dsh-crwu-workbench 0.0.13 → 0.0.14

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-crwu-workbench",
-  "version": "0.0.13",
+  "version": "0.0.14",
   "description": "中瑞世联工作台 / CRWU audit workbench for DeepSeek Harness: pick a pending audit report, dispatch one AI audit subagent, watch and stop/restart it, auto-upload deliverables to Aliyun OSS.",
   "keywords": [
     "deepseek-harness",
@@ -32,6 +32,7 @@
     "lib/index.js",
     "lib/client.js",
     "scripts/prepare.mjs",
+    "scripts/lib/cli-entry.mjs",
     "config/crwu-workbench.yml",
     "cordis.patch.yml",
     "bin/",
@@ -47,7 +48,7 @@
   ],
   "engines": {
     "node": "^22.19.0 || >=24.0.0",
-    "dsh": "^0.1.7-rc.2"
+    "dsh": "^0.1.7-rc.2 || ^0.2.0-rc.1"
   },
   "publishConfig": {
     "access": "public",
@@ -65,6 +66,7 @@
     "check": "npm run version:check && npm run config:check && npm run skills:check && npm run skills:cli-guard && npm run dws:check && npm run typecheck && npm test && npm run build && npm run smoke:built",
     "config:check": "node scripts/check-config.mjs",
     "pack:assert": "node scripts/assert-pack.mjs",
+    "compat:dsh": "node scripts/check-dsh-compat.mjs",
     "pack:assert:strict": "node scripts/assert-pack.mjs --strict",
     "prepublishOnly": "npm run check && npm run pack:assert:strict",
     "smoke:built": "node scripts/smoke-built.mjs",
@@ -72,6 +74,7 @@
     "skills:check": "node scripts/sync-common-skills.mjs --check",
     "skills:cli-guard": "node scripts/check-skill-cli-guard.mjs",
     "bin:check": "node scripts/sync-binaries.mjs --check",
+    "bin:smoke": "node scripts/smoke-windows-binaries.mjs",
     "dws:sync": "node scripts/sync-dws-skills.mjs",
     "dws:check": "node scripts/sync-dws-skills.mjs --check"
   },
@@ -90,13 +93,13 @@
   },
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.4",
-    "@deepseek-ai/dsh-client-ui-layout": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-client-ui-renderer": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-client-ui-sidebar": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-host-webserver": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-plugin-manager": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-skill-filesystem": "^0.1.7-rc.2",
-    "@deepseek-ai/dsh-tools": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-client-ui-layout": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-client-ui-renderer": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-client-ui-sidebar": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-host-webserver": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-plugin-manager": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-skill-filesystem": "^0.1.7-rc.2 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-tools": "^0.1.7-rc.2 || ^0.2.0-rc.1",
     "react": "^18.2.0"
   },
   "dependencies": {
@@ -106,13 +109,18 @@
   },
   "devDependencies": {
     "@deepseek-ai/dsh-agent": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-client-ui-layout": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-client-ui-renderer": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-client-ui-sidebar": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-fs": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-host-webserver": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-plugin-manager": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-session": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-shell": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-skill-filesystem": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-subagent": "^0.1.7-rc.2",
     "@deepseek-ai/dsh-tools": "^0.1.7-rc.2",
+    "@deepseek-ai/dsh-util-values": "^0.1.7-rc.2",
     "@types/node": "^22.20.0",
     "@types/react": "~18.3.1",
     "@types/semver": "^7.8.0",

package/scripts/lib/cli-entry.mjs

@@ -0,0 +1,112 @@
+/**
+ * 解析一个 npm 包的 **JS CLI 入口**，并用**当前这个 node** 直接执行它。
+ *
+ * ## 为什么不能 `spawn('tsdown', …, { shell: true })`
+ *
+ * Windows 上包的可执行文件是 `node_modules/.bin/tsdown.cmd`（外加 `.ps1`），
+ * `CreateProcess` 既不认无扩展名的 `tsdown`，Node ≥ 20.12 还会直接拒绝 spawn `.cmd`；
+ * 于是只能开 `shell: true` —— 而一旦过 shell，**项目路径里的空格就会被第二套解析规则改写**
+ * （`C:\Users\张三\Case's Work\...` 每次都踩），而且退出码与 stderr 还可能被 shell 自己吃掉。
+ *
+ * 做法与 `exec.mjs` 对 npm 的做法一致：解析出包的 JS 入口文件，用 `process.execPath` 起它。
+ * 没有 shell，就没有第二次解析。
+ *
+ * ## 解析顺序
+ *
+ * 1. `createRequire(<from>/package.json).resolve('<pkg>/package.json')` —— 走 Node 自己的
+ *    node_modules 解析（npm / pnpm / yarn 布局都认，软链接也认）；
+ * 2. 读该 package.json 的 `bin`，按 `binName` 取出入口相对路径；
+ * 3. 只接受**真实存在的 .js / .mjs / .cjs**：命中 `.cmd` / `.ps1` / shell 脚本一律报错，
+ *    绝不退回「让 shell 去跑它」—— 那正是本模块要消灭的形态。
+ *
+ * 解析不到就**抛错**（带可读原因），由调用方决定是失败还是降级；不静默换一种执行方式。
+ */
+import { createRequire } from 'node:module'
+import { existsSync, statSync } from 'node:fs'
+import { dirname, isAbsolute, join, resolve } from 'node:path'
+import { pathToFileURL } from 'node:url'
+
+/** 可执行入口必须是 JS，不能是 Windows 的 `.cmd` / `.ps1` shim。 */
+const JS_ENTRY = /\.(?:mjs|cjs|js)$/i
+
+function isFile(path) {
+  try {
+    return existsSync(path) && statSync(path).isFile()
+  } catch (error) {
+    // 权限 / 断链：都只意味着「这个候选不可用」。
+    void error
+    return false
+  }
+}
+
+/** `bin` 字段既可能是字符串，也可能是 `{ 名字: 相对路径 }`。 */
+function binEntryOf(bin, binName, packageName) {
+  if (typeof bin === 'string') return bin
+  if (bin !== null && typeof bin === 'object') {
+    const table = bin
+    const wanted = binName !== '' ? binName : packageName.split('/').pop() ?? ''
+    const direct = table[wanted]
+    if (typeof direct === 'string') return direct
+    // 只有一个入口时按它走（包名与命令名不一致的包，例如 `@scope/tool` → `tool-cli`）。
+    const values = Object.values(table).filter((value) => typeof value === 'string')
+    if (values.length === 1) return values[0]
+  }
+  return ''
+}
+
+/**
+ * 解析 `<packageName>` 的 CLI 入口绝对路径。
+ *
+ * @param {string} packageName 包名，例如 `tsdown`
+ * @param {{ from?: string, binName?: string }} [options] `from` = 解析起点目录（默认本文件所属插件根）
+ * @returns {string} 入口文件的绝对路径（一定是 JS 文件）
+ * @throws 解析不到、或只找到非 JS shim 时
+ */
+export function resolvePackageCli(packageName, options = {}) {
+  const from = options.from ?? process.cwd()
+  const binName = options.binName ?? ''
+  const require_ = createRequire(pathToFileURL(join(from, 'package.json')).href)
+
+  let manifestPath = ''
+  try {
+    manifestPath = require_.resolve(`${packageName}/package.json`)
+  } catch (error) {
+    throw new Error(`找不到 ${packageName}：${error instanceof Error ? error.message : String(error)}`)
+  }
+  let manifest
+  try {
+    manifest = require_(manifestPath)
+  } catch (error) {
+    throw new Error(`${packageName} 的 package.json 读不出来：${error instanceof Error ? error.message : String(error)}`)
+  }
+  const relative = binEntryOf(manifest?.bin, binName, packageName)
+  const candidates = []
+  if (relative !== '') {
+    candidates.push(isAbsolute(relative) ? relative : resolve(dirname(manifestPath), relative))
+  }
+  // 少数包不写 `bin` 或写法不规范：按常见入口名兜底（仍然只接受 JS 文件）。
+  const packageDir = dirname(manifestPath)
+  const name = packageName.split('/').pop() ?? packageName
+  candidates.push(
+    join(packageDir, 'dist', `${name}.mjs`),
+    join(packageDir, 'dist', `${name}.js`),
+    join(packageDir, 'dist', 'run.mjs'),
+    join(packageDir, 'bin', `${name}.mjs`),
+    join(packageDir, 'bin', `${name}.js`),
+  )
+
+  for (const candidate of candidates) {
+    if (JS_ENTRY.test(candidate) && isFile(candidate)) return candidate
+  }
+  const shim = join(from, 'node_modules', '.bin', binName !== '' ? binName : name)
+  if (existsSync(shim)) {
+    throw new Error(`${packageName} 只找到了 ${shim}（Windows 上是 .cmd/.ps1 shim）—— 不要用 shell 去跑它，` +
+      '请在 package.json 里为该包声明 JS 入口，或让上游补上规范入口')
+  }
+  throw new Error(`${packageName} 没有可用的 JS 入口（试过：${candidates.join(', ')}）`)
+}
+
+/** 把入口包成「用当前 node 执行」的 argv。 */
+export function nodeCommand(entryPath, args = []) {
+  return { command: process.execPath, args: [entryPath, ...args] }
+}

package/scripts/prepare.mjs

@@ -12,46 +12,86 @@
  *   - **npm 安装已发布产物**：源码不在 → 跳过（`lib/` 已随包提供）。
  *
  * 发布路径不允许静默出一个没有 `lib/` 的包：`prepack` 用 `--force`，源码不在即失败。
+ *
+ * ## 为什么不再 `spawnSync('tsdown', { shell: process.platform === 'win32' })`
+ *
+ * 那条命令在 Windows 上只能靠 shell 才能找到 `tsdown.cmd`，而**一旦过 shell，项目路径里的
+ * 空格与单引号就会被第二套解析规则改写**（`C:\Users\张三\Case's Work\…` 必踩），
+ * 退出码与 stderr 也可能被 shell 自己吃掉。现在解析出 tsdown 的 **JS 入口**、用
+ * `process.execPath` 直接执行（`scripts/lib/cli-entry.mjs`）：没有 shell，就没有第二次解析。
  */
 import { spawnSync } from 'node:child_process'
 import { existsSync } from 'node:fs'
 import { dirname, join } from 'node:path'
 import { fileURLToPath } from 'node:url'
+import { nodeCommand, resolvePackageCli } from './lib/cli-entry.mjs'
 
 const ROOT = dirname(dirname(fileURLToPath(import.meta.url)))
 const SOURCE_MARKERS = ['tsconfig.json', 'tsdown.config.ts', join('src', 'index.ts'), join('src', 'client', 'index.ts')]
 
 /** 源码是否齐备（齐备 = 我们在 git 克隆里，可以构建）。 */
-export function missingSources() {
-  return SOURCE_MARKERS.filter((marker) => !existsSync(join(ROOT, marker)))
+export function missingSources(root = ROOT) {
+  return SOURCE_MARKERS.filter((marker) => !existsSync(join(root, marker)))
+}
+
+/**
+ * 这一次构建要跑的**精确 argv**（不含 shell）。
+ *
+ * 导出它是为了让测试能直接断言「命令位置是当前 node + tsdown 的 JS 入口」，
+ * 而不是靠跑一遍构建去间接猜。tsdown 没装时抛错，由 `build()` 翻成退出码 1。
+ */
+export function buildPlan(root = ROOT) {
+  const entry = resolvePackageCli('tsdown', { from: root, binName: 'tsdown' })
+  return { ...nodeCommand(entry), cwd: root }
 }
 
-export function build() {
-  // 进度日志一律走 **stderr**：stdout 留给机器可读输出。npm 10（Node 22 自带）在
-  // `npm pack --dry-run --json --ignore-scripts` 下仍然会执行 prepare，这些日志一旦混进
-  // stdout，消费 `--json` 的脚本 `JSON.parse` 就炸了（CI 的 ubuntu/no​de22 就是这么红的）。
-  console.error('[build] tsdown 构建 lib/ …')
-  // 子进程的 stdout 也转去 stderr（'inherit' 会让 tsdown 的 ℹ 行落进我们的 stdout）。
-  const result = spawnSync('tsdown', { cwd: ROOT, stdio: ['inherit', 2, 'inherit'], shell: process.platform === 'win32' })
+/**
+ * 真构建。
+ *
+ * 进度日志一律走 **stderr**：stdout 留给机器可读输出。npm 10（Node 22 自带）在
+ * `npm pack --dry-run --json --ignore-scripts` 下仍然会执行 prepare，这些日志一旦混进
+ * stdout，消费 `--json` 的脚本 `JSON.parse` 就炸了（CI 的 ubuntu/node22 就是这么红的）。
+ * 子进程的 stdout 也转去 stderr（'inherit' 会让 tsdown 的 ℹ 行落进我们的 stdout）。
+ *
+ * @param {{ root?: string, spawn?: typeof spawnSync, log?: (message: string) => void }} [options]
+ */
+export function build(options = {}) {
+  const root = options.root ?? ROOT
+  const spawn = options.spawn ?? spawnSync
+  const log = options.log ?? ((message) => console.error(message))
+  log('[build] tsdown 构建 lib/ …')
+
+  let plan
+  try {
+    plan = buildPlan(root)
+  } catch (error) {
+    log(`[build] 构建失败：${error instanceof Error ? error.message : String(error)}`)
+    return 1
+  }
+
+  // **没有 shell**：argv 原样交给 CreateProcess / posix_spawn，路径里的空格与引号不参与解析。
+  const result = spawn(plan.command, plan.args, { cwd: plan.cwd, stdio: ['inherit', 2, 'inherit'] })
   if (result.error) {
-    console.error(`[build] 构建失败：${result.error.message}`)
+    log(`[build] 构建失败：${result.error.message}`)
     return 1
   }
   return result.status ?? 1
 }
 
 /** 供测试使用：按给定模式决定跳过还是构建。 */
-export function run({ force }) {
-  const missing = missingSources()
+export function run(options = {}) {
+  const root = options.root ?? ROOT
+  const log = options.log ?? ((message) => console.error(message))
+  const missing = missingSources(root)
   if (missing.length > 0) {
-    if (force) {
-      console.error(`[build] 缺少构建所需文件：${missing.join(', ')}`)
+    if (options.force === true) {
+      log(`[build] 缺少构建所需文件：${missing.join(', ')}`)
       return 1
     }
-    console.error(`[build] 跳过构建：这是已发布的预构建产物（缺 ${missing.join(', ')}），lib/ 已随包提供。`)
+    log(`[build] 跳过构建：这是已发布的预构建产物（缺 ${missing.join(', ')}），lib/ 已随包提供。`)
     return 0
   }
-  return build()
+  return build({ ...options, root, log })
 }
 
 if (process.argv[1] && fileURLToPath(import.meta.url) === process.argv[1]) {

package/skills/crwu/crwu-audit/references/14-orchestration-workflow.md

@@ -24,6 +24,21 @@
 
 下面流程里出现的 `python3 scripts/<文件>` 一律按本节解析出的解释器路径执行。
 
+### 1.1 命令块按**当前平台 shell** 执行
+
+本技能与各 reference 里的命令块只描述**要跑什么**，不承诺某一种 shell：
+
+- Windows 上 DSH 挂的是 **PowerShell**（整串命令作为一个 argv 元素交给 `pwsh -Command`），
+  macOS / Linux 上是 POSIX shell；
+- 不要假设某一种 shell 一定存在，也不要用另一种方言的语法（PowerShell 里没有
+  `mkdir -p` / `chmod` / `rm -f`，POSIX 里也没有 `Get-Location` / `New-Item`）；
+- 命令块里的 `python3` 一律换成上面解析出的**绝对解释器路径**；文件路径直接作为参数传递，
+  引用交给宿主 shell 的规则，不要自己拼引号或分隔符；
+- 需要「当前在哪个目录」时**问宿主 shell**（POSIX `pwd` / Windows `Get-Location`），不要猜。
+
+Windows 上审核链路的命令全部由插件的平台适配器生成（`src/host/platform/shell.ts`），
+技能正文里的命令只用于人工复现与排障。
+
 ## 2. 路由流程（步骤 1–15）
 
 1. **消费 Host 已准备的输入快照（不要再定位、不要重复取数）**：报告已由 Host 按精确 ObjectId 定位并取数一次，结果落在案例目录的 `输入快照/` 下——完整记录 `报告记录.json`、附件清单 `附件清单.json`、元数据 `快照元数据.json`。`schemaCode` 是 Host 的基础设施状态：**核验记录事实一律以 `报告记录.json` 为准**，不要提交、不要猜测 `schemaCode`，也不要再调 `records list` / 搜表单 / 重新取记录。仅在启动指令明确说明「输入快照缺失」时，才允许**一次**兜底：调 `crwu_h3yun_record_get({objectId,caseDir})`（它由 Host 自己解析 `schemaCode`）。附件元数据直接读 `附件清单.json`（字段：附件字段、文件名、类型、大小、`fileId`）并分类；只有快照缺失时才对同一 `objectId` 调一次 `crwu_h3yun_files_list({objectId,caseDir})`；附件名只用于隔离决策和待抽验提示。（工具**不返回**带会话鉴权的下载 URL，也不需要。）

package/skills/crwu/crwu-audit/scripts/README.md

@@ -31,7 +31,7 @@
 
 ## 用法
 
-```bash
+```text
 # 阶段一冻结指纹（写入 AuditResult.phaseControl.phase1Digest）
 python3 scripts/audit_delivery.py digest <冻结快照.json>
 
@@ -66,7 +66,7 @@ python3 scripts/test_audit_delivery.py
 | `media_extract.py` | 媒体抽取库：xlsx 绘图锚点 / docx·doc 正文图（段落序）/ PDF 内嵌图 / 独立图片；H0 与 fail-closed | 同上 §非单元格证据 |
 | `test_prepare_materials.py`、`test_media_extract.py` | 上述两脚本的契约测试 | — |
 
-```bash
+```text
 # 阶段一：盘点 + 工作版 + 媒体证据（产出 材料盘点.json / 媒体索引.json / 提取/ / 工作版/ / 媒体证据/）
 python3 scripts/prepare_materials.py --case <案例目录>
 

package/skills/crwu/crwu-dev-audit-optimize/references/03-AI/344/272/272/345/267/245/345/267/256/350/267/235/345/210/206/346/236/220/346/265/201/347/250/213.md

@@ -77,7 +77,7 @@
 
 结构化结果遵循 `scripts/gap_analysis.schema.json`，先校验再渲染：
 
-```bash
+```text
 python3 scripts/gap_analysis_delivery.py validate --input <gap-analysis.json>
 python3 scripts/gap_analysis_delivery.py render --input <gap-analysis.json> --output <gap-analysis.html>
 ```

package/skills/crwu/crwu-dev-audit-skill-maintainer/references/01-kb-source-discovery.md

@@ -13,7 +13,7 @@
 
 将目录树或 JSON 快照保存到本次临时文件，运行：
 
-```bash
+```text
 python3 scripts/check_audit_skill_mappings.py \
   --repo-root <source-repo> \
   --catalog <目录树或快照文件> \

package/skills/crwu/crwu-dev-audit-skill-maintainer/references/02-child-skill-contract.md

@@ -26,7 +26,7 @@ crwu-audit-asset-<name>/
 
 **公共规则：一个规范源 + 各叶子本地副本（不是多个事实源）**。轴边界、输入、一级根装配、二级选择返回、执行顺序（一级共用层→命中二级条目）、必检项/历史问题状态字段、来源优先级、证据出处与 capability gap，维护在**一个规范源** `crwu-audit/references/12-leaf-common-contract.md`，由确定性工具同步为每个叶子的**本地副本** `references/03-common-contract.md`：
 
-```bash
+```text
 # 生成/修复所有叶子副本（只为缺失或漂移的叶子写入；重复执行无 diff）
 python3 scripts/kb_tool.py sync-leaf-common-contract --skill-root <本技能层> --write
 # 只报告 missing / drifted / unexpected（validate 已自动执行同等检查）

package/skills/crwu/crwu-dev-audit-skill-maintainer/references/04-registry-and-mapping-update.md

@@ -38,7 +38,7 @@
 - **定位**：知识库 ↔ Skill 映射的**只读派生视图**，给人一眼看现状用；事实源仍是知识库最新目录 + `07-skill-registry.md` + 源仓技能层里的真实目录。它不参与运行时路由，不替代 registry。
 - **生成**：只由检查器 `--emit-map` 生成，禁止手工编辑状态列：
 
-```bash
+```text
 python3 scripts/check_audit_skill_mappings.py \
   --repo-root . --catalog <本次 crwu-dws 快照> --max-age-hours <H> \
   --emit-map <本技能目录>/references/07-kb-skill-map.md

package/skills/crwu/crwu-dev-audit-skill-maintainer/references/05-validation-and-delivery.md

@@ -9,7 +9,7 @@
 
 ## 检查器
 
-```bash
+```text
 python3 scripts/check_audit_skill_mappings.py \
   --repo-root <source-repo> \
   --catalog <目录树、snapshot 或 node-index> \
@@ -71,7 +71,7 @@ python3 scripts/check_audit_skill_mappings.py \
 
 ## 新 Skill 验证
 
-```bash
+```text
 # 以下命令在技能目录内执行（`scripts/` = 本技能自带脚本）；跨技能脚本按**技能层**寻址 ——
 # DSH 一个层就是一个技能根：本技能与 crwu-audit 在自研层，crwu-dws 在公共层（不是同一个根）。
 CRWU_SKILLS_ROOT=<本技能所安装到的自研层>

package/skills/crwu/crwu-dev-audit-skill-maintainer/references/06-live-routing-reconciliation.md

@@ -109,7 +109,7 @@
 
 ## 命令
 
-```bash
+```text
 python3 scripts/check_audit_skill_mappings.py \
   --repo-root <source-repo> \
   --catalog <本次 crwu-dws 刷新落地的快照> \

package/skills/crwu/crwu-dev-audit-skill-maintainer/scripts/README.md

@@ -19,7 +19,7 @@
 
 ## 运行
 
-```bash
+```text
 # 源仓技能：引用卫生 + 实时协议 lint（禁止本地知识库根常量与根路径字面、禁止硬编码 nodeId，crwu-audit* 目录从严）
 python3 scripts/kb_tool.py validate --skill-root <skills 安装根>
 
@@ -58,7 +58,7 @@ python3 scripts/kb_tool.py validate --skill-root <skills 安装根> --forbid-lit
 映射一致性（registry ↔ classification ↔ 真实技能目录 ↔ 最新知识库目录）
 由本技能 `scripts/check_audit_skill_mappings.py` 校验：
 
-```bash
+```text
 # 只读盘点（json 供机器消费；--strict 有 error 时退出 1）
 python3 scripts/check_audit_skill_mappings.py --repo-root <源仓> --catalog <本次目录> --format json --strict