dsh-data-cleaning-agent 0.5.0 → 0.5.1

package/CHANGELOG.md

@@ -4,9 +4,22 @@
 
 ## [Unreleased]
 
-## [0.5.0] - Release candidate (2026-09-02)
+## [0.5.1] - 2026-09-03
 
-> 风险 / 知产 / 经营三域批量补全、Mockup 对齐工作台与发布候选；尚未打 tag、发布 npm 或生成 GitHub Release。
+> 文档与发布流程修正版本；无运行时、QCC 工具契约或 API 变化。
+
+### Fixed
+- 准备 0.5.1 文档补丁，使下一份 npm tarball 的中英文 README 正确反映最新已发布版本。
+
+### Changed
+- 发布工作流启用严格文案 Gate：`v*` 标签只有在中英文 README 均切换到当前正式版本时才能进入
+  `npm publish`，防止候选状态再次进入不可变 npm 包。
+- `docs:check` 增加普通分支/标签发布双模式与三项回归测试；运行时能力、QCC 工具契约和 API 均不变。
+
+## [0.5.0] - 2026-09-03
+
+> 风险 / 知产 / 经营三域批量补全与 Mockup 对齐工作台；已通过 npm OIDC Trusted Publishing
+> 发布并生成 GitHub Release。
 
 ### Added
 - 冻结三域 91 工具契约：风险 38、知识产权 18、经营 35；兼容 canonical、OAuth 0.1.7 legacy 与短名，
@@ -38,6 +51,7 @@
 - rc.2 实际渲染完成上传映射、体检和中文字段清洗闭环。
 - 2026-09-03 以维护者测试账号完成最小真实 Phase-3 E2E：1 家公开主体、1 个风险工具，
   估算/实际调用均为 2，补全 1 行、待复核 0、错误 0；知产与经营域未做付费实调。
+- Release workflow `33708528501` 通过，npm provenance 为 SLSA v1；公共 Registry 全新安装与 ESM 导入通过。
 
 ## [0.4.0] - 2026-09-02
 

package/README.en.md

@@ -2,7 +2,7 @@
 
 > A data cleaning & completion agent plugin for DeepSeek Harness: local CSV/XLSX/JSON engine plus optional Qichacha (QCC) MCP enterprise-data enrichment. Initiated and maintained by the Qichacha (QCC) team.
 >
-> Current source version / 当前源码版本: **0.5.0** (release candidate; npm `latest` remains 0.4.0)
+> Current source version / 当前源码版本: **0.5.1** (stable release)
 
 [![CI](https://github.com/duhu2000/dsh-data-cleaning-agent/actions/workflows/ci.yml/badge.svg)](https://github.com/duhu2000/dsh-data-cleaning-agent/actions/workflows/ci.yml)
 [![npm](https://img.shields.io/npm/v/dsh-data-cleaning-agent)](https://www.npmjs.com/package/dsh-data-cleaning-agent)
@@ -90,7 +90,7 @@ Besides local deterministic completion, the plugin supports Qichacha MCP enterpr
   Ambiguous candidates are never auto-selected. A loopback-only, fail-closed E2E runner is ready. On 2026-09-01 an isolated rc.2
   Host passed real OAuth, restart recovery, and 400 QCC calls across 20 public companies. Natural-expiry
   token refresh, dynamic-tool recovery, a post-refresh real call, and 401/429/quota fault injection also passed.
-- **0.5.0 three-domain batch extension (release candidate)**: a frozen 91-tool contract covers risk (38),
+- **0.5.0 three-domain batch extension (released)**: a frozen 91-tool contract covers risk (38),
   intellectual property (18), and operation (35). The workbench supports domain selection, a zero-call upper-bound
   estimate, separate paid-call confirmation, manual ambiguous-candidate locking, partial-failure retry, 30-minute
   Host-memory recovery, and result/review CSV exports. rc.2 and alpha.2 passed 24/24 zero-call Host smoke checks;
@@ -104,7 +104,8 @@ install the matching `@deepseek-ai/dsh-mcp-client` explicitly; see the compatibi
 
 See [the 0.4.0 release record](docs/RELEASE-0.4.0.md) for scope, validation gates, and rollback steps.
 See [the Phase-3 acceptance record](docs/PHASE3-ACCEPTANCE.md) and
-[the 0.5.0 release-candidate record](docs/RELEASE-0.5.0.md) for current gates, upgrade, and rollback.
+[the 0.5.0 release record](docs/RELEASE-0.5.0.md) for verification, upgrade, and rollback.
+See [the 0.5.1 release record](docs/RELEASE-0.5.1.md) for the README fix and release-text gate.
 
 See [docs/PLAN-OSS.md](docs/PLAN-OSS.md) for details.
 

package/README.md

@@ -2,7 +2,7 @@
 
 > 在 DeepSeek Harness 中清洗、补全、画像企业名单数据的智能体插件：本地 CSV/XLSX/JSON 引擎 + 可选企查查（Qichacha/QCC）MCP 企业数据补全，由企查查（Qichacha/QCC）团队发起并维护。
 >
-> 当前源码版本 / Current source version: **0.5.0**（发布候选；npm `latest` 仍为 0.4.0）
+> 当前源码版本 / Current source version: **0.5.1**（正式版本）
 
 [![CI](https://github.com/duhu2000/dsh-data-cleaning-agent/actions/workflows/ci.yml/badge.svg)](https://github.com/duhu2000/dsh-data-cleaning-agent/actions/workflows/ci.yml)
 [![npm](https://img.shields.io/npm/v/dsh-data-cleaning-agent)](https://www.npmjs.com/package/dsh-data-cleaning-agent)
@@ -83,7 +83,7 @@ bash <(curl -fsSL https://raw.githubusercontent.com/duhu2000/dsh-data-cleaning-a
   默认关闭的本机 E2E Runner 已就绪；2026-09-01 已在隔离 rc.2 Host 完成真实 OAuth、跨重启恢复和
   20 家公开企业的 400 次 QCC 调用；自然过期 token 的真实刷新、动态工具恢复及 1 行续期后调用也已通过。
   401 / 429 / 配额耗尽使用 Web→Bridge→ToolRuntime 故障注入验证，不额外消耗真实付费批次。
-- **0.5.0 三域批量扩展（发布候选）**：风险 38、知识产权 18、经营 35 个工具已冻结为 91 工具契约；
+- **0.5.0 三域批量扩展（已发布）**：风险 38、知识产权 18、经营 35 个工具已冻结为 91 工具契约；
   工作台支持域组勾选、零调用上界估算、独立付费确认、多候选人工锁定、部分失败人工重试、
   30 分钟 Host 内存恢复、结果 CSV 与复核 CSV。rc.2 / alpha.2 零调用 Host 冒烟 24/24 通过，
   rc.2 实际渲染与中文企业字段映射闭环通过。2026-09-03 又以维护者自己的测试账号完成最小真实
@@ -100,7 +100,8 @@ bash <(curl -fsSL https://raw.githubusercontent.com/duhu2000/dsh-data-cleaning-a
 [docs/PHASE2-ACCEPTANCE.md](docs/PHASE2-ACCEPTANCE.md)。
 发布记录、验收门和回滚步骤见 [docs/RELEASE-0.4.0.md](docs/RELEASE-0.4.0.md)。
 0.5.0 三域验收状态见 [docs/PHASE3-ACCEPTANCE.md](docs/PHASE3-ACCEPTANCE.md)，
-发布候选、升级与回滚见 [docs/RELEASE-0.5.0.md](docs/RELEASE-0.5.0.md)。
+发布记录、升级与回滚见 [docs/RELEASE-0.5.0.md](docs/RELEASE-0.5.0.md)。
+0.5.1 文档补丁与防回归发布门见 [docs/RELEASE-0.5.1.md](docs/RELEASE-0.5.1.md)。
 
 ## 本地开发
 

package/docs/COMPATIBILITY.md

@@ -14,10 +14,13 @@
 2026-09-01 的 0.4.0 发布内容已分别在 rc.2（43153）和 alpha.2（43154）
 隔离 Host 完成 tarball 加载冒烟，两者均返回 `enrichSkillRegistered:true`；测试进程已停止。
 
-2026-09-02 的 0.5.0 发布候选在 rc.2（43136）与 alpha.2（43137）完成 24/24 零调用 Host 冒烟：
+2026-09-03 已发布的 0.5.0 在 rc.2（43136）与 alpha.2（43137）完成 24/24 零调用 Host 冒烟：
 MVP 路由、Phase-3 capabilities、estimate 与未确认 enrich 阻断均通过。rc.2 另完成实际工作台渲染、
 中文企业名称映射和本地清洗闭环；alpha.2 仍只定位为兼容探针。
 
+0.5.1 为 README 状态与发布 Gate 文档补丁候选，不修改 Host/Client、QCC 契约或运行时依赖，
+因此继承 0.5.0 的 DSH、Node 与 OAuth 兼容矩阵。
+
 ## 2. Node 运行时
 
 - 本包 `engines.node` 声明 `>=20`。
@@ -99,6 +102,6 @@ MVP 路由、Phase-3 capabilities、estimate 与未确认 enrich 阻断均通过
 - `/data-cleaning/api/g5/enrich` 为 0.4.0 已发布能力，单批上限 100 行、并发上限 4，
   且必须显式 `confirmPaidCalls:true` 和唯一 `idempotencyKey`；token 到期刷新与 401/429/配额故障门已通过，
   npm/GitHub Release 均已发布 `v0.4.0`。
-- `/data-cleaning/api/phase3/*` 为 0.5.0 发布候选；单批最多 100 行、并发最多 4、默认/硬调用上限
+- `/data-cleaning/api/phase3/*` 为 0.5.0 已发布能力；单批最多 100 行、并发最多 4、默认/硬调用上限
   500/2000。run 只保留在 Host 内存 30 分钟，Host 重启不恢复。
 - alpha.2 的实际 UI 只作兼容探针；0.5.0 的稳定发布与回滚判断以 rc.2 为准。

package/docs/QCC-PHASES-ROADMAP.md

@@ -30,7 +30,7 @@
 | --- | --- | --- | --- | --- |
 | 一期 | 0.3.0 ✅ | 方案 A：模型中介式 Skill `enterprise-enrichment` | 核心工商 7 字段 + 风险标签 | `qcc-dsh-mcp-oauth` 已连接 |
 | 二期 | 0.4.0 ✅ | 方案 A 扩展 Skill：工商全景 + 股权穿透 | 工商域 16 工具 + 历史工商 | 同上 |
-| 三期 | 0.5.0 RC | 方案 A 扩展 Skill：风险/知产/经营 + 方案 B 批量后端 | 风险 38 + 知产 18 + 经营 35 | 本地/双基线零调用门与最小真实 Phase-3 E2E 已过；待发布授权 |
+| 三期 | 0.5.0 | 方案 A 扩展 Skill：风险/知产/经营 + 方案 B 批量后端 | 风险 38 + 知产 18 + 经营 35 | ✅ 已发布；最小真实 Phase-3 E2E 与公共安装已过 |
 | 四期（可选） | 0.6.0 | 历史轨迹 + 董监高 + 招投标 | 历史 34 + 人员 44 + 招投标 6 | 企业认证账号（历史域） |
 
 每期之间不互相阻塞：二期工商全景、三期风险知产都可独立评审与合入。

package/docs/RELEASE-0.5.0.md

@@ -1,8 +1,8 @@
-# 0.5.0 发布候选记录
+# 0.5.0 发布记录
 
-> 状态：**Release candidate；未打 tag、未发布 npm、未创建 GitHub Release。**
+> 状态：**✅ 已发布；npm `latest`、Git tag 与 GitHub Release 均为 `0.5.0`。**
 >
-> npm `latest` 仍为 `0.4.0`。
+> 发布时间：2026-09-03T02:41:10Z
 
 ## 1. 范围
 
@@ -76,9 +76,12 @@ dsh plugin --profile web add dsh-data-cleaning-agent@0.4.0
 - [x] 维护者测试账号最小真实 Phase-3 E2E：1 家公开主体、1 个风险工具、`maxCalls: 2`，
   实际 2 次调用，1 行补全、0 待复核、0 错误；隔离端口 `43166`，临时凭据副本已清理。
 
-## 6. 发布前外部门
+## 6. 发布结果
 
-- [ ] 用户明确批准创建并推送 `v0.5.0` tag。
-- [ ] 等待 OIDC workflow 完成 npm provenance 与 GitHub Release；再核验公共 Registry 全新安装。
+- [x] 用户明确批准并已创建、推送 annotated tag `v0.5.0`，指向 `c1c889f`。
+- [x] Release workflow `33708528501` 成功，完成 npm OIDC publish 与 GitHub Release。
+- [x] npm Registry 返回 `0.5.0`，provenance predicate 为 SLSA v1。
+- [x] 公共 Registry 全新安装成功，ESM 导入可见 `apply`、`inject` 与 `name`。
 
-发布前任何一项失败都不得移动 `latest`。
+已知文档差异：0.5.0 tarball 的 README 是 tag 时的不可变快照，仍含“发布候选 / latest 0.4.0”字样；
+运行包、provenance 与 Release 正常，GitHub `main` 已修正。npm 同版本不可覆盖，后续仅可由新补丁版本更新包页文案。

package/docs/RELEASE-0.5.1.md

@@ -0,0 +1,48 @@
+# 0.5.1 文档补丁发布记录
+
+> 版本：**0.5.1**（文档与发布流程修正，无运行时代码变化）
+>
+> 公共发布状态以 npm Registry 与 GitHub Releases 为准；本文件随 0.5.1 发布物固化。
+
+## 1. 目的与范围
+
+0.5.1 只修正 0.5.0 npm tarball 中不可变 README 的历史状态文案，并加固发布流程：
+
+- 中英文 README 随 `package.json` 更新为 0.5.1 文档补丁候选；
+- 标签发布时，`docs:check` 强制要求两份 README 都声明当前版本已正式发布；
+- Release workflow 显式设置 `DSH_RELEASE_MODE=1`，严格文案门在 `npm publish` 前执行；
+- 增加普通分支允许候选、标签拒绝候选、标签接受正式文案三项单测；
+- 新发布记录进入 npm 包白名单。
+
+本补丁不修改 DSH Host/Client、QCC Bridge、OAuth、工具契约、API、数据流或 UI，不产生 QCC 调用。
+
+## 2. 兼容性
+
+运行时兼容性与 0.5.0 完全相同：
+
+- 稳定基线：DSH `0.1.1-rc.2`；
+- 兼容探针：DSH `0.1.2-alpha.2`；
+- Node CI：22 / 24；
+- QCC OAuth：`qcc-dsh-mcp-oauth@0.1.7`。
+
+## 3. 发布前门
+
+- [x] `npm run check` 全绿：128/128 测试、36 个发布白名单文件。
+- [x] `DSH_RELEASE_MODE=1 npm run docs:check` 在候选文案下按预期以退出码 1 失败。
+- [x] 候选提交 `c03b1bd` 的 CI `33709568591` 全绿：Linux Node 22/24、Windows Node 24。
+- [x] 发布前将 README.md / README.en.md 切换为不含动态 `latest` 的 0.5.1 正式发布态。
+- [x] `DSH_RELEASE_MODE=1 npm run check` 在正式文案下全绿：128/128、36 文件。
+- [x] 用户单独批准 `v0.5.1` tag、OIDC npm publish 与 GitHub Release。
+- [ ] 发布后核验 SLSA provenance、GitHub Latest 与公共 Registry 全新安装。
+
+未经最后两项确认，不得创建标签或发布 npm。
+
+## 4. 回滚
+
+本补丁无运行时代码变化。需要回滚时安装已发布的 0.5.0：
+
+```bash
+dsh plugin --profile web add dsh-data-cleaning-agent@0.5.0
+```
+
+不得覆盖已发布的 npm 版本。

package/docs/USER-GUIDE.md

@@ -106,7 +106,7 @@ bash <(curl -fsSL https://raw.githubusercontent.com/duhu2000/dsh-data-cleaning-a
 信用代码后续跑；retryable 失败只能由用户通过 `/g5/retry` 显式重试。run 仅在 Host 内存保留
 30 分钟，Host 重启后失效，不把原始企业行持久化落盘。
 
-### 3.4 三域批量补全（0.5.0 发布候选）
+### 3.4 三域批量补全（0.5.0）
 
 0.5.0 在工作台中增加三个可选域：
 
@@ -151,6 +151,6 @@ bash <(curl -fsSL https://raw.githubusercontent.com/duhu2000/dsh-data-cleaning-a
   `enterprise-enrichment` Skill（方案 A 模型中介式）。字段契约与二期规划见
   [QCC-ENRICHMENT-DESIGN.md](QCC-ENRICHMENT-DESIGN.md)。
 - **Q：可以在后台批量补全吗？** A：可以。0.4.0 G5 工商批量已发布并完成真实 OAuth/token 验收；
-  0.5.0 风险/知产/经营三域为发布候选，先用 estimate 核对调用上限，再显式确认付费调用。
+  0.5.0 风险/知产/经营三域已发布，先用 estimate 核对调用上限，再显式确认使用当前用户自己的 QCC 账号额度。
 - **Q：刷新页面或重启后还能恢复吗？** A：同一 Host 进程内可用 `runId` 恢复，默认保留 30 分钟；
   Host 重启后内存 run 失效，但已下载 CSV 和本地源文件不受影响。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-data-cleaning-agent",
-  "version": "0.5.0",
+  "version": "0.5.1",
   "description": "Clean, complete, and profile enterprise name lists in DeepSeek Harness — a data cleaning & completion agent plugin with local CSV/XLSX/JSON engine and optional Qichacha (QCC) MCP enrichment. Maintained by Qichacha/QCC.",
   "type": "module",
   "main": "lib/index.js",
@@ -28,12 +28,13 @@
     "docs/PHASE3-ACCEPTANCE.md",
     "docs/RELEASE-0.4.0.md",
     "docs/RELEASE-0.5.0.md",
+    "docs/RELEASE-0.5.1.md",
     "docs/G5-HOST-BRIDGE.md",
     "docs/G5-E2E-RUNBOOK.md"
   ],
   "scripts": {
     "test": "node --test",
-    "lint": "node --check lib/index.js && node --check lib/engine.js && node --check lib/tools.js && node --check lib/skill.js && node --check lib/qcc-phase2.js && node --check lib/qcc-phase3.js && node --check lib/qcc-phase3-batch.js && node --check lib/qcc-phase2-acceptance.js && node --check lib/skill-enrich.js && node --check lib/jobs.js && node --check lib/qcc-safety.js && node --check lib/qcc.js && node --check lib/qcc-runs.js && node --check lib/web.js && node --check lib/client.js && node --check scripts/check-market-registration.mjs && node --check scripts/g5-e2e.mjs && node --check scripts/phase3-e2e.mjs && node --check scripts/phase2-acceptance.mjs",
+    "lint": "node --check lib/index.js && node --check lib/engine.js && node --check lib/tools.js && node --check lib/skill.js && node --check lib/qcc-phase2.js && node --check lib/qcc-phase3.js && node --check lib/qcc-phase3-batch.js && node --check lib/qcc-phase2-acceptance.js && node --check lib/skill-enrich.js && node --check lib/jobs.js && node --check lib/qcc-safety.js && node --check lib/qcc.js && node --check lib/qcc-runs.js && node --check lib/web.js && node --check lib/client.js && node --check scripts/check-readme-version.mjs && node --check scripts/check-market-registration.mjs && node --check scripts/g5-e2e.mjs && node --check scripts/phase3-e2e.mjs && node --check scripts/phase2-acceptance.mjs",
     "docs:check": "node scripts/check-readme-version.mjs",
     "marketing:check": "node scripts/check-marketing.mjs",
     "verify-pack": "node scripts/verify-pack.mjs",