npm - @liangjiehappy/dsh-deepseekbase - Versions diffs - 0.2.1 → 0.3.0 - Mend

@liangjiehappy/dsh-deepseekbase 0.2.1 → 0.3.0

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (5) hide show

package/README.md CHANGED Viewed

@@ -2,134 +2,108 @@
 English | [中文](README.zh.md)
-**DeepSeek prices, plugin discovery and model specs inside DeepSeek Harness.**
+**DeepSeek prices, plugin search and sandbox test results — inside DeepSeek Harness.**
 ```bash
-dsh plugin --profile web add github:moldkey/dsh-deepseekbase
+dsh plugin --profile web add @liangjiehappy/dsh-deepseekbase
 ```
 ---
-## The part that matters: we test plugins for free
+## What you can do from inside DSH
-Most plugin directories tell you a plugin **exists**.
-None tell you whether it **installs on your version of Harness**.
-So we run real sandbox installs on every DSH plugin we index — **for free, forever**:
-| Stage | What we do |
+| Ask | Tool it calls |
 |---|---|
-| 1 | Install it in a clean container (`dsh plugin add`) |
-| 2 | Confirm it shows up in `dsh plugin list` |
-| 3 | Confirm it mounts in the composed profile tree |
-| 4 | Boot the profile and check it stays alive |
+| "What does DeepSeek cost?" | `deepseekbase_price` |
+| "Find me a memory plugin" | `deepseekbase_plugin` |
+| "How big is V4-Flash?" | `deepseekbase_specs` |
+| "How much DeepSeek is actually used?" | `deepseekbase_trend` |
+| **"Test whether my plugin dsh-foo installs"** | **`deepseekbase_test_plugin`** |
+| **"Did it pass?"** | **`deepseekbase_test_result`** |
+| **"How many free tests do I have left?"** | **`deepseekbase_quota`** |
-Stages 2–4 run with **`--network none`**, so even a malicious plugin has nowhere to send data.
-Containers are destroyed after each run.
-**Results so far: of the top 120 plugins, 13% cannot be installed at all on DSH 0.2.2-rc.1.**
-Eight fail on `engines.dsh` version ranges, five are not on npm anymore.
-Full results, updated as we test more:
-**→ [deepseekbase.com/ecosystem/plugin-tests](https://deepseekbase.com/ecosystem/plugin-tests/)**
-No sign-up. No API key. No rate limit on reading the results.
+Seven tools, one file, zero runtime dependencies. Outbound HTTPS to `deepseekbase.com` only.
 ---
-## What the plugin gives you
-| Tool | What it answers |
-|---|---|
-| `deepseekbase_price` | What does DeepSeek cost, and which provider is cheapest? |
-| `deepseekbase_plugin` | Which plugin does X, how popular, how risky? |
-| `deepseekbase_specs` | How big is the model, what context length, does it fit? |
-| `deepseekbase_trend` | How much is DeepSeek actually used? |
-### Example
-> **You:** compare DeepSeek V4.1 Flash prices across providers
->
-> **Tool returns:**
-> ```
-> Official: off-peak in $0.15 / out $0.60 per 1M tokens
-> Cheapest third party: Particle AI — in $0.025 / out $0.25
-> ```
-> That is a 6x spread on the same model.
+## Test your own plugin without leaving DSH
----
+Most plugin directories tell you a plugin **exists**. None tell you whether it **installs on your
+version of Harness**.
-## Install
+So we run real sandbox installs — and the plugin lets you submit yours directly:
-```bash
-dsh plugin --profile web add github:moldkey/dsh-deepseekbase
 ```
+You: test whether dsh-foo installs on 0.2.2-rc.1
-Restart Harness. Four tools become available.
+DSH: [deepseekbase_test_plugin]
+     Queued.
+     id: 1793979912-48671
+     free tier left today: 2/3
+     It usually runs within a few minutes.
-From npm (once published):
+You: did it pass?
-```bash
-dsh plugin --profile web add dsh-deepseekbase
+DSH: [deepseekbase_test_result]
+     plugin: dsh-foo
+     verdict: tested: pass
+     install_ok: True
+     node_modules: 12.4 MB
 ```
----
-## Permissions
+**Free tier: 3 tests per IP per day.** No sign-up, no API key.
+Higher quotas are planned but not open yet — see
+[pricing](https://deepseekbase.com/plugin-pricing/#test-service).
-This plugin:
+### What the four stages check
-- makes **outbound HTTPS requests** to `deepseekbase.com` only
-- does **not** read or write your files
-- does **not** read credentials or environment variables
-- does **not** execute shell commands
+| Stage | Network | Check |
+|---|---|---|
+| 1 install | on | `dsh plugin add` in a clean profile |
+| 2 list | **off** | `dsh plugin list` shows it |
+| 3 mount | **off** | `--dump-config` contains it |
+| 4 boot | **off** | profile boots and stays alive for 12 s |
-The whole implementation is `lib/index.js` — one file, zero runtime dependencies.
-You can audit it in five minutes.
+Stages 2–4 run with `--network none`, so even a malicious plugin has nowhere to send data.
+Containers are destroyed after each run.
 ---
-## Data sources
+## Results so far
-| Endpoint | Used for |
-|---|---|
-| `POST https://deepseekbase.com/mcp` | prices, plugins, specs |
-| `GET https://deepseekbase.com/data/openrouter-tokens.json` | token trend |
-Everything is also browsable at <https://deepseekbase.com>.
+**3,500+ plugins actually installed and mounted** in our sandbox, across the top 2,000 by downloads.
----
-## What is deepseekbase
+| Verdict | Count |
+|---|---|
+| pass | 2,822 |
+| install fails | 654 |
+| mounts but not registered | 35 |
+| boot fails | 10 |
-A third-party index of the DeepSeek ecosystem. Not affiliated with DeepSeek.
+Browse all of them, searchable, with per-plugin pages:
-| | |
-|---|---|
-| **283 pages** | pricing, providers, 7,164 derived models, 8,559 plugins, industry kits |
-| **21 open datasets** | every figure carries its source and verification date |
-| **Free plugin testing** | real sandbox installs, results published |
-| **MCP server** | `https://deepseekbase.com/mcp` for any MCP client |
+**→ [deepseekbase.com/plugins](https://deepseekbase.com/plugins/)**
+**→ [deepseekbase.com/ecosystem/plugin-tests](https://deepseekbase.com/ecosystem/plugin-tests/)**
-We label measurement bases explicitly. Where sources disagree, we say so instead of picking
-the flattering number.
+No sign-up. No API key. No rate limit on **reading** the results.
 ---
-## Contributing
-Found a bug? [Open an issue](https://github.com/moldkey/dsh-deepseekbase/issues).
+## What it does not do
-Maintain a plugin that failed our test? The error message tells you exactly why —
-take it and fix it. We are recording a fact, not judging your code.
+- No file reads or writes
+- No shell access
+- No credential access
+- No telemetry
-Want your plugin tested? It is free:
-<https://deepseekbase.com/ecosystem/plugin-tests/>
+The whole implementation is one file — five minutes to audit.
 ---
-## Licence
+## Data attribution
+Prices come from DeepSeek's official API docs. Plugin data comes from the public npm registry and
+GitHub. Test verdicts are our own sandbox runs, not official DeepSeek output.
+This is a third-party index — cite it as such.
-MIT. Compiled data is attributed per entry on the website.
+MIT licensed. Source: [github.com/moldkey/dsh-deepseekbase](https://github.com/moldkey/dsh-deepseekbase)

package/README.zh.md CHANGED Viewed

@@ -2,134 +2,104 @@
 [English](README.md) | 中文
-**把 DeepSeek 的價格、插件、模型參數和三調用量接進 DeepSeek Harness。**
+**在 DeepSeek Harness 裡查 DeepSeek 價格、搜索插件、看沙箱測試結果。**
 ```bash
-dsh plugin --profile web add github:moldkey/dsh-deepseekbase
+dsh plugin --profile web add @liangjiehappy/dsh-deepseekbase
 ```
 ---
-## 最重要的一點：我們免費測插件
+## 裝了之後能做什麼
-大部分插件目錄只告訴你「這個插件存在」。
-**沒有人告訴你「它在你這個版本上裝得上嗎」。**
-所以我們對索引的每個 DSH 插件做真實沙箱安裝測試 —— **免費，永久**：
-| 階段 | 做什麼 |
+| 你說 | 調用的工具 |
 |---|---|
-| 1 | 在乾淨容器裡安裝（`dsh plugin add`）|
-| 2 | 確認它出現在 `dsh plugin list` |
-| 3 | 確認它掛載進組合後的配置樹 |
-| 4 | 啟動 profile，確認進程存活 |
-第 2-4 階段完全無網絡（`--network none`），所以即使插件有惡意行為也無處可去。
-容器跑完即毀。
-**目前的結果：頭部 120 個插件裡，13% 在 DSH 0.2.2-rc.1 上根本裝不上。**
-8 個栽在 `engines.dsh` 版本範圍，5 個在 npm 上已經不存在了。
-完整結果，隨測試持續更新：
+| 「DeepSeek 多少錢？」 | `deepseekbase_price` |
+| 「找個記憶類插件」 | `deepseekbase_plugin` |
+| 「V4-Flash 多大？」 | `deepseekbase_specs` |
+| 「DeepSeek 實際用了多少？」 | `deepseekbase_trend` |
+| **「幫我測 dsh-foo 能不能裝」** | **`deepseekbase_test_plugin`** |
+| **「過了嗎？」** | **`deepseekbase_test_result`** |
+| **「我還剩幾次免費測試？」** | **`deepseekbase_quota`** |
-**→ [deepseekbase.com/ecosystem/plugin-tests](https://deepseekbase.com/ecosystem/plugin-tests/)**
-不用註冊、不需要 API Key、讀結果不限次數。
+七個工具、單文件、零運行時依賴，只對 `deepseekbase.com` 發出 HTTPS 請求。
 ---
-## 這個插件給你什麼
+## 不用離開 DSH 就能測自己的插件
-| 工具 | 回答什麼 |
-|---|---|
-| `deepseekbase_price` | DeepSeek 多少錢？哪家服務商最便宜？ |
-| `deepseekbase_plugin` | 哪個插件能做 X？多少人用？風險多大？ |
-| `deepseekbase_specs` | 模型多大？上下文多長？裝得下嗎？ |
-| `deepseekbase_trend` | DeepSeek 到底被用了多少？ |
-### 例子
-> **你：** 比較一下 DeepSeek V4.1 Flash 各家服務商的價格
->
-> **工具返回：**
-> ```
-> 官方：離峰 輸入 $0.15 / 輸出 $0.60 每百萬 token
-> 最便宜第三方：Particle AI —— 輸入 $0.025 / 輸出 $0.25
-> ```
-> 同一個模型，價差 6 倍。
+大部分插件目錄只告訴你插件**存在**。沒人告訴你它在**你這個版本的 Harness 上裝不裝得上**。
----
+所以我們做真實沙箱安裝 —— 而且插件讓你直接在對話裡提交：
-## 安裝
-```bash
-dsh plugin --profile web add github:moldkey/dsh-deepseekbase
 ```
+你：测一下 dsh-foo 在 0.2.2-rc.1 上能不能装
-重啟 Harness，四個工具就可用。
+DSH: [deepseekbase_test_plugin]
+     已排队。
+     编号: 1793979912-48671
+     今天还剩 2/3 次免费额度
+     通常几分钟内跑完。
-從 npm 安裝（發布後）：
+你：过了吗？
-```bash
-dsh plugin --profile web add dsh-deepseekbase
+DSH: [deepseekbase_test_result]
+     plugin: dsh-foo
+     verdict: 已测通过
+     install_ok: True
+     node_modules: 12.4 MB
 ```
----
-## 權限
+**免費額度：每 IP 每天 3 次。** 不用註冊、不用 API key。
+更高額度在計劃中但還沒開放 —— 見[定價說明](https://deepseekbase.com/zh/plugin-pricing/#test-service)。
-這個插件：
+### 四階段測什麼
-- 只對 `deepseekbase.com` 發出 **HTTPS 請求**
-- **不**讀寫你的文件
-- **不**讀憑證或環境變量
-- **不**執行 shell 命令
+| 階段 | 網絡 | 檢查 |
+|---|---|---|
+| 1 安裝 | 有網 | `dsh plugin add` 在乾淨 profile |
+| 2 列裝 | **斷網** | `dsh plugin list` 能看到 |
+| 3 掛載 | **斷網** | `--dump-config` 出現在配置樹 |
+| 4 啟動 | **斷網** | profile 啟動 12 秒不死 |
-整個實現就是 `lib/index.js` —— 一個文件、零運行時依賴。
-五分鐘可以審完。
+後三步用 `--network none`，插件即使有惡意行為也無處可去。每個容器跑完就銷毀。
 ---
-## 數據來源
+## 目前的成果
-| 端點 | 用於 |
-|---|---|
-| `POST https://deepseekbase.com/mcp` | 價格、插件、模型參數 |
-| `GET https://deepseekbase.com/data/openrouter-tokens.json` | token 走勢 |
-全部也可以在 <https://deepseekbase.com> 瀏覽。
+**3,500+ 個插件真的裝上並掛載了**，覆蓋下載量前 2,000 名。
----
-## deepseekbase 是什麼
+| 判定 | 數量 |
+|---|---|
+| 通過 | 2,822 |
+| 裝不上 | 654 |
+| 裝了沒註冊 | 35 |
+| 啟動失敗 | 10 |
-一個 DeepSeek 生態的第三方索引站。不隸屬於 DeepSeek 官方。
+全部可搜、每個插件有獨立頁面：
-| | |
-|---|---|
-| **287 頁** | 價格、服務商、7,164 個衍生模型、8,559 個插件、行業套件 |
-| **21 份開放數據集** | 每個數字都帶來源和驗證日期 |
-| **免費插件測試** | 真實沙箱安裝，結果公開 |
-| **MCP Server** | `https://deepseekbase.com/mcp`，任何 MCP 客戶端可用 |
-| **插件開發指南** | 十章，含我們自己踩的坑 |
+**→ [deepseekbase.com/zh/plugins/](https://deepseekbase.com/zh/plugins/)**
+**→ [deepseekbase.com/zh/ecosystem/plugin-tests/](https://deepseekbase.com/zh/ecosystem/plugin-tests/)**
-我們會明確標註統計口徑。來源互相矛盾時，我們說出來，而不是挑好看的那個數字。
+**看結果**不用註冊、不用 API key、不限次數。
 ---
-## 貢獻
+## 它不做什麼
-發現 bug？[提 issue](https://github.com/moldkey/dsh-deepseekbase/issues)。
+- 不讀寫文件
+- 不執行 shell
+- 不碰憑證
+- 不上報遙測
-你的插件沒通過我們的測試？錯誤信息會告訴你具體原因 —— 拿去修就行。
-我們記錄的是一個事實，不是評價你的代碼質量。
-想讓你的插件被測試？免費：
-<https://deepseekbase.com/zh/ecosystem/plugin-tests/>
+整個實現就一個文件 —— 五分鐘能審完。
 ---
-## 許可
+## 數據來源說明
+價格來自 DeepSeek 官方 API 文檔。插件數據來自公開的 npm registry 與 GitHub。
+測試判定是我們自己沙箱跑的，不是 DeepSeek 官方輸出。這是第三方索引 —— 引用時請標明。
-MIT。匯編的數據在網站上逐條標註來源。
+MIT 許可。源碼：[github.com/moldkey/dsh-deepseekbase](https://github.com/moldkey/dsh-deepseekbase)

package/lib/index.js CHANGED Viewed

@@ -4,16 +4,27 @@
  * Brings deepseekbase.com data into DeepSeek Harness.
  *
  * Tools:
- *   deepseekbase_price   — official + third-party provider prices
- *   deepseekbase_plugin  — plugin search WITH sandbox test results
- *   deepseekbase_specs   — model technical specs
- *   deepseekbase_trend   — weekly token volume trend
+ *   deepseekbase_price        — official + third-party provider prices
+ *   deepseekbase_plugin       — plugin search WITH sandbox test results
+ *   deepseekbase_specs        — model technical specs
+ *   deepseekbase_trend        — weekly token volume trend
+ *   deepseekbase_test_plugin  — submit a plugin for a real sandbox install test
+ *   deepseekbase_test_result  — read an existing verdict
+ *   deepseekbase_quota        — remaining free test quota
+ *   deepseekbase_check        — static DSHIO/T 10 conformance check
+ *
+ * Skills:
+ *   dshio-standards           — the DSHIO standard text
+ *   dshio-check               — the conformance-checking workflow
  *
  * Data comes from the public MCP endpoint at https://deepseekbase.com/mcp
  * (JSON-RPC 2.0 over HTTP). Read-only, no API key required.
  */
 import { defineTool } from "@deepseek-ai/dsh-tools";
+import { STANDARDS_SKILL, CHECK_SKILL } from "./skills.js";
+const SKILLS = [STANDARDS_SKILL, CHECK_SKILL];
 const MCP_ENDPOINT = "https://deepseekbase.com/mcp";
 const TIMEOUT_MS = 15000;
@@ -75,7 +86,7 @@ const TEXT_OUTPUT = {
 export const name = "dsh-deepseekbase";
-export const inject = ["tools", "systemPrompt"];
+export const inject = ["tools", "systemPrompt", "skills"];
 export function apply(ctx) {
   ctx.systemPrompt.section({
@@ -85,10 +96,36 @@ export function apply(ctx) {
       "Use the deepseekbase_* tools for DeepSeek pricing, plugin discovery with sandbox " +
       "test results, model specs and token-volume trends. Also use " +
       "deepseekbase_test_plugin to submit a plugin for a real sandbox install test and " +
-      "deepseekbase_test_result to read the verdict. Data is a third-party index " +
-      "(deepseekbase.com), not official DeepSeek output — cite it as such.",
+      "deepseekbase_test_result to read the verdict. deepseekbase_check runs a static " +
+      "DSHIO/T 10 conformance check on any plugin. Two skills are registered: " +
+      "dshio-standards (the standard text) and dshio-check (the checking workflow). " +
+      "Data is a third-party index (deepseekbase.com), not official DeepSeek output — " +
+      "cite it as such.",
   });
+  // ── SKILLS ───────────────────────────────────────────────────────────────
+  // 装本插件即获得 DSHIO 标准内容，不需要额外下载。
+  try {
+    if (ctx.skills && typeof ctx.skills.register === "function") {
+      for (const sk of SKILLS) {
+        ctx.skills.register({
+          name: sk.name,
+          description: sk.description,
+          content: sk.content,
+          metadata: {
+            source: "deepseekbase",
+            standard: sk.name === "dshio-standards" ? "DSHIO/T 00,10,21" : "DSHIO/T 10",
+            lang: "zh-Hans",
+            homepage: "https://deepseekbase.com/standards/",
+          },
+          ...(sk.whenToUse ? { whenToUse: sk.whenToUse } : {}),
+        });
+      }
+    }
+  } catch (e) {
+    // skills 服务不可用时不影响工具功能
+  }
   // ── TESTING HELPERS ──────────────────────────────────────────────────────
   const BASE = "https://deepseekbase.com";
   const VERSIONS = ["0.2.2-rc.1", "0.2.2-alpha.3", "0.2.1-rc.5", "0.2.1-rc.4", "0.1.1-rc.2"];
@@ -176,13 +213,54 @@ export function apply(ctx) {
               `Unsupported dsh_version "${ver}". Allowed: ${VERSIONS.join(", ")}.`,
           };
         }
+        const plugin = (args.plugin || "").trim();
+        if (!plugin) return { text: "plugin is required." };
+        // ── 提交前先确认包存在，避免浪费免费额度 ──
+        if (!plugin.startsWith("github:")) {
+          const regUrl =
+            "https://registry.npmjs.org/" +
+            plugin.replace("/", "%2F");
+          const chk = await jfetch(regUrl, {}, exec && exec.signal);
+          if (chk.status === 404) {
+            const near = await jfetch(
+              BASE + "/data/search-zh.json",
+              {},
+              exec && exec.signal,
+            );
+            let hint = "";
+            if (near.body && Array.isArray(near.body.items)) {
+              const base = plugin.replace(/^@[^/]+\//, "").toLowerCase();
+              const cands = near.body.items
+                .filter((x) => String(x[0] || "").toLowerCase().includes(base.slice(0, 5)))
+                .slice(0, 3)
+                .map((x) => x[0]);
+              if (cands.length) hint = `\nDichtbij namen: ${cands.join(", ")}`;
+            }
+            return {
+              text:
+                `"${plugin}" bestaat niet op npm (HTTP 404).\n` +
+                `Er is niets ingediend — je gratis quotum is NIET gebruikt.\n` +
+                `Controleer de pakketnaam. Volledige naam nodig, bijvoorbeeld dsh-pet of @scope/name.` +
+                hint,
+            };
+          }
+          if (chk.status !== 200) {
+            return {
+              text:
+                `Kon "${plugin}" niet verifiëren op npm (HTTP ${chk.status}).\n` +
+                `Niets ingediend. Probeer het later opnieuw of gebruik github:owner/repo.`,
+            };
+          }
+        }
         const r = await jfetch(
           BASE + "/test/submit",
           {
             method: "POST",
             headers: { "Content-Type": "application/json" },
             body: JSON.stringify({
-              plugin: (args.plugin || "").trim(),
+              plugin,
               dsh_version: ver,
               note: (args.note || "").slice(0, 300),
             }),
@@ -306,6 +384,78 @@ export function apply(ctx) {
     }),
   );
+  // ── 8. DSHIO static conformance check ────────────────────────────────────
+  ctx.tools.register(
+    defineTool({
+      name: "deepseekbase_check",
+      description:
+        "Run a static DSHIO/T 10 conformance check on a DSH plugin. Returns per-clause " +
+        "results (clause id, pass/fail/skip/manual, evidence, fix). Static checks cover " +
+        "the manifest, the patch file and the profile entry structure — no sandbox needed. " +
+        "Clauses marked 'manual' require human judgement and are returned as a checklist, " +
+        "not as a verdict. Use when asked whether a plugin conforms to the DSHIO standard.",
+      parameters: {
+        plugin: {
+          type: "string",
+          required: true,
+          description: "npm package name or github:owner/repo to check.",
+        },
+      },
+      output: TEXT_OUTPUT,
+      isConcurrencySafe: () => true,
+      async execute(args, exec) {
+        const plugin = (args.plugin || "").trim();
+        if (!plugin) return { text: "plugin is required." };
+        const r = await jfetch(
+          BASE + "/api/dshio/check?plugin=" + encodeURIComponent(plugin),
+          {},
+          exec && exec.signal,
+        );
+        if (r.status === 429) {
+          return { text: "Rate limited (20 checks/min). Try again shortly." };
+        }
+        if (r.status !== 200 || !r.body) {
+          return { text: `Check failed (HTTP ${r.status}). ${String(r.text).slice(0, 200)}` };
+        }
+        const d = r.body;
+        if (d.error) {
+          return { text: `Check failed: ${d.error}` };
+        }
+        const lines = [];
+        lines.push(`plugin: ${d.plugin}`);
+        if (d.resolved) lines.push(`version: ${d.resolved.version}`);
+        lines.push(`baseline dsh: ${d.baseline_dsh}`);
+        lines.push(`standard: DSHIO/T 10 (static layer)`);
+        lines.push("");
+        const icon = { pass: "[PASS]", fail: "[FAIL]", skip: "[SKIP]", manual: "[MANUAL]" };
+        for (const x of d.results || []) {
+          lines.push(`${icon[x.status] || x.status} ${x.clause}  ${x.title}`);
+          if (x.status === "fail") {
+            if (x.evidence) lines.push(`        evidence: ${x.evidence}`);
+            if (x.fix) lines.push(`        fix: ${String(x.fix).split("\n")[0]}`);
+          }
+          if (x.status === "manual" && x.guidance) {
+            lines.push(`        check yourself: ${x.guidance}`);
+          }
+        }
+        const s = d.summary || {};
+        lines.push("");
+        lines.push(
+          `summary: pass ${s.pass || 0} / fail ${s.fail || 0} / ` +
+            `skip ${s.skip || 0} / manual ${s.manual || 0}`,
+        );
+        lines.push(`static conformance: ${d.conforming_static ? "YES" : "NO"}`);
+        if (!d.conforming_static) {
+          lines.push("");
+          lines.push("Fix the critical failures first; a sandbox test would fail anyway.");
+        }
+        lines.push("");
+        lines.push(`Full report: ${BASE}/plugins/${""}  · standard: ${BASE}/standards/`);
+        return { text: lines.join("\n") };
+      },
+    }),
+  );
   // ── 1. Prices ────────────────────────────────────────────────────────────
   ctx.tools.register(
     defineTool({

package/lib/skills.js ADDED Viewed

@@ -0,0 +1,224 @@
+// DSHIO 标准技能内容
+// 装我们的插件后，模型可以直接载入这些技能来查阅标准和执行检查。
+export const STANDARDS_SKILL = {
+  name: "dshio-standards",
+  description:
+    "DSHIO 标准体系（DSHIO/T 00 术语、DSHIO/T 10 插件标准、DSHIO/T 21 测试条件）。" +
+    "当用户问「符不符合 DSHIO 标准」「插件标准要求什么」「测试条件是什么」时载入本技能。" +
+    "本技能包含条款编号与判定规则，可直接引用条款号。",
+  whenToUse:
+    "用户询问 DSH 插件是否合规、插件应满足哪些要求、沙箱测试在什么条件下进行、" +
+    "或需要引用 DSHIO 标准条款号时使用。",
+  content: `# DSHIO 标准速查
+DSHIO = DeepSeek Harness Input/Output，第三方标准体系，不是官方机构。
+标准号格式：\`DSHIO/T <序号>—<年份>\`，参照 GB/T 体例。
+## 体系结构
+| 区段 | 类型 | 内容 |
+|---|---|---|
+| 00–09 | 基础标准 | 术语、编写规则、分类编码、评定通则 |
+| 10–19 | 产品标准 | 插件、套件、工具、数据接口、主题、模型接入 |
+| 20–29 | 方法标准 | 测试方法、测试条件、抽样、分级 |
+| 30–39 | 管理标准 | 收录、推荐、认证、标志、申诉、修订 |
+引用单向：上层可引下层，下层不得引上层。
+## 关键原则：实施独立性
+**标准不要求使用任何特定的开发工具、编程语言、构建流程或辅助库。**
+凡满足全部技术要求者即为符合，不论其如何实现。
+判定以可观测的运行时行为为准，不以源码结构为准。
+含义：
+- 不强制 \`@deepseek-ai/dsh-tools\`（\`defineTool()\` 只是便捷方式，手写契约对象同样合法）
+- 不强制 TypeScript
+- 不强制 pnpm
+- 不读源码判定
+## 术语（DSHIO/T 00）
+| 术语 | 定义 | 判别条件 |
+|---|---|---|
+| 插件 plugin | 向 DSH 提供能力的软件单元 | 三条全满足：① \`package.json\` 有 \`dsh.bundle.patch\` ② 该字段指向的文件存在 ③ 该文件 \`insert\` 列表至少一个 entry |
+| 套件 bundle | 一组插件的集合 | 作为 \`dsh.profile.bundles\` 成员出现，本身不提供能力 |
+| 工具 tool | 向模型暴露的可调用函数 | \`name\`/\`description\`/\`parameters\`/\`execute\` 四字段齐全 |
+| 服务 service | 向其他插件提供的可注入能力 | 以 \`inject\` 声明依赖 |
+| entry | 配置树中的一个条目 | \`cordis.patch.yml\` 的 \`insert\` 列表中的一项 |
+| 挂载 mount | entry 出现在合成后的配置树 | \`dsh --dump-config\` 可见 |
+| 判定 verdict | 对一次测试的结论 | 五值：pass / install_failed / config_failed / installs_but_not_registered / boot_failed |
+**模型无关性**：DSH 的安装、挂载、启动不依赖具体模型，因为模型接入是独立插件（\`dsh-llm-*\`）。
+所以 T0–T4 的判定在任何模型下都成立；只有 T5 依賴模型。
+## 插件标准要点（DSHIO/T 10）
+### 必须做到（critical）
+| 条款 | 要求 |
+|---|---|
+| 5.1.1 | \`package.json\` 含 \`dsh.bundle.patch\` 字段 |
+| 5.1.2 | 该字段指向的文件在包内存在 |
+| 5.1.3 | patch 文件是合法 YAML（**\`@\` 开头的值必须加引号**，这是最常见错误）|
+| 5.1.4 | patch 顶层是数组，至少含一个带 \`insert\` 的项 |
+| 5.1.5 | 每个 entry 含非空 \`id\` 与 \`name\` |
+| 5.2.2 | \`engines.dsh\` 范围包含基准版本 0.2.2-rc.1 |
+| 5.2.3 | 有 \`main\` 或 \`exports\` 入口 |
+| 5.3.2 | 不依赖本地绝对路径或 \`file:\` 协议 |
+### 应该做到（major）
+| 条款 | 要求 |
+|---|---|
+| 5.2.1 | 声明 \`engines.dsh\`；缺失时按 DSH peerDependencies 判定 |
+| 5.3.1 | 若声明 \`files\`，必须包含 \`lib\` 与 patch 文件 |
+| 6.1.1 | 每个工具的 description 必须让人判断出「什么情况下调用它」 |
+| 6.1.2 | 声明的权限与实际行为一致（不高报、不低报） |
+| 6.2.1 | 不得出现红线权限组合 |
+### 红线
+同时声明 \`network\` 与（\`shell\` 或 \`filesystem\` 写权限）= 数据外泄路径 = 高风险。
+### 测试阶段（需沙箱）
+| 阶段 | 网络 | 检查 |
+|---|---|---|
+| T1 安装 | 有网 | \`dsh plugin --profile web add <pkg>\` |
+| T2 列装 | **断网** | \`dsh plugin --profile web list\` |
+| T3 挂载 | **断网** | \`dsh --profile web --dump-config\` |
+| T4 启动 | **断网** | profile 启动后存活 12 秒 |
+T2–T4 必须 \`--network none\`：既防恶意行为外发数据，也让残留网络请求失败暴露。
+## 测试条件要点（DSHIO/T 21）
+**没有固定条件的测试报告只是一人在某台机器上的印象。** 报告必须记录环境指纹：
+\`\`\`
+dsh=0.2.2-rc.1;img=dsh-sandbox:5.0@sha256:...;node=24.11.1;pnpm=9.15.9;mem=768m;cpu=1
+\`\`\`
+固定项：DSH 版本（精确到 rc）、容器镜像 + digest、Node/pnpm 版本、内存 768MB、CPU 1 核、
+网络状态、超时（安装 180s / 验证 90s / 启动观察 12s）。
+**重复次数**：对外判定至少 2 次，结果必须一致；不一致记「不稳定」，不得用于认证。
+T5（模型相关）额外必须记录：模型 ID + 版本、temperature、max_tokens、
+系统提示词全文、测试提示词全文、**同一轮可用工具总数**（工具越多选错概率越高）。
+T5 重复 3 次，认证用「全过」判据。
+## 判定规则
+- 任何 \`critical\` 条款不符合 → 不符合标准
+- 只引用有编号的条款，不要自创条款号
+- 无法自动判定的条款（描述质量、权限合理性）必须标为「需人工判断」，不要替用户下结论
+## 引用格式
+引用时写：\`DSHIO/T 10—2026 第 5.2.2 条\`
+不要写：\`DSHIO-DEV\`、\`DSHIO-TEST\`（旧缩写已废止）
+标准来源：https://deepseekbase.com/standards/ · 官网 dshio.org（建设中）
+标准为第三方归纳，不是 DeepSeek 官方规范，引用时须注明。
+`,
+};
+export const CHECK_SKILL = {
+  name: "dshio-check",
+  description:
+    "对某个 DSH 插件执行 DSHIO/T 10 静态符合性检查。" +
+    "当用户问「这个插件符不符合标准」「帮我检查我的插件」「哪里不合规」时载入本技能。" +
+    "检查分三层：静态（可自动）、沙箱测试（需提交）、人工判断（只能给清单）。",
+  whenToUse:
+    "用户要求检查某个插件是否符合 DSHIO 标准、想知道自己的插件哪里不合规、" +
+    "或要求生成合规报告时使用。",
+  content: `# DSHIO 插件合规检查流程
+## 三层检查，不要混为一谈
+| 层 | 能判定 | 怎么得到结论 |
+|---|---|---|
+| **静态** | 结构合法性 | \`deepseekbase_check\` 工具，即时返回 |
+| **沙箱** | 能否装/挂/启动 | \`deepseekbase_test_plugin\` 提交，几分钟出结果 |
+| **人工** | 描述质量、权限合理性 | 只给清单和引导问题，**不要替用户下结论** |
+## 执行顺序
+1. 先调 \`deepseekbase_check(plugin)\` 拿静态结果
+2. 有 critical 不符合 → 直接报，不要提交沙箱测试（省额度）
+3. 静态通过 → 问用户要不要跑沙箱测试（会消耗免费额度 3 次/天）
+4. manual 类条款：列出清单，让用户自己判断
+## 怎么报告结果
+**必须**：
+- 引用条款号（如 \`5.2.2\`）
+- 给出证据（实际值 vs 要求值）
+- 给出修法（可复制粘贴的写法）
+- 区分「不符合」和「需人工判断」
+**禁止**：
+- 说「看起来没问题」（必须有条款依据）
+- 把 manual 条款判成通过或失败
+- 自创条款号
+## 常见错误与修法
+### 1. \`@\` 开头未加引号（最常见）
+\`\`\`yaml
+# ✗ 错
+- insert:
+    - id: foo
+      name: @scope/foo
+# ✓ 对
+- insert:
+    - id: foo
+      name: "@scope/foo"
+\`\`\`
+YAML 里 \`@\` 是保留指示符，不加引号会解析失败。
+### 2. \`engines.dsh\` 上界写死
+\`\`\`json
+// ✗ 错：排除 0.2.2-rc.1
+"engines": { "dsh": ">=0.2.0-rc.2 <0.2.2-0" }
+// ✓ 对：只写下界
+"engines": { "dsh": ">=0.2.0-rc.2" }
+\`\`\`
+### 3. files 数组漏了 patch
+\`\`\`json
+"files": ["lib/index.js", "cordis.patch.yml"]
+\`\`\`
+只写 \`lib/index.js\` 会漏掉整个目录。
+### 4. 红线权限组合
+\`\`\`json
+"dsh": { "permissions": ["network", "fs-write"] }   // 高危
+\`\`\`
+如果确实需要，在 README 写清为什么需要 + 数据流向。
+## 示例对话
+用户：「帮我看看 dsh-pet 符不符合标准」
+正确做法：
+1. 调 \`deepseekbase_check("dsh-pet")\`
+2. 报告：「静态检查 10/10 通过。还有 2 条需人工判断：description 是否说清场景、权限是否与实际一致。要不要跑沙箱测试？（消耗 1 次免费额度，每天 3 次）」
+错误做法：
+- 「dsh-pet 符合标准」← 没给条款依据，而且 manual 条款没判
+- 直接跑沙箱测试 ← 没问用户，浪费额度
+`,
+};

package/package.json CHANGED Viewed

@@ -1,6 +1,6 @@
 {
   "name": "@liangjiehappy/dsh-deepseekbase",
-  "version": "0.2.1",
+  "version": "0.3.0",
   "description": "DeepSeek prices, plugins with sandbox test results, model specs and token trends inside DeepSeek Harness — powered by deepseekbase.com",
   "keywords": [
     "deepseek-harness",