dsh-desktop-kit 2.7.6 → 2.7.8

package/CHANGELOG.md

@@ -1,5 +1,19 @@
 # Changelog
 
+## 2.7.8 (2026-11-12)
+
+- **Permissions UI.** Настройки → **Права**: эффективный preset DSH (`current`), sandbox/approval, каталог пресетов, жёсткие правила kit и защищённые пути. Страница read-only, без второго picker и без хранения approvals.
+- **Guardrails RPC.** `/api/dsh-guardrails/permissions`: `catalog/current/resolve/optionOf` + снимок политики; привязка к сессии и workspace.
+- **UI.** 390/768/1440: overflow 0, console 0, markup 0; скриншоты 1440/390.
+- **2.7.7** (staged) содержала MCP prompts; 2.7.8 включает и prompts, и Permissions UI.
+
+## 2.7.7 (2026-11-12)
+
+- **MCP prompts.** Settings → MCP → **Prompts**: список промптов сервера, аргументы, запуск, результат и копирование. Новые RPC `prompts`/`prompt`; клиент поддерживает `prompts/list` и `prompts/get` с пагинацией.
+- **`/mcp prompts` и `/mcp prompt`.** Промпты доступны и из командной строки, включая JSON-аргументы.
+- **UI.** Модалка prompts проверена на 390/768/1440: overflow 0, console 0, markup 0.
+- **README.** Скриншоты prompts 1440/390 и описание.
+
 ## 2.7.6 (2026-11-11)
 
 - **README images через unpkg.** Npm-страница не разрешает относительные пути, а GitHub raw и jsDelivr в этой сети не открываются. Все 15 изображений переведены на `https://unpkg.com/dsh-desktop-kit@2.7.4/...`; загрузка проверена в headless Chrome.

package/README.md

@@ -4,17 +4,17 @@
 
 Набор из **16 плагинов и 30 навыков** для DeepSeek Harness 0.2.x: русский интерфейс, автопилот навыков, токен-лаборатория, студия навыков, память проектов, обмен памятью между машинами (GitHub и USB), guardrails, карта репозитория, чекпоинты, plan mode, browser QA, GitHub review, Claude Code-подобные hooks/agents/commands, перенос чатов и резервные копии профиля.
 
-![DSH Desktop Kit 2.7](https://unpkg.com/dsh-desktop-kit@2.7.4/docs/images/hero.png)
+![DSH Desktop Kit 2.7](https://unpkg.com/dsh-desktop-kit@2.7.8/docs/images/hero.png)
 
 ## MCP: подключения без JSON
 
-Настройки → **MCP**: пресеты GitHub, PostgreSQL и Filesystem, живые статусы, health, список tools и безопасное хранение токенов в `~/.dsh/mcp.secrets.json`.
+Настройки → **MCP**: пресеты GitHub, PostgreSQL и Filesystem, живые статусы, health, список tools и безопасное хранение токенов в `~/.dsh/mcp.secrets.json`. Промпты сервера открываются кнопкой **Prompts**: аргументы, запуск и копирование результата.
 
-![MCP Settings](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-mcp-manager/screenshots/settings-1440.png)
+![MCP Settings](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-mcp-manager/screenshots/settings-1440.png)
 
-![MCP на 390px](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-mcp-manager/screenshots/settings-390.png)
+![MCP на 390px](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-mcp-manager/screenshots/settings-390.png)
 
-![Добавление MCP-сервера](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-mcp-manager/screenshots/modal-390.png)
+![Добавление MCP-сервера](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-mcp-manager/screenshots/modal-390.png)
 
 ## Права и субагенты
 
@@ -23,9 +23,11 @@
 - **Approval** — штатная карточка DSH: Allow once / Always allow / Reject.
 - **`.dsh/`** создаётся автоматически: agents, commands, rules, hooks, verify, mcp, PROJECT.md.
 
-![Агенты проекта](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-agent-extensions/screenshots/agents-1440.png)
+![Агенты проекта](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-agent-extensions/screenshots/agents-1440.png)
 
-**v2.7.6** · MIT · проверено на DSH `0.2.1-rc.5` и `0.2.2-rc.1` (Windows 11) · без внешних зависимостей и телеметрии
+![Права и ограничения](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-guardrails/screenshots/permissions-1440.png)
+
+**v2.7.8** · MIT · проверено на DSH `0.2.1-rc.5` и `0.2.2-rc.1` (Windows 11) · без внешних зависимостей и телеметрии
 
 **План развития:** [docs/ROADMAP-3.0.md](docs/ROADMAP-3.0.md) — Memory Fabric, семантическое
 слияние, локальный индекс памяти, шифрованные переносы, Memory Hub и npm trusted publishing.
@@ -113,27 +115,27 @@
 - перед каждой синхронизацией проверяется, что репозиторий всё ещё приватный;
 - секреты и PII вычищаются, домашние пути заменяются токеном `%DSH_HOME%`; LLM не вызывается — **0 токенов**.
 
-![Настройки памяти проектов](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-memory-bridge/docs/images/settings-light.png)
+![Настройки памяти проектов](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-memory-bridge/docs/images/settings-light.png)
 
-![Конфликты досье](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-memory-bridge/docs/images/conflicts.png)
+![Конфликты досье](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-memory-bridge/docs/images/conflicts.png)
 
 ## Скриншоты
 
 ### Skills Studio: каталог, стоимость и редактор
 
-![Каталог навыков](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-gkb-ru-ui/screenshots/02-skills-1440-light.png)
+![Каталог навыков](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-gkb-ru-ui/screenshots/02-skills-1440-light.png)
 
-![Редактор навыка](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-gkb-ru-ui/screenshots/03-skills-editor-1440-light.png)
+![Редактор навыка](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-gkb-ru-ui/screenshots/03-skills-editor-1440-light.png)
 
 ### Token Lab: куда уходит контекст
 
-![Токен-лаборатория](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-token-lab/screenshots/01-token-lab-1440-light.png)
+![Токен-лаборатория](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-token-lab/screenshots/01-token-lab-1440-light.png)
 
 ### Тёмная тема и мобильный
 
-![Тёмная тема](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-gkb-ru-ui/screenshots/04-skills-1440-dark.png)
+![Тёмная тема](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-gkb-ru-ui/screenshots/04-skills-1440-dark.png)
 
-![Каталог навыков на 390 px](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-gkb-ru-ui/screenshots/05-skills-390-light.png)
+![Каталог навыков на 390 px](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-gkb-ru-ui/screenshots/05-skills-390-light.png)
 
 ## Окно-напоминание: пиковый тариф
 
@@ -143,11 +145,11 @@ DeepSeek включает двойной тариф в пиковые часы (
 - **в окне** — красная карточка: причина, границы окна в местном времени и UTC, живой отсчёт до конца и рекомендация, когда вернуться;
 - **после окна** — карточка исчезает; состояние всегда доступно через `window.__DSH_PEAK_GUARD__.state()`.
 
-![Окно-напоминание: светлая тема](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-peak-guard/screenshots/03-peak-card-1440-light.png)
+![Окно-напоминание: светлая тема](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-peak-guard/screenshots/03-peak-card-1440-light.png)
 
-![Окно-напоминание: тёмная тема](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-peak-guard/screenshots/04-peak-card-1440-dark.png)
+![Окно-напоминание: тёмная тема](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-peak-guard/screenshots/04-peak-card-1440-dark.png)
 
-![Окно-напоминание на 390 px](https://unpkg.com/dsh-desktop-kit@2.7.4/plugins/dsh-peak-guard/screenshots/05-peak-card-390-light.png)
+![Окно-напоминание на 390 px](https://unpkg.com/dsh-desktop-kit@2.7.8/plugins/dsh-peak-guard/screenshots/05-peak-card-390-light.png)
 
 Подробности и настройки — [plugins/dsh-peak-guard/README.md](plugins/dsh-peak-guard/README.md).
 

package/client.js

@@ -6929,6 +6929,12 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       .mcp-tool{display:flex;gap:8px;align-items:baseline;font-size:12px;line-height:1.45;min-width:0}
       .mcp-tool code{color:var(--mcp-accent);font:inherit;font-weight:650;white-space:nowrap}
       .mcp-tool span{color:var(--mcp-muted);overflow:hidden;text-overflow:ellipsis}
+      .mcp-prompt-list{display:flex;flex-direction:column;gap:8px}
+      .mcp-prompt-card{text-align:left;border:1px solid var(--mcp-line);background:var(--mcp-panel);border-radius:12px;padding:11px 12px;cursor:pointer;font:inherit;color:inherit;min-height:44px}
+      .mcp-prompt-card:hover{border-color:rgba(15,118,110,.4);background:var(--mcp-accent-soft)}
+      .mcp-prompt-card b{display:block;font-size:13px}
+      .mcp-prompt-card span{display:block;color:var(--mcp-muted);font-size:12px;line-height:1.4;margin-top:3px}
+      .mcp-prompt-output{margin:0;padding:12px;border:1px solid var(--mcp-line);border-radius:10px;background:var(--mcp-soft);color:var(--mcp-text);font:12px/1.55 ui-monospace,SFMono-Regular,Consolas,monospace;white-space:pre-wrap;overflow-wrap:anywhere;max-height:38vh;overflow:auto}
       .mcp-empty{border:1px dashed var(--mcp-line);border-radius:18px;padding:26px;background:linear-gradient(160deg,var(--mcp-soft),transparent 75%);display:flex;flex-direction:column;gap:12px;align-items:flex-start}
       .mcp-empty h3{margin:0;font-size:18px;letter-spacing:-.015em}
       .mcp-empty p{margin:0;color:var(--mcp-muted);font-size:13px;line-height:1.5;max-width:60ch}
@@ -6983,7 +6989,7 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       );
     }
 
-    function ServerCard({ server, busy, onToggle, onTest, onTools, onRemove, tools }) {
+    function ServerCard({ server, busy, onToggle, onTest, onTools, onPrompts, onRemove, tools }) {
       const [open, setOpen] = useState(false);
       const connected = server.connected;
       const status = connected ? "on" : (server.error ? "err" : "off");
@@ -7006,6 +7012,7 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
           h(Toggle, { checked: server.trusted, label: "Доверен", disabled: busy, onChange: (value) => onToggle(server.id, { trusted: value }) }),
           h("div", { className: "mcp-actions" },
             h("button", { className: "mcp-btn ghost", disabled: busy, onClick: () => onTest(server.id) }, "Проверить"),
+            h("button", { className: "mcp-btn ghost", disabled: busy, onClick: () => onPrompts(server.id) }, "Prompts"),
             h("button", { className: "mcp-btn ghost", disabled: busy, onClick: () => { setOpen(!open); if (!open) onTools(server.id); } }, open ? "Скрыть" : "Tools"),
             h("button", { className: "mcp-btn danger ghost", disabled: busy, onClick: () => onRemove(server.id) }, "Удалить"),
           ),
@@ -7021,6 +7028,58 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       );
     }
 
+    function PromptModal({ state, onClose, onPick, onBack, onArg, onRun, onCopy }) {
+      if (!state) return null;
+      const prompt = state.prompt;
+      const args = Array.isArray(prompt?.arguments) ? prompt.arguments : [];
+      return h("div", { className: "mcp-overlay", onClick: onClose },
+        h("div", {
+          className: "mcp-modal",
+          role: "dialog",
+          "aria-modal": "true",
+          "aria-labelledby": "mcp-prompts-title",
+          onClick: (event) => event.stopPropagation(),
+        },
+          h("div", { className: "mcp-modal-head" },
+            h("div", null,
+              h("h2", { id: "mcp-prompts-title" }, prompt ? (prompt.title || prompt.name) : "Prompts"),
+              h("p", null, prompt ? (prompt.description || "Промпт MCP-сервера") : `Промпты сервера «${state.serverId}».`),
+            ),
+            h("button", { className: "mcp-btn ghost", type: "button", onClick: onClose, "aria-label": "Закрыть" }, "Закрыть"),
+          ),
+          state.error ? h("div", { className: "mcp-error", role: "alert" }, state.error) : null,
+          !prompt ? h("div", { className: "mcp-prompt-list" },
+            state.prompts.length === 0 ? h("div", { className: "mcp-meta" }, "У сервера нет prompts.") : state.prompts.map((item) => h("button", {
+              key: item.name,
+              type: "button",
+              className: "mcp-prompt-card",
+              onClick: () => onPick(item),
+            }, h("b", null, item.name), h("span", null, item.description || "Без описания"))),
+          ) : h("div", { className: "mcp-form" },
+            args.map((arg, index) => h("div", { className: `mcp-field${String(arg.description || "").length > 40 ? " wide" : ""}`, key: arg.name },
+              h("label", { htmlFor: `mcp-prompt-arg-${index}` }, arg.name, arg.required ? " *" : ""),
+              h("input", {
+                id: `mcp-prompt-arg-${index}`,
+                value: state.args[arg.name] ?? "",
+                placeholder: arg.description || "",
+                onChange: (event) => onArg(arg.name, event.target.value),
+              }),
+            )),
+            args.length === 0 ? h("p", { className: "mcp-note", style: { gridColumn: "1/-1" } }, "У промпта нет аргументов.") : null,
+            state.result ? h("div", { className: "mcp-field wide" },
+              h("label", null, "Результат"),
+              h("pre", { className: "mcp-prompt-output" }, state.result),
+            ) : null,
+            h("div", { className: "mcp-form-actions", style: { gridColumn: "1/-1" } },
+              state.prompts.length > 1 ? h("button", { className: "mcp-btn ghost", type: "button", onClick: onBack }, "Назад") : null,
+              state.result ? h("button", { className: "mcp-btn ghost", type: "button", onClick: onCopy }, "Копировать") : null,
+              h("button", { className: "mcp-btn primary", type: "button", disabled: state.busy, onClick: onRun }, state.busy ? "Запрашиваем…" : "Получить"),
+            ),
+          ),
+        ),
+      );
+    }
+
     function ServerForm({ initial, busy, onCancel, onSave }) {
       const [form, setForm] = useState(initial);
       const set = (patch) => setForm((current) => ({ ...current, ...patch }));
@@ -7100,6 +7159,7 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       const [form, setForm] = useState(null);
       const [tools, setTools] = useState({});
       const [toast, setToast] = useState("");
+      const [promptModal, setPromptModal] = useState(null);
 
       const load = async () => {
         try {
@@ -7127,6 +7187,72 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
         }
       };
 
+      const openPrompts = async (id) => {
+        setBusy(true);
+        setError(null);
+        try {
+          const result = await call(window.__DSH_MCP_CTX__, "prompts", { id });
+          setPromptModal({
+            serverId: id,
+            prompts: Array.isArray(result.prompts) ? result.prompts : [],
+            prompt: null,
+            args: {},
+            result: "",
+            busy: false,
+            error: result.error || "",
+          });
+        } catch (cause) {
+          setError(cause instanceof Error ? cause.message : String(cause));
+        } finally {
+          setBusy(false);
+        }
+      };
+
+      const pickPrompt = (prompt) => {
+        setPromptModal((current) => current ? {
+          ...current,
+          prompt,
+          args: Object.fromEntries((prompt.arguments ?? []).map((arg) => [arg.name, ""])),
+          result: "",
+          error: "",
+        } : current);
+      };
+
+      const runPrompt = async () => {
+        const current = promptModal;
+        if (!current?.prompt) return;
+        setPromptModal({ ...current, busy: true, error: "", result: "" });
+        try {
+          const result = await call(window.__DSH_MCP_CTX__, "prompt", {
+            id: current.serverId,
+            name: current.prompt.name,
+            arguments: current.args,
+          });
+          setPromptModal((latest) => latest ? {
+            ...latest,
+            busy: false,
+            result: result.text || "",
+            error: result.text ? "" : "Сервер вернул пустой промпт",
+          } : latest);
+        } catch (cause) {
+          setPromptModal((latest) => latest ? {
+            ...latest,
+            busy: false,
+            error: cause instanceof Error ? cause.message : String(cause),
+          } : latest);
+        }
+      };
+
+      const copyPrompt = async () => {
+        try {
+          await navigator.clipboard.writeText(promptModal?.result ?? "");
+          setToast("Промпт скопирован");
+          setTimeout(() => setToast(""), 2500);
+        } catch {
+          setError("Не удалось скопировать — выделите текст вручную");
+        }
+      };
+
       const presets = PRESETS;
       const openPreset = (preset) => setForm({
         edit: false,
@@ -7198,11 +7324,21 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
               if (result.error) setError(result.error);
             } catch (cause) { setError(cause instanceof Error ? cause.message : String(cause)); }
           },
+          onPrompts: openPrompts,
           onRemove: (id) => {
             if (window.confirm(`Удалить MCP-сервер «${id}»?`)) void run("remove", { id }, "Сервер удалён");
           },
         }))) : null,
         servers.length > 0 ? h("p", { className: "mcp-note" }, `Секреты: ${data?.secretsFile || "~/.dsh/mcp.secrets.json"} · новые tools появятся в новом чате после подключения.`) : null,
+        h(PromptModal, {
+          state: promptModal,
+          onClose: () => setPromptModal(null),
+          onPick: pickPrompt,
+          onBack: () => setPromptModal((current) => current ? { ...current, prompt: null, args: {}, result: "", error: "" } : current),
+          onArg: (name, value) => setPromptModal((current) => current ? { ...current, args: { ...current.args, [name]: value } } : current),
+          onRun: runPrompt,
+          onCopy: copyPrompt,
+        }),
         form ? h(ServerForm, {
           initial: form,
           busy,
@@ -7394,7 +7530,220 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       return module.exports;
     })());
 
-    const __partNames = ["dsh-gkb-ru-ui","dsh-token-lab","dsh-peak-guard","dsh-session-move","dsh-profile-transfer","dsh-memory-bridge","dsh-mcp-manager","dsh-agent-extensions"];
+    /* ---- dsh-guardrails ---- */
+    __parts.push((function () {
+    var module = { exports: {} };
+    var exports = module.exports;
+    Object.defineProperty(exports, Symbol.toStringTag, { value: "Module" });
+    const React = require("react");
+    const h = React.createElement;
+    const useEffect = React.useEffect;
+    const useState = React.useState;
+
+    const CSS = `
+      .pr-root{--pr-line:var(--dsw-alias-border-l1,rgba(20,40,36,.13));--pr-soft:var(--dsw-alias-bg-layer-1,#f4f7f5);--pr-panel:var(--dsw-alias-bg-layer-2,#fff);--pr-text:var(--dsw-alias-label-primary,#17231f);--pr-muted:var(--dsw-alias-label-secondary,#61706b);--pr-accent:var(--dsw-alias-brand-primary,#0f766e);display:flex;flex-direction:column;gap:20px;max-width:1040px;min-width:0;color:var(--pr-text)}
+      .pr-head{display:flex;align-items:flex-end;justify-content:space-between;gap:20px;flex-wrap:wrap}
+      .pr-eyebrow{margin:0 0 6px;font-size:11px;font-weight:700;letter-spacing:.14em;text-transform:uppercase;color:var(--pr-accent)}
+      .pr-title{margin:0;font-size:clamp(24px,2.6vw,32px);line-height:1.1;letter-spacing:-.025em;font-weight:680}
+      .pr-sub{margin:8px 0 0;max-width:68ch;color:var(--pr-muted);font-size:14px;line-height:1.5}
+      .pr-mode{padding:20px;border:1px solid var(--pr-line);border-radius:18px;background:linear-gradient(145deg,var(--pr-panel),var(--pr-soft));min-width:0}
+      .pr-mode-top{display:flex;justify-content:space-between;align-items:flex-start;gap:12px;flex-wrap:wrap}
+      .pr-mode h3{margin:0;font-size:24px;line-height:1.1;letter-spacing:-.03em}
+      .pr-chips{display:flex;gap:6px;flex-wrap:wrap}
+      .pr-chip{padding:3px 8px;border:1px solid var(--pr-line);border-radius:999px;background:var(--pr-panel);font-size:10px;font-weight:700;letter-spacing:.06em;text-transform:uppercase;color:var(--pr-muted);white-space:nowrap}
+      .pr-chip.sandbox{color:#0f766e;border-color:rgba(15,118,110,.25);background:rgba(15,118,110,.07)}
+      .pr-chip.approval{color:#9a3412;border-color:rgba(154,52,18,.22);background:rgba(154,52,18,.06)}
+      .pr-mode p{margin:8px 0 0;color:var(--pr-muted);font-size:13px;line-height:1.5;max-width:70ch}
+      .pr-note{display:flex;gap:8px;align-items:flex-start;margin-top:14px;padding:10px 12px;border:1px solid rgba(15,118,110,.16);border-radius:10px;background:rgba(15,118,110,.05);color:var(--pr-muted);font-size:12px;line-height:1.45}
+      .pr-note b{color:var(--pr-text);font-weight:650}
+      .pr-stats{display:grid;grid-template-columns:repeat(3,minmax(0,1fr));gap:10px}
+      .pr-stat{padding:14px 16px;border:1px solid var(--pr-line);border-radius:14px;background:var(--pr-panel);min-width:0}
+      .pr-stat b{display:block;font-size:24px;line-height:1.1;letter-spacing:-.03em;font-variant-numeric:tabular-nums}
+      .pr-stat span{display:block;margin-top:5px;color:var(--pr-muted);font-size:11px;font-weight:650;letter-spacing:.07em;text-transform:uppercase}
+      .pr-section{display:flex;flex-direction:column;gap:10px;min-width:0}
+      .pr-section h3{margin:0;font-size:15px;letter-spacing:-.01em}
+      .pr-section .pr-hint{margin:0;color:var(--pr-muted);font-size:12px;line-height:1.45}
+      .pr-presets{display:grid;grid-template-columns:repeat(3,minmax(0,1fr));gap:8px}
+      .pr-preset{padding:12px;border:1px solid var(--pr-line);border-radius:12px;background:var(--pr-panel);min-width:0}
+      .pr-preset.active{border-color:rgba(15,118,110,.35);background:rgba(15,118,110,.06)}
+      .pr-preset b{display:flex;justify-content:space-between;gap:8px;font-size:13px;align-items:center}
+      .pr-preset span{display:block;margin-top:4px;color:var(--pr-muted);font-size:11.5px;line-height:1.4}
+      .pr-preset em{font-style:normal;color:var(--pr-accent);font-size:10px;font-weight:700;letter-spacing:.08em;text-transform:uppercase}
+      .pr-list{display:flex;flex-direction:column;border:1px solid var(--pr-line);border-radius:14px;overflow:hidden;background:var(--pr-panel)}
+      .pr-row{display:flex;gap:10px;align-items:baseline;padding:9px 12px;border-top:1px solid var(--pr-line);font-size:12px;line-height:1.4;min-width:0}
+      .pr-row:first-child{border-top:0}
+      .pr-sev{flex:none;width:46px;font-size:9.5px;font-weight:750;letter-spacing:.08em;text-transform:uppercase}
+      .pr-sev.deny{color:#9f1239}.pr-sev.ask{color:#9a3412}
+      .pr-row code{flex:none;color:var(--pr-text);font:inherit;font-weight:650;white-space:nowrap}
+      .pr-row span{color:var(--pr-muted);overflow:hidden;text-overflow:ellipsis;min-width:0}
+      .pr-path{padding:9px 12px;border-top:1px solid var(--pr-line);font-size:12px;line-height:1.45;min-width:0}
+      .pr-path:first-child{border-top:0}
+      .pr-path b{display:block;font-size:12px}
+      .pr-path code{display:block;margin-top:3px;color:var(--pr-muted);font:11.5px/1.4 ui-monospace,SFMono-Regular,Consolas,monospace;overflow-wrap:anywhere}
+      .pr-error{padding:8px 10px;border:1px solid rgba(159,18,57,.16);border-radius:9px;background:rgba(159,18,57,.06);color:#9f1239;font-size:12px;line-height:1.4}
+      .pr-loading{color:var(--pr-muted);font-size:13px;padding:18px 0}
+      .pr-empty{padding:18px;border:1px dashed var(--pr-line);border-radius:14px;color:var(--pr-muted);font-size:12.5px;line-height:1.5;background:linear-gradient(160deg,var(--pr-soft),transparent 75%)}
+      .pr-foot{display:flex;justify-content:space-between;gap:12px;flex-wrap:wrap;color:var(--pr-muted);font-size:11px;line-height:1.4}
+      @media(max-width:860px){.pr-presets{grid-template-columns:1fr 1fr}.pr-stats{grid-template-columns:1fr 1fr}}
+      @media(max-width:520px){.pr-presets{grid-template-columns:1fr}.pr-stats{grid-template-columns:repeat(3,minmax(0,1fr));gap:8px}.pr-stat{padding:10px 12px}.pr-stat b{font-size:20px}.pr-stat span{font-size:9px;letter-spacing:.04em}.pr-root{gap:16px}.pr-mode{padding:16px}.pr-note{flex-direction:column;gap:4px}.pr-row{display:flex;flex-wrap:wrap;gap:4px 8px}.pr-row code{white-space:normal;overflow-wrap:anywhere}.pr-row span{flex-basis:100%;padding-left:0}}
+    `;
+
+    const SEVERITY_ORDER = { deny: 0, ask: 1 };
+
+    function currentSessionSelector(state) {
+      try {
+        const sessions = Object.values(state.byId || {});
+        const main = sessions.find((session) => session && session.retainedBy && (session.retainedBy.mainView || 0) > 0);
+        if (main) return main.id;
+        const ids = Array.isArray(state.ids) ? state.ids : [];
+        return ids.length > 0 ? ids[ids.length - 1] : undefined;
+      } catch { return undefined; }
+    }
+
+    async function call(ctx, operation, payload) {
+      let signal;
+      try { signal = AbortSignal.timeout(30000); } catch { signal = undefined; }
+      const result = await ctx.connection.rpc.call("/api", `dsh-guardrails/${operation}`, payload ?? {}, signal);
+      if (!result || result.ok !== true) throw new Error(result?.error?.message || "Ошибка RPC");
+      return result.value;
+    }
+
+    function errorOf(value) { return value instanceof Error ? value.message : String(value); }
+
+    function SandboxChip({ value }) {
+      const labels = {
+        "read-only": "Read only",
+        "workspace-write": "Workspace write",
+        "danger-full-access": "Full access",
+      };
+      return h("span", { className: "pr-chip sandbox" }, labels[value] || value || "sandbox");
+    }
+
+    function PermissionsSection(props) {
+      const [state, setState] = useState({ loading: true, error: null, data: null });
+      const useSessions = props && props.useSessions;
+      const useWorkspaces = props && props.useWorkspaces;
+      const sessionId = useSessions ? useSessions(currentSessionSelector) : undefined;
+      const workspaceSnapshot = useWorkspaces ? useWorkspaces((snapshot) => snapshot) : undefined;
+      const workspaces = Array.isArray(workspaceSnapshot?.items) ? workspaceSnapshot.items : [];
+      const workspace = workspaces.find((item) => Array.isArray(item.sessionIds) && item.sessionIds.includes(sessionId))
+        ?? workspaces.find((item) => Array.isArray(item.sessionIds) && item.sessionIds.length > 0)
+        ?? workspaces[0];
+      const cwd = typeof workspace?.path === "string" ? workspace.path : undefined;
+
+      useEffect(() => {
+        let cancelled = false;
+        (async () => {
+          try {
+            const data = await call(window.__DSH_GUARDRAILS_CTX__, "permissions", { sessionId, cwd });
+            if (!cancelled) setState({ loading: false, error: null, data });
+          } catch (error) {
+            if (!cancelled) setState({ loading: false, error: errorOf(error), data: null });
+          }
+        })();
+        return () => { cancelled = true; };
+      }, [sessionId, cwd]);
+
+      const preset = state.data?.preset;
+      const guard = state.data?.guard;
+      const options = Array.isArray(preset?.catalog?.options) ? preset.catalog.options : [];
+      const rules = Array.isArray(guard?.rules)
+        ? [...guard.rules].sort((a, b) => (SEVERITY_ORDER[a.severity] ?? 9) - (SEVERITY_ORDER[b.severity] ?? 9))
+        : [];
+      const protectedPaths = Array.isArray(guard?.protectedPaths) ? guard.protectedPaths : [];
+      const current = preset?.current || "custom";
+      const spec = preset?.spec;
+      const option = preset?.option;
+      const title = option?.name || current;
+
+      return h("section", { className: "pr-root", "aria-label": "Права и ограничения" },
+        h("div", { className: "pr-head" },
+          h("div", null,
+            h("p", { className: "pr-eyebrow" }, "Guardrails · effective permissions"),
+            h("h2", { className: "pr-title" }, "Права"),
+            h("p", { className: "pr-sub" }, "Что разрешено в этом чате и что kit запрещает в любом режиме. Режим переключается штатным picker DSH в композере — здесь только прозрачный срез."),
+          ),
+        ),
+        state.error ? h("div", { className: "pr-error", role: "alert" }, state.error) : null,
+        state.loading ? h("div", { className: "pr-loading" }, "Читаем эффективные права…") : null,
+        !state.loading && state.data ? h(React.Fragment, null,
+          h("div", { className: "pr-mode" },
+            h("div", { className: "pr-mode-top" },
+              h("div", null,
+                h("h3", null, title),
+                h("p", null, option?.description || spec?.description || "Эффективный режим этого чата."),
+              ),
+              h("div", { className: "pr-chips" },
+                h(SandboxChip, { value: spec?.sandbox }),
+                h("span", { className: "pr-chip approval" }, spec?.approval === "never" ? "approval never" : "approval ask"),
+              ),
+            ),
+            h("div", { className: "pr-note" },
+              h("b", null, "Не второй picker."),
+              h("span", null, "Смена режима — только в DSH. Эта страница не меняет разрешения и не хранит approvals; каждая карточка подтверждения остаётся в чате."),
+            ),
+          ),
+          h("div", { className: "pr-stats" },
+            h("div", { className: "pr-stat" }, h("b", null, rules.length), h("span", null, "жёстких правил")),
+            h("div", { className: "pr-stat" }, h("b", null, protectedPaths.length), h("span", null, "защищённых путей")),
+            h("div", { className: "pr-stat" }, h("b", null, options.length), h("span", null, "пресетов DSH")),
+          ),
+          h("div", { className: "pr-section" },
+            h("h3", null, "Пресеты DSH"),
+            h("p", { className: "pr-hint" }, "Доступны в композере. Текущий выделен; kit не дублирует переключатель."),
+            h("div", { className: "pr-presets" }, options.map((item) => h("div", { key: item.value, className: `pr-preset${item.value === current ? " active" : ""}` },
+              h("b", null, h("span", null, item.name || item.value), item.value === current ? h("em", null, "сейчас") : null),
+              h("span", null, item.description || "Без описания"),
+            ))),
+          ),
+          h("div", { className: "pr-section" },
+            h("h3", null, "Жёсткие правила kit"),
+            h("p", { className: "pr-hint" }, "Действуют даже в Full access. Отключаются только политикой guardrails, не режимом DSH."),
+            rules.length > 0 ? h("div", { className: "pr-list" }, rules.map((rule) => h("div", { className: "pr-row", key: rule.id },
+              h("span", { className: `pr-sev ${rule.severity}` }, rule.severity),
+              h("code", null, rule.id),
+              h("span", { title: rule.description }, rule.description || ""),
+            ))) : h("div", { className: "pr-empty" }, "Правила отключены политикой guardrails."),
+          ),
+          h("div", { className: "pr-section" },
+            h("h3", null, "Защищённые пути"),
+            h("p", { className: "pr-hint" }, "Запись, редактирование и удаление этих путей отклоняются до выполнения."),
+            protectedPaths.length > 0 ? h("div", { className: "pr-list" }, protectedPaths.map((entry) => h("div", { className: "pr-path", key: entry.id },
+              h("b", null, entry.id),
+              h("code", null, `${entry.match} /${entry.pattern}/`),
+            ))) : h("div", { className: "pr-empty" }, "Защищённые пути отключены."),
+          ),
+        ) : null,
+        h("div", { className: "pr-foot" },
+          h("span", null, guard?.policyPath ? `Политика: ${guard.policyPath}` : "Политика guardrails"),
+          h("span", null, guard ? (guard.enabled ? "hooks активны" : "hooks отключены") : ""),
+        ),
+      );
+    }
+
+    function apply(ctx) {
+      window.__DSH_GUARDRAILS_CTX__ = ctx;
+      ctx.effect(() => {
+        const style = document.createElement("style");
+        style.id = "dsh-guardrails";
+        style.textContent = CSS;
+        document.head.appendChild(style);
+        return () => style.remove();
+      }, "guardrails: styles");
+      ctx.effect(() => ctx.slots.inject("settings.section", () => ctx.slots.register({
+        name: "settings.section",
+        id: "guardrails",
+        order: 35,
+        label: () => "Права",
+      }, PermissionsSection)), "guardrails: settings");
+    }
+
+    exports.apply = apply;
+    exports.inject = ["slots", "connection"];
+      return module.exports;
+    })());
+
+    const __partNames = ["dsh-gkb-ru-ui","dsh-token-lab","dsh-peak-guard","dsh-session-move","dsh-profile-transfer","dsh-memory-bridge","dsh-mcp-manager","dsh-agent-extensions","dsh-guardrails"];
     const __kitErrors = [];
     const __pushKitError = (label, error) => {
       const message = String(error && error.message ? error.message : error);
@@ -7402,7 +7751,7 @@ var(--dsw-alias-bg-layer-1,#fff);box-shadow:inset 0 1px 0 color-mix(in srgb,#fff
       if (__kitErrors.length <= 5) console.error("[dsh-desktop-kit] registration failed:", label, message);
     };
     try {
-      window.__DSH_DESKTOP_KIT__ = { version: "2.7.6", parts: __partNames, errors: __kitErrors, ready: false };
+      window.__DSH_DESKTOP_KIT__ = { version: "2.7.8", parts: __partNames, errors: __kitErrors, ready: false };
     } catch {}
     const __inject = [];
     for (const __part of __parts) {

package/docs/TEST-2.7.7.md

@@ -0,0 +1,25 @@
+# DSH Desktop Kit 2.7.7 — тест
+
+Дата: 2026-11-12.
+
+## MCP prompts
+
+- `McpClient.listPrompts()` — `prompts/list` с пагинацией, только при capability `prompts`.
+- `McpClient.getPrompt()` — `prompts/get` с аргументами.
+- `McpManager.prompts/prompt`.
+- RPC Settings: `prompts`, `prompt`.
+- Команды: `/mcp prompts <server>`, `/mcp prompt <server> <name> [json]`.
+- UI: модалка со списком, полями аргументов, результатом и копированием.
+
+## Проверки
+
+- `node tools/mcp-manager-tests.mjs` — OK, включая prompts/list и prompts/get.
+- `npm test` — exit 0.
+- `npm run build:client` / `check:client` — OK.
+- browser_qa audit 390/768/1440 — overflow 0, console 0, markup 0.
+- Скриншоты: `plugins/dsh-mcp-manager/screenshots/prompts-1440.png`, `prompts-390.png`.
+
+## Ограничения
+
+- OAuth и sampling по-прежнему не реализованы.
+- Аргументы промпта — строковые поля; вложенные объекты задаются через `/mcp prompt` JSON.

package/docs/TEST-2.7.8.md

@@ -0,0 +1,29 @@
+# DSH Desktop Kit 2.7.8 — тест
+
+Дата: 2026-11-12.
+
+## Permissions UI
+
+- Настройки → **Права**.
+- RPC `/api/dsh-guardrails/permissions` — read-only.
+- `permissionPresets.catalog/current/resolve/optionOf` + `loadPolicy`.
+- Каталог пресетов, текущий режим, sandbox/approval, жёсткие правила, защищённые пути.
+- Смена режима не дублируется: только штатный picker DSH.
+
+## MCP prompts (из 2.7.7)
+
+- `prompts/list`, `prompts/get`, UI-модалка, `/mcp prompts`, `/mcp prompt`.
+
+## Проверки
+
+- `node tools/permissions-ui-tests.mjs` — OK.
+- `node tools/mcp-manager-tests.mjs` — OK.
+- `npm test` — exit 0.
+- `build:client` — 9 частей; `check:client` — OK.
+- browser_qa audit 390/768/1440 (Permissions): overflow 0, console 0, markup 0.
+- Скриншоты: `plugins/dsh-guardrails/screenshots/permissions-1440.png`, `permissions-390.png`.
+
+## Ограничения
+
+- История approvals не хранится: DSH показывает карточку в чате, kit её не дублирует.
+- OAuth и sampling MCP не реализованы.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-desktop-kit",
-  "version": "2.7.6",
+  "version": "2.7.8",
   "description": "DeepSeek Harness desktop kit 2.7: 16 plugins and 30 skills — self-applying skills, token lab, Skills Studio, project memory, GitHub and USB memory transfer, guardrails, repo map, checkpoints, plan mode, browser QA, GitHub review, Claude Code-like hooks/agents/commands, Russian UI, peak guard, chat move and profile transfer.",
   "keywords": [
     "deepseek-harness",
@@ -74,7 +74,7 @@
     "build:client": "node tools/build-client.mjs",
     "build:skills": "node tools/build-skill-manifest.mjs",
     "check:client": "node tools/check-client.mjs client.js",
-    "test": "node tools/smoke-tests.mjs && node tools/memory-tests.mjs && node tools/skills-sync-tests.mjs && node tools/kit-upgrade-tests.mjs && node plugins/dsh-profile-transfer/test/transfer.test.mjs && node --test plugins/dsh-memory-bridge/test/bridge.test.mjs plugins/dsh-memory-bridge/test/github.test.mjs plugins/dsh-memory-bridge/test/merge.test.mjs plugins/dsh-memory-bridge/test/user-specific.test.mjs && node tools/repo-map-tests.mjs && node tools/checkpoints-tests.mjs && node tools/plan-mode-tests.mjs && node tools/browser-qa-tests.mjs && node tools/ui-gate-tests.mjs && node tools/agent-extensions-tests.mjs && node tools/mcp-manager-tests.mjs && node tools/github-review-tests.mjs && node plugins/dsh-guardrails/tools/guardrails-tests.mjs",
+    "test": "node tools/smoke-tests.mjs && node tools/memory-tests.mjs && node tools/skills-sync-tests.mjs && node tools/kit-upgrade-tests.mjs && node plugins/dsh-profile-transfer/test/transfer.test.mjs && node --test plugins/dsh-memory-bridge/test/bridge.test.mjs plugins/dsh-memory-bridge/test/github.test.mjs plugins/dsh-memory-bridge/test/merge.test.mjs plugins/dsh-memory-bridge/test/user-specific.test.mjs && node tools/repo-map-tests.mjs && node tools/checkpoints-tests.mjs && node tools/plan-mode-tests.mjs && node tools/browser-qa-tests.mjs && node tools/ui-gate-tests.mjs && node tools/agent-extensions-tests.mjs && node tools/mcp-manager-tests.mjs && node tools/github-review-tests.mjs && node tools/permissions-ui-tests.mjs && node plugins/dsh-guardrails/tools/guardrails-tests.mjs",
     "skills:cost": "node tools/skill-cost.mjs",
     "skills:check": "node tools/skill-cost.mjs --check",
     "release": "node tools/release.mjs"

package/plugins/dsh-guardrails/README.md

@@ -19,6 +19,19 @@ bundled plugins. The kit passes no services to it beyond `tools`; the
 `fs/*` hooks are event-only, which is why no `fs` injection is declared
 (the shipped `dsh-fs-observation-policy` also injects nothing).
 
+## Permissions UI
+
+Настройки → **Права** — read-only срез эффективных разрешений:
+
+- текущий preset DSH (`current(session)`), sandbox и approval;
+- каталог всех пресетов с пометкой текущего;
+- жёсткие правила kit и защищённые пути;
+- явное предупреждение: смена режима — только штатным picker DSH, страница ничего не переключает и не хранит approvals.
+
+![Права](screenshots/permissions-1440.png)
+
+![Права на 390px](screenshots/permissions-390.png)
+
 ## Tool `guardrails`
 
 Read-only. The canonical value is lossless JSON; the rendered text is a