dsh-my-observability 0.1.0 → 0.1.2

package/CHANGELOG.md

@@ -2,6 +2,22 @@
 
 本文件记录 dsh-my-observability 的所有版本变更。格式遵循 [Keep a Changelog](https://keepachangelog.com/zh-CN/1.1.0/)，版本号遵循 [语义化版本](https://semver.org/lang/zh-CN/)。
 
+## [0.1.2] - 2026-09-01
+
+### 变更
+
+- fix(ui): 9 个插件未定义 token danger-primary 改用 error-primary（DSH 主题仅定义 business/error/success/warn）
+
+## [0.1.1] - 2026-08-28
+
+### 变更
+
+- feat(ui): dsh-my-observability 时间轴翻新——类型图标/连线节点/前缀（issue #54）
+- fix(security): 修复 CodeQL 告警——正则 ReDoS/随机数/命令注入（issue #5/#6/#7/#9/#10）
+- refactor(shared): 抽取 dsh-shared 共享工具包，10 个插件迁移消除重复实现（issue #45）
+- chore(deps): 升级 react 19 兼容性——13 个插件 peer 声明 ^18.2.0 || ^19.2.0（issue #49）
+- style(format): 全仓 prettier 格式化（issue #44）
+
 ## [0.1.0] - 2026-08-28
 
 ### 新增
@@ -15,6 +31,7 @@
 - **测试**：`test/host-audit.mjs`（事件监听/会话隔离/重启恢复/上限/fence）、`test/host-git.mjs`（真实临时 git 仓库 status/diff/commit）、`test/host-review.mjs`（规则引擎 + AI 各路径）、`test/host-mutation.mjs`（变异补充）、Gherkin 验收（observability/git/review 3 个 feature 16 场景）；覆盖率 行 95% / 分支 85%；变异测试 ≥70%。
 
 **真实环境验证**（独立端口 3081 隔离实例）：
+
 - 侧边栏「轨迹回放」页签出现，时间轴展示真实 agent 行为（状态/模型流/工具调用）；
 - 「Git 工具」页签：真实仓库状态/差异/类型化提交/提交前审查全流程可用；
 - 重启验证实例后审计事件恢复。

package/README.md

@@ -15,12 +15,12 @@
 
 Server 端只读观察 DSH 生命周期事件并记录审计日志：
 
-| 事件 | 审计记录 | 说明 |
-|------|---------|------|
-| `agent/status` | `agent_status` | 状态变化 + 顶层/子代理标记 |
-| `llm/stream` | `llm_stream` | 流开始/结束/错误 + chunk/字符/耗时统计（同步包装流，透传全部 chunk） |
-| `tools/pre-execute` | `tool_call` | 工具名 + 参数键列表 + 主要文本参数截断摘要 |
-| `tools/execute` | `tool_result` | 工具名 + 成功/失败 + 耗时 |
+| 事件                | 审计记录       | 说明                                                                 |
+| ------------------- | -------------- | -------------------------------------------------------------------- |
+| `agent/status`      | `agent_status` | 状态变化 + 顶层/子代理标记                                           |
+| `llm/stream`        | `llm_stream`   | 流开始/结束/错误 + chunk/字符/耗时统计（同步包装流，透传全部 chunk） |
+| `tools/pre-execute` | `tool_call`    | 工具名 + 参数键列表 + 主要文本参数截断摘要                           |
+| `tools/execute`     | `tool_result`  | 工具名 + 成功/失败 + 耗时                                            |
 
 - **会话隔离**：事件按会话分桶，切换会话互不串扰；
 - **重启恢复**：持久化到 `$DSH_HOME/observability/audit.json`（防抖 + 原子写），重启后完整恢复；
@@ -43,16 +43,16 @@ Server 端只读观察 DSH 生命周期事件并记录审计日志：
 
 「提交前审查」按钮对增量 diff 运行规则引擎（确定性、可测试）：
 
-| 规则 | 严重级别 | 检查内容 |
-|------|---------|---------|
-| `secret-leak` | error | 密钥/凭据硬编码（password/api_key/secret/token） |
-| `conflict-marker` | error | 合并冲突标记残留（`<<<<<<<` / `=======` / `>>>>>>>`） |
-| `debug-statement` | warning | 调试残留（console.* / debugger / print 族） |
-| `large-diff` | warning | 单文件变更 > 300 行 |
-| `binary-file` | warning | 二进制文件变更 |
-| `todo-marker` | info | TODO/FIXME/HACK 标记 |
-| `trailing-space` | info | 行尾多余空格 |
-| `no-test-change` | info | 有源码变更但无测试变更 |
+| 规则              | 严重级别 | 检查内容                                              |
+| ----------------- | -------- | ----------------------------------------------------- |
+| `secret-leak`     | error    | 密钥/凭据硬编码（password/api_key/secret/token）      |
+| `conflict-marker` | error    | 合并冲突标记残留（`<<<<<<<` / `=======` / `>>>>>>>`） |
+| `debug-statement` | warning  | 调试残留（console.* / debugger / print 族）           |
+| `large-diff`      | warning  | 单文件变更 > 300 行                                   |
+| `binary-file`     | warning  | 二进制文件变更                                        |
+| `todo-marker`     | info     | TODO/FIXME/HACK 标记                                  |
+| `trailing-space`  | info     | 行尾多余空格                                          |
+| `no-test-change`  | info     | 有源码变更但无测试变更                                |
 
 - **可选 AI 审查**：配置 `aiReview`（默认开）且 agents 服务可用时，创建独立审查 agent 阅读 diff 输出总评（verdict/summary/topIssues）；超时/失败/解析失败自动降级，规则引擎结果不受影响（AI 是增强，不是门禁）。
 
@@ -82,17 +82,17 @@ dsh plugin --profile web add link:<仓库路径>/plugins/dsh-my-observability
 - insert:
     - id: observability
       name: 'dsh-my-observability'
-    - config:            # 传给 apply(ctx, config)
-        aiReview: true   # 增量 diff 审查启用 AI 增强（默认 true；agents 服务不可用时自动降级）
-        aiTimeoutMs: 60000  # AI 审查超时（毫秒，默认 60000）
+    - config: # 传给 apply(ctx, config)
+        aiReview: true # 增量 diff 审查启用 AI 增强（默认 true；agents 服务不可用时自动降级）
+        aiTimeoutMs: 60000 # AI 审查超时（毫秒，默认 60000）
 ```
 
 ## 依赖
 
-| 依赖 | 用途 | 可选 |
-|------|------|------|
-| `cordis` | 插件运行时 | 是（宿主提供） |
-| `react` | client 端组件 | 是（宿主提供） |
+| 依赖     | 用途          | 可选           |
+| -------- | ------------- | -------------- |
+| `cordis` | 插件运行时    | 是（宿主提供） |
+| `react`  | client 端组件 | 是（宿主提供） |
 
 ## 限制与说明
 

package/lib/ai.js

@@ -10,6 +10,8 @@
  * 参考 dsh-task-reliability 的校验 agent 模式（agents.create + whenIdle
  * 超时 + dispose）。
  */
+import { randomUUID } from 'node:crypto'
+import { withTimeout, userMessage } from 'dsh-shared'
 import { REVIEW_TIMEOUT_MS } from './constants.js'
 
 /** diff 送入 prompt 的最大长度（截断防 token 爆炸）。 */
@@ -19,7 +21,9 @@ const AI_DIFF_MAX = 8000
 export async function runAiReview(ctx, diffText, report, timeoutMs = REVIEW_TIMEOUT_MS) {
   const agents = agentsServiceOf(ctx)
   if (agents === undefined) return { enabled: true, failed: true, note: 'agents service unavailable' }
-  const sessionId = `obs-review-${Date.now()}-${Math.random().toString(36).slice(2, 8)}`
+  // CodeQL js/insecure-randomness 修复：sessionId 随机段改用 crypto.randomUUID()
+  // （密码学安全随机，无需种子），保持 `obs-review-<ts>-<6位hex>` 格式兼容。
+  const sessionId = `obs-review-${Date.now()}-${randomUUID().slice(0, 6)}`
   let handle
   try {
     handle = await agents.create({
@@ -33,7 +37,11 @@ export async function runAiReview(ctx, diffText, report, timeoutMs = REVIEW_TIME
     if (parsed === undefined) return { enabled: true, failed: true, note: 'AI 结论解析失败' }
     return { enabled: true, ...parsed }
   } catch (error) {
-    return { enabled: true, failed: true, note: error instanceof Error ? error.message : String(error) }
+    return {
+      enabled: true,
+      failed: true,
+      note: error instanceof Error ? error.message : String(error),
+    }
   } finally {
     await disposeHandle(handle)
   }
@@ -119,27 +127,6 @@ function extractJsonBlock(text) {
   return match !== null ? match[1].trim() : undefined
 }
 
-// ── helpers（与 dsh-task-reliability 同契约的轻量实现）────────────────────
-
-function withTimeout(promise, ms) {
-  return new Promise((resolve) => {
-    const timer = setTimeout(() => resolve(undefined), ms)
-    Promise.resolve(promise).then(
-      (value) => { clearTimeout(timer); resolve(value) },
-      () => { clearTimeout(timer); resolve(undefined) },
-    )
-  })
-}
-
-function userMessage(text) {
-  return {
-    id: `msg-${Math.random().toString(36).slice(2)}${Date.now().toString(36)}`,
-    role: 'user',
-    content: [{ type: 'text', text }],
-    source: { kind: 'user' },
-  }
-}
-
 function lastAssistantText(session) {
   try {
     const events = session?.events
@@ -159,7 +146,9 @@ function assistantTextOf(event) {
   const blocks = event.data?.message?.content
   if (!Array.isArray(blocks)) return ''
   return blocks
-    .filter((block) => block !== null && typeof block === 'object' && block.type === 'text' && typeof block.text === 'string')
+    .filter(
+      (block) => block !== null && typeof block === 'object' && block.type === 'text' && typeof block.text === 'string',
+    )
     .map((block) => block.text)
     .join('\n')
 }

package/lib/audit.js

@@ -80,9 +80,7 @@ function agentTypeOf(agent) {
   if (header === undefined || header === null) return 'unknown'
   if (header.origin === 'subagent') return 'subagent'
   if (typeof header.delegationDepth === 'number' && header.delegationDepth > 0) return 'subagent'
-  return typeof agent.options?.subagentDepth === 'number' && agent.options.subagentDepth > 0
-    ? 'subagent'
-    : 'top'
+  return typeof agent.options?.subagentDepth === 'number' && agent.options.subagentDepth > 0 ? 'subagent' : 'top'
 }
 
 /** 工具结果 ok 判定：非对象视为成功；error 字段非空视为失败。 */
@@ -131,9 +129,17 @@ function wrapStream(sessionId, stream, record) {
         }
         yield chunk
       }
-      record({ type: 'llm_stream', sessionId, data: streamSummary('end', startedAt, chunks, chars) })
+      record({
+        type: 'llm_stream',
+        sessionId,
+        data: streamSummary('end', startedAt, chunks, chars),
+      })
     } catch (error) {
-      record({ type: 'llm_stream', sessionId, data: streamSummary('error', startedAt, chunks, chars, error) })
+      record({
+        type: 'llm_stream',
+        sessionId,
+        data: streamSummary('error', startedAt, chunks, chars, error),
+      })
       throw error
     }
   })()