@stardustlc/dsh-suite 0.2.23 → 0.2.25

package/CHANGELOG.md

@@ -2,6 +2,19 @@
 
 [返回简介](README.md) · [使用说明](docs/USAGE.md) · [验证记录](docs/VALIDATION.md)
 
+## 0.2.25 (2026-10-15)
+
+- 同步 Code Security 0.4.1：中英文设置工作台、可选 Betterleaks / Semgrep CE / OSV、统一脱敏和 Python 依赖解析，以及默认关闭的逐轮改动检查。
+- 复查保留范围和引擎，失败不会被记为修复完成；本地规则与增强引擎共用明确的覆盖状态。其余组件固定为上一版已发布版本，详见 [本次验收](docs/validation-2026-10-15-security.md)。
+
+## 0.2.24 (2026-10-15)
+
+- PPT 0.10.0：工作台和工具支持复制/删除页面，保留图文、图表与备注，结构修改可撤销；保护最后一页与未保存输入。
+- FFmpeg 0.5.0：修复 GIF 截取选项及调色板生成，统一拼接素材尺寸、帧率和像素比例；有声/无声混合时补静音，保留原有声音。
+- RSS 0.6.2：请求独立管理直连、代理隧道及 TLS 套接字错误；更新 Undici，增加 Windows/Linux、Node 22/24 检查。
+- 极简 PTC 0.5.5：移除新版已停用的 toolFilter，使用官方调度服务的子代理限制；提供可选持久 Node 补丁，默认仍为逐次运行。
+- 同步 Code Security 0.3.8，修复此前组合包仍锁旧版的问题。详见 [验证记录](docs/validation-2026-10-15.md)。
+
 ## 0.2.23 (2026-10-08)
 
 - 同步 Email 0.16.2：Windows OAuth2 令牌使用当前用户 DPAPI 加密，有效旧数据原位迁移；加密不可用或数据损坏时保留原文件，提供中英文恢复提示。

package/README.en.md

@@ -34,7 +34,7 @@ Install the suite when you need the full set, then configure the accounts and to
 
 Enable only the suite bundle in the profile; it loads the components. Each component still has its own account, executable and network requirements.
 
-This version pins Dream 0.9.0: quiet-time consolidation, a recoverable deferred queue, per-chat controls, atomic batch review and fact review deadlines. See [Dream validation](https://github.com/STARDUSTLC666/dsh-dream/blob/master/docs/validation/0.9.0.md) for actual interactions and their limits. Workbench UI follows the host language while preserving original content.
+This version pins Code Security 0.4.1: a bilingual security workbench, optional secret/data-flow/dependency engines, redacted evidence, fix tracking and opt-in quiet checks per project. Compatibility is verified with official DSH 0.2.1-alpha.3; see [this validation record](docs/validation-2026-10-15-security.md). The same day's PPT, FFmpeg, RSS and minimal PTC changes are in the [previous record](docs/validation-2026-10-15.md).
 
 Detailed configuration, tool arguments and troubleshooting are in the [usage guide](docs/USAGE.en.md). For standalone development, follow the Node requirement in [package.json](package.json).
 

package/README.md

@@ -34,7 +34,7 @@ dsh plugin --profile desktop add @stardustlc/dsh-suite
 
 profile 只启用 Suite 这一层，由它加载组件。组件的账号、外部程序与网络要求仍各自适用。
 
-本版同步 Dream 0.9.0：安静后合并整理、可恢复的延后队列、聊天独立控制、批量审阅和事实到期复核。实际操作与验收边界见 [Dream 验收](https://github.com/STARDUSTLC666/dsh-dream/blob/master/docs/validation/0.9.0.md)。各工作台跟随宿主语言，用户正文保留原文。
+本版同步 Code Security 0.4.1：中英文安全工作台、可选密钥/数据流/依赖漏洞引擎、脱敏与修复追踪，以及按项目开启的安静自动检查。适配验证使用官方 DSH 0.2.1-alpha.3；详见 [本次验收](docs/validation-2026-10-15-security.md)。同日 PPT、FFmpeg、RSS 和极简 PTC 的改进见 [前一轮记录](docs/validation-2026-10-15.md)。
 
 详细配置、工具参数与排错见[使用说明](docs/USAGE.md)。从源码独立开发时，Node 要求以 [package.json](package.json) 为准。
 

package/docs/VALIDATION.md

@@ -2,6 +2,10 @@
 
 本页整理原 README 的历史验证说明，保留当时的版本、日期与范围。自动测试、启动检查、浏览器操作和真实服务验收分别记录，不能相互替代。更详细的版本验收文件仍保留在仓库中。
 
+## 0.2.24（2026-10-15）
+
+官方 DSH 0.2.1-alpha.3 下共同加载 18 个插件、111 个工具和 36 个技能；极简 PTC 新旧宿主兼容、PPT 中英文与窄屏操作、最终 PPTX 渲染，以及 FFmpeg/RSS 真实功能检查见 [本次记录](validation-2026-10-15.md)。
+
 ## 0.2.22（2026-10-08）
 
 同步邮件会话附件修复，实际预览下载与本机 SMTP 收到的附件一致；中英文确认边界说明经过可见操作核对。详见[继续复查记录](validation-2026-10-08-followup.md)。

package/docs/validation-2026-10-15-security.md

@@ -0,0 +1,24 @@
+# 2026-10-15 Code Security 适配与增强
+
+Suite 0.2.25 固定 dsh-code-security 0.4.1；其他 17 个组件保持 0.2.24 的公开版本。核心改变在独立安全插件，组合包负责同步安装版本。
+
+## 独立插件
+
+- Windows、Node 24.16.0：79 项测试通过，无跳过，包括 Betterleaks 1.9.0、Semgrep CE 1.181.0 和 OSV-Scanner 2.7.0 的真实原生程序。
+- 官方 npm DSH 0.2.1-alpha.3：实际网页设置操作覆盖中文/英文、空项目、增强扫描、依赖审计、脱敏证据、缺程序、取消、复查、导出和 390px 布局；页面/控制台错误为 0。
+- 自动模式：通过界面启用，在真实 DSH 中用合成 turn/start、turn/end 记录重放事件，检查独立状态以及 systemPrompt.context 中的高风险提醒；没有调用用户模型或生成新一轮任务。
+- 官方 CLI 将本地发布 tarball 安装到全新隔离 profile，核对客户端、规则、十个工具、PEP 621、脱敏与 SARIF。公开 registry、CI tarball 和最终组合安装另外核验。
+
+源代码和详细边界见 [Code Security 验证记录](https://github.com/STARDUSTLC666/dsh-code-security/blob/master/docs/VALIDATION.md)。
+
+## 发布前的组合验证
+
+Suite 的 12 项检查及官方 alpha.3 的 18 插件契约通过。使用官方 CLI 将最终本地 Suite tarball 与全部公开组件安装到新 profile 后，18 个插件共同启动，111 个工具、36 个技能、极简 PTC 预设挂载和调度工具清单检查通过。网页入口 200、验证链接换取会话 303、未认证入口 401，进程正常退出。
+
+Code Security 0.4.1 已发布并独立核验：公开 npm 元数据、下载文件与 CI 发布产物摘要/字节一致；通过官方 CLI 再次从公开 registry 安装后，交叉规则脱敏、Python 依赖与报告导出检查通过。见 [六项 CI](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38709848013) 和[发布工作流](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38710120277)。Suite 自身的公开发布与最终安装由对应发布工作流及发布后检查分别记录。
+
+## 边界
+
+原生桌面窗口未操作，网页结果不算桌面操作通过。活动聊天中的文件预览跳转未做端到端验收；未打开对应聊天时的提示已验证。OSV 离线测试使用合成公告库，联网程序检查过真实公开样例依赖；这些不是全量规则准确率或漏洞库完整性评测。
+
+自动检查默认关闭；只运行本地内置规则，不调用模型、不执行修复、不修改基线。增强工具由用户安装，OSV 联网审计需要明确选择。各引擎未安装、失败、超时和不完整状态不会混为通过。

package/docs/validation-2026-10-15.md

@@ -0,0 +1,30 @@
+# 2026-10-15 功能与兼容验收
+
+环境：Windows、Node 24.16.0、官方 npm DSH 0.2.1-alpha.3；SDK 与宿主来自同一个官方发行包。使用隔离 DSH_HOME，不读取账号密钥，不修改用户权限或切换前台窗口。钉钉按用户要求暂缓开发。
+
+## 本次组件
+
+| 组件 | 版本 | 行为变化 |
+| --- | --- | --- |
+| PPT | 0.10.0 | 页面复制、删除与结构撤销；副本保留图片、图表、备注并获得独立 ID |
+| FFmpeg | 0.5.0 | 修复 GIF 截取与调色板；不同尺寸/帧率/SAR 可拼接，可指定输出规格；混合声音不再整段静音 |
+| RSS | 0.6.2 | 直连、代理及 TLS 连接错误在请求内处理，保留证书验证与地址校验 |
+| 极简 PTC | 0.5.5 | alpha.3 预设挂载修复，可选持久 Node 运行模式 |
+| Code Security | 0.3.8 | 组合包跟进已发布的增量扫描修复，不再固定 0.3.7 |
+
+## 已完成的检查
+
+- 18 个组件 SDK 契约通过；真实 alpha.3 宿主注册 111 个插件工具、36 个技能，完整清单一致。极简 PTC 挂载后向模型提供 run_code，保留所有插件工具及官方四个调度工具。alpha.1 真实启动也通过。
+- 启动令牌换取 Cookie 返回 303；未认证主页 401，认证主页 200；验收后宿主退出。
+- alpha.1 / alpha.3 共八次官方调度工具调用均拒绝子代理，返回 subagent_session，未触达调度后端；移除过时的 toolFilter 没有解除这一限制。
+- 可选持久 Node 补丁在 alpha.3 真宿主运行：同一 owner 两次调用得到 41、42；不同 owner 不共享变量，release 后变量清空。仅此合成执行使用 Full Access，未修改用户配置；默认模式仍不持久。
+- PPT：119 项本地测试通过，无跳过。实际进入 DSH 设置页，操作复制、删除、连续撤销、最后一页保护与未保存输入保护。中英文和 390px 窄屏均通过，用户中文内容保留；无横向溢出、控制台错误或页面异常。最终三页 PPTX 通过官方 LibreOffice Kit 0.1.5 原生渲染，逐页查看封面/柱状图/图片，无缺字或裁切，收据完整性通过。
+- FFmpeg：110 项本地测试通过；原问题在修复前失败，修复后四个真实媒体回归通过。从 npm 全新安装 0.5.0，再次制作 GIF 和混合视频，四项通过，无跳过。
+- RSS：119 项本地测试通过，Windows/Linux × Node 22/24 CI 通过；npm 全新安装后六个独立进程复测通过，覆盖连接拒绝、代理握手中断、取消、直连/代理 HTTPS 成功及错误域名证书拒绝。未加入进程级 uncaughtException 吞错处理。
+- 外部 RSS：GitHub 官方发行 Atom 和 HN RSS 在应用直连、系统代理偏好两种配置下均取得条目；阮一峰源返回 HTTP 403，准确报错且进程继续工作。机器 VPN 始终开启，这不能证明无 VPN 网络可达。
+
+## 反馈与证据边界
+
+FFmpeg #4/#5 的具体问题已修复。RSS #2 的 Linux 原始进程崩溃未在本机 Windows 自然重现；本次提供跨平台连接回归与实际抓取证据，保留原问题供反馈者确认。HyperFrames #2 报错指向已不存在的 DSH Desktop 可执行文件，不能据此宣称插件导入失败；Email #19 的收件人规则已有实现，但不自动放开所有发送审批。
+
+本次不宣称完成原生桌面逐插件操作、PowerPoint/WPS 编辑验收、真实模型自主调用验收，或全部真实账号服务检查。未改动的插件完成共同加载/清单检查，不等同于今天重新逐项点击验证其业务流程。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@stardustlc/dsh-suite",
-  "version": "0.2.23",
+  "version": "0.2.25",
   "description": "一次安装 18 个独立 DSH 插件，并统一组合它们的默认配置。",
   "type": "module",
   "dsh": {
@@ -54,17 +54,17 @@
     "@stardustlc/dsh-dream": "0.9.0",
     "dsh-calendar": "0.10.3",
     "dsh-cite": "0.4.2",
-    "dsh-code-security": "0.3.7",
+"dsh-code-security": "0.4.1",
     "dsh-codex-port": "0.3.0",
     "dsh-dingtalk": "0.2.2",
     "dsh-email": "0.16.2",
-    "dsh-ffmpeg": "0.4.5",
+    "dsh-ffmpeg": "0.5.0",
     "dsh-flakefinder": "0.3.5",
     "dsh-hyperframes": "0.6.0",
-    "dsh-minimal-ptc": "0.5.4",
-    "dsh-ppt": "0.9.0",
+    "dsh-minimal-ptc": "0.5.5",
+    "dsh-ppt": "0.10.0",
     "dsh-remotion": "0.5.0",
-    "dsh-rss": "0.6.1",
+    "dsh-rss": "0.6.2",
     "dsh-slack": "0.3.4",
     "dsh-sql": "0.4.5",
     "dsh-voice": "0.3.6"

package/ptc-minimal.patch.yml

@@ -130,6 +130,8 @@
             name: '@deepseek-ai/dsh-tool-jobs'
 
           - id: tool-schedule
+            # Wait for service activation; do not freeze an early readiness
+            # check into a disabled row while the Host is still booting.
             name: dsh-minimal-ptc/schedule-tools
 
           # ── skills ──────────────────────────────────────────────────────────────────
@@ -227,12 +229,6 @@
                   toolName: subagent
                   modelSelectionSettings: true
                   backgroundMode: continuable
-                  toolFilter:
-                    deny:
-                      - schedule_create
-                      - schedule_delete
-                      - schedule_list
-                      - schedule_update
 
               - id: tool-subagent-fork
                 name: '@deepseek-ai/dsh-tool-subagent'
@@ -240,12 +236,6 @@
                   provider: fork
                   toolName: subagent_fork
                   backgroundMode: continuable
-                  toolFilter:
-                    deny:
-                      - schedule_create
-                      - schedule_delete
-                      - schedule_list
-                      - schedule_update
 
               # Product providers are host-plane singletons. Remove `disabled` from
               # either ordinary tool row to expose that product to agents on this preset.