@leonhardthust/dsh-decision-engine 0.0.0-stage → 1.9.1

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 zuosus
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -1,3 +1,56 @@
-# Temporary Holding Version
+# dsh-decision-engine
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+Published fork: **`@leonhardthust/dsh-decision-engine`**. Based on the MIT-licensed upstream by [zuosus](https://github.com/zuosus/dsh-decision-engine). Do not enable both packages at once. See [publishing and installation](docs/releasing.md).
+
+![dsh-decision-engine — decision engine for DeepSeek Harness](docs/assets/hero.jpeg)
+
+**Free decision model usage provided**
+
+[website](https://dsh.zuos.us/dsh-decision-engine/) ·
+[config.example.yml](config.example.yml) · [DECISIONS.md](DECISIONS.md)
+
+[简体中文](./README.zh.md)
+
+A judgement layer for DeepSeek Harness: a cheap decision model judges before the
+main model acts.
+
+## Features
+
+**Eight decision points**
+
+- tool authorization
+- model routing
+- delegation
+- compaction
+- turn continuation
+- retrieval necessity
+- skill selection
+- COT translation gate
+
+**Modes**: off · observe · enforce
+
+**Providers**: system one · bamboonode · 硅基流动 SiliconFlow (CN / Global) ·
+Perplexity · OpenRouter · custom base URL
+
+**Review tolerance**: autonomous · relaxed · default · cautious
+
+**UI**: config page with collapsible sections · Decisions tab · stats ·
+readable approval card
+
+| Config page | Decisions tab |
+|---|---|
+| ![config page](docs/assets/config-page.png) | ![decisions tab](docs/assets/decisions-tab.png) |
+
+> Screenshots predate the collapsible-section layout (DEC-051).
+
+**Token saving**: exact cache · read-only tools bypass · state trimming
+
+**Safety layers**: trusted host context → tool effects → mandatory permissions → model advisory → soft review tolerance → host outcome audit.
+Unknown high-impact calls fail closed; Auto still runs decision review. Soft asks use a selected host model (including reasoning effort), the session model, allow, or deny.
+Neither model review nor the allow fallback can replace mandatory approval.
+
+See the [security revision and verification notes](docs/security-revision.md). The plugin remains disabled by default; observation mode does not enforce protection.
+
+## License
+
+MIT

package/README.zh.md

@@ -0,0 +1,57 @@
+# dsh-decision-engine
+
+本分支发布包：**`@leonhardthust/dsh-decision-engine`**，基于 [zuosus 上游](https://github.com/zuosus/dsh-decision-engine) 的 MIT 代码。不要同时启用原包与本分支；安装与发布方法见 [发布说明](docs/releasing.md)。
+
+![dsh-decision-engine — DeepSeek Harness 决策引擎](docs/assets/hero.jpeg)
+
+**提供免费决策模型**
+
+[网站](https://dsh.zuos.us/dsh-decision-engine/) ·
+[config.example.yml](config.example.yml) · [DECISIONS.md](DECISIONS.md)
+
+[English](./README.md)
+
+给 DeepSeek Harness 的决策层：主模型动手之前，用一个便宜的决策小模型做结构化判断。
+
+## 功能
+
+**八个决策点**
+
+- 工具授权
+- 模型路由
+- 子任务分派
+- 上下文压缩
+- 轮次延续
+- 检索必要性
+- 技能选择
+- 思维链翻译
+
+**三态**：关闭 · 观察 · 生效
+
+**决策服务**：system one · bamboonode · 硅基流动 SiliconFlow（国内 / 国际）·
+Perplexity · OpenRouter · 自定义 base URL
+
+**人工审核比例**：自治 · 轻松 · 默认 · 谨慎
+
+**界面**：配置页（四个可折叠分组）· 决策历史标签页 · 统计与对比 ·
+审批卡正文可读化
+
+| 配置页 | 决策历史 |
+|---|---|
+| ![配置页](docs/assets/config-page.png) | ![决策历史](docs/assets/decisions-tab.png) |
+
+> 截图拍于分组折叠（DEC-051）之前的版式，当前界面为四个可折叠分组。
+
+**省 token**：精确缓存 · 只读工具放行 · state 截断
+
+**安全分层**：可信宿主上下文 → 工具副作用 → 强制权限策略 → 模型建议 → 软审核容忍度 → 宿主结果审计。
+未知高影响操作不再异常放行；自动审查保留决策模型，并将软性“人工决定”交给所选 Fallback。
+
+**自动审查 Fallback**：指定宿主模型（含 reasoning effort）· 沿用会话模型 · 全部允许 · 全部阻止。
+“全部允许”只影响软审查，不能覆盖强制拒绝或必需的真人批准。
+
+详见 [安全修订与验证说明](docs/security-revision.md)。默认仍未启用插件，观察模式不提供拦截保护。
+
+## 许可证
+
+MIT

package/config.example.yml

@@ -0,0 +1,436 @@
+# dsh-decision-engine 配置模板
+#
+# 用法：复制到数据目录，按需修改。
+#   mkdir -p ~/.dsh/dsh-decision-engine
+#   cp config.example.yml ~/.dsh/dsh-decision-engine/config.yml
+#
+# 文件名是 config.yml：本插件早已不是「只服务 startlux 一家」的插件，
+# 而是任意决策服务（system one / bamboonode / 硅基流动 / custom）的决策层，
+# 名字里再挂某个服务商只会误导。旧名 startlux.yml 仍会被自动读取并迁移，
+# 升级不需要重新填 key。
+#
+# 插件按以下顺序找配置，取第一个存在的：
+#   ~/.dsh/dsh-decision-engine/config.yml          （首选位置）
+#   ~/.dsh/dsh-decision-engine/startlux.yml        （旧名，首次启动自动改名）
+#   ~/.dsh/dsh-startlux-decision/startlux.yml      （上一代数据目录；自动拷到新目录）
+#   ~/.dsh/plugins/dsh-startlux-decision/startlux.yml
+#   ~/.dsh/plugins/dsh-startlux-guard/startlux.yml
+#
+# 数据目录（插件自动读取）：
+#   <上述目录>/config.yml          配置
+#   <上述目录>/telemetry.jsonl     决策记录（人读的流水账）
+#   <上述目录>/stats.jsonl         统计记录（配置页「统计与对比」读它）
+#   <上述目录>/analytics.json      匿名统计的本地状态（安装 id，可删除以重置）
+#
+# stats.jsonl 记的是按 provider × model 分开的 token 与耗时，用于统计与
+# 节省量对比；telemetry.jsonl 不含 provider 与 output token，满足不了统计
+# 所需，因此两者分开存。两者都是追加写的 JSON Lines，可直接 tail 查看。
+#
+# 改完立即生效：每次工具调用 / 每一步前都会检查 mtime，无需重启 DSH。
+
+# 总开关：true 才开始工作（默认 false，不会擅自介入你的会话）
+enabled: false
+
+# shadow  = 只记录判断结果，绝不拦截（建议先用它观察一段时间）
+# enforce = 真正执行各决策点的处置
+#
+# 注意：这一项现在只是「工具授权」这一个决策点的历史开关。
+# 新写法是给每个决策点单独指定模式，见下面的 pointXxx。
+# pointAuthorize 留 auto 时，就沿用这里的 mode（shadow→observe、enforce→enforce）。
+mode: shadow
+
+# ============================================================================
+# 服务提供方（provider）
+# ============================================================================
+# 七选一：
+#   bamboonode        内置。StartLux 官方端点 POST /v1/decisions，本插件的原有默认值。
+#   systemone         内置。任意 System One 协议服务 POST /v1/systemone，
+#                     默认指向 TypeSafe（https://api.typesafe.ai/v1）。
+#   siliconflow       内置。硅基流动（国内站）https://api.siliconflow.cn/v1/systemone
+#   siliconflow-intl  内置。Silicon Flow 国际站 https://api.siliconflow.com/v1/systemone
+#                     （与国内站是两套账号，key 互不通用）
+#   perplexity        内置。Perplexity Decider（api.perplexity.ai）；
+#                     地址与默认模型待实测，端点风格 auto（404 自动换路径重试）
+#   openrouter        内置。OpenRouter（https://openrouter.ai/api/v1），
+#                     模型填 OpenRouter 的 slug（如 openai/gpt-4o-mini）；同样待实测
+#   custom            自己填 base URL，接任何提供决策端点的服务
+#                     （自建 llama.cpp / vLLM、企业网关、第三方中转）。
+#
+# 不写这一项 = bamboonode，老配置行为完全不变。
+#
+# siliconflow / siliconflow-intl 是「开箱即用」的：地址、路径、默认模型都已
+# 预置，只要粘一个 API key 就能跑（详见下方「密钥」一节）。
+#
+# perplexity / openrouter 也已预置，但**端点风格与默认模型尚未实测**（接入时
+# 按各家公开 API 地址写的）：首次使用若 404，插件会自动换另一条路径重试；
+# 跑通后建议把实测结论写回 lib/providers.js 的预设表。
+provider: bamboonode
+
+# ---- bamboonode 预设的地址覆盖 ----------------------------------------------
+# 只在 provider=bamboonode 时生效。老版本唯一的地址字段，继续支持，因此
+# 已有的自建 bamboonode 兼容地址不会因为升级被改回官方。
+# 接受多种写法（等价）：
+#   https://api.bamboonode.dev/v1
+#   https://api.bamboonode.dev/v1/decisions
+#   api.bamboonode.dev/v1          （会补 https://）
+# 末尾斜杠会被规范化，不会拼出 //decisions 或 /v1/v1/decisions。
+baseUrl: https://api.bamboonode.dev/v1
+
+# ---- 模型（按 provider 分开存，切换时互不覆盖）------------------------------
+# bamboonode 的模型。留空 = 自动（由服务端选当前默认决策模型），
+# 这样服务商将来换模型名时，本配置不会失效。
+model:
+
+# system one 的模型。留空 = 服务端默认（jev-latest）。
+# 与上面的 model 分开：否则切到 system one 会把 bamboonode 的模型名发过去，
+# 得到 400 model not served。
+systemoneModel: ""
+
+# 硅基流动 / Silicon Flow 的模型。**留空 = 用预设默认 Kev-4B**——
+# 这两个端点把 model 列为必填（实测省略或空串都回 400
+# "Model field is required."），所以这里的「留空」不是「让服务端挑」，
+# 而是用预设默认。想换模型就填 SemIf（官方目前只支持这两个决策模型）。
+#
+# 你写的 kev-4b 与 Kev-4B 是同一个模型：实测该端点对大小写不敏感
+#（三种写法都 200），/v1/models 里的规范写法是 Kev-4B。
+siliconflowModel: ""
+siliconflowIntlModel: ""
+
+# ---- custom 预设（provider=custom 时才生效）--------------------------------
+# base URL 必填，且必须是 http/https 地址；不带 scheme 会被拒绝（内置预设
+# 允许省略 scheme，custom 不允许——自定义地址必须显式，避免猜错协议）。
+# customBaseUrl: https://api.example.com/v1
+#
+# 端点风格（**首选**路径，不是唯一路径）：
+#   auto       地址已带 /decisions 或 /systemone 就原样用，否则先试 decisions
+#   decisions  先试 POST <base>/decisions
+#   systemone  先试 POST <base>/systemone
+#
+# 路径后缀由**服务商**决定，不由模型决定。实测（2026-10-25，真实端点）：
+#   SiliconFlow 的 Kev-4B   /v1/decisions → 404，/v1/systemone → 200
+#   bamboonode 的决策模型     两条路径都 200
+#
+# 所以首选路径返回 404 时，插件会自动改用另一条再试一次，并记住试通的那条。
+# 只有 404 会触发换路径：400（模型/内容不合法）与 401（key 不对）都跟路径无关。
+customEndpointStyle: auto
+#
+# custom 自己的模型（留空 = 服务端默认）。与内置预设的 model 分开存，
+# 这样在两者之间来回切换不会互相覆盖。
+customModel: ""
+# custom 的 key；留空则读 customApiKeyEnv（环境变量或 .credentials.yaml 的 refs）
+customApiKey: ""
+customApiKeyEnv: ""
+# 附加请求头，格式 `名称: 值`，多项用分号分隔。
+# authorization / content-type / host 由插件固定，写了也会被忽略。
+customHeaders: ""
+
+# ============================================================================
+# 密钥
+# ============================================================================
+# 每个 provider 有**自己的** key 名，各自保存各自的 key：
+#
+#   system one          -> TYPESAFE_API_KEY
+#   bamboonode          -> BAMBOO_API_KEY
+#   硅基流动（国内站）   -> SILICONFLOW_API_KEY
+#   Silicon Flow 国际站 -> SILICONFLOW_INTL_API_KEY
+#   Perplexity Decider -> PERPLEXITY_API_KEY
+#   OpenRouter         -> OPENROUTER_API_KEY
+#   custom              -> customApiKeyEnv（没填时用 DECISION_ENGINE_CUSTOM_KEY）
+#
+# 各格互不覆盖，可以同时配好；切换 provider 不会串用别人的 key。
+# 两个 SiliconFlow 站点是**两套账号**，key 不通用，因此各占一格——
+# 共用一格的话，切过去就会拿错 key 得到 401，而用户看不出是拿错了还是失效了。
+
+# 密钥存到哪里：
+#   credentials = ~/.dsh/.credentials.yaml 的 refs 段（默认，与其他服务统一托管）
+#   config      = 本文件（自包含，便于随目录备份；注意这里是明文）
+# 配置页上这一项不挨着 API Key，而是放在最后一组（匿名统计之后）：它管的是
+# 「key 存到哪」这件账务上的事，不是连接本身，夹在连接组里会打断
+# 「provider → 模型 → key → 生效端点」这条阅读线。
+keyStorage: credentials
+
+# 变量名可以覆盖（留空即用上面的默认名）：
+# systemoneApiKeyEnv: ""
+# bamboonodeApiKeyEnv: ""
+# siliconflowApiKeyEnv: ""
+# siliconflowIntlApiKeyEnv: ""
+# perplexityApiKeyEnv: ""
+# openrouterApiKeyEnv: ""
+# customApiKeyEnv: ""
+
+# 直接写明文 key 也可以（各 provider 一格，互不影响）。
+# 若 keyStorage=credentials，在设置界面粘贴的 key 会写进 .credentials.yaml，
+# 不会落到这里；只有 keyStorage=config 时下面这些字段才会被写入。
+# systemoneApiKey: ""
+# bamboonodeApiKey: ""
+# siliconflowApiKey: ""
+# siliconflowIntlApiKey: ""
+# perplexityApiKey: ""
+# openrouterApiKey: ""
+# customApiKey: ""
+
+# .credentials.yaml 里的形态就是 refs 段：
+#   refs:
+#     BAMBOO_API_KEY: sk-你的key
+#     TYPESAFE_API_KEY: sk-另一个key
+#     SILICONFLOW_API_KEY: sk-国内站的key
+#     SILICONFLOW_INTL_API_KEY: sk-国际站的key
+#     PERPLEXITY_API_KEY: sk-perplexity的key
+#     OPENROUTER_API_KEY: sk-openrouter的key
+
+# ============================================================================
+# 服务端下发（DEC-030）——配置页上叫「使用免费模型」
+# ============================================================================
+# 打开后，地址 / 模型 / key 由内置端点 https://dsh.zuos.us/api/provider-config
+# 下发并直接使用。**地址不可配置**是刻意的：它就是「开箱即用」的全部含义。
+#
+# 名字为什么是「使用免费模型」而不是「跟随服务端下发」：它确实是免费下发的模型，
+# 那是用户能直接感知到的事实；而配置页在这行说明下面还多一行小字「可能会失效」
+# ——这条免费通道由项目方自掏额度维护，随时可能停用或换 key。风险写在界面上，
+# 不给「免费」一个不存在的承诺。开关默认仍为 false，行为与改名前完全一样。
+#
+# 关于下发的那把 key（重要）：
+#   - 只保存在插件进程的内存里，**永不落盘**：不写本文件、不写 .credentials.yaml、
+#     不进遥测 / 统计 / 决策明细；任何接口只回传末四位（…abcd）。
+#   - 进程退出即消失，下次启动重新获取（下发带 TTL，默认 600 秒）。
+#   - 关掉这个开关会立刻把它从内存里清掉。
+#
+# 服务端不可用时（404 / 403 / 超时 / 载荷非法 / 已过期且刷新失败）**静默回落到下面的
+# 本地配置**（包括你自己填的 key），配置页显示一行原因，不会中断守卫。
+#
+# 手动填 key 的整套流程完全不变；服务端生效期间本地值只是暂不生效，关掉开关立刻恢复。
+#
+# 可选门禁：Worker 侧若设了 PROVIDER_CONFIG_TOKEN，本机要能读到同一把令牌——
+# 优先环境变量 DECISION_SERVER_CONFIG_TOKEN，其次下方 .credentials.yaml 的 refs 段同名键。
+serverProvider: false
+
+# 超时预算（毫秒）。超时仅使模型建议失效，强制策略仍生效；连续失败进入冷却。
+#
+# 为什么是 20000 而不是 8000：这个服务端有**冷启动尾延迟**。闲置约 110 秒后的
+# 首发实测要 7.4–15.9 秒，焐热之后只要 1.0–1.3 秒。8 秒会把冷启动首发**稳定
+# 误杀**，而那恰好是用户点「测试」时的常态——每次点都落在「闲置后首发」这个
+# 最差点上。成功请求的延迟分布（n=2215）里 ≥8s 占 **0%**：不是没有慢请求，
+# 是慢的那些全被 8 秒预算掐掉了，根本没算进成功。
+# 代码里的 DEFAULT_TIMEOUT_MS 本来就是 20000，模板这里只是跟上。
+timeoutMs: 20000
+
+# 超时 / 网络错误的重试次数。**只对这两类重试**：4xx 是配置错（地址、模型、
+# key），5xx 是服务端自己的故障，重试只是多烧一次额度、拿回同一个错误。
+# 实测：冷启动首发被掐断时服务端其实已经被焐热，第二发 1.1–1.7 秒必中
+# （4 组独立实验一致）。总预算封顶 min(2 × timeoutMs, 30s)。
+retryAttempts: 1
+
+# 冷却期的试探间隔（毫秒）。冷却不再是「整段全黑」：每隔这么久放行一次试探
+# 请求，成功即彻底恢复。避免一次 3 秒的抖动换来 60 秒完全不工作。
+cooldownProbeMs: 10000
+
+# ---- 冷却与失败阈值（可选调优项）----
+# 冷却已改为**半开 + 指数退避**：连续失败达到阈值进入冷却，冷却中每
+# cooldownProbeMs 放行一次试探；试探失败则冷却时长按轮次翻倍
+# （cooldownMs → 2× → 4× …，封顶 10 × cooldownMs），试探成功即彻底解除。
+# 注意 cooldownMs 现在是**首轮**冷却时长，不再是上限——上限是它的 10 倍。
+# cooldownMs: 60000         # 首轮冷却时长（上限为其 10 倍）
+# failureThreshold: 3       # 连续失败多少次进入冷却
+
+# 思考模式（startlux 的 think_mode），三档：
+#   never  不思考——最省延迟（实测约 1.9s vs 7.2s），默认值，热路径首选
+#   auto   仅在模型自己判断需要时思考——折中
+#   always 总是思考——判断更充分，但每次工具调用约多等 5 秒
+# 该端点 output_tokens 恒为 0，思考开销不计入计量，所以省的主要是延迟。
+thinkMode: never
+
+# ============================================================================
+# 决策模型参与点
+# ============================================================================
+# 三态：off 不参与 / observe 只记录不干预 / enforce 真正生效。
+# 九个点全部已实装。新点默认 off —— 升级不会改变现有行为。
+#
+# 建议：先 observe 跑一段时间，对着 telemetry.jsonl 确认与人工判断一致，
+# 再逐点切 enforce。热路径的点（route / delegate / cotTranslate）尤其如此。
+
+# ---- 1. 工具授权：每次工具调用前判断能否放行 -------------------------------
+# 替代 auto-review——后者把完整会话历史发给主模型，每次调用都跑一遍。
+pointAuthorize: auto
+
+# ---- 2. 模型路由：机械步骤下沉到便宜模型 -----------------------------------
+# 热路径。三道闸控量：每轮最多 routeMaxStepsPerTurn 步、路由未变不问、
+# 新用户输入后的步骤不问。
+# 必须同时配好 routeCheapProvider + routeCheapModel 才会真的换模型；
+# 两者留空时即便打开此点也只会记录「本该换」。
+pointRoute: off
+routeCheapProvider: ""
+routeCheapModel: ""
+# routeMaxStepsPerTurn: 3
+# routeMaxScore: 0.4        # 能力需求归一化后超过此值就保留强模型
+# routeMechanicalFloor: 0.6 # 「机械步骤」的最低置信
+# routeRiskFloor: 0.3       # 风险达线一律保留强模型
+
+# ---- 3. 子任务分派：接着做 / 开 subagent / 组 agent team -------------------
+# 热路径。只在每轮第一步且带新用户输入时判断（分派只在这一刻可能改变）。
+# 生效时注入一条提示，不替模型决定——工具选择仍归模型。
+pointDelegate: off
+# delegateConfidenceFloor: 0.5  # 三选项均分 0.33，实测需 ≥0.5 才算有倾向
+# delegateBlockingFloor: 0.6    # 被本地事实阻塞时继续内联
+# delegateParallelFloor: 0.5    # 组队还需真并行才有意义
+
+# ---- 4. 上下文压缩：摘要 vs 只丢陈旧工具结果 -------------------------------
+# 非热路径。只在实测 token 达触发线（compactThresholdRatio × 窗口）才问。
+# 生效方式：先跑宿主的确定性工具结果裁剪；compaction-basic 随后重新测压，
+# 低于阈值就跳过摘要——这才是真正省下的那一次调用。
+pointCompact: off
+# compactContextWindow: 0     # 0 = 用 compactTriggerTokens 绝对阈值
+# compactThresholdRatio: 0.7  # 提前于 compaction-basic 的 0.8 介入
+# compactTriggerTokens: 100000
+# compactToolResultChars: 8192
+# compactDistilledFloor: 0.6  # 结论已落地 → 允许只裁剪
+# compactVerbatinFloor: 0.6   # 仍需逐字原文 → 一律摘要（安全否决优先）
+
+# ---- 5. 轮次延续：再来一轮有没有增量价值 -----------------------------------
+# 非热路径。生效方式是用 agent.steer() 续一轮，每轮最多 turnStopMaxSteers 次。
+pointTurnStop: off
+# turnStopMaxSteers: 1
+# turnStopClosedFloor: 0.6
+# turnStopUnfinishedFloor: 0.6
+# turnStopValueFloor: 0.35    # 只作弱确认；主判据是 unfinished
+# 「这一轮在等用户」的判定门槛（DEC-045）。达线即让位：不续轮，把决定权交还用户。
+# 这条只用于**让位**，不会变成「所以替你选了方案 A」。
+# 取 0.5 是因为两类错代价不对等：漏判 = 替你把选择顶掉（最不该犯的错），
+# 误判 = 少续一轮（代价小得多）。
+# turnStopAwaitingUserFloor: 0.5
+
+# ---- 6. 检索必要性：这条信息是不是已经知道 ---------------------------------
+# 非热路径。只对检索类工具生效，其余工具零开销。
+pointRetrieval: off
+# retrievalTools: [web_search, web_fetch, research, multi_search, advanced_search]
+# retrievalCoveredFloor: 0.5     # 上下文已覆盖该事实
+# retrievalWouldAddCeiling: 0.8  # 且再搜基本没有新信息
+
+# ---- 7. 技能选择：该装哪个技能 ---------------------------------------------
+# 非热路径。只对 skill 工具、且候选 ≥2 时判断。
+# 生效时拦下不匹配的加载并指路，避免「装错再换」付两遍正文 token。
+pointSkillPick: off
+# skillPickCandidates: 8      # 送给模型挑选的候选上限（只带名称+描述）
+# skillPickConfidenceFloor: 0.5
+
+# ---- 8. 思维链翻译门槛：这条内容真的需要翻译吗 -----------------------------
+# 热路径（每条消息）。本地先做免费预筛（去代码块/URL 后判断有无正文），
+# 预筛不过的直接跳过，不发请求。生效时判为「不需要」则返回原文。
+pointCotTranslate: off
+# cotProseFloor: 0.5
+# cotSameLanguageFloor: 0.8
+
+# ============================================================================
+# 自身开销护栏
+# ============================================================================
+# 决策模型自己也烧 token（实测约 1.9k/次，p50 约 0.5s），靠缓存挡住重复调用：
+# 命中缓存就不发请求。本插件不限制每小时的总用量，因此没有预算字段。
+# 「同类复用」软层默认关闭（fail-closed），工具授权点永久禁用；
+# cacheSize / cacheTtlMs 同时约束精确层与（显式启用后的）软层。
+
+# ---- 以下为可选调优项 ----
+# cacheSize: 256            # 缓存条数上限
+# cacheTtlMs: 600000        # 裁决存活时间
+# recentMessages: 4         # 带给模型的上下文条数
+# guardReadOnlyTools / guardExcludeTools / guardDeferOutsideWorkspace 保留旧键解析，
+# 不再是绕过强制安全策略的白名单；越界写入不能无条件交给宿主。
+# guardDenyConfidence 不再参与新授权策略。confidence 不能充当危险概率。
+# guardIrreversibleCeiling: 0.2
+# guardTaskRelevanceFloor: 0.5
+
+# 新策略默认 enforce；observe 仅用于隔离对照诊断，不实施 mandatory 拦截。
+# 只有 enabled=true、guardEnabled=true、pointAuthorize=enforce 才真正拦截。
+guardPolicyMode: enforce
+
+# 自动审查（宿主 auto 或 tolerance=autonomous）的软性 ask 和建议失败时：
+# model   指定宿主注册的 provider / model / reasoning effort
+# session 沿用当前会话 request/header 的模型和 reasoning effort（默认）
+# allow   跳过软审查，仍不可覆盖 mandatory deny / requires_approval
+# deny    阻止软审查请求
+# 指定模型不可用、超时、响应非法一律拒绝，不再嵌套回退成 allow。
+guardFallback: session
+guardFallbackProvider: ""
+guardFallbackModel: ""
+guardFallbackReasoningEffort: ""
+
+# 四档只调整软审核摩擦。mandatory deny 全档不变；requires_approval 必须
+# 获得当前调用的宿主 allowed-once，无审批通道时拒绝，模型不能代批。
+# autonomous 将软 ask 交给上述 Fallback，不等于直接放行。
+# relaxed / default / cautious 保留既有软摩擦档位行为；旧默认裁决函数
+# decideGuardLegacy 仅用于回放，不接入生产权限路径。
+# severity 是排序分数，分位数就绪不代表危险概率已校准。
+# tolerance: default
+
+# ============================================================================
+# 匿名使用统计（可选）
+# ============================================================================
+# 只上报「装了多少台、每天有多少人在用」，用来改进插件。字段只有七个：
+# 匿名安装 id（首次运行随机生成的 UUIDv4，与账号无关）、插件版本、平台、
+# 架构、宿主版本、当日决策数、事件类型。
+#
+# 绝不上报：API key、prompt / 工具参数、文件路径、provider 地址、会话内容、
+# 用户名；服务端也不记录 IP。删掉 analytics.json 即换新身份。
+#
+#   off      完全联网都不做（连版本检查都没有）
+#   install  仅首次运行上报一次「装了」
+#   daily    每天上报一次，附带当日决策数（默认）
+#
+# telemetryLevel: daily
+# telemetryEndpoint: ""     # 留空用内置端点
+
+# ============================================================================
+# 决策历史（DEC-022）——会话里的「决策历史」标签页
+# ============================================================================
+# 开启后，会话标签栏会在「对话」「轨迹」之后多出一个「决策历史」标签页，
+# 按时间列出**本会话**里经本插件做出的每一次决策：决策点、provider、
+# model、裁决、耗时、token，展开还能看到发给决策模型的现场（state）、
+# 问题（questions）与它回来的回答（answers）。
+#
+# 数据只落在本机 $DSH_HOME/dsh-decision-engine/decisions.jsonl，
+# **不经过任何网络请求**，也**不进**上面的匿名统计。
+#
+# 关掉之后**完全不写这个文件**（不采集内容、不占磁盘，标签页也随之消失）
+# ——不是「写了藏起来」。明细里可能有会话正文与命令片段，用户说不记录
+# 就该真的不落盘。
+#
+# decisionsTabEnabled: true      # 默认开启；**这是唯一的开关**（DEC-026 / DEC-029）：
+#                                开 = 记录明细，且**一定记录决策内容**；
+#                                关 = 完全不写 decisions.jsonl（见上），
+#                                没有「只存元数据」的中间档。
+#
+# 下面两项是**高级档位**，配置页上没有对应的开关：需要时手改本文件。
+# （一个开关管「这个功能要不要用」就够了；「记多细、最多占多大」是要主动
+# 去调的旋钮，不该天天摆在配置页上。）
+#
+# 单条内容的上限（字符）。超出时依次裁剪：工具参数预览 → 最近对话摘要 →
+# 整个 state；只有连「问题 + 回答」都装不下时才退回只留元数据。
+#
+# decisionsMaxContentChars: 4000
+#
+# 明细文件体积上限（字节）。到顶轮转成 decisions.jsonl.1（只留一代），
+# 因此磁盘占用最多约两倍上限。
+#
+# decisionsMaxBytes: 8388608   # 8 MB
+
+# ============================================================================
+# 审批卡正文可读化（DEC-043）——审批卡上那块命令怎么显示
+# ============================================================================
+# 默认**开启**，不需要做任何事就能得到：插件接管宿主的
+# conversation.approval.detail，把标题下那块命令改成「摘要 + 可展开的原文」——
+# 先说清「几步、其中哪几步是危险动作」（rm -rf / curl … | sh / sudo 这类会被
+# 标出来），再逐条列出每个步骤；原文默认收起，点开可逐字核对。
+#
+# 摘要由**确定性规则**切分（&& / || / ; / | / 换行，heredoc 整段识别成「执行
+# 一段脚本（N 行）」），**不经过决策模型**——端点只有 choice / score / noul
+# 三种题型、没有自由文本，让模型写一句人话解释在架构上做不到。
+#
+# **真正执行的永远是原文**。摘要只是导读，与原文不一致就是欺骗，所以原文
+# 永远可展开核对。
+#
+# 想保留宿主自己的样子就关掉这一项：关 = 完全不接管，宿主自己的渲染原样回来，
+# 与 1.5.x 逐字一致（换行照旧由宿主折叠成一个长条）。
+#
+# 一句实话：接管这块意味着宿主将来对它的改进**不会自动落到我们这里**，直到我们
+# 跟上；步骤清单本身是启发式的（刻意不做完整 shell 解析）。这两点是「保留这个
+# 开关、并让原文永远可展开」的理由，不是把可读卡片藏起来的理由。
+#
+# approvalDetailReadable: true   # 默认开启；关掉则完全沿用宿主渲染

package/cordis.patch.yml

@@ -0,0 +1,14 @@
+# dsh-decision-engine 的 bundle 层。
+#
+# 这里**刻意不写 config**。
+#
+# 原因：bundle patch 属于 profile 配置层，而 DSH 传给插件 apply() 的 config
+# 是 Schemastery 解析后的完整默认值（enabled:false / mode:shadow ...），
+# 并非用户显式配置。若在此硬编码，会盖掉用户在配置页保存的选择，
+# 表现为「一按保存就自动弹回关闭」。
+#
+# 运行时配置的唯一来源是插件目录下的 config.yml（配置页保存的也是它）。
+# 插件内的 DEFAULTS 只负责兜底，不在此重复声明。
+- insert:
+    - id: decision-engine
+      name: '@leonhardthust/dsh-decision-engine'

package/docs/auto-review-hotfix.md

@@ -0,0 +1,33 @@
+# 1.9.1 自动审查热修复
+
+## 根因
+
+1.9.0 把“不认识工具 / 无法静态解析 shell、MCP 或网络效果”直接升级为 `requires_approval`。监听器在调用决策模型之前就返回 ask/deny，Auto 没有机会使用大模型回退。
+
+这些提前返回的记录缺少 provider/model，latency 为 0，state/questions 尚未构建，因而只显示 `unknown-high-impact-effect-requires-approval` 和空分数。它们不是模型瞬间完成的结论。
+
+## 修复
+
+- 不确定效果为 `unknown`，不是宿主要求真人审批的证据。Auto 先调用决策模型；不确定效果即使初判 low，也进入独立 LLM 或用户显式选择的回退策略。
+- medium/high、异常和无效模型结果同样进入回退，不直接交给用户。默认模型回退失败、超时或无效输出拒绝；显式 allow/deny 仅调整软审查。
+- 手动模式可询问；审批禁用时不能伪造用户批准。
+- 显式 `sandbox_permissions`、宿主拒绝、已知越界写入、只读环境写入、已识别提权/破坏等硬约束仍先于模型。LLM allow 不写成宿主 allowed-once。
+- 多目标补丁优先保留确定越界；另一条无法解析的路径不能掩盖它。
+- `skill`、Inspect、模型目录等严格只读查询不再自锁。
+
+## 审计与 UI
+
+新增 `decisionSource` 与 `modelEvaluation.primary/fallback`，分开记录未请求、完成、失败、缓存命中及实际 provider/model/latency。
+
+- 本地规则显示“本地权限规则 / 未调用模型 / 未调用”，不再展示成未知提供方的 0ms 模型推理。
+- 模型失败与缓存命中使用明确标签；回退模型身份与原 primary 身份分开保留。
+- 早期规则仍构建真实 state/questions 摘要，未请求时 questions.status 为 not_requested。
+- 没有模型事实的规则路径不伪造模型费用记录。
+- 用户提示为可读说明，机器码留在 reasonCode / denial info。
+- 旧记录证据不足时保持原样，不把 0ms 倒推为特定调用状态。
+
+## 验证边界
+
+125 项专项回归、212 项组合回归通过；24 个独立合成情景的四档矩阵通过。组合之间有重叠，不相加成独立样本数。模型 stub 的 allow/deny/failure 仅验证路由不变量，不代表真实危险 FNR 或概率校准。
+
+本次按 hunk 集成决策历史状态展示，不覆盖其他任务的 dark-mode UI 改动；其他任务是否已提交以 Git 记录为准。发布仍需干净提交的 Linux 完整 CI 成功；已安装的 1.9.0 不会因源码修改自动升级。