@feng0531/dsh-code-review 0.6.0 → 0.6.2

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # 变更记录
 
+## 0.6.2
+
+- 按用户指定以新版本继续正式发布，运行代码沿用0.6.1冻结的安全证据诊断补丁，无新增功能。
+- 0.6.1上传获npm接受但注册表可见性校验超时，未创建GitHub Release；保留原标签与失败记录，不覆盖旧版。
+
+## 0.6.1
+
+- 证据引用不匹配时报告固定字段名，不泄露原文或模型提供的值；精确匹配、审批及检索边界不变。
+- 增加安全诊断回归；仓库保存六次真实模型试跑（累计12次调用），历史引入候选复核失败如实保留为partial，不声称整体质量达标。评测资产不进入npm包。
+
 ## 0.6.0
 
 - 本地预览提供全文件初始输入计划，包含实际UTF-8字节及关联回退；与执行共享输入构造。

package/README.md

@@ -4,7 +4,7 @@
 
 ## 当前状态
 
-当前代码版本为 0.6.0，包含有界覆盖预检、显式项目规则及候选证据与反证复核；发布状态以 npm 和 GitHub Release 为准。已通过真实临时 Git/SVN 仓库测试，以及隔离进程中的真实 DSH ToolRuntime 注册验证。尚未在当前 GUI 安装；尚未完成真实模型质量评估。
+当前代码版本为 0.6.2，包含有界覆盖预检、显式项目规则及候选证据与反证复核；发布状态以 npm 和 GitHub Release 为准。已通过真实临时 Git/SVN 仓库测试，以及隔离进程中的真实 DSH ToolRuntime 注册验证。当前开发会话的实际预览已返回0.6.0的plan/rules字段，空变更预览与默认关闭外发已验证；已进行经宿主审批的六次小规模真实试跑，累计12次模型调用；四组合成正负例与历史修复对照符合预期，历史引入方向检出候选但引用复核未完成（partial）。不是独立盲测或整体质量证明。详情见 [试跑结果](evaluation/PILOT-RESULTS.md)。
 
 ## 项目规则（0.5.0）
 
@@ -48,6 +48,10 @@ dsh plugin add https://github.com/f-e-n-g-0531/dsh-code-review.git
 
 默认在发现的仓库根目录审查，而不是仅当前子目录；预览会显示实际根目录。发送内容包括可审查文件的两侧完整文本、属性和显式上下文，可能包含敏感信息。选择前请检查范围，不要把密钥文件作为上下文。
 
+## 升级后检查
+
+安装版本号不等于当前进程已重新加载。升级后可先调用本地预览：0.6.0应返回 `plan` 和 `rules`（未选择规则时为空数组）。若缺失，核对当前profile的依赖和加载来源，必要时经用户确认重启DSH，再重新预览；不要因此开启外发或重复安装。`ready`仅表示初始输入可容纳，不代表已审查。
+
 ## 支持与限制
 
 - Git：HEAD 到工作区净变化，含暂存和未暂存变化；支持未出生 HEAD、重命名、新增和删除。没有独立 staged/unstaged 审查模式。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@feng0531/dsh-code-review",
-  "version": "0.6.0",
+  "version": "0.6.2",
   "private": false,
   "license": "SEE LICENSE IN LICENSE",
   "publishConfig": { "access": "public", "registry": "https://registry.npmjs.org/" },

package/src/evidence-reference.mjs

@@ -9,6 +9,8 @@ export function validateEvidenceReference(value, read) {
   if (typeof value.text !== 'string' || !value.text || Buffer.byteLength(value.text) > 64 * 1024) throw new Error('Invalid evidence text');
   const actual = read({ id: value.sourceId, start: value.start, count: value.count });
   // Require the complete exact range: readers may otherwise clamp at EOF.
-  if (keys.some(k => actual[k] !== value[k])) throw new Error('Evidence does not match approved snapshot');
+  const mismatches = keys.filter(k => actual[k] !== value[k]);
+  // Only fixed schema keys; never echo source text or model-supplied values.
+  if (mismatches.length) throw new Error('Evidence does not match approved snapshot: ' + mismatches.join(', '));
   return { ...value, status: 'references-validated', causality: 'unverified' };
 }