@stardustlc/dsh-suite 0.2.24 → 0.2.26

package/CHANGELOG.md

@@ -2,6 +2,16 @@
 
 [返回简介](README.md) · [使用说明](docs/USAGE.md) · [验证记录](docs/VALIDATION.md)
 
+## 0.2.26 (2026-10-17)
+
+- 同步极简 PTC 0.5.6 及套件预设：修复完整提示词覆盖工具 SDK，保留极简身份与必要的官方工具声明，按作用域和运行格式生成。
+- 适配核对官方 DSH 0.2.1-alpha.5；共同加载验收新增“模型提示词必须包含当前工具 SDK”检查，避免仅凭工具注册成功判定可用。其余 17 个组件保持原版本，详见 [本次记录](docs/validation-2026-10-17-alpha5.md)。
+
+## 0.2.25 (2026-10-15)
+
+- 同步 Code Security 0.4.1：中英文设置工作台、可选 Betterleaks / Semgrep CE / OSV、统一脱敏和 Python 依赖解析，以及默认关闭的逐轮改动检查。
+- 复查保留范围和引擎，失败不会被记为修复完成；本地规则与增强引擎共用明确的覆盖状态。其余组件固定为上一版已发布版本，详见 [本次验收](docs/validation-2026-10-15-security.md)。
+
 ## 0.2.24 (2026-10-15)
 
 - PPT 0.10.0：工作台和工具支持复制/删除页面，保留图文、图表与备注，结构修改可撤销；保护最后一页与未保存输入。

package/README.en.md

@@ -34,7 +34,7 @@ Install the suite when you need the full set, then configure the accounts and to
 
 Enable only the suite bundle in the profile; it loads the components. Each component still has its own account, executable and network requirements.
 
-This version targets official DSH 0.2.1-alpha.3, restores the minimal PTC subagent preset, adds PPT slide duplication/deletion, fixes GIF trimming and mixed-format video concatenation, and hardens RSS connection error isolation. It also pins Code Security 0.3.8. Workbench UI follows the host language while preserving original content. See [this validation record](docs/validation-2026-10-15.md) for actual interactions and their limits.
+This version pins minimal PTC 0.5.6, fixing missing tool SDK declarations in the model prompt and following official DSH 0.2.1-alpha.5 execution-format guidance. See [this validation record](docs/validation-2026-10-17-alpha5.md) for the 18-component regressions, compatibility, actual PTC execution and Security/PPT browser interactions. Code Security 0.4.1 features remain documented in the [security record](docs/validation-2026-10-15-security.md).
 
 Detailed configuration, tool arguments and troubleshooting are in the [usage guide](docs/USAGE.en.md). For standalone development, follow the Node requirement in [package.json](package.json).
 

package/README.md

@@ -34,7 +34,7 @@ dsh plugin --profile desktop add @stardustlc/dsh-suite
 
 profile 只启用 Suite 这一层，由它加载组件。组件的账号、外部程序与网络要求仍各自适用。
 
-本版适配官方 DSH 0.2.1-alpha.3，修复极简 PTC 的子代理预设挂载，增加 PPT 页面复制/删除，修复 GIF 截取与不同规格视频拼接，并加强 RSS 连接错误隔离。同步 Code Security 0.3.8；各工作台跟随宿主语言，用户正文保留原文。实际操作与未测范围见 [本次验收](docs/validation-2026-10-15.md)。
+本版同步极简 PTC 0.5.6，修复模型看不到工具 SDK 的问题，并跟随官方 DSH 0.2.1-alpha.5 的执行格式指引。18 个组件的回归与兼容性检查、实际 PTC 执行、安全和 PPT 浏览器操作见 [本次验收](docs/validation-2026-10-17-alpha5.md)。Code Security 0.4.1 的功能说明见 [安全记录](docs/validation-2026-10-15-security.md)。
 
 详细配置、工具参数与排错见[使用说明](docs/USAGE.md)。从源码独立开发时，Node 要求以 [package.json](package.json) 为准。
 

package/docs/VALIDATION.md

@@ -2,6 +2,14 @@
 
 本页整理原 README 的历史验证说明，保留当时的版本、日期与范围。自动测试、启动检查、浏览器操作和真实服务验收分别记录，不能相互替代。更详细的版本验收文件仍保留在仓库中。
 
+## 0.2.26（2026-10-17）
+
+核对官方 DSH 0.2.1-alpha.5，修复极简 PTC 的模型提示词丢失工具 SDK，并同步独立组件与组合预设。18 个组件 1,751 项测试通过、5 项跳过；共同加载新增 SDK 可见性检查。真实执行、公开安装及浏览器操作的范围见 [本次记录](validation-2026-10-17-alpha5.md)。
+
+## 0.2.25（2026-10-15）
+
+Code Security 0.4.1 的发布与工作台验收见 [安全记录](validation-2026-10-15-security.md)。追加核对官方 DSH 0.2.1-alpha.4：公开 npm 全新安装后，18 插件、111 工具、36 技能和极简 PTC 预设通过；官方兼容性预检覆盖全部 19 个包，并验证不兼容的组件或组合包会被拒绝。安全 14 项、PPT 21 项浏览器操作通过，原生桌面与真实模型未在本轮重测。详见 [alpha.4 记录](validation-2026-10-15-alpha4.md)。
+
 ## 0.2.24（2026-10-15）
 
 官方 DSH 0.2.1-alpha.3 下共同加载 18 个插件、111 个工具和 36 个技能；极简 PTC 新旧宿主兼容、PPT 中英文与窄屏操作、最终 PPTX 渲染，以及 FFmpeg/RSS 真实功能检查见 [本次记录](validation-2026-10-15.md)。

package/docs/validation-2026-10-15-alpha4.md

@@ -0,0 +1,45 @@
+# DSH 0.2.1-alpha.4 兼容性验收
+
+2026-10-15，Windows、Node 24.16.0。使用官方 npm `@deepseek-ai/dsh@0.2.1-alpha.4`；对应[源码标签](https://github.com/deepseek-ai/deepseek-harness/releases/tag/dsh-v0.2.1-alpha.4)提交为 `86a402200d95fecef4529d969836f1fe13c6cb0d`。这是 alpha 预览频道，当日 npm `latest` / `next` 仍为 `0.2.0-rc.2`。
+
+## 更新影响
+
+官方现在优先读取插件自己的 `engines.dsh`，没有该字段时继续检查 DSH peer 依赖；兼容性拒绝记录的字段由 `peers` 改为 `requirements`。本套件与 18 个组件均没有冲突的 DSH 版本声明，也没有读取旧拒绝字段的业务代码，因此本轮没有修改组件实现或提高最低宿主版本。
+
+源码差异还包含自定义插件索引、Office 交付指引及网页与宿主版本变更提示。没有发现它们要求当前组件改用其他接口的证据。官方[迁移指南](https://github.com/deepseek-ai/deepseek-harness/blob/dsh-v0.2.1-alpha.4/docs/upgrade-guide/v0.2.1-alpha.3/plugin-engines-dsh/guide.zh.md)说明了声明范围和拒绝字段的具体变化。
+
+## 验证结果
+
+| 层次 | 结果与范围 |
+| --- | --- |
+| 官方兼容性预检 | alpha.3 / alpha.4 各检查全部 19 个包，均通过；使用官方 `evaluatePluginCompatibility`，不配置版本豁免。 |
+| 拒绝回归 | 分别为一个组件、组合包注入不兼容的 `engines.dsh`；均在导入组件代码前失败，不进入后续契约检查。 |
+| 契约 | 18 个组件通过工具/技能注册、16 项健康结果、19 项输出和 2 项注册丢失恢复检查；不调用真实账号服务。 |
+| 公开安装 | 官方 CLI 从公开 npm 安装 Suite 0.2.25 及全部 18 个传递组件，逐一核对版本和锁文件完整性摘要；未用本地组件覆盖。 |
+| 真实宿主 | 18 插件、111 工具、36 技能；极简 PTC 预设能挂载，模型入口为 `run_code`，调度工具保持可用；鉴权 303/401/200 与正常退出通过。 |
+| 安全工作台 | 14 项浏览器交互、0 个页面/控制台错误；三种原生引擎、空态、取消、复查、脱敏、SARIF 下载、中英文和 390px 布局通过。 |
+| 自动安全检查 | 在真实 DSH Agent 中重放任务开始/结束事件，产生独立自动检查状态，并被动加入脱敏上下文；未调用模型。 |
+| PPT 工作台 | 21 项浏览器断言、0 个页面/控制台错误；复制、删除、撤销、最后一页保护、未保存输入保护、中英文和 390px 操作通过。 |
+| 套件测试 | 12 项通过，0 项跳过。 |
+
+实际浏览器操作使用公开安装的隔离 Web profile。先按用户路径完成预览说明并关闭账号引导，再从“账号菜单 → 设置”进入工作台；修正了旧验收脚本过早按快捷键的问题。没有填写用户的密钥或连接个人账号。
+
+![alpha.4 的安全工作台](validation-assets/2026-10-15-alpha4-security.png)
+
+![alpha.4 的 PPT 工作台](validation-assets/2026-10-15-alpha4-ppt.png)
+
+## 后续兼容性检查
+
+`verify-local.mjs` 和 `verify:compat` 现在在组件契约执行前调用目标宿主的官方兼容检查，同时覆盖组件与套件本身。失败时保留官方拒绝原因；旧宿主未提供该接口时明确记录为跳过，后续契约与真实启动检查仍须分别查看。
+
+```bash
+node scripts/verify-local.mjs --harness-root <built-harness> --workspace-root <plugin-parent> --contracts-only --report <report.json>
+```
+
+## PR / Issues 和边界
+
+当日自有插件仓库没有开放 PR，仍有三条历史反馈：RSS #2 的 Linux 连接错误、HyperFrames #2 的市场安装器启动路径错误、Email #19 的收件人策略咨询。RSS 0.6.2 已包含连接错误隔离修复；这次没有把 Windows 未自然复现写成原 Linux 场景已复现。HyperFrames 在本次官方 CLI 安装中正常，不据此宣称第三方市场启动器已修复。Email 的相关规则已实现，需按具体使用反馈继续核对。
+
+本轮没有操作原生桌面窗口，没有调用真实模型，没有重测全部账号服务，也没有把两个工作台的浏览器验收算作每个插件的完整业务验收。OSV 离线操作使用合成漏洞库，验证工具接线与界面结果，不代表完整公共漏洞库审计。活动聊天中的安全文件跳转未重测。
+
+This check covers the official alpha.4 CLI/runtime, all 19 package compatibility manifests, a clean public installation, joint loading, and Security/PPT browser interactions. Native Desktop, live model turns and all external account services remain outside this run.

package/docs/validation-2026-10-15-security.md

@@ -0,0 +1,24 @@
+# 2026-10-15 Code Security 适配与增强
+
+Suite 0.2.25 固定 dsh-code-security 0.4.1；其他 17 个组件保持 0.2.24 的公开版本。核心改变在独立安全插件，组合包负责同步安装版本。
+
+## 独立插件
+
+- Windows、Node 24.16.0：79 项测试通过，无跳过，包括 Betterleaks 1.9.0、Semgrep CE 1.181.0 和 OSV-Scanner 2.7.0 的真实原生程序。
+- 官方 npm DSH 0.2.1-alpha.3：实际网页设置操作覆盖中文/英文、空项目、增强扫描、依赖审计、脱敏证据、缺程序、取消、复查、导出和 390px 布局；页面/控制台错误为 0。
+- 自动模式：通过界面启用，在真实 DSH 中用合成 turn/start、turn/end 记录重放事件，检查独立状态以及 systemPrompt.context 中的高风险提醒；没有调用用户模型或生成新一轮任务。
+- 官方 CLI 将本地发布 tarball 安装到全新隔离 profile，核对客户端、规则、十个工具、PEP 621、脱敏与 SARIF。公开 registry、CI tarball 和最终组合安装另外核验。
+
+源代码和详细边界见 [Code Security 验证记录](https://github.com/STARDUSTLC666/dsh-code-security/blob/master/docs/VALIDATION.md)。
+
+## 发布前的组合验证
+
+Suite 的 12 项检查及官方 alpha.3 的 18 插件契约通过。使用官方 CLI 将最终本地 Suite tarball 与全部公开组件安装到新 profile 后，18 个插件共同启动，111 个工具、36 个技能、极简 PTC 预设挂载和调度工具清单检查通过。网页入口 200、验证链接换取会话 303、未认证入口 401，进程正常退出。
+
+Code Security 0.4.1 已发布并独立核验：公开 npm 元数据、下载文件与 CI 发布产物摘要/字节一致；通过官方 CLI 再次从公开 registry 安装后，交叉规则脱敏、Python 依赖与报告导出检查通过。见 [六项 CI](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38709848013) 和[发布工作流](https://github.com/STARDUSTLC666/dsh-code-security/actions/runs/38710120277)。Suite 自身的公开发布与最终安装由对应发布工作流及发布后检查分别记录。
+
+## 边界
+
+原生桌面窗口未操作，网页结果不算桌面操作通过。活动聊天中的文件预览跳转未做端到端验收；未打开对应聊天时的提示已验证。OSV 离线测试使用合成公告库，联网程序检查过真实公开样例依赖；这些不是全量规则准确率或漏洞库完整性评测。
+
+自动检查默认关闭；只运行本地内置规则，不调用模型、不执行修复、不修改基线。增强工具由用户安装，OSV 联网审计需要明确选择。各引擎未安装、失败、超时和不完整状态不会混为通过。

package/docs/validation-2026-10-17-alpha5.md

@@ -0,0 +1,42 @@
+# DSH 0.2.1-alpha.5 与 Suite 0.2.26 验证
+
+2026-10-17，Windows / Node 24.16.0。使用官方 npm `@deepseek-ai/dsh@0.2.1-alpha.5`，对应[源码标签](https://github.com/deepseek-ai/deepseek-harness/releases/tag/dsh-v0.2.1-alpha.5) `1517a4dbca0a2789ff1d41ba439600f8547d23fa`。alpha 是预览频道，核对时 npm 默认频道仍为 `0.2.0-rc.2`。
+
+## 适配结果
+
+官方这次调整了 PTC 的函数体/REPL 指引、技能菜单的插件变更刷新、终端查询、Page Up 布局，并增加模型选择器名称 Slot。现有 18 个组件没有使用新增 Slot 的旧接口；本轮发现并修复的是极简 PTC 的提示词组合问题。
+
+旧版的固定完整身份句覆盖了宿主生成的工具 SDK：虽然工具注册和脚本执行成功，模型却看不到工具参数及返回值声明。PTC 0.5.6 保留极简身份，并通过宿主公开 Loader、工具清单和官方生成器动态生成 SDK，跟随当前作用域与执行模式。SDK 比纯一句话提示词更大，大小取决于启用的工具。
+
+套件内复制的声明式 PTC 预设也同步引用新入口，避免独立安装已修好、组合安装仍覆盖 SDK。共同加载脚本增加了 SDK 必须存在、必须包含当前可见工具的检查。未修改其余 17 个组件实现。
+
+## 已完成的检查
+
+| 层次 | 结果与范围 |
+| --- | --- |
+| 全组件回归 | 18 个组件共 1,751 项通过，5 项跳过；跳过项为 3 项可选原生引擎单测、Dream 可选压力测试及 PTC 的 POSIX 执行测试。 |
+| 契约与预检 | 全部 19 个包通过官方兼容预检；工具/技能注册、16 项健康结果、19 项输出和 2 项技能注册丢失恢复检查通过。 |
+| 共同加载 | 18 插件、111 工具、36 技能；极简 PTC 挂载并只暴露 `run_code` 为模型入口；SDK 包含当前可见工具。网页鉴权与正常退出通过。 |
+| PTC 回归 | 25 项 Windows 测试通过、1 项平台跳过；Windows/Linux × Node 22/24 CI 通过。 |
+| 默认 PTC | 真实桥接执行 TypeScript 类型标注、嵌套工具、打印和返回值，得到 42；下一次执行不保留局部变量。 |
+| 持久 PTC | 真实桥接得到 41 → 42，其他 owner 隔离，释放后清空；官方 SDK 使用当前执行格式的文案。 |
+| 旧版宿主 | alpha.4 的默认和持久 PTC 复测通过；使用该宿主自己的 SDK 生成器。 |
+| 独立安装 | 本地发布包和公开 npm 的 PTC 0.5.6 均经官方 CLI 全新安装，并分别完成两种执行模式的实际桥接。公开文件摘要及字节与发布 CI 产物一致。 |
+| 浏览器 | 安全工作台 14 项、PPT 21 项操作通过，页面/控制台错误为 0；检查中英文、空态/失败、取消/复查/导出、复制/删除/撤销和 390px 布局。 |
+| 模式与技能入口 | 实际模式菜单可选极简 PTC；在已有输入框的 `/` 菜单能找到 `dsh-ppt` 技能。 |
+
+安全工作台还在真实宿主中完成了三个 Windows 引擎的调用和自动检查事件重放；OSV 使用合成漏洞库，验证接线与界面，不代表完整公共漏洞审计。
+
+## PR / Issues
+
+核对时无开放 PR，仍是 RSS #2、HyperFrames #2、Email #19 三条历史反馈，没有新反馈。RSS 的修复已包含在 0.6.2；本轮不把 Windows 未自然复现当作原 Linux 故障已复现。HyperFrames 的官方 CLI 安装正常，第三方市场启动器缺失路径的问题仍需其自身修正。Email 的收件人规则已具备，咨询状态保留。
+
+## 证据边界
+
+浏览器为隔离、无密钥的官方 Web profile，使用合成项目；没有 Browser 插件，使用 headless 系统 Chrome 与 Playwright。SDK/桥接执行与模型自主选择工具分别记录，本轮没有调用真实模型。PTC 执行使用合成会话的 Full 模式，没有改变用户权限；默认 Windows 沙箱与全部账号业务未重测。
+
+本轮没有操作原生桌面窗口，也没有将两个工作台的交互检查写成每个插件的完整业务验收。原始测试、公开安装、CI 与最终发布包结果分别核对。
+
+技能菜单已验证列表入口和技能显示；同一已保存会话中的启停刷新未完成端到端验收。本机 Desktop 的 PTC 链接到新版源码，Web profile 的旧 0.5.4 已通过官方 CLI 更新到 0.5.6，其他依赖和 profile 设置保持不变。
+
+The upgrade check covers all component regressions and package preflight, joint loading, actual PTC execution, standalone registry installation, and Security/PPT browser interactions. It does not claim native Desktop or live-model acceptance.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@stardustlc/dsh-suite",
-  "version": "0.2.24",
+  "version": "0.2.26",
   "description": "一次安装 18 个独立 DSH 插件，并统一组合它们的默认配置。",
   "type": "module",
   "dsh": {
@@ -54,14 +54,14 @@
     "@stardustlc/dsh-dream": "0.9.0",
     "dsh-calendar": "0.10.3",
     "dsh-cite": "0.4.2",
-    "dsh-code-security": "0.3.8",
+"dsh-code-security": "0.4.1",
     "dsh-codex-port": "0.3.0",
     "dsh-dingtalk": "0.2.2",
     "dsh-email": "0.16.2",
     "dsh-ffmpeg": "0.5.0",
     "dsh-flakefinder": "0.3.5",
     "dsh-hyperframes": "0.6.0",
-    "dsh-minimal-ptc": "0.5.5",
+    "dsh-minimal-ptc": "0.5.6",
     "dsh-ppt": "0.10.0",
     "dsh-remotion": "0.5.0",
     "dsh-rss": "0.6.2",

package/ptc-minimal.patch.yml

@@ -15,10 +15,10 @@
           # PTC tool presentation (`tool-presentation` with `mode: ptc`), where the
           # model composes a TypeScript program against a generated SDK and `run_code`
           # executes it. What differs is the persona row, taken verbatim from `minimal`:
-          # a fixed one-line persona marked `complete: true` with
-          # `includeRuntimeContext: false`, so global identity, Web orientation, tool
-          # guidance, and later assembly listeners cannot add prompt text, and runtime
-          # context snapshots are suppressed. The `agent-instructions` row from `ptc` is
+          # a fixed one-line identity plus the Host-generated PTC SDK, marked complete
+          # with `includeRuntimeContext: false`. Other identity and workspace guidance
+          # cannot add prompt text, and runtime context snapshots are suppressed.
+          # The `agent-instructions` row from `ptc` is
           # dropped for the same reason — its workspace instruction baselines would add
           # user-role text the minimal prompt policy excludes.
           #
@@ -28,10 +28,9 @@
 
           # ── identity ────────────────────────────────────────────────────────────────
 
-          # The persona is the complete system prompt (minimal-mode prompt policy).
-          # dsh 0.1.3 renamed the persona config field `text` to `prefix` (required).
+          # The complete prompt keeps the minimal identity and the callable tool SDK.
           - id: persona
-            name: '@deepseek-ai/dsh-persona'
+            name: dsh-minimal-ptc/ptc-persona
             config:
               prefix: You are a helpful software engineer assistant.
               complete: true