@stardustlc/dsh-suite 0.2.25 → 0.2.27

package/CHANGELOG.md

@@ -2,6 +2,16 @@
 
 [返回简介](README.md) · [使用说明](docs/USAGE.md) · [验证记录](docs/VALIDATION.md)
 
+## 0.2.27 (2026-10-17)
+
+- 同步日历 0.10.4、邮件 0.16.3 与 RSS 0.6.3：修复标签与输入框关联、快速打开空连接表单、服务商提示误脱敏及英文窄窗口布局。
+- 在官方 DSH 0.2.1-alpha.5 补齐 15 个插件的基础操作记录与同一会话的技能启停检查；Docker、Slack、钉钉业务操作暂缓，其他组件版本保持不变。验收边界见 [逐插件记录](docs/validation-2026-10-17-human.md)。
+
+## 0.2.26 (2026-10-17)
+
+- 同步极简 PTC 0.5.6 及套件预设：修复完整提示词覆盖工具 SDK，保留极简身份与必要的官方工具声明，按作用域和运行格式生成。
+- 适配核对官方 DSH 0.2.1-alpha.5；共同加载验收新增“模型提示词必须包含当前工具 SDK”检查，避免仅凭工具注册成功判定可用。其余 17 个组件保持原版本，详见 [本次记录](docs/validation-2026-10-17-alpha5.md)。
+
 ## 0.2.25 (2026-10-15)
 
 - 同步 Code Security 0.4.1：中英文设置工作台、可选 Betterleaks / Semgrep CE / OSV、统一脱敏和 Python 依赖解析，以及默认关闭的逐轮改动检查。

package/README.en.md

@@ -34,7 +34,7 @@ Install the suite when you need the full set, then configure the accounts and to
 
 Enable only the suite bundle in the profile; it loads the components. Each component still has its own account, executable and network requirements.
 
-This version pins Code Security 0.4.1: a bilingual security workbench, optional secret/data-flow/dependency engines, redacted evidence, fix tracking and opt-in quiet checks per project. Compatibility is verified with official DSH 0.2.1-alpha.3; see [this validation record](docs/validation-2026-10-15-security.md). The same day's PPT, FFmpeg, RSS and minimal PTC changes are in the [previous record](docs/validation-2026-10-15.md).
+This version pins Calendar 0.10.4, Email 0.16.3 and RSS 0.6.3, fixing form labels, setup guidance and the narrow-window English layout. See the [per-plugin validation record](docs/validation-2026-10-17-human.md) for basic interactions across 15 plugins, skill toggling in one saved session and deferred external services on official DSH 0.2.1-alpha.5. Minimal PTC 0.5.6's tool SDK fix remains documented in the [execution record](docs/validation-2026-10-17-alpha5.md).
 
 Detailed configuration, tool arguments and troubleshooting are in the [usage guide](docs/USAGE.en.md). For standalone development, follow the Node requirement in [package.json](package.json).
 

package/README.md

@@ -34,7 +34,7 @@ dsh plugin --profile desktop add @stardustlc/dsh-suite
 
 profile 只启用 Suite 这一层，由它加载组件。组件的账号、外部程序与网络要求仍各自适用。
 
-本版同步 Code Security 0.4.1：中英文安全工作台、可选密钥/数据流/依赖漏洞引擎、脱敏与修复追踪，以及按项目开启的安静自动检查。适配验证使用官方 DSH 0.2.1-alpha.3；详见 [本次验收](docs/validation-2026-10-15-security.md)。同日 PPT、FFmpeg、RSS 和极简 PTC 的改进见 [前一轮记录](docs/validation-2026-10-15.md)。
+本版同步日历 0.10.4、邮件 0.16.3 与 RSS 0.6.3，修复表单标签、配置提示和英文窄窗口布局。官方 DSH 0.2.1-alpha.5 上的 15 个插件基础操作、同会话技能启停，以及暂缓的外部服务范围见 [逐插件验收](docs/validation-2026-10-17-human.md)。极简 PTC 0.5.6 的工具 SDK 修复见 [执行记录](docs/validation-2026-10-17-alpha5.md)。
 
 详细配置、工具参数与排错见[使用说明](docs/USAGE.md)。从源码独立开发时，Node 要求以 [package.json](package.json) 为准。
 

package/docs/VALIDATION.md

@@ -2,6 +2,18 @@
 
 本页整理原 README 的历史验证说明，保留当时的版本、日期与范围。自动测试、启动检查、浏览器操作和真实服务验收分别记录，不能相互替代。更详细的版本验收文件仍保留在仓库中。
 
+## 0.2.27（2026-10-17）
+
+同步日历、邮件及 RSS 的实际操作修复，并补齐 15 个插件在官方 DSH 0.2.1-alpha.5 的基础交互记录；同一已保存会话内的技能启停无需刷新页面。浏览器、合成工具选择、本机 CalDAV/SMTP、真实账号与原生桌面的不同范围见 [逐插件记录](validation-2026-10-17-human.md)。
+
+## 0.2.26（2026-10-17）
+
+核对官方 DSH 0.2.1-alpha.5，修复极简 PTC 的模型提示词丢失工具 SDK，并同步独立组件与组合预设。18 个组件 1,751 项测试通过、5 项跳过；共同加载新增 SDK 可见性检查。真实执行、公开安装及浏览器操作的范围见 [本次记录](validation-2026-10-17-alpha5.md)。
+
+## 0.2.25（2026-10-15）
+
+Code Security 0.4.1 的发布与工作台验收见 [安全记录](validation-2026-10-15-security.md)。追加核对官方 DSH 0.2.1-alpha.4：公开 npm 全新安装后，18 插件、111 工具、36 技能和极简 PTC 预设通过；官方兼容性预检覆盖全部 19 个包，并验证不兼容的组件或组合包会被拒绝。安全 14 项、PPT 21 项浏览器操作通过，原生桌面与真实模型未在本轮重测。详见 [alpha.4 记录](validation-2026-10-15-alpha4.md)。
+
 ## 0.2.24（2026-10-15）
 
 官方 DSH 0.2.1-alpha.3 下共同加载 18 个插件、111 个工具和 36 个技能；极简 PTC 新旧宿主兼容、PPT 中英文与窄屏操作、最终 PPTX 渲染，以及 FFmpeg/RSS 真实功能检查见 [本次记录](validation-2026-10-15.md)。

package/docs/validation-2026-10-15-alpha4.md

@@ -0,0 +1,45 @@
+# DSH 0.2.1-alpha.4 兼容性验收
+
+2026-10-15，Windows、Node 24.16.0。使用官方 npm `@deepseek-ai/dsh@0.2.1-alpha.4`；对应[源码标签](https://github.com/deepseek-ai/deepseek-harness/releases/tag/dsh-v0.2.1-alpha.4)提交为 `86a402200d95fecef4529d969836f1fe13c6cb0d`。这是 alpha 预览频道，当日 npm `latest` / `next` 仍为 `0.2.0-rc.2`。
+
+## 更新影响
+
+官方现在优先读取插件自己的 `engines.dsh`，没有该字段时继续检查 DSH peer 依赖；兼容性拒绝记录的字段由 `peers` 改为 `requirements`。本套件与 18 个组件均没有冲突的 DSH 版本声明，也没有读取旧拒绝字段的业务代码，因此本轮没有修改组件实现或提高最低宿主版本。
+
+源码差异还包含自定义插件索引、Office 交付指引及网页与宿主版本变更提示。没有发现它们要求当前组件改用其他接口的证据。官方[迁移指南](https://github.com/deepseek-ai/deepseek-harness/blob/dsh-v0.2.1-alpha.4/docs/upgrade-guide/v0.2.1-alpha.3/plugin-engines-dsh/guide.zh.md)说明了声明范围和拒绝字段的具体变化。
+
+## 验证结果
+
+| 层次 | 结果与范围 |
+| --- | --- |
+| 官方兼容性预检 | alpha.3 / alpha.4 各检查全部 19 个包，均通过；使用官方 `evaluatePluginCompatibility`，不配置版本豁免。 |
+| 拒绝回归 | 分别为一个组件、组合包注入不兼容的 `engines.dsh`；均在导入组件代码前失败，不进入后续契约检查。 |
+| 契约 | 18 个组件通过工具/技能注册、16 项健康结果、19 项输出和 2 项注册丢失恢复检查；不调用真实账号服务。 |
+| 公开安装 | 官方 CLI 从公开 npm 安装 Suite 0.2.25 及全部 18 个传递组件，逐一核对版本和锁文件完整性摘要；未用本地组件覆盖。 |
+| 真实宿主 | 18 插件、111 工具、36 技能；极简 PTC 预设能挂载，模型入口为 `run_code`，调度工具保持可用；鉴权 303/401/200 与正常退出通过。 |
+| 安全工作台 | 14 项浏览器交互、0 个页面/控制台错误；三种原生引擎、空态、取消、复查、脱敏、SARIF 下载、中英文和 390px 布局通过。 |
+| 自动安全检查 | 在真实 DSH Agent 中重放任务开始/结束事件，产生独立自动检查状态，并被动加入脱敏上下文；未调用模型。 |
+| PPT 工作台 | 21 项浏览器断言、0 个页面/控制台错误；复制、删除、撤销、最后一页保护、未保存输入保护、中英文和 390px 操作通过。 |
+| 套件测试 | 12 项通过，0 项跳过。 |
+
+实际浏览器操作使用公开安装的隔离 Web profile。先按用户路径完成预览说明并关闭账号引导，再从“账号菜单 → 设置”进入工作台；修正了旧验收脚本过早按快捷键的问题。没有填写用户的密钥或连接个人账号。
+
+![alpha.4 的安全工作台](validation-assets/2026-10-15-alpha4-security.png)
+
+![alpha.4 的 PPT 工作台](validation-assets/2026-10-15-alpha4-ppt.png)
+
+## 后续兼容性检查
+
+`verify-local.mjs` 和 `verify:compat` 现在在组件契约执行前调用目标宿主的官方兼容检查，同时覆盖组件与套件本身。失败时保留官方拒绝原因；旧宿主未提供该接口时明确记录为跳过，后续契约与真实启动检查仍须分别查看。
+
+```bash
+node scripts/verify-local.mjs --harness-root <built-harness> --workspace-root <plugin-parent> --contracts-only --report <report.json>
+```
+
+## PR / Issues 和边界
+
+当日自有插件仓库没有开放 PR，仍有三条历史反馈：RSS #2 的 Linux 连接错误、HyperFrames #2 的市场安装器启动路径错误、Email #19 的收件人策略咨询。RSS 0.6.2 已包含连接错误隔离修复；这次没有把 Windows 未自然复现写成原 Linux 场景已复现。HyperFrames 在本次官方 CLI 安装中正常，不据此宣称第三方市场启动器已修复。Email 的相关规则已实现，需按具体使用反馈继续核对。
+
+本轮没有操作原生桌面窗口，没有调用真实模型，没有重测全部账号服务，也没有把两个工作台的浏览器验收算作每个插件的完整业务验收。OSV 离线操作使用合成漏洞库，验证工具接线与界面结果，不代表完整公共漏洞库审计。活动聊天中的安全文件跳转未重测。
+
+This check covers the official alpha.4 CLI/runtime, all 19 package compatibility manifests, a clean public installation, joint loading, and Security/PPT browser interactions. Native Desktop, live model turns and all external account services remain outside this run.

package/docs/validation-2026-10-17-alpha5.md

@@ -0,0 +1,42 @@
+# DSH 0.2.1-alpha.5 与 Suite 0.2.26 验证
+
+2026-10-17，Windows / Node 24.16.0。使用官方 npm `@deepseek-ai/dsh@0.2.1-alpha.5`，对应[源码标签](https://github.com/deepseek-ai/deepseek-harness/releases/tag/dsh-v0.2.1-alpha.5) `1517a4dbca0a2789ff1d41ba439600f8547d23fa`。alpha 是预览频道，核对时 npm 默认频道仍为 `0.2.0-rc.2`。
+
+## 适配结果
+
+官方这次调整了 PTC 的函数体/REPL 指引、技能菜单的插件变更刷新、终端查询、Page Up 布局，并增加模型选择器名称 Slot。现有 18 个组件没有使用新增 Slot 的旧接口；本轮发现并修复的是极简 PTC 的提示词组合问题。
+
+旧版的固定完整身份句覆盖了宿主生成的工具 SDK：虽然工具注册和脚本执行成功，模型却看不到工具参数及返回值声明。PTC 0.5.6 保留极简身份，并通过宿主公开 Loader、工具清单和官方生成器动态生成 SDK，跟随当前作用域与执行模式。SDK 比纯一句话提示词更大，大小取决于启用的工具。
+
+套件内复制的声明式 PTC 预设也同步引用新入口，避免独立安装已修好、组合安装仍覆盖 SDK。共同加载脚本增加了 SDK 必须存在、必须包含当前可见工具的检查。未修改其余 17 个组件实现。
+
+## 已完成的检查
+
+| 层次 | 结果与范围 |
+| --- | --- |
+| 全组件回归 | 18 个组件共 1,751 项通过，5 项跳过；跳过项为 3 项可选原生引擎单测、Dream 可选压力测试及 PTC 的 POSIX 执行测试。 |
+| 契约与预检 | 全部 19 个包通过官方兼容预检；工具/技能注册、16 项健康结果、19 项输出和 2 项技能注册丢失恢复检查通过。 |
+| 共同加载 | 18 插件、111 工具、36 技能；极简 PTC 挂载并只暴露 `run_code` 为模型入口；SDK 包含当前可见工具。网页鉴权与正常退出通过。 |
+| PTC 回归 | 25 项 Windows 测试通过、1 项平台跳过；Windows/Linux × Node 22/24 CI 通过。 |
+| 默认 PTC | 真实桥接执行 TypeScript 类型标注、嵌套工具、打印和返回值，得到 42；下一次执行不保留局部变量。 |
+| 持久 PTC | 真实桥接得到 41 → 42，其他 owner 隔离，释放后清空；官方 SDK 使用当前执行格式的文案。 |
+| 旧版宿主 | alpha.4 的默认和持久 PTC 复测通过；使用该宿主自己的 SDK 生成器。 |
+| 独立安装 | 本地发布包和公开 npm 的 PTC 0.5.6 均经官方 CLI 全新安装，并分别完成两种执行模式的实际桥接。公开文件摘要及字节与发布 CI 产物一致。 |
+| 浏览器 | 安全工作台 14 项、PPT 21 项操作通过，页面/控制台错误为 0；检查中英文、空态/失败、取消/复查/导出、复制/删除/撤销和 390px 布局。 |
+| 模式与技能入口 | 实际模式菜单可选极简 PTC；在已有输入框的 `/` 菜单能找到 `dsh-ppt` 技能。 |
+
+安全工作台还在真实宿主中完成了三个 Windows 引擎的调用和自动检查事件重放；OSV 使用合成漏洞库，验证接线与界面，不代表完整公共漏洞审计。
+
+## PR / Issues
+
+核对时无开放 PR，仍是 RSS #2、HyperFrames #2、Email #19 三条历史反馈，没有新反馈。RSS 的修复已包含在 0.6.2；本轮不把 Windows 未自然复现当作原 Linux 故障已复现。HyperFrames 的官方 CLI 安装正常，第三方市场启动器缺失路径的问题仍需其自身修正。Email 的收件人规则已具备，咨询状态保留。
+
+## 证据边界
+
+浏览器为隔离、无密钥的官方 Web profile，使用合成项目；没有 Browser 插件，使用 headless 系统 Chrome 与 Playwright。SDK/桥接执行与模型自主选择工具分别记录，本轮没有调用真实模型。PTC 执行使用合成会话的 Full 模式，没有改变用户权限；默认 Windows 沙箱与全部账号业务未重测。
+
+本轮没有操作原生桌面窗口，也没有将两个工作台的交互检查写成每个插件的完整业务验收。原始测试、公开安装、CI 与最终发布包结果分别核对。
+
+技能菜单已验证列表入口和技能显示；同一已保存会话中的启停刷新未完成端到端验收。本机 Desktop 的 PTC 链接到新版源码，Web profile 的旧 0.5.4 已通过官方 CLI 更新到 0.5.6，其他依赖和 profile 设置保持不变。
+
+The upgrade check covers all component regressions and package preflight, joint loading, actual PTC execution, standalone registry installation, and Security/PPT browser interactions. It does not claim native Desktop or live-model acceptance.

package/docs/validation-2026-10-17-human.md

@@ -0,0 +1,49 @@
+# DSH alpha.5 · 逐插件操作复查
+
+宿主为公开 npm `@deepseek-ai/dsh@0.2.1-alpha.5`，官方标签 `dsh-v0.2.1-alpha.5`，提交 `1517a4dbca0a2789ff1d41ba439600f8547d23fa`。使用 Windows Node 24、独立 DSH profile 与系统 Chrome 无头浏览器；Browser 插件不可用，采用 Playwright。没有切换用户前台窗口。
+
+Suite **0.2.27** 精确同步日历 **0.10.4**、邮件 **0.16.3** 与 RSS **0.6.3**。其他组件保持原版；极简 PTC **0.5.6** 的 SDK 修复已在上一版发布。
+
+## 实际修复
+
+- 日历：关联日程与连接表单标签，点击文字可聚焦输入框；修正英文 Custom CalDAV；首次读取配置完成前暂缓打开连接编辑器，避免快速点击看到空配置。
+- 邮件：配置错误使用逗号分隔服务商选择，避免列表被当作长认证字符串脱敏。真实凭据的脱敏规则保持不变，并增加两者组合的回归。
+- RSS：窄窗口切换为顶部设置导航，并让长英文和筛选控件适应可用列，避免标题截断或按钮挤成过窄一列。样式只作用于当前包含 RSS 面板的设置窗口。
+
+## 基础操作矩阵
+
+| 独立插件 | 版本 | 浏览器 / 实际入口证据 |
+| --- | --- | --- |
+| Calendar | 0.10.4 | 标签点击与输入、新建日程经本机 CalDAV HTTP 服务写入并回读、测试连接、英文与 390px 表单 |
+| Cite | 0.4.2 | BibTeX 本地预览与保存、格式切换、实际下载、无效输入提示 |
+| Code Security | 0.4.1 | 沿用同一 alpha.5 轮次的 14 项操作记录：本机检查引擎、结果、取消、复查、脱敏与导出；代码未变 |
+| Codex Port | 0.3.0 | 在聊天框发起合成调用，发现本地合成插件、只读移植预览、实际移植到隔离技能目录，以及空筛选 |
+| Dream | 0.9.0 | 日记搜索、候选审阅、预览并应用项目规则、保留人工内容、回滚原文 |
+| Email | 0.16.3 | 草稿编辑、附件、发送预览、明确勾选确认、本机 SMTP 唯一回执、禁止再次发送和复制为独立草稿；缺失账号提示 |
+| FFmpeg | 0.5.0 | 聊天入口读取本地 WAV、实际裁剪文件、缺失文件提示；使用宿主 subprocess |
+| FlakeFinder | 0.3.5 | 聊天入口重复运行本地 node:test 三次并显示稳定通过，拒绝选项形式的非法目标 |
+| HyperFrames | 0.6.0 | 模板建档、竖屏保存、音频上传、未保存输入保护、归档和恢复；本轮不重渲染 MP4 |
+| Minimal PTC | 0.5.6 | 沿用同一 alpha.5 轮次的模式选择、公开包 SDK 与两种实际运行模式；代码未变 |
+| PPT | 0.10.0 | 沿用同一 alpha.5 轮次的 21 项复制/删除/撤销、最后一页及未保存保护、中英文与窄窗记录；代码未变 |
+| Remotion | 0.5.0 | 模板建档、竖屏保存、音频上传、未保存输入保护、归档和恢复；本轮不重渲染 MP4 |
+| RSS | 0.6.3 | 来源目录与搜索、嵌套分类 OPML 预览导入、编辑、实际导出、英文窄窗 |
+| SQL | 0.4.5 | 聊天入口查询 SQLite、点击允许一次后写入、查询不存在表的错误；只使用隔离数据库 |
+| Voice | 0.3.6 | 聊天入口显示音色清单、拒绝非法音色；本轮没有远程 TTS/ASR |
+
+聊天工具路径使用显式标注的本地合成模型适配器来稳定选择工具，再交给真实 DSH 执行。它证明聊天、工具、审批和渲染的连接，不是远程模型自主选择工具的证据。
+
+七个工作台补查英文导航、按钮和 390px 可用列，保留用户原始中文内容。未配置账号的 Calendar / Email 用例有预期 HTTP 400，不把该业务拒绝当作页面崩溃。
+
+## 启停、回归与发布
+
+在同一已保存会话、同一文档中，关闭 PPT 后 `/dsh-ppt` 从技能菜单消失；重新启用后返回。没有刷新页面来绕过缓存。
+
+组件自动测试、共同加载、公开 npm 文件与 CI 产物摘要、官方 CLI 全新安装分别检查。共同加载仍包含全部 18 个组件及 Suite 的 SDK、调度、工具和技能清单；这不要求连接未配置的外部服务。
+
+## 明确未验收的范围
+
+- 按用户要求，Docker、Slack、钉钉的业务操作暂缓，三个独立包没有改动或重新发布。
+- 没有操作原生桌面窗口，没有调用真实远程模型，没有使用真实 CalDAV、邮箱、OAuth、MySQL/PostgreSQL 或 TTS/ASR 账号。
+- RSS 本轮不重测真实网站，也不声称无 VPN 连接已验证；视频工作台本轮验证工程操作，不代替最终渲染验收。
+
+自动测试、基础交互、真实账号业务与原生桌面验收是不同证据。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@stardustlc/dsh-suite",
-  "version": "0.2.25",
+  "version": "0.2.27",
   "description": "一次安装 18 个独立 DSH 插件，并统一组合它们的默认配置。",
   "type": "module",
   "dsh": {
@@ -52,19 +52,19 @@
   "dependencies": {
     "@stardustlc/dsh-docker": "0.4.1",
     "@stardustlc/dsh-dream": "0.9.0",
-    "dsh-calendar": "0.10.3",
+    "dsh-calendar": "0.10.4",
     "dsh-cite": "0.4.2",
 "dsh-code-security": "0.4.1",
     "dsh-codex-port": "0.3.0",
     "dsh-dingtalk": "0.2.2",
-    "dsh-email": "0.16.2",
+    "dsh-email": "0.16.3",
     "dsh-ffmpeg": "0.5.0",
     "dsh-flakefinder": "0.3.5",
     "dsh-hyperframes": "0.6.0",
-    "dsh-minimal-ptc": "0.5.5",
+    "dsh-minimal-ptc": "0.5.6",
     "dsh-ppt": "0.10.0",
     "dsh-remotion": "0.5.0",
-    "dsh-rss": "0.6.2",
+    "dsh-rss": "0.6.3",
     "dsh-slack": "0.3.4",
     "dsh-sql": "0.4.5",
     "dsh-voice": "0.3.6"

package/ptc-minimal.patch.yml

@@ -15,10 +15,10 @@
           # PTC tool presentation (`tool-presentation` with `mode: ptc`), where the
           # model composes a TypeScript program against a generated SDK and `run_code`
           # executes it. What differs is the persona row, taken verbatim from `minimal`:
-          # a fixed one-line persona marked `complete: true` with
-          # `includeRuntimeContext: false`, so global identity, Web orientation, tool
-          # guidance, and later assembly listeners cannot add prompt text, and runtime
-          # context snapshots are suppressed. The `agent-instructions` row from `ptc` is
+          # a fixed one-line identity plus the Host-generated PTC SDK, marked complete
+          # with `includeRuntimeContext: false`. Other identity and workspace guidance
+          # cannot add prompt text, and runtime context snapshots are suppressed.
+          # The `agent-instructions` row from `ptc` is
           # dropped for the same reason — its workspace instruction baselines would add
           # user-role text the minimal prompt policy excludes.
           #
@@ -28,10 +28,9 @@
 
           # ── identity ────────────────────────────────────────────────────────────────
 
-          # The persona is the complete system prompt (minimal-mode prompt policy).
-          # dsh 0.1.3 renamed the persona config field `text` to `prefix` (required).
+          # The complete prompt keeps the minimal identity and the callable tool SDK.
           - id: persona
-            name: '@deepseek-ai/dsh-persona'
+            name: dsh-minimal-ptc/ptc-persona
             config:
               prefix: You are a helpful software engineer assistant.
               complete: true