dsh-hazplan-check 0.2.0 → 0.2.2

package/CHANGELOG.md

@@ -0,0 +1,29 @@
+# Changelog
+
+## 0.2.2
+
+- Ship `CHANGELOG.md` and `SECURITY.md` inside the package. `files` is an
+  allowlist and neither was on it, so no release note had ever reached anyone
+  who installed this package, and npm had no changelog section to show.
+## 0.2.1
+
+- Citation pass: every `excerpt` was checked against this repository's own
+  `rules/evidence/` record, and the record was completed for the clauses the
+  rules quote.
+- The source moved from a commercial document site to the national standards platform record for AQ/T 3049—2013, with its authoritative version facts.
+- Adds `rules/citations-baseline.json`, which the `check:citations` gate reads:
+  it lists any excerpt not yet traceable to the evidence, and that list can
+  only shrink.
+## 0.2.0
+
+- Release infrastructure brought to the family standard: `verify:self-contained`,
+  `check:lockfile`, `check:readmes` and `check:citations` gates, a `prepublishOnly` that
+  re-runs the whole chain, SECURITY.md, dependabot, and the OpenSSF Scorecard workflow.
+- `check:citations` enforces the rule this pack's own header states: every `excerpt`
+  must be a verbatim quotation, findable in `rules/evidence/`. Rules that are not
+  traceable yet are listed in `rules/citations-baseline.json`, and that file can only
+  shrink - anything new has to be sourced before it can land.
+- The README install command now names the published package instead of a local tarball.
+- Five-language READMEs hold the same section count and the same configuration keys.
+- Rule pack: 7 rules across HZ-001..HZ-007.
+- Licensed Apache-2.0.

package/SECURITY.md

@@ -0,0 +1,39 @@
+# Security Policy
+
+## Reporting a vulnerability
+
+Please report security vulnerabilities **privately** through GitHub's private
+vulnerability reporting:
+
+**Security → Report a vulnerability** at
+https://github.com/PerryLink/dsh-hazplan-check/security/advisories/new
+
+Do **not** open a public issue for security findings.
+
+Before reporting, **sanitize everything you paste**: remove tokens, API keys,
+credentials, authorization headers, session contents, and personal data. Logs
+without secrets only.
+
+## Scope note
+
+This plugin is an offline checker. It reads the material you hand it and
+compares it against a versioned rule pack; it makes no network calls and no
+model calls, and it stores nothing.
+
+## What to include
+
+- affected package version (and DeepSeek Harness runtime version)
+- a minimal reproduction
+- your impact assessment
+
+## Response expectations
+
+- acknowledgement within **7 days**
+- status updates at least every **14 days** until resolution
+- coordinated disclosure: the fix and advisory are prepared first; the finding
+  is disclosed publicly after the fix ships
+
+## Credits and disclosure
+
+- reporters are credited in the advisory and CHANGELOG unless they ask to stay anonymous
+- advisories follow GitHub's advisory workflow and are published together with the fix

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-hazplan-check",
-  "version": "0.2.0",
+  "version": "0.2.2",
   "description": "HAZOP 分析表要素齐备性与偏差推导一致性核对（依据公开的危险与可操作性分析标准，仅提示差异，不作出定性结论）",
   "type": "module",
   "main": "lib/index.mjs",
@@ -23,7 +23,9 @@
     "README-hi.md",
     "locale/*.json",
     "icon.svg",
-    "rules"
+    "rules",
+    "CHANGELOG.md",
+    "SECURITY.md"
   ],
   "scripts": {
     "build": "tsdown",
@@ -32,7 +34,7 @@
     "verify:self-contained": "node scripts/verify-self-contained.mjs",
     "check:lockfile": "node scripts/check-lockfile-drift.mjs",
     "check:readmes": "node scripts/check-readme-sync.mjs",
-    "prepublishOnly": "pnpm run typecheck && pnpm test && pnpm run build && pnpm run verify:self-contained && pnpm run check:readmes && pnpm run check:citations",
+    "prepublishOnly": "pnpm run typecheck && pnpm test && pnpm run build && pnpm run verify:self-contained && pnpm run check:lockfile && pnpm run check:readmes && pnpm run check:citations",
     "prepare": "tsdown",
     "check:citations": "node scripts/check-citations.mjs"
   },

package/rules/evidence/clause-verification-blocked-aqt3049.md

@@ -0,0 +1,74 @@
+# 取证受阻记录 —— 《危险与可操作性分析（HAZOP分析）应用导则》AQ/T 3049—2013
+
+- **记录日期**：2026-10-07
+- **状态**：⚠️ **条文本轮未取得**（`citations-baseline.json` 中本插件的条目仍然有效，未被撤销）
+- **但来源已从商业站定位到官方平台**，且权威版本事实已取得。
+
+---
+
+## 一、已确认的权威版本事实（可引用）
+
+来自**国家市场监督管理总局**主办的**全国标准信息公共服务平台 / 行业标准信息服务平台**：
+
+- **记录页**：<https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589>
+- **标准号**：**AQ/T 3049—2013**
+- **标准名称**：**危险与可操作性分析（HAZOP分析）应用导则**
+- **行业**：安全生产　**标准状态**：**现行**
+- **发布日期**：**2013-06-08**　**实施日期**：**2013-10-01**
+- **批准发布部门**：**国家安全生产监督管理总局**
+- **技术归口**：全国安全生产标准化技术委员会化学品安全分技术委员会
+- **备案号**：**41158-2013**　**备案日期**：2014-12-26　**备案公告**：2013 年第 8 号（总第 164 号）
+- **起草单位**：中国石油化工股份有限公司青岛安全工程研究院、国家安全生产监督管理总局化学品登记中心等
+- **起草人**：张海峰、牟善军 等
+
+⚠️ 注意标准号是 **AQ/T（推荐性行业标准）**，不是 AQ（强制性）。
+若规则库或文档中把本标准称作强制性标准，即为错误。
+
+---
+
+## 二、为什么本轮仍未取得条文
+
+该官方记录页提供「**查看文本**」入口，但**正文不在页面 HTML 中**——
+本轮取回的页面只有 594 个字符（导航、元数据、页脚），**无任何条文文字**，
+也没有指向 PDF/全文的直链（页面内唯一的脚本引用是平台的通用 JS）。
+
+⇒ **无法通过文本抓取获得条文。**
+
+## 三、规则引用了哪些条款（供取证时逐条核对）
+
+本插件 7 条规则的 `clause` 字段指向以下位置，取证时需逐一比对：
+
+| 规则 | 所引位置 |
+|---|---|
+| `HZ-001` | 6.6.4 |
+| `HZ-002` | 6.6.3 |
+| `HZ-003` | 表 1、表 2（引导词及其含义）；6.4.3 |
+| `HZ-004` | 3.3（偏离 deviation 的定义）；6.4.3 |
+| `HZ-005` | 6.5；附录 B.10.3（资料性） |
+| `HZ-006` | 附录 A.2（资料性） |
+| `HZ-007` | 6.4.3 |
+
+📌 **取证时请特别留意 `HZ-006`**：其 `excerpt` 写作
+「表头含项目名称、分析对象、设计意图、节点、小组成员、分析的图纸或文件、日期和页码。」
+——「**表头含**……」是**叙述性措辞**，读起来像对附录 A.2 的**概括**而非逐字引文。
+取得原文后应核对：若原文并非此措辞，该条 `excerpt` 需要按原文更正，
+或改标 `derived-from-principle` 并在 `note` 中说明是概括。
+
+## 四、可行的取证路径（供后续选择）
+
+| 路径 | 说明 |
+|---|---|
+| **官方平台「查看文本」查看器** | 在浏览器中打开记录页并点击「查看文本」；若查看器可复制文本，即可逐字取证。**本轮无法自动化访问。** |
+| **应急管理部标准发布渠道** | 批准发布部门为国家安全生产监督管理总局（现应急管理部），其网站可能提供标准文本。 |
+| **正式出版物** | 该标准由标准出版机构出版发行；纸质/正版电子版是条文权威载体，需购买。 |
+| **由维护者手工录入并逐字复核** | 若上述渠道均不可得，可由人对照正版逐字录入，并在本目录另附录入来源与复核记录。 |
+
+## 五、复现本记录
+
+```sh
+# 官方记录页（版本事实）
+curl -sL -A 'Mozilla/5.0' \
+  'https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589' \
+  | sed 's/<[^>]*>//g' | tr -s ' ' | grep -o 'AQ/T 3049-2013'
+# 证明页面无正文：清理后总长仅 ~594 字符，且不含任何条文文字
+```

package/rules/hazplan-check.yaml

@@ -46,7 +46,7 @@ rules:
       clause: '6.6.4'
       excerpt: 每一个危险和可操作性问题都宜作为单项记录。
       kind: direct
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: presence
@@ -71,7 +71,7 @@ rules:
       clause: '6.6.3'
       excerpt: 列出所有分析的节点清单，以及没有被分析节点的理由。
       kind: direct
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: presence
@@ -95,7 +95,7 @@ rules:
       clause: 表1、表2
       excerpt: 无，没有｜完全没有达到设计意图；多，过量｜数量上的增加；少，减量｜数量上的减少；伴随｜性质上的变化（增多）；部分｜性质上的变化（减少）；相反｜与设计意图逻辑相反；异常｜完全替代
       kind: direct
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: enum
@@ -107,7 +107,7 @@ rules:
         clause: 6.4.3
         excerpt: 所有引导词及其相关要素/特性组合都要被明确定义并存档。
         kind: direct
-        source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+        source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     note: >-
       表1 给出工艺参数类引导词（无/多/少/伴随/部分/相反/异常），
       表2 给出与时间和先后顺序相关的引导词（早/晚/先/后），故 values 同时收录两表。
@@ -125,7 +125,7 @@ rules:
       clause: '3.3'
       excerpt: 偏离 deviation 设计意图的偏差。
       kind: derived-from-principle
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: presenceAny
@@ -136,7 +136,7 @@ rules:
         clause: 6.4.3
         excerpt: 如果某一组合在指定设计中有一种以上解释，则这些解释均建议被一一列出。
         kind: direct
-        source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+        source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     note: >-
       3.3 把"偏离"定义为"设计意图的偏差"，6.4.3 要求引导词与"相关要素/特性"的组合被明确
       定义并存档 —— 两者合起来意味着记录中应能看出"哪个要素 + 哪个引导词 → 哪个偏离"。
@@ -153,7 +153,7 @@ rules:
       clause: '6.5'
       excerpt: 对某些应用来说，根据后果潜在的严重性或基于风险矩阵的风险分级对偏离进行分类是有用的。
       kind: institutional-configuration
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     alsoBasis:
       - document: 《风险管理 风险评估技术》
         number: GB/T 27921-2023
@@ -184,7 +184,7 @@ rules:
       clause: 附录A.2（资料性）
       excerpt: 表头含项目名称、分析对象、设计意图、节点、小组成员、分析的图纸或文件、日期和页码。
       kind: derived-from-principle
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: headerPresence
@@ -205,7 +205,7 @@ rules:
       clause: 6.4.3
       excerpt: 所有引导词及其相关要素/特性组合都要被明确定义并存档。
       kind: derived-from-principle
-      source: http://www.gzhxaq.com/mydata/law/202008/20/15979029769544.htm
+      source: https://hbba.sacinfo.org.cn/stdDetail/8fc5458a9fa6fa55ccf5d2056d9f5589
     params:
       check:
         kind: derivedDeviation