs';
+import path from 'node:path';
+const importExtensions=['.mjs','.cjs','.js','.jsx','.ts','.tsx'];
+// Approved caller body plus approved target text only; no additional reads.
+function callerBindings(fromPath, targetPath, scannedText, targetText, resolutionPaths) {
+ if (typeof scannedText !== 'string' || typeof targetText !== 'string') return [];
+ const lines = scannedText.split(String.fromCharCode(10)), callIndex = indexStandaloneCalls(lines), result = [];
+ for (let i = 0; i < lines.length; i++) {
+  const match = /^\s*(?:import\s+(?:(?:[^'";]+)\s+from\s+)?|export\s+(?:[^'";]+)\s+from\s+)(['"])([^'"\\]+)\1\s*;?\s*(?:\/\/.*)?$/.exec(lines[i]);
+  if (!match || !(match[2].startsWith('./') || match[2].startsWith('../'))) continue;
+  const target = path.posix.normalize(path.posix.join(path.posix.dirname(fromPath), match[2]));
+  try { relativePath(target); } catch { continue; }
+  const candidates = path.posix.extname(target) ? [target] : [target, ...importExtensions.map(ext => target + ext), ...importExtensions.map(ext => target + '/index' + ext)];
+  const matches = candidates.filter(candidate => resolutionPaths.has(candidate));
+  if (matches.length !== 1 || matches[0] !== targetPath) continue;
+  result.push(...directImportBindings(lines, i + 1, importedCallSites(lines, i + 1, callIndex), targetText));
+ }
+ return result.slice(0, 20);
+}
 
 // Pure reverse navigation; resolutionPaths must contain every competitor.
-export function callerCandidates(files, scanned, resolutionPaths) {
+export function callerCandidates(files, scanned, resolutionPaths, {includeBindings=true}={}) {
   if (!Array.isArray(files) || files.length > 200 || !Array.isArray(scanned) || scanned.length > 128 || !Array.isArray(resolutionPaths) || resolutionPaths.length > 512) throw new Error('Caller navigation limit exceeded');
   for (const name of resolutionPaths) relativePath(name);
+  const resolved = new Set(resolutionPaths);
   const changed = new Set(), targets = new Set();
   for (const file of files) {
     relativePath(file.path); changed.add(file.path);
@@ -25,7 +46,7 @@ export function callerCandidates(files, scanned, resolutionPaths) {
       if (probes.size > 512) throw new Error('Caller resolution probe limit exceeded');
     }});
     if (plan.truncated) throw new Error('Caller navigation result limit exceeded');
-    for (const target of plan.candidates) if (targets.has(target.path)) candidates.push({fromPath:source.path,targetPath:target.path,reason:target.reasons[0],confidence:'navigation-only'});
+    for (const target of plan.candidates) if (targets.has(target.path)) { const bindings=includeBindings?callerBindings(source.path,target.path,source.text,files.find(f=>f.path===target.path)?.right?.text,resolved):[]; candidates.push({fromPath:source.path,targetPath:target.path,reason:target.reasons[0],confidence:'navigation-only',...(bindings.length?{bindings}:{})}); }
   }
   const compare=(a,b)=>a<b?-1:a>b?1:0;
   return {candidates:candidates.sort((a,b)=>compare(a.fromPath,b.fromPath)||compare(a.targetPath,b.targetPath)),probePaths:[...probes].sort(),notice:'Literal module/include references only; not function calls, reachability, semantic binding or complete caller coverage.'};

package/src/history-caller-capture.mjs

@@ -9,7 +9,7 @@ export async function captureHistoryCallers(root,files,history,scopes,options={}
  const changed=new Set(files.map(f=>f.path)),rules=new Set(options.rulePaths??[]),scanned=[],candidates=[],indexes=[],contexts=new Map();let scanBytes=0,indexBytes=0,indexRecords=0,probeBytes=0;const allProbes=new Set();
  for(const [side,commit] of [['old',history.base],['new',history.target]]){if(!commit)continue;const index=await historyCallerIndex(root,commit,scopes,bounded);indexBytes+=index.bytes;indexRecords+=index.records;if(indexBytes>64*1024||indexRecords>256)throw new Error('Historical caller shared index limit exceeded');const sources=[];
   for(const entry of index.entries){signal.throwIfAborted();if(changed.has(entry.path)||rules.has(entry.path)||isSecretPath(entry.path)||!/\.(mjs|cjs|js|jsx|ts|tsx|c|cc|cpp|cxx|h|hh|hpp|hxx|shader|hlsl|glsl|cginc|hlsli|compute)$/i.test(entry.path))continue;if(scanned.length>=128)throw new Error('Historical caller shared scan file limit exceeded');const content=decode(await checked('git',['--no-optional-locks','cat-file','blob',entry.oid],{...bounded,cwd:root,maxBytes:Math.min(options.maxFileBytes??256*1024,256*1024)}));scanBytes+=content.bytes;if(scanBytes>1024*1024)throw new Error('Historical caller shared scan byte limit exceeded');const source={path:entry.path,...content,blobOid:entry.oid,revision:commit,side};scanned.push(source);sources.push(source);}
-  const targets=side==='old'?files.map(f=>({...f,rightExists:!!f.left})):files;const requested=callerCandidates(targets,sources,[]).probePaths;for(const p of requested)allProbes.add(p);if(allProbes.size>512)throw new Error('Historical caller shared probe limit exceeded');const probes=await historyCallerProbes(root,commit,requested,bounded);probeBytes+=probes.bytes;if(probeBytes>1024*1024)throw new Error('Historical caller shared probe byte limit exceeded');const plan=callerCandidates(targets,sources,probes.paths);indexes.push({side,commit,indexFingerprint:index.fingerprint,probeFingerprint:probes.fingerprint});for(const c of plan.candidates)candidates.push({...c,side,revision:commit});}
+  const targets=side==='old'?files.map(f=>({...f,rightExists:!!f.left})):files;const requested=callerCandidates(targets,sources,[]).probePaths;for(const p of requested)allProbes.add(p);if(allProbes.size>512)throw new Error('Historical caller shared probe limit exceeded');const probes=await historyCallerProbes(root,commit,requested,bounded);probeBytes+=probes.bytes;if(probeBytes>1024*1024)throw new Error('Historical caller shared probe byte limit exceeded');const plan=callerCandidates(targets,sources,probes.paths,{includeBindings:false});indexes.push({side,commit,indexFingerprint:index.fingerprint,probeFingerprint:probes.fingerprint});for(const c of plan.candidates)candidates.push({...c,side,revision:commit});}
  const wanted=new Set(candidates.map(c=>c.fromPath));for(const s of scanned){if(!wanted.has(s.path))continue;const item=contexts.get(s.path)??{path:s.path};if(s.side==='new')Object.assign(item,{text:s.text,hash:s.hash,bytes:s.bytes,encoding:s.encoding,revision:s.revision});else Object.assign(item,{oldText:s.text,oldHash:hash(s.text),oldBlobOid:s.blobOid,oldRevision:s.revision});contexts.set(s.path,item);}for(const item of contexts.values())if(item.text===undefined)item.oldOnly=true;signal.throwIfAborted();
  return {context:[...contexts.values()].sort((a,b)=>a.path<b.path?-1:1),discovery:{scopes,history,indexes,scanned:scanned.map(({path,hash,bytes,blobOid,revision,side})=>({path,hash,bytes,blobOid,revision,side})),scannedBytes:scanBytes,candidates,capturedPaths:[],incomplete:true,notice:'Fixed baseline/target literal references in explicit scopes only; no worktree reads, semantic binding or complete caller coverage.',limitations:['Only supported literal references within approved scopes were searched.']}};
 }

package/src/primary-input.mjs

@@ -26,6 +26,11 @@ export function preparePrimaryInput(input, file, { instructions, scope, grouping
   }
   const csharpHints = inferCsharpContext(input, file);
   if (csharpHints.length) { base.csharpContextHints = csharpHints; base.csharpContextNotice = '仅批准context的C#静态类型/方法语法位置；历史输入按contextSide/contextVersion区分正文，无旧正文不回退目标侧。不证明语义绑定或执行可达。歧义不推定，线索不增加审查覆盖。'; }
+  if (!input.history && input.callerDiscovery) {
+    const approved = new Set((input.context ?? []).filter(c => typeof c.text === 'string').map(c => c.path));
+    const callerBindings = input.callerDiscovery.candidates.filter(c => c.targetPath === file.path && c.bindings?.length && approved.has(c.fromPath)).map(({ fromPath, bindings }) => ({ fromPath, bindings }));
+    if (callerBindings.length) { base.callerBindings = callerBindings; base.callerBindingNotice = '调用方文件的导入行、调用行与目标声明行仅为语法位置线索，来源限于已批准上下文；不证明执行可达、动态分派、重载选择或完整调用覆盖，也不代表全部调用方。'; }
+  }
   let payload = JSON.stringify(base);
   const measure = value => initialInputBudget({ instructions, input: value }, scope, maxInputBytes);
   const metadata = {};