dsh-desktop-kit 2.2.0 → 2.7.2

package/docs/AGENT-HARNESS.md

@@ -0,0 +1,144 @@
+# Agent Harness — новые возможности kit 2.6.0
+
+## Repo Map (`repo_map`)
+
+Локальная структурная карта проекта. Модель сначала смотрит «оглавление»,
+потом читает только нужные файлы.
+
+```
+repo_map action=map      # топ файлов, символы, импорты
+repo_map action=find query="login session auth"
+repo_map action=stats
+repo_map action=refresh
+```
+
+- без сети и LLM, кэш 60 секунд;
+- пропускает `node_modules`, `.git`, `dist`, `build`, `vendor`, `pgruntime`, `tmp`, `.dsh`;
+- лимит 2500 файлов, карта от 10 до 60 записей.
+
+## Checkpoints (`checkpoint`)
+
+Снимок workspace на git-объектах, без движения HEAD.
+
+```
+checkpoint action=create label="before refactor"
+checkpoint action=list
+checkpoint action=restore id=cp-...
+checkpoint action=delete id=cp-...
+```
+
+- восстановление **не удаляет** файлы, созданные после снимка;
+- перед откатом автоматически создаётся страховочный снимок;
+- метаданные: `~/.dsh/checkpoints/<repo-hash>/<id>.json` (0700/0600);
+- в снимок попадают все файлы, включая `.env` — это локальный приватный объект.
+
+## Project Rules (`.dsh/rules/*.md`)
+
+Файлы правил проекта автоматически подмешиваются в промпт:
+
+```md
+---
+always: true
+---
+Используй pnpm, не npm. Отступы 4/8. Тесты перед коммитом — обязательны.
+```
+
+- правила без `paths` или с `always: true` грузятся всегда;
+- path-scoped правила (`paths:` без `always`) пока не грузятся автоматически —
+  это следующий шаг file-aware загрузчика;
+- лимит 2.5 КБ, чтобы не съедать контекст.
+
+## Когда использовать
+
+- новый проект/большой репозиторий → `repo_map`;
+- рефакторинг, миграция, массовые правки → `checkpoint` до начала;
+- конвенции команды → `.dsh/rules`, а не повторять в каждом промпте.
+
+## Guardrails (`guardrails`)
+
+Реальные hooks DSH, не имитация:
+
+- `tools/pre-execute` — deny/ask для `rm -rf /`, `git push --force`, `git reset --hard`, `DROP DATABASE`, `TRUNCATE`, disk wipe, shell-записи в `.env`/credentials;
+- `fs/write-intent`, `fs/edit-intent`, `fs/delete-intent` — отказ на `.git`, `.ssh`, `.env`, `~/.dsh/.credentials.yaml`, `id_rsa*`, `*.pem`, `*.key`;
+- `guardrails check` — ограниченный скан секретов (ключи, токены, `.env`), больших файлов, `git diff --check`;
+- kill switch: `DSH_GUARDRAILS=off`; политика `~/.dsh/guardrails.json`.
+
+## Plan mode (`plan`)
+
+`.dsh/PLAN.md` со статусами `draft → approved`:
+
+```
+plan action=create content="# План..."
+plan action=approve confirm=true   # только после явного согласия пользователя
+```
+
+Пока план `draft`, плагин вставляет в промпт запрет на правки кода. `confirm: true`
+требуется обязательно; это prompt-гейт, жёсткая блокировка — у guardrails.
+
+## Agent loop contract
+
+`dsh-skill-autopilot` вставляет `<quality-contract>` в каждый промпт:
+сначала `web_search`/`web_fetch` и 2+ независимых источника, затем 2–3
+конкретных референса/варианта; для UI — `browser_qa audit` на 390/768/1440
+и исправление overflow/console/markup до слова «готово». Это поведенческий
+контур, а не отдельная кнопка.
+
+## Browser QA (`browser_qa`)
+
+Chrome/Edge через CDP, без npm-зависимостей:
+```
+browser_qa action=audit url="http://localhost:3000" widths=[390,768,1440]
+browser_qa action=shot url="..." width=390 height=844
+```
+
+`audit` возвращает `horizontalOverflow`, до 25 overflow-элементов (вложенные
+`overflow-x:hidden` не считаются), console errors, скриншоты по ширинам и
+`markup`-проверку: alt, label у полей, доступные имена ссылок/кнопок, дубли
+`id`, порядок заголовков, `lang`/`title`/viewport, положительный `tabindex`.
+`shot` сохраняет PNG в `.dsh/browser-qa`. Chrome не остаётся висеть после вызова.
+
+## UI gate
+
+После правок UI-файлов (`html/css/scss/jsx/tsx/vue/svelte/astro/mdx`)
+`browser_qa` не даёт закрыть ход без чистого аудита:
+
+- правка запоминает сессию и путь;
+- `browser_qa audit` снимает флаг только при `overflow=0`, `console=0`,
+  `markup=0`;
+- иначе на `agent/turn-stopping` агент получает `steer` с требованием
+  исправить и перепроверить;
+- после четырёх напоминаний срабатывает предохранитель, чтобы не зациклиться.
+
+Это реальный hook, а не только строка в промпте.
+
+## GitHub review (`github_review`)
+
+Read-only PR/CI через `gh`:
+
+```
+github_review action=status
+github_review action=pr
+github_review action=checks
+github_review action=comments
+github_review action=diff
+```
+
+`comment` — только с `confirm: true`; merge/close/force-push отсутствуют.
+Токены не логируются; вывод ограничен по байтам.
+
+## Eval (`tools/eval-run.mjs`)
+
+```
+node tools/eval-run.mjs --full
+```
+
+10 проверок: skills, repo map, checkpoints, plan, guardrails, smoke, transfer,
+browser QA, GitHub review, bridge. Отчёт `eval/latest.json`; baseline
+`eval/baseline.json` показывает дельту.
+
+## Следующие шаги
+
+- file-aware rules: `paths:` + реальный список изменяемых файлов;
+- inline diff accept/reject UI;
+- model/effort routing;
+- MCP-рецепты и маркетплейс.

package/docs/ARCHITECTURE.md

@@ -5,33 +5,40 @@
 ```
 dsh-desktop-kit/
 ├─ package.json          пакет-«зонтик», который ставится через «Add plugin»
-├─ index.js              host-половина: монтирует семь плагинов дочерними
-├─ client.js             сгенерированная браузерная половина (5 плагинов)
+├─ index.js              host-половина: монтирует четырнадцать плагинов дочерними
+├─ client.js             сгенерированная браузерная половина (6 плагинов)
 ├─ cordis.patch.yml      одна строка bundle → dsh-desktop-kit
 ├─ plugins/
 │  ├─ dsh-gkb-ru-ui/     русский UI, плитки, Skills Studio
 │  ├─ dsh-skill-autopilot/  маршрут навыков по сообщению
 │  ├─ dsh-token-lab/     замер контекста и панель
 │  ├─ dsh-peak-guard/    предупреждение о пиковом тарифе
-│  ├─ dsh-project-memory/
+│  ├─ dsh-project-memory/  локальные досье и автожурнал
+│  ├─ dsh-memory-bridge/   обмен досье: GitHub и USB
+│  ├─ dsh-repo-map/        карта репозитория и поиск файлов
+│  ├─ dsh-checkpoints/     git-снимки и безопасный откат
+│  ├─ dsh-plan-mode/       PLAN.md и запрет правок до подтверждения
+│  ├─ dsh-browser-qa/      скриншоты и overflow через Chrome/CDP
+│  ├─ dsh-github-review/   PR, CI и комментарии через gh
+│  ├─ dsh-guardrails/      политика опасных команд и защищённых путей
 │  ├─ dsh-session-move/
 │  └─ dsh-profile-transfer/
-├─ skills/               25 навыков (ядро + references)
+├─ skills/               30 навыков (ядро + references)
 ├─ tools/                сборка, smoke, проверка бюджета навыков
 ├─ docs/                 документация и hero-картинка
 └─ assets/               исходник hero.html (в npm не входит)
 ```
 
-## Почему один пакет, а не семь зависимостей
+## Почему один пакет, а не четырнадцать зависимостей
 
 DSH ставит плагин как пакет профиля и загружает его клиентскую половину по имени пакета. Пакет-«зонтик» с зависимостями на подпакеты не годится: pnpm кладёт их в `node_modules/.pnpm`, а загрузчик ищет `dsh.client` у пакета, который указан в строке bundle. Поэтому зонтик **вендорит** исходники и объединяет половины сам.
 
 ## Host-половина
 
-`index.js` импортирует семь host-модулей и монтирует каждый через `ctx.plugin(plugin)`:
+`index.js` импортирует четырнадцать host-модулей и монтирует каждый через `ctx.plugin(plugin)`:
 
 - у каждого дочернего плагина свой `inject`, поэтому отсутствующий сервис оставляет pending только этот плагин, а не весь набор;
-- отключение `dsh-desktop-kit` в списке плагинов снимает все семь;
+- отключение `dsh-desktop-kit` в списке плагинов снимает все четырнадцать;
 - ошибка монтирования одного плагина логируется и не мешает остальным.
 
 При старте `installSkills()` вызывает `syncSkills()` из `lib/skills-sync.js`. Манифест `skills/manifest.json` хранит SHA-256 каждого навыка, состояние `~/.dsh/skills/.dsh-kit-skills.json` — что установлено. Неизменённые навыки обновляются с бэкапом в `.dsh-kit-backups/skills/`, изменённые пользователем не перезаписываются и попадают в `/kit conflicts`. Установка без state-файла принимается только при совпадении с базой из `skills-baseline.json`.
@@ -65,6 +72,30 @@ RPC `/api/dsh-skill-autopilot/state|set|route` отдаёт состояние,
 
 Дайджест кэшируется по mtime секций, `scan.json`, git-head и хэшу последнего сообщения; auto-recall ищет до трёх релевантных строк досье по ключевым словам запроса. Блоки `AUTO-SCAN` обновляются заменой между маркерами, поэтому ручной текст секций не теряется. Записи проходят `redactText`; на POSIX каталог и файлы получают `0700/0600`.
 
+## Мост памяти между машинами
+
+`dsh-memory-bridge` — часть, которая синхронизирует досье между машинами через GitHub.
+
+- **Host** (`index.js`): фоновые синхронизации (старт, таймер 60 с, запись досье, конец хода), RPC `/api/dsh-memory-bridge/{status|configure|create-repo|set-enabled|set-options|sync-now|resolve-conflict|history|restore-version}`, скрытая команда `/sync` для восстановления.
+- **Состояние** — только в `~/.dsh/memory-sync/`: `config.json`, `machine.json`, локальный клон `github/<repo>`, снимки `base/<проект>`, `conflicts/`, `backups/`. В `projects-memory/` мост не пишет ничего, кроме самих досье.
+- **Цикл**: `fetch → reset к origin → 3-way merge (local/base/origin) → локальные файлы + файлы репозитория → commit → push`. Отклонённый push не форсируется: цикл повторяет fetch и слияние, поэтому параллельные правки двух машин объединяются.
+- **Конфликты**: неаддитивные правки одной строки дают карточку с выбором; файл не перезаписывается, пока пользователь не решил.
+- **Приватность**: `gh repo view --json visibility` перед clone/fetch; публичный или непроверяемый репозиторий останавливает синхронизацию.
+- **Клиент**: `settings.section` id `memory-bridge`, order 35; мастер подключения, статус, конфликты, история и откат — мышкой.
+
+`dsh-project-memory` при старте подхватывает уже существующую папку досье (пришла из обмена или архива) и переселяет реестр на локальный корень; `dsh-profile-transfer` сливает `projects-memory/registry.json` с локальным и пересчитывает пути с машины-источника.
+
+## Agent Harness (2.6–2.7)
+
+Шесть host-плагинов добавляют инструменты и хуки, не раздувая системный промпт:
+
+- **`dsh-repo-map`** — `repo_map`: файлы, языки, символы, импорты и ранжирование; отдаёт 5–15 релевантных файлов вместо чтения всего репозитория.
+- **`dsh-checkpoints`** — `checkpoint`: снимок рабочего дерева (включая untracked) в `refs/dsh-checkpoints/<id>`; `create/list/restore/delete`, перед откатом — страховочный снимок. Метаданные в `~/.dsh/checkpoints/`.
+- **`dsh-plan-mode`** — `plan`: `draft → approved` в `.dsh/PLAN.md`; правки кода блокируются, пока пользователь явно не подтвердит план (`plan action=approve confirm=true`).
+- **`dsh-browser-qa`** — headless Chrome через CDP: скриншоты, адаптив 1440/768/390, горизонтальный overflow, ошибки консоли; без Playwright и внешних зависимостей.
+- **`dsh-github-review`** — `github_review` поверх `gh`: `status`, `pr`, `checks`, `comments`, diff с жёсткими лимитами; read-only, комментарий — только по явному подтверждению.
+- **`dsh-guardrails`** — `guardrails` (`status/check/policy`) + хуки `tools/pre-execute`, `fs/write-intent`, `fs/edit-intent`, `fs/delete-intent`: `deny`/`ask` для опасных shell-команд, защищённые пути, скан секретов и рабочего дерева. Политика — инспектируемый JSON, отключается `DSH_GUARDRAILS=off`.
+
 ## Skills Studio
 
 Хост-часть `dsh-gkb-ru-ui`:

package/docs/COMPATIBILITY.md

@@ -5,7 +5,9 @@
 | DSH | Состояние | Что проверено |
 |---|---|---|
 | `0.2.1-rc.5` | работает | **2.2 проверена вживую**: память проектов (авто-распознавание, автоскан, `brief`/`scan`, `/memory`, redaction), Skills Studio, Token Lab, автопилот, 25 навыков, синхронизация навыков с бэкапом |
-| `0.2.2-rc.1` | работает (2.2.0+) | **проверено 2026-11-06**: установка из репозитория, 4 плитки, 25 навыков, редактор с бэкапом, Token Lab (27 217 токенов / 24 узла), Peak Guard (карточка + бейдж), Session Move, Profile Transfer, память проектов (`/memory`, `scan.json`, дайджест), автопилот после фикса формата `user/message`, обновление 2.2.0 с сохранением правки навыка и `/kit status` (7/7). Отчёт: [TEST-0.2.2.md](TEST-0.2.2.md) |
+| `0.2.2-rc.1` | работает (2.2.1+) | **проверено 2026-11-06**: установка из репозитория, 4 плитки, 25 навыков, редактор с бэкапом, Token Lab (27 217 токенов / 24 узла), Peak Guard (карточка + бейдж), Session Move, Profile Transfer, память проектов (`/memory`, `scan.json`, дайджест), автопилот после фикса формата `user/message`, обновление 2.2.0 с сохранением правки навыка и `/kit status` (7/7). Отчёт: [TEST-0.2.2.md](TEST-0.2.2.md) |
+| `0.2.2-rc.1` | работает (2.7.2) | **проверено 2026-11-10**: 14 плагинов, 6 клиентских частей, 30 навыков, `/kit status` (14/14), полный `npm test` (включая 39 guardrails, browser QA, GitHub review, repo map, checkpoints, plan mode), 49 тестов переноса профиля, 35 тестов GitHub-моста, сборка и проверка клиента, `npm pack` и установка из tarball |
+| `0.2.2-rc.1` | работала (2.3.0) | **проверено 2026-11-09**: 8 плагинов, 6 клиентских частей, 25 навыков, `/kit status` (8/8), 49 тестов переноса профиля, 35 тестов GitHub-моста; досье с другой машины подхватывается без дубля |
 | новее `0.2.2` | не проверено | API плагинов в 0.2.x ещё меняется; см. «Если сломалось» |
 
 ## Политика обновлений
@@ -13,7 +15,7 @@
 - **Нет жёстких версий DSH.** Пакет не объявляет `engines.dsh` и не тянет `@deepseek-ai/*`: диапазон сам стал бы причиной «плагины несовместимы» после обновления клиента.
 - **Нет потери правок.** Навыки обновляются по SHA-256-манифесту; изменённые пользователем остаются нетронутыми, перед заменой — бэкап. Состояние: `~/.dsh/skills/.dsh-kit-skills.json`; команда `/kit conflicts`.
 - **Изоляция.** Каждый дочерний хост-плагин монтируется отдельно; каждая клиентская часть набора изолирована — ошибка одной не снимает остальные. Диагностика: `window.__DSH_DESKTOP_KIT__`, `doctor.ps1`.
-- **Проверка перед релизом.** Матрица выше обновляется отчётом `docs/TEST-<версия>.md`; для нового DSH прогоняются установка из репозитория, все 7 плагинов и `/kit status`.
+- **Проверка перед релизом.** Матрица выше обновляется отчётом `docs/TEST-<версия>.md`; для нового DSH прогоняются установка из репозитория, все 14 плагинов и `/kit status`.
 - **Откат.** Предыдущая версия ставится поверх; навыки возвращаются из `.dsh-kit-backups/skills/`. Полный протокол — [UPGRADING.md](UPGRADING.md).
 
 ### 0.2.2-rc.1: что отличается
@@ -68,7 +70,7 @@ DSH 0.2.2 при старте проверяет `engines.dsh` и peer-диап
 4. Запущен `dsh --profile probe --no-open --port 58888`.
 5. В HTML boot-графа присутствует `dsh-desktop-kit/client.js`.
 6. Headless Chromium + CDP: `EXCEPTIONS []`, ни одной неактивированной записи, `window.__DSH_PEAK_GUARD__` и `window.__DSH_SESSION_MOVE__` — объекты, режим пика `peak` (09:0x МСК).
-7. После старта хоста в `DSH_HOME/skills` появились все 25 навыков.
+7. После старта хоста в `DSH_HOME/skills` появились все 30 навыков.
 8. **2.0:** пакет поставлен в живой профиль `desktop` через Plugin Manager (локальная папка), хост применился без перезапуска; Skills Studio сохранила и откатила навык (бэкап в `.dsh-kit-backups`), Token Lab показал фактический замер 402k токенов, автопилот выдал маршрут по сообщению; `node tools/smoke-tests.mjs` — 2/2, `skill-cost --check` — все ядра в бюджете.
 9. **2.1:** `node tools/memory-tests.mjs` — распознавание, скан, redaction, дайджест, `brief`/`scan`, авто-блок; живой профиль перезагружен, для проекта `dsh` создан `scan.json` и блоки `AUTO-SCAN`.
 

package/docs/DEVELOPMENT.md

@@ -0,0 +1,56 @@
+# Разработка и выпуск
+
+## Быстрый цикл
+
+```powershell
+npm test                    # полный набор: kit, плагины, guardrails, browser QA, GitHub review
+npm run skills:check        # 30 навыков, бюджеты ядер
+node tools/check-client.mjs client.js
+node tools/smoke-tests.mjs
+```
+
+Перед коммитом можно включить локальный hook:
+
+```powershell
+git config core.hooksPath .githooks
+```
+
+Он проверяет `git diff --check`, актуальность `client.js`, навыки и smoke-тесты. Полный `npm test` остаётся ответственностью CI и релиза.
+
+## Релиз одной командой
+
+```powershell
+npm run release -- --dry-run              # показать план, ничего не менять
+npm run release                           # проверки + сборка + release/*.tgz + sha256
+npm run release -- --bump patch           # поднять версию и собрать
+npm run release -- --skip-tests           # быстрая локальная упаковка
+npm run release -- --publish              # опубликовать готовый tarball
+```
+
+Скрипт `tools/release.mjs`:
+
+1. при `--bump` меняет версию в `package.json` и пересобирает `client.js` и `skills/manifest.json`;
+2. запускает `validate-skills`, `skill-cost --check`, `check-client` и `npm test` (если не `--skip-tests`);
+3. делает `npm pack` в `release/`, пишет `release/checksums.txt` с SHA-256;
+4. **не публикует** без `--publish` — печатает точную команду.
+
+После `--bump` не забудьте обновить версии в README, `docs/` и `CHANGELOG.md` — скрипт намеренно не правит тексты.
+
+Публикация (после `npm login --auth-type=web` и снятия security hold):
+
+```powershell
+npm run release -- --publish
+npm view dsh-desktop-kit version
+```
+
+## CI
+
+- `.github/workflows/test.yml` — тесты на Windows, Node 20/24, push в `main` и PR.
+- `.github/workflows/release.yml` — по тегу `v*` или вручную: `npm test`, tarball, `checksums.txt`, artifact в Actions. Публикация в npm намеренно не автоматизирована, пока нет trusted publishing/токена.
+
+## Что ещё автоматизировать
+
+- `eval-run.mjs` — детерминированный health-check харнесса; можно добавить его в nightly CI.
+- `browser_qa` — UI-аудит на 390/768/1440; подключать к PR, затрагивающим клиент.
+- `guardrails check` — скан секретов/запрещённых путей перед релизом.
+- `repo_map` и `checkpoint` — перед крупным рефакторингом, а не после.

package/docs/INSTALL.md

@@ -11,7 +11,7 @@
 В DSH: **Плагины → Add plugin** → вставьте:
 
 ```
-dsh-desktop-kit@2.2.0
+dsh-desktop-kit@2.7.2
 ```
 
 Либо локально: `npm i dsh-desktop-kit@2.0.0` — но для GUI всё равно нужен Add plugin/bundle.
@@ -42,7 +42,7 @@ dsh-desktop-kit@2.2.0
 
 Плагин сам:
 - добавит один bundle `dsh-desktop-kit` в профиль;
-- смонтирует семь плагинов как дочерние;
+- смонтирует четырнадцать плагинов как дочерние;
 - скопирует недостающие навыки в `~/.dsh/skills`.
 
 ## Способ 2. Скрипт
@@ -61,13 +61,19 @@ powershell -ExecutionPolicy Bypass -File .\install.ps1
 
 Скрипт делает бэкап `package.json` и `cordis.patch.yml`, вызывает `dsh plugin add` и включает bundle.
 
-## Способ 3. Отдельные плагины
+## Один пакет
 
-Добавьте в «Add plugin» путь к папке нужного плагина из `plugins/` (см. таблицу в README). Каждый плагин самостоятелен: свой `cordis.patch.yml`, свой клиентский бандл.
+Все 16 плагинов уже входят в `dsh-desktop-kit`. Не добавляйте папки из `plugins/` отдельно: это внутренние исходники, а не самостоятельные пакеты. В профиле должна быть одна зависимость `dsh-desktop-kit` и один bundle.
+
+## Автонастройка
+
+При первом запуске kit сам создаёт `~/.dsh/mcp.json`, `~/.dsh/mcp.README.md` и в каждом проекте — `.dsh/` с `agents/`, `commands/`, `rules/`, `hooks.json`, `verify.json`, `mcp.json`, `PROJECT.md`, `README.md` и `.gitignore`. Существующие файлы не перезаписываются.
+
+Trust-маркеры (`hooks.trusted`, `mcp.trusted`) **не создаются**: выполнение hooks и запуск проектных MCP-серверов остаётся явным решением. Для них есть `/hooks trust` и `/mcp trust`.
 
 ## Проверка после установки
 
-1. **Плагины**: в списке появился `dsh-desktop-kit` (или отдельные плагины), переключатель включён.
+1. **Плагины**: в списке появился один `dsh-desktop-kit`, переключатель включён.
 2. **Сайдбар**: внизу — плитки «Навыки», «Токены», «Баланс», «Расход» (нужен вход в аккаунт DeepSeek; на экране входа сайдбар скрыт). На узком окне плитки скрыты, каталог открывает кнопка «Навыки» внизу справа.
 3. **Skills Studio**: плитка «Навыки» → карточки со стоимостью ядра → «Редактировать»; `Ctrl+S` сохраняет, копия — в `~/.dsh/skills/.dsh-kit-backups`.
 4. **Token Lab**: плитка «Токены» → состав контекста, топ-6 узлов, давление на окно.
@@ -77,6 +83,8 @@ powershell -ExecutionPolicy Bypass -File .\install.ps1
 8. **Навыки**: `~/.dsh/skills` содержит 25 папок, каждое ядро ≤ 6k токенов.
 9. **Перенос**: Настройки → «Перенос и резервные копии».
 10. **Перемещение чатов**: правый клик по чату → «Переместить в рабочую область…».
+11. **Автонастройка**: `~/.dsh/mcp.json` существует, в проекте есть `.dsh/PROJECT.md`; `/mcp list` и `/doctor` показывают конфиг.
+12. **MCP UI**: Настройки → **MCP**; добавьте пресет GitHub/PostgreSQL/Filesystem, проверьте статус и Tools. После подключения откройте новый чат — tools появятся в toolset.
 
 Диагностика: `powershell -ExecutionPolicy Bypass -File .\doctor.ps1`.
 
@@ -88,11 +96,12 @@ powershell -ExecutionPolicy Bypass -File .\uninstall.ps1
 
 Навыки остаются (они ваши). Удалить и их: `-RemoveSkills`.
 
-## Ручная установка без скрипта и UI
+## Ручная установка без скрипта
 
-1. Скопируйте папки плагинов в `%USERPROFILE%\.dsh\local-plugins\`.
-2. В `%USERPROFILE%\.dsh\profiles\desktop\package.json`:
-   - в `dependencies` добавьте `"dsh-desktop-kit": "link:<путь к репозиторию>"` (прямые слэши);
+1. В `%USERPROFILE%\.dsh\profiles\desktop\package.json`:
+   - в `dependencies` добавьте `"dsh-desktop-kit": "link:<путь к репозиторию>"` (прямые слэши) или версию из npm;
    - в `dsh.profile.bundles` добавьте `"dsh-desktop-kit"`.
-3. Выполните `dsh plugin --profile desktop install` (встроенный pnpm DSH).
-4. Перезапустите DSH.
+2. Выполните `dsh plugin --profile desktop install` (встроенный pnpm DSH).
+3. Перезапустите DSH.
+
+Никакие папки из `plugins/` копировать в `local-plugins` не нужно.

package/docs/LAPTOP-INSTALL.md

@@ -0,0 +1,96 @@
+# Установка kit на другой машине (ноутбук)
+
+Репозиторий приватный. Нужен доступ к GitHub под `Bulavackii` и DSH
+`0.2.2-rc.1` (или совместимый 0.2.x).
+
+## 1. Клонировать
+
+```powershell
+git clone https://github.com/Bulavackii/dsh-desktop-kit.git
+cd dsh-desktop-kit
+```
+
+Если включён SSH:
+
+```powershell
+git clone git@github.com:Bulavackii/dsh-desktop-kit.git
+```
+
+## 2. Установить bundle
+
+**Предпочтительно — через UI DSH:**
+
+1. Открой DSH → Plugins (Плагины).
+2. «Установить из локальной папки» / Add local bundle.
+3. Укажи папку `dsh-desktop-kit`.
+4. Перезапусти профиль/обнови страницу.
+
+**Через агента DSH** можно просто сказать:
+
+> Установи bundle `dsh-desktop-kit` из `C:\путь\dsh-desktop-kit`.
+
+Проверка после установки: в Plugins kit показывает **14/14** плагинов,
+версия **2.7.1**, а команда `/kit status` пишет `Плагины: 14/14`.
+
+## 3. Что произойдёт автоматически
+
+- 30 навыков синхронизируются в `~/.dsh/skills` (твои правки не
+  перезаписываются, конфликты видны в `/kit conflicts`);
+- появятся инструменты `repo_map`, `checkpoint`, `plan`, `guardrails`,
+  `browser_qa`, `github_review`;
+- quality-контракт и авто-загрузка компактных навыков включатся вместе с kit.
+
+## 4. Донастроить
+
+- **GitHub PR/CI**: `gh auth login` (нужен `repo` scope).
+- **Browser QA**: установленный Chrome или Edge; проверка — `browser_qa action=status`.
+- **Guardrails**: по умолчанию включены; `DSH_GUARDRAILS=off` — аварийный
+  выключатель. Политика при необходимости: `~/.dsh/guardrails.json`.
+- **План**: `.dsh/PLAN.md` в проекте; `plan action=approve confirm=true` — только
+  после явного согласования.
+
+## 5. Не устанавливай bridge дважды
+
+Kit уже содержит `dsh-memory-bridge`. Отдельно репозиторий
+`dsh-memory-bridge` нужен для standalone-режима или резервной копии; если
+поставить и kit, и standalone-плагин, будут конфликты plugin id.
+
+## 6. Обновление с ноутбука
+
+```powershell
+cd dsh-desktop-kit
+git pull origin main
+```
+
+Затем переустанови bundle из той же папки (Plugins → переустановить/Reinstall)
+и перезапусти DSH. Навыки обновятся через `/kit sync`; локальные правки
+сохранятся.
+
+## 7. Быстрая проверка
+
+```text
+/kit status
+repo_map action=stats
+guardrails action=status
+browser_qa action=status
+github_review action=status
+```
+
+Ожидаемо: 16 плагинов, 30 навыков, guardrails ON, Chrome найден, gh
+авторизован (если настроен).
+
+## 8. Если что-то пошло не так
+
+- **DSH не видит bundle** — проверь, что папка содержит `package.json`,
+  `cordis.patch.yml` и `client.js`; перезапусти профиль.
+- **Навыки не появились** — `/kit sync`; при конфликте — `/kit conflicts`.
+- **Guardrails блокирует запись** — это защищённый путь (`.env`, ключи,
+  `.git`); отключи аварийно `DSH_GUARDRAILS=off` и сообщи, что именно
+  блокируется.
+- **Browser QA не находит Chrome** — задай `CHROME_PATH` или поставь Edge.
+
+## Версии
+
+- kit: `v2.7.1` / package `2.7.1`
+- bridge (внутри kit): `2.3.1`
+- минимум DSH: `0.2.1-rc.5`, проверено на `0.2.2-rc.1`