dsh-perm-gate 0.2.0

package/CHANGELOG.ja.md

@@ -0,0 +1,62 @@
+# 変更履歴
+
+このプロジェクトの重要な変更はすべてこのファイルに記録されます。
+
+形式は [Keep a Changelog](https://keepachangelog.com/ja/1.1.0/) に従い、
+このプロジェクトは [Semantic Versioning](https://semver.org/spec/v2.0.0.html) に準拠します。
+
+## [Unreleased]
+
+### 追加
+
+- リスク判定 `llmAssist`：設定されたカスタム LLM（OpenAI 互換エンドポイント）が各 `ask` を
+  `safe` / `risky:<カテゴリ>` で判定。ハードカテゴリ（deletion / credential / remote / system /
+  bulk）は常に人手へ、タイムアウトは 1 回リトライ、失敗は常に fail-closed。
+- 裁決学習（`riskLearning`、既定オフ、`riskThreshold` 1–10、既定 3）：人手で承認され実際に実行された
+  neutral リスクをカウントし、指紋一致する同一操作のみ自動許可。`$DSH_HOME/perm-gate/learning.json`
+  に永続化され、ユーザーの YAML ルールには書き込みません。
+- 決定イベントフィード：各決定を `$DSH_HOME/perm-gate/events.jsonl` に追記し、
+  `GET /api/dsh-perm-gate/events?sessionId=&since=` で提供。ブラウザ側は入力欄上の通知バーで表示。
+- 権限ピッカーの盾アイコンが折りたたみトリガーにも表示されます。
+
+### 変更
+
+- `llmAssist` はリスクカテゴリプロトコルを使用（従来の allow/deny/ask 判定のスーパーセット）。
+  `classifier.ts` はリスク判定器と OpenAI 互換トランスポート（`chatCompletion`）を共有します。
+
+
+### Added
+- **Permissive モード（独立審批枠）** — read-only / workspace-write / full-access / whitelist と並ぶ独立モード。
+  単一のフロントスイッチ（`permissive`）+ 組み合わせ可能なバックエンド戦略（`trustAutoAllow` / `alwaysConfirm` / `llmAssist`）。
+  P0 ハード拒否は単調のまま。
+- 監査に `classifier` / `permissive` の決定ソースを追加。`llmAssist` 用の注入可能な `classify` フック
+  （`ask`/未指定時は fail-closed）。
+- CLI に `--permissive` フラグと `--list` の permissive サマリを追加。
+- **ブラウザ クライアント** — `settings.plugins.tab` ページ（「Permissive 承認ティア」）が
+  設定 → プラグインに描画されます。1 つのスイッチ（`permissive`）＋ 3 つのバックエンド
+  `permissiveStrategies` トグル。host は名前空間を live に読むため、再起動なしで次の
+  ツール呼び出しから反映されます。
+- **実際の llmAssist LLM** — 設定可能な OpenAI 互換分類器（`classifierEndpoint` /
+  `classifierModel`）が `ask` の自動判定を行い、人手のシームへ fail-closed でフォールバック
+  します。
+- **ホワイトリスト移行** — `approveAllowEverywhere` はコマンド語をルール ファイルの
+  `allow` に永続化して再読込し、`approveRepeat` は有界なセッション許可を発行します。
+  いずれも always-confirm パネルの 2 つの拡張許可ボタンを裏で支えます。
+- **4 言語インストール ガイド** — `INSTALL.md` / `INSTALL.zh.md` / `INSTALL.ja.md` /
+  `INSTALL.ko.md`（インストール・アップグレード・分割プラグインからの移行・検証・
+  トラブルシューティング）。全 README に言語切替リンク、`ja` / `ko` 互換性注記
+  （公式 DSH の `LOCALE_IDS` は `["zh", "en"]`）、バージョン表記を追加。
+- README.ja / README.ko を英語の正本と同等の内容に拡張（P0–P4 チェーン表、背景/機能、
+  ルール ファイル形式、Permissive ティア、CLI）。
+
+## [0.1.0] - 2026-08-30
+
+### Added
+- P0–P4 判定チェーン：ハード拒否 / セッション許可 / 静的な拒否優先ルール連鎖 / 任意の分類器（既定オフ）/ `ask`。
+- 純関数ルールエンジン：glob/regex コンパイル＋ReDoS 上限、失敗時 loud-fail、コンテンツハッシュのコンパイルキャッシュ。
+- argv 分解によるコマンドホワイト/ブラックリスト（`sh -c`/`bash -c` 再帰、パイプライン、リダイレクト、再帰/強制）。
+- 正準フィンガープリントによる精密なセッション許可（TTL＋maxUses、対象が異なれば再利用不可）。
+- `{ignorable:true}` 判定監査と、モデル可視⟺記録の不変条件。
+- スタンドアロンの dry-run CLI 評価器（`dsh-perm-gate --rules … --tool … --args …`）。
+- DSH cordis 関数プラグイン契約（`cordis.patch.yml`、Schemastery `Config`、exports/types）。
+- 4 言語 README（en/zh/ja/ko）と Keep-a-Changelog 枠組み（en＋ja＋ko）。

package/CHANGELOG.ko.md

@@ -0,0 +1,60 @@
+# 변경 로그
+
+이 프로젝트의 중요한 변경 사항은 모두 이 파일에 기록됩니다.
+
+형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)을 따르며,
+이 프로젝트는 [Semantic Versioning](https://semver.org/spec/v2.0.0.html)을 준수합니다.
+
+## [Unreleased]
+
+### 추가
+
+- 위험 등급 `llmAssist`: 설정된 사용자 지정 LLM(OpenAI 호환 엔드포인트)이 각 `ask`를
+  `safe` / `risky:<카테고리>`로 판정합니다. 하드 카테고리(deletion / credential / remote / system /
+  bulk)는 항상 사람에게 전달되고, 시간 초과는 1회 재시도하며, 모든 실패는 fail-closed를 유지합니다.
+- 판정 학습(`riskLearning`, 기본 꺼짐, `riskThreshold` 1–10, 기본 3): 사람이 승인하고 실제 실행된
+  neutral 위험은 카운트되어 지문이 일치하는 동일 작업만 자동 허용 — `$DSH_HOME/perm-gate/learning.json`에
+  영속화되며 사용자 YAML 규칙에는 기록되지 않습니다.
+- 결정 이벤트 피드: 모든 결정이 `$DSH_HOME/perm-gate/events.jsonl`에 추가되고
+  `GET /api/dsh-perm-gate/events?sessionId=&since=`로 제공되며, 브라우저 절반이 입력창 위 알림 바로 표시합니다.
+- 권한 선택기 방패 아이콘이 축소된 트리거에도 표시됩니다.
+
+### 변경
+
+- `llmAssist`는 위험 카테고리 프로토콜을 사용합니다(기존 allow/deny/ask 판정의 상위 집합).
+  `classifier.ts`는 위험 판정기와 OpenAI 호환 전송 계층(`chatCompletion`)을 공유합니다.
+
+
+### Added
+- **Permissive 모드(독립 승인 티어)** — read-only / workspace-write / full-access / whitelist와 나란한 독립 모드.
+  단일 프론트 스위치(`permissive`) + 조합 가능한 백엔드 전략(`trustAutoAllow` / `alwaysConfirm` / `llmAssist`).
+  P0 하드 거부는 단조 유지.
+- 감사 소스에 `classifier` / `permissive` 추가. `llmAssist`용 주입 가능한 `classify` 훅(`ask`/미지정 시 fail-closed).
+- CLI `--permissive` 플래그와 `--list`의 permissive 요약 추가.
+- **브라우저 클라이언트** — `settings.plugins.tab` 페이지("Permissive 승인 티어")가
+  설정 → 플러그인에 렌더링됩니다. 스위치 하나(`permissive`) + 백엔드
+  `permissiveStrategies` 토글 세 개. host는 네임스페이스를 live로 읽으므로 재시작 없이
+  다음 도구 호출부터 반영됩니다.
+- **실제 llmAssist LLM** — 설정 가능한 OpenAI 호환 분류기(`classifierEndpoint` /
+  `classifierModel`)가 `ask`를 자동 판정하고, 사람 승인 심으로 fail-closed 폴백합니다.
+- **허용 목록 이전** — `approveAllowEverywhere`는 명령어를 규칙 파일의 `allow`에
+  영속 기록하고 재로드하며, `approveRepeat`는 유계 세션 허용을 발행합니다. 둘 다
+  always-confirm 패널의 확장 허용 버튼 두 개를 뒷받침합니다.
+- **4개 언어 설치 안내** — `INSTALL.md` / `INSTALL.zh.md` / `INSTALL.ja.md` /
+  `INSTALL.ko.md`(설치·업그레이드·분리 플러그인에서의 이전·검증·문제 해결).
+  모든 README에 언어 전환 링크, `ja` / `ko` 호환성 안내(공식 DSH의 `LOCALE_IDS`는
+  `["zh", "en"]`), 버전 표기를 추가.
+- README.ko / README.ja를 영어 정본과 동등한 수준으로 확장(P0–P4 체인 표, 배경/기능,
+  규칙 파일 형식, Permissive 티어, CLI).
+
+## [0.1.0] - 2026-08-30
+
+### Added
+- P0–P4 결정 체인: 하드 거부 / 세션 허용 / 정적 거부 우선 규칙 체인 / 선택적 분류기(기본 꺼짐) / `ask`.
+- 순수 함수 규칙 엔진: glob/regex 컴파일 + ReDoS 상한, 오류 시 loud-fail, 콘텐츠 해시 컴파일 캐시.
+- argv 분해 기반 명령 화이트/블랙리스트(`sh -c`/`bash -c` 재귀, 파이프라인, 리다이렉트, 재귀/강제).
+- 정규화된 지문으로 정밀한 세션 허용(TTL + maxUses, 대상이 다르면 재사용 불가).
+- `{ignorable:true}` 결정 감사와 모델 가시⟺기록 불변식.
+- 독립 실행 dry-run CLI 평가기(`dsh-perm-gate --rules … --tool … --args …`).
+- DSH cordis 함수 플러그인 계약(`cordis.patch.yml`, Schemastery `Config`, exports/types).
+- 4개 언어 README(en/zh/ja/ko) 및 Keep-a-Changelog 프레임워크(en + ja + ko).

package/CHANGELOG.md

@@ -0,0 +1,62 @@
+# Changelog
+
+All notable changes to this project will be documented in this file.
+
+The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
+and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
+
+## [Unreleased]
+
+### Added
+
+- Risk-graded `llmAssist`: the configured custom LLM (any OpenAI-compatible endpoint) grades each
+  `ask` as `safe` / `risky:<category>`; hard categories (deletion / credential / remote / system /
+  bulk) always ask, timeouts retry once, and every failure stays fail-closed.
+- Verdict learning (`riskLearning`, off by default; `riskThreshold` 1–10, default 3): neutral-risk
+  asks confirmed by a human and actually executed count toward auto-allowing the exact same
+  operation (fingerprint-matched) — persisted to `$DSH_HOME/perm-gate/learning.json`, never into
+  the user's YAML rules.
+- Decision event feed: every decision appends to `$DSH_HOME/perm-gate/events.jsonl` and is served
+  at `GET /api/dsh-perm-gate/events?sessionId=&since=`; the browser half shows the latest decision
+  as a notice strip above the conversation input.
+- Permission-picker icon now also decorates the collapsed picker trigger.
+
+### Changed
+
+- `llmAssist` now uses the risk-category protocol (superset of the previous allow/deny/ask verdicts);
+  `classifier.ts` shares one OpenAI-compatible transport (`chatCompletion`) with the risk grader.
+
+
+### Added
+- **Permissive tier** — an independent approval mode parallel to read-only / workspace-write /
+  full-access / whitelist. A single front switch (`permissive`) plus combinable backend
+  strategies (`trustAutoAllow` / `alwaysConfirm` / `llmAssist`); P0 hard-deny stays monotonic.
+- Audit `classifier` / `permissive` decision sources; optional injectable `classify` hook for
+  `llmAssist` (fail-closed on `ask`/absence).
+- **Browser client** — a `settings.plugins.tab` page ("Permissive approval tier") renders in
+  Settings → Plugins: one switch (`permissive`) + three backend `permissiveStrategies` toggles.
+  The host reads the namespace live, so edits apply to the next tool call without a restart.
+- CLI `--permissive` flag and permissive summary in `--list`.
+- **Real llmAssist LLM** — a configurable OpenAI-compatible classifier (`classifierEndpoint` /
+  `classifierModel`), invoked to auto-decide an `ask` and fail-closed to the human seam.
+- **Whitelist migration** — `approveAllowEverywhere` persists a command word into the rules
+  file's `allow` whitelist and reloads; `approveRepeat` mints a bounded session grant. Both back
+  the always-confirm panel's two extended allow buttons.
+- **Four-language install guides** — `INSTALL.md` / `INSTALL.zh.md` / `INSTALL.ja.md` /
+  `INSTALL.ko.md` covering install, upgrade, migration from the split plugins, verification and
+  troubleshooting; every README gained language-switch links, a `ja` / `ko` compatibility note
+  (official DSH `LOCALE_IDS` is `["zh", "en"]`) and a version reference.
+- README.ja / README.ko expanded to full mirrors of the English source of truth (P0–P4 chain
+  table, why/features, rules-file format, Permissive tier, CLI).
+
+## [0.1.0] - 2026-08-30
+
+### Added
+- P0–P4 decision chain: hard-deny, session grant, static deny-first rule chain, optional classifier (off), `ask`.
+- Pure-function rule engine: glob/regex compilation with ReDoS bound, loud-fail parsing, content-hash compile cache.
+- Command whitelist/blacklist via argv decomposition (`sh -c`/`bash -c` recursion, pipelines, redirects, recursive/force).
+- Precise session grants keyed by canonical fingerprint (TTL + maxUses, no cross-target reuse).
+- `{ignorable:true}` decision audit with model-visible⟺logged invariant.
+- Standalone CLI dry-run evaluator (`dsh-perm-gate --rules … --tool … --args …`).
+- DSH cordis function-plugin contract (`cordis.patch.yml`, Schemastery `Config`, exports/types).
+- 4-language README (en/zh/ja/ko) and Keep-a-Changelog framework (en + ja + ko).

package/INSTALL.ja.md

@@ -0,0 +1,152 @@
+# インストールガイド
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+`dsh-perm-gate` バージョン **0.1.0**。判定チェーン、ルールファイル形式、Permissive
+ティアについては [日本語 README](./README.ja.md) を参照してください。
+
+## 必要条件
+
+- [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) がインストール済みであること。
+- Node.js **>= 20**（`package.json` の `engines` を参照）。
+- `dsh` CLI が `PATH` に存在すること。
+- インストール先の profile。ブラウザ側は `web` profile 向けにのみビルドされます
+  （`package.json` の `dsh.client.platform = "web"`）。
+
+## 公式 CLI でインストール
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+公開パッケージを取得し、`cordis.patch.yml`（Permissive セッション ティアとプラグイン
+本体の挿入）を適用して、host / client の両方を組み込みます。
+
+## ソースからインストール
+
+```sh
+git clone https://github.com/drscrewdriver/dsh-perm-gate.git
+cd dsh-perm-gate
+npm install
+npm run build      # tsc -> lib/*.js + lib/*.d.ts、tsdown -> lib/client.js
+dsh plugin --profile web add .
+```
+
+`npm run build` は `prepublishOnly` でもあるため、公開時に古い `lib/` が混入しません。
+
+## 有効化と設定
+
+profile の `cordis.yml` にプラグインを追加します：
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # 省略時は defaultAction にフォールバック
+    dshHome: $DSH_HOME              # 保護対象チェックのルート固定
+    defaultAction: ask              # allow | ask | deny
+```
+
+まずは [examples/permissions.example.yaml](./examples/permissions.example.yaml)
+から始め、profile を再読込してください。
+
+## アップグレード
+
+```sh
+dsh plugin --profile web update dsh-perm-gate
+```
+
+その後、パッチファイルを再読込させるために profile を再適用します：
+
+```sh
+dsh profile reload --profile web
+```
+
+## 分割プラグインからの移行
+
+`dsh-perm-gate` は、これまで `dsh-permission-rules` / `dsh-auto-mode` /
+`dsh-auto-review` / `dsh-movein-permissions` に分散していたゲート・承認シーム・
+（任意の）分類器を 1 つのパッケージに統合します。
+
+1. 既存のルール一覧（deny / allow / ask）を書き出し、1 つの `permissions.yaml`
+   に統合します。
+2. 上記 4 プラグインを `cordis.yml` から削除し、`dsh-perm-gate` のエントリだけを
+   追加します。
+3. それらが提供していた preset の上書きを削除します。`cordis.patch.yml` は
+   `permission.config.presets` を**丸ごと置換**するため、他プラグインの古い
+   key 単位パッチが Permissive / Auto ティアを黙って消すことがあります。
+4. profile を再読込し、後述の `--list` で検証します。
+
+## 検証
+
+```sh
+# 読み込まれたルールセットのサマリ（Harness 不要）
+dsh-perm-gate --rules permissions.yaml --list
+
+# 1 回の呼び出しを dry-run
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+```
+
+`--list` の出力例：
+
+```json
+{
+  "rulesFile": "/abs/path/permissions.yaml",
+  "defaultAction": "ask",
+  "ruleCount": 8,
+  "permissive": false,
+  "permissiveStrategies": { "trustAutoAllow": true, "alwaysConfirm": false, "llmAssist": false }
+}
+```
+
+UI では **設定 → プラグイン → Permissive 承認ティア** に、1 つのスイッチと 3 つの
+バックエンド戦略トグルが表示されます。
+
+## アンインストール
+
+```sh
+dsh plugin --profile web remove dsh-perm-gate
+dsh profile reload --profile web
+```
+
+プラグインを削除するとパッチの寄与も失われるため、Permissive ティアはセッションの
+権限ピッカーから再び消えます。
+
+## トラブルシューティング
+
+**権限ピッカーに Permissive ティアが出ない。**
+DSH の bundle patch は `permission.config.presets` を key 単位でマージせず**全体置換**
+します。profile を再読込して `cordis.patch.yml` を再適用し、後から読み込まれる
+プラグインが `presets` を上書きしていないか確認してください。
+
+**ルールファイルがあるのに `--list` が `ruleCount: 0` を返す。**
+`rulesFile` はプラグイン ディレクトリではなく Harness プロセスの CWD から解決されます。
+絶対パスを使うか、シェルの CWD を確認してください。不正なドキュメントは読み込み時に
+loud-fail し、暗黙に無効化されることはありません。
+
+**`llmAssist` が発火しない。**
+`classifierEndpoint` / `classifierModel` / `classifierApiKey` が必要です
+（**設定 → プラグイン → Permissive 承認ティア** または `cordis.yml` で設定）。
+欠落や通信エラー時は人手のシームへフォールバックします。設計上 fail-closed です。
+
+**設定カードに「設定名前空間が利用できません」と出る。**
+プラグインが現在の profile に組み込まれていません。
+`dsh plugin --profile web add dsh-perm-gate` を実行して再読込してください。
+
+**`ja` / `ko` を選ぶと `locale "<id>" is not registered` になる。**
+公式 DSH の `LocaleRuntime` は `zh` / `en` のみを公開しています。
+[日本語 README](./README.ja.md) の互換性に関する注記を参照してください。
+
+## ライセンス
+
+[MIT](./LICENSE)

package/INSTALL.ko.md

@@ -0,0 +1,151 @@
+# 설치 안내
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+`dsh-perm-gate` 버전 **0.1.0**. 결정 체인, 규칙 파일 형식, Permissive 티어는
+[한국어 README](./README.ko.md)를 참고하세요.
+
+## 요구 사항
+
+- [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness)가 설치되어 있어야 합니다.
+- Node.js **>= 20** (`package.json`의 `engines` 참고).
+- `dsh` CLI가 `PATH`에 있어야 합니다.
+- 설치할 profile. 브라우저 절반은 `web` profile용으로만 빌드됩니다
+  (`package.json`의 `dsh.client.platform = "web"`).
+
+## 공식 CLI로 설치
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+게시된 패키지를 가져오고 `cordis.patch.yml`(Permissive 세션 티어 + 플러그인 항목)을
+적용하여 host / client 양쪽을 조립합니다.
+
+## 소스에서 설치
+
+```sh
+git clone https://github.com/drscrewdriver/dsh-perm-gate.git
+cd dsh-perm-gate
+npm install
+npm run build      # tsc -> lib/*.js + lib/*.d.ts, tsdown -> lib/client.js
+dsh plugin --profile web add .
+```
+
+`npm run build`는 `prepublishOnly` 단계이기도 하므로, 게시 시 오래된 `lib/`가
+포함되지 않습니다.
+
+## 활성화 및 설정
+
+profile의 `cordis.yml`에 플러그인을 추가합니다:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # 생략 시 defaultAction으로 폴백
+    dshHome: $DSH_HOME              # 보호 대상 검사의 고정 루트
+    defaultAction: ask              # allow | ask | deny
+```
+
+[examples/permissions.example.yaml](./examples/permissions.example.yaml)에서 시작한 뒤
+profile을 다시 불러오세요.
+
+## 업그레이드
+
+```sh
+dsh plugin --profile web update dsh-perm-gate
+```
+
+그다음 패치 파일을 다시 읽도록 profile을 재적용합니다:
+
+```sh
+dsh profile reload --profile web
+```
+
+## 분리된 플러그인에서 이전하기
+
+`dsh-perm-gate`는 `dsh-permission-rules`, `dsh-auto-mode`, `dsh-auto-review`,
+`dsh-movein-permissions`에 흩어져 있던 게이트·승인 심·선택적 분류기를 하나의
+패키지로 통합합니다.
+
+1. 기존 규칙 목록(deny / allow / ask)을 내보내 하나의 `permissions.yaml`로 합칩니다.
+2. 위 네 플러그인을 `cordis.yml`에서 제거하고 `dsh-perm-gate` 항목만 추가합니다.
+3. 해당 플러그인들이 제공하던 preset 재정의를 삭제합니다. `cordis.patch.yml`은
+   `permission.config.presets`를 **전체 교체**하므로, 다른 플러그인의 오래된
+   key 단위 패치가 Permissive / Auto 티어를 조용히 없앨 수 있습니다.
+4. profile을 다시 불러오고 아래의 `--list`로 검증합니다.
+
+## 검증
+
+```sh
+# 로드된 규칙 세트 요약(Harness 불필요)
+dsh-perm-gate --rules permissions.yaml --list
+
+# 단일 호출 dry-run
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+```
+
+`--list` 출력 예시:
+
+```json
+{
+  "rulesFile": "/abs/path/permissions.yaml",
+  "defaultAction": "ask",
+  "ruleCount": 8,
+  "permissive": false,
+  "permissiveStrategies": { "trustAutoAllow": true, "alwaysConfirm": false, "llmAssist": false }
+}
+```
+
+UI의 **설정 → 플러그인 → Permissive 승인 티어**에 스위치 하나와 백엔드 전략 토글
+세 개가 표시되어야 합니다.
+
+## 제거
+
+```sh
+dsh plugin --profile web remove dsh-perm-gate
+dsh profile reload --profile web
+```
+
+플러그인을 제거하면 패치 기여도 사라지므로 Permissive 티어가 세션 권한 선택기에서
+다시 사라집니다.
+
+## 문제 해결
+
+**권한 선택기에 Permissive 티어가 없습니다.**
+DSH 번들 패치는 `permission.config.presets`를 key 단위로 병합하지 않고 **전체 교체**
+합니다. profile을 다시 불러와 `cordis.patch.yml`을 재적용하고, 더 늦게 로드되는
+플러그인이 `presets`를 덮어쓰지 않는지 확인하세요.
+
+**규칙 파일이 있는데 `--list`가 `ruleCount: 0`을 표시합니다.**
+`rulesFile`은 플러그인 디렉터리가 아니라 Harness 프로세스의 CWD에서 해석됩니다.
+절대 경로를 쓰거나 셸의 CWD를 확인하세요. 잘못된 문서는 로드 시 loud-fail하며
+조용히 비활성화되지 않습니다.
+
+**`llmAssist`가 동작하지 않습니다.**
+`classifierEndpoint`, `classifierModel`, `classifierApiKey`가 필요합니다
+(**설정 → 플러그인 → Permissive 승인 티어** 또는 `cordis.yml`에서 지정).
+값이 없거나 네트워크 오류가 나면 사람 승인 심으로 폴백합니다. 설계상 fail-closed입니다.
+
+**설정 카드에 "설정 네임스페이스를 사용할 수 없습니다"가 표시됩니다.**
+플러그인이 현재 profile에 조립되지 않았습니다.
+`dsh plugin --profile web add dsh-perm-gate`를 실행하고 다시 불러오세요.
+
+**`ja` / `ko` 선택 시 `locale "<id>" is not registered` 오류가 납니다.**
+공식 DSH의 `LocaleRuntime`은 `zh` / `en`만 노출합니다.
+[한국어 README](./README.ko.md)의 호환성 안내를 참고하세요.
+
+## 라이선스
+
+[MIT](./LICENSE)

package/INSTALL.md

@@ -0,0 +1,154 @@
+# Installation guide
+
+- [English README](./README.md)
+- [中文 README](./README.zh.md)
+- [日本語 README](./README.ja.md)
+- [한국어 README](./README.ko.md)
+- [Installation guide](./INSTALL.md)
+- [中文安装指南](./INSTALL.zh.md)
+- [日本語インストールガイド](./INSTALL.ja.md)
+- [한국어 설치 안내](./INSTALL.ko.md)
+- [Changelog](./CHANGELOG.md)
+- [日本語 changelog](./CHANGELOG.ja.md)
+- [한국어 changelog](./CHANGELOG.ko.md)
+
+`dsh-perm-gate` version **0.1.0**. Continue with the [README](./README.md) for the
+decision chain, the rules file format and the Permissive tier.
+
+## Requirements
+
+- An existing [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) installation.
+- Node.js **>= 20** (see `engines` in `package.json`).
+- The `dsh` CLI on your `PATH`.
+- A profile to install into — the browser half only ships for the `web` profile
+  (`dsh.client.platform = "web"` in `package.json`).
+
+## Install with the official CLI
+
+```sh
+dsh plugin --profile web add dsh-perm-gate
+```
+
+This pulls the published package, applies its `cordis.patch.yml` (the Permissive
+session tier plus the plugin entry) and assembles both halves.
+
+## Install from source
+
+```sh
+git clone https://github.com/drscrewdriver/dsh-perm-gate.git
+cd dsh-perm-gate
+npm install
+npm run build      # tsc -> lib/*.js + lib/*.d.ts, tsdown -> lib/client.js
+dsh plugin --profile web add .
+```
+
+`npm run build` is also the `prepublishOnly` step, so publishing never ships a
+stale `lib/`.
+
+## Enable and configure
+
+Add the plugin to your profile's `cordis.yml`:
+
+```yaml
+- id: dsh-perm-gate
+  name: dsh-perm-gate
+  config:
+    rulesFile: ./permissions.yaml   # optional; omit to fall back to defaultAction
+    dshHome: $DSH_HOME              # root pinned for protected-target checks
+    defaultAction: ask              # allow | ask | deny
+```
+
+Start from [examples/permissions.example.yaml](./examples/permissions.example.yaml),
+then reload the profile.
+
+## Upgrade
+
+```sh
+dsh plugin --profile web update dsh-perm-gate
+```
+
+Then re-apply the profile so the patch file is re-read:
+
+```sh
+dsh profile reload --profile web
+```
+
+## Migrate from the split plugins
+
+`dsh-perm-gate` merges the gate, the approval seam and the (optional) classifier
+that used to live across `dsh-permission-rules`, `dsh-auto-mode`, `dsh-auto-review`
+and `dsh-movein-permissions`.
+
+1. Export your existing rule lists (deny / allow / ask) and merge them into one
+   `permissions.yaml` document.
+2. Remove the four plugins from `cordis.yml` and add the single `dsh-perm-gate`
+   entry above.
+3. Delete any preset overrides those plugins contributed — `cordis.patch.yml`
+   **replaces** `permission.config.presets` wholesale, so stale per-key patches
+   from other plugins can silently drop the Permissive or Auto tier.
+4. Reload the profile and verify with `--list` (below).
+
+## Verify
+
+```sh
+# summarize the loaded ruleset (no harness needed)
+dsh-perm-gate --rules permissions.yaml --list
+
+# dry-run one call
+dsh-perm-gate --rules permissions.yaml --tool bash --args '{"command":"pnpm install"}'
+```
+
+Expected `--list` output shape:
+
+```json
+{
+  "rulesFile": "/abs/path/permissions.yaml",
+  "defaultAction": "ask",
+  "ruleCount": 8,
+  "permissive": false,
+  "permissiveStrategies": { "trustAutoAllow": true, "alwaysConfirm": false, "llmAssist": false }
+}
+```
+
+In the UI, **Settings → Plugins → Permissive approval tier** should render one
+switch plus the three backend strategy toggles.
+
+## Uninstall
+
+```sh
+dsh plugin --profile web remove dsh-perm-gate
+dsh profile reload --profile web
+```
+
+Removing the plugin also removes its patch contribution, so the Permissive tier
+disappears from the session permission picker again.
+
+## Troubleshooting
+
+**The Permissive tier is missing from the permission picker.**
+The DSH bundle patch replaces the whole `permission.config.presets` map instead of
+merging per key. Reload the profile so `cordis.patch.yml` is re-applied, and make
+sure no later plugin overwrites `presets`.
+
+**`--list` reports `ruleCount: 0` although my rules file exists.**
+`rulesFile` is resolved against the process CWD of the harness, not the plugin
+directory. Prefer an absolute path or confirm the shell CWD. A malformed document
+fails loud at load — it is never silently disabled.
+
+**`llmAssist` never fires.**
+It needs `classifierEndpoint`, `classifierModel` and `classifierApiKey` (set them
+in **Settings → Plugins → Permissive approval tier** or in `cordis.yml`). Any
+missing value or network error falls back to the human seam — the gate is
+fail-closed by design.
+
+**Settings card shows "Settings namespace unavailable".**
+The plugin is not assembled into the active profile. Run
+`dsh plugin --profile web add dsh-perm-gate` and reload.
+
+**Selecting `ja` / `ko` fails with `locale "<id>" is not registered`.**
+Official DSH exposes only `zh` / `en` through `LocaleRuntime`. See the
+compatibility note in the [README](./README.md).
+
+## License
+
+[MIT](./LICENSE)