@stardustlc/dsh-suite 0.2.24 → 0.2.25

package/CHANGELOG.md

@@ -2,6 +2,11 @@
 
 [返回简介](README.md) · [使用说明](docs/USAGE.md) · [验证记录](docs/VALIDATION.md)
 
+## 0.2.25 (2026-10-15)
+
+- 同步 Code Security 0.4.1：中英文设置工作台、可选 Betterleaks / Semgrep CE / OSV、统一脱敏和 Python 依赖解析，以及默认关闭的逐轮改动检查。
+- 复查保留范围和引擎，失败不会被记为修复完成；本地规则与增强引擎共用明确的覆盖状态。其余组件固定为上一版已发布版本，详见 [本次验收](docs/validation-2026-10-15-security.md)。
+
 ## 0.2.24 (2026-10-15)
 
 - PPT 0.10.0：工作台和工具支持复制/删除页面，保留图文、图表与备注，结构修改可撤销；保护最后一页与未保存输入。

package/README.en.md

@@ -34,7 +34,7 @@ Install the suite when you need the full set, then configure the accounts and to
 
 Enable only the suite bundle in the profile; it loads the components. Each component still has its own account, executable and network requirements.
 
-This version targets official DSH 0.2.1-alpha.3, restores the minimal PTC subagent preset, adds PPT slide duplication/deletion, fixes GIF trimming and mixed-format video concatenation, and hardens RSS connection error isolation. It also pins Code Security 0.3.8. Workbench UI follows the host language while preserving original content. See [this validation record](docs/validation-2026-10-15.md) for actual interactions and their limits.
+This version pins Code Security 0.4.1: a bilingual security workbench, optional secret/data-flow/dependency engines, redacted evidence, fix tracking and opt-in quiet checks per project. Compatibility is verified with official DSH 0.2.1-alpha.3; see [this validation record](docs/validation-2026-10-15-security.md). The same day's PPT, FFmpeg, RSS and minimal PTC changes are in the [previous record](docs/validation-2026-10-15.md).
 
 Detailed configuration, tool arguments and troubleshooting are in the [usage guide](docs/USAGE.en.md). For standalone development, follow the Node requirement in [package.json](package.json).
 

package/README.md

@@ -34,7 +34,7 @@ dsh plugin --profile desktop add @stardustlc/dsh-suite
 
 profile 只启用 Suite 这一层，由它加载组件。组件的账号、外部程序与网络要求仍各自适用。
 
-本版适配官方 DSH 0.2.1-alpha.3，修复极简 PTC 的子代理预设挂载，增加 PPT 页面复制/删除，修复 GIF 截取与不同规格视频拼接，并加强 RSS 连接错误隔离。同步 Code Security 0.3.8；各工作台跟随宿主语言，用户正文保留原文。实际操作与未测范围见 [本次验收](docs/validation-2026-10-15.md)。
+本版同步 Code Security 0.4.1：中英文安全工作台、可选密钥/数据流/依赖漏洞引擎、脱敏与修复追踪，以及按项目开启的安静自动检查。适配验证使用官方 DSH 0.2.1-alpha.3；详见 [本次验收](docs/validation-2026-10-15-security.md)。同日 PPT、FFmpeg、RSS 和极简 PTC 的改进见 [前一轮记录](docs/validation-2026-10-15.md)。
 
 详细配置、工具参数与排错见[使用说明](docs/USAGE.md)。从源码独立开发时，Node 要求以 [package.json](package.json) 为准。
 

package/docs/validation-2026-10-15-security.md

@@ -0,0 +1,24 @@
+# 2026-10-15 Code Security 适配与增强
+
+Suite 0.2.25 固定 dsh-code-security 0.4.1；其他 17 个组件保持 0.2.24 的公开版本。核心改变在独立安全插件，组合包负责同步安装版本。
+
+## 独立插件
+
+- Windows、Node 24.16.0：79 项测试通过，无跳过，包括 Betterleaks 1.9.0、Semgrep CE 1.181.0 和 OSV-Scanner 2.7.0 的真实原生程序。
+- 官方 npm DSH 0.2.1-alpha.3：实际网页设置操作覆盖中文/英文、空项目、增强扫描、依赖审计、脱敏证据、缺程序、取消、复查、导出和 390px 布局；页面/控制台错误为 0。
+- 自动模式：通过界面启用，在真实 DSH 中用合成 turn/start、turn/end 记录重放事件，检查独立状态以及 systemPrompt.context 中的高风险提醒；没有调用用户模型或生成新一轮任务。
+- 官方 CLI 将本地发布 tarball 安装到全新隔离 profile，核对客户端、规则、十个工具、PEP 621、脱敏与 SARIF。公开 registry、CI tarball 和最终组合安装另外核验。
+
+源代码和详细边界见 [Code Security 验证记录](https://github.com/STARDUSTLC666/dsh-code-security/blob/master/docs/VALIDATION.md)。
+
+## 发布前的组合验证
+
+Suite 的 12 项检查及官方 alpha.3 的 18 插件契约通过。使用官方 CLI 将最终本地 Suite tarball 与全部公开组件安装到新 profile 后，18 个插件共同启动，111 个工具、36 个技能、极简 PTC 预设挂载和调度工具清单检查通过。网页入口 200、验证链接换取会话 303、未认证入口 401，进程正常退出。
+
+Code Security 0.4.1 已发布并独立核验：公开 npm 元数据、下载文件与 CI 发布产物摘要/字节一致；通过官方 CLI 再次从公开 registry 安装后，交叉规则脱敏、Python 依赖与报告导出检查通过。见 [六项 CI](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38709848013) 和[发布工作流](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38710120277)。Suite 自身的公开发布与最终安装由对应发布工作流及发布后检查分别记录。
+
+## 边界
+
+原生桌面窗口未操作，网页结果不算桌面操作通过。活动聊天中的文件预览跳转未做端到端验收；未打开对应聊天时的提示已验证。OSV 离线测试使用合成公告库，联网程序检查过真实公开样例依赖；这些不是全量规则准确率或漏洞库完整性评测。
+
+自动检查默认关闭；只运行本地内置规则，不调用模型、不执行修复、不修改基线。增强工具由用户安装，OSV 联网审计需要明确选择。各引擎未安装、失败、超时和不完整状态不会混为通过。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@stardustlc/dsh-suite",
-  "version": "0.2.24",
+  "version": "0.2.25",
   "description": "一次安装 18 个独立 DSH 插件，并统一组合它们的默认配置。",
   "type": "module",
   "dsh": {
@@ -54,7 +54,7 @@
     "@stardustlc/dsh-dream": "0.9.0",
     "dsh-calendar": "0.10.3",
     "dsh-cite": "0.4.2",
-    "dsh-code-security": "0.3.8",
+"dsh-code-security": "0.4.1",
     "dsh-codex-port": "0.3.0",
     "dsh-dingtalk": "0.2.2",
     "dsh-email": "0.16.2",