dsh-pre-duediligence 0.1.7 → 0.1.9

package/CHANGELOG.md

@@ -1,5 +1,22 @@
 # 更新日志
 
+## [0.1.9] - 2026-09-07
+
+- 解除 Sidebar 0.17.1 精确限制，新增 0.18 公共能力适配和缺失/不兼容局部降级。
+- 草稿读写绑定会话输入机；迟到发送不清空其它会话或用户新写入的草稿。
+- 任务认领要求专属会话；报告仅取对应任务快照，支持 DSH text blocks，移除全页面 DOM 兜底和不完整报告下载。
+- 报告生成与执行覆盖分开；区分无数据、无权限、未执行、失败和未知结果。
+- 新增 Host 高层工具、真实预算/主体确认、固定 MCP 路由、ToolRuntime 防绕过、次数预算、取消和卸载清理。
+- 安装器预检共同依赖，拒绝自动降级；提供 stable/candidate 基线，修正 OAuth 迁移顺序。
+- 新增 Node/Sidebar/DSH SDK CI 矩阵、浏览器门禁、annotated tag / main CI 检查和 Registry/provenance 回读。
+- 规范 v1.2.0 全文、真实宿主、真实 Provider 与市场验收仍待完成，详见 docs/COMPATIBILITY.md。
+
+## [0.1.8] - 2026-09-07
+
+- 首页输入框下方五项快捷菜单统一为数据清洗补全风格：独立描边卡片、图标在上、短标签在下。
+- 卡片保持单行排列；窄屏仅在菜单容器内部横向滚动，不再切换为多行宫格，也不会撑宽页面。
+- 采纳 DSH-UX-001 v1.1.3，并新增快捷菜单方向、高度、边框、单行及视口边界 UI 断言。
+
 ## [0.1.7] - 2026-09-07
 
 - 右侧五阶段菜单统一为招投标工作台风格：等宽分栏、图标在上、短标题在下，移除容易越界的第二行描述。

package/README.md

@@ -1,6 +1,6 @@
 # dsh-pre-duediligence
 
-当前版本：**0.1.7**。界面已对齐 DSH-UX-001 v1.1.2 与企查查蓝 Mockup：菜单、首页和工作台使用同一建筑 LOGO，首页名称为“访前尽调一页纸智能体”；点击左侧“访前尽调”只进入初始会话，右侧工作台默认关闭，点击输入框下方业务按钮后才打开。右侧阶段菜单采用招投标式等宽图标标签，不显示第二行描述。详见 [更新日志](CHANGELOG.md)和[规范采纳记录](docs/DSH-UX-001-ADOPTION.md)。
+版本：**0.1.9**。本版按 DSH-UX-001 v1.2.0 同步摘要整改，已通过本地自动化门禁；尚未完成权威全文核对、真实 DSH 四插件组合及企查查 Provider 验收。npm 发布与组合验收是独立状态，候选环境请隔离测试。详见 [更新日志](CHANGELOG.md)、[采用记录](docs/DSH-UX-001-ADOPTION.md)和[兼容与验收矩阵](docs/COMPATIBILITY.md)。
 
 面向 DeepSeek Harness 的 Session 级访前尽调智能体。业务人员从左侧菜单进入，在会话级工作台定义一次拜访；Agent 调用企查查五类 MCP，使用机会与风险双引擎完成经营状态识别、假设与反证、风险核验，最终交付可追溯的访前尽调报告。
 
@@ -10,11 +10,11 @@
 
 ### 工作台
 
-- 使用 dsh-better-sidebar 0.17.1，不再使用遮挡对话的自定义浮层
+- Better Sidebar 为可选工作台依赖，适配 0.17.x / 0.18.x 的公开能力；缺失或不兼容时保留原生会话，并在打开工作台时提示
 - 只在 DSH 左侧菜单增加“访前尽调”入口；对应工作台标签在 Better Sidebar 的右侧“+”菜单中隐藏
 - 菜单、首页与工作台统一使用企查查蓝 Mockup 的线性建筑 LOGO；初始页面为“访前尽调一页纸智能体”
 - 点击左侧入口只创建并进入访前 Session，初始页不打开右侧工作台；点击输入框下方五项业务按钮后才打开对应视图
-- 首页只保留简洁说明、DSH 原生输入框和输入框下方五项快捷菜单：企业核验、经营画像、风险核查、访前材料、任务历史
+- 首页只保留简洁说明、DSH 原生输入框和输入框下方五项快捷菜单：企业核验、经营画像、风险核查、访前材料、任务历史；菜单采用数据清洗补全式单行描边卡片，上图标下短标签，窄屏在容器内横向滚动
 - “当前任务 / 任务历史”主导航与五阶段业务导航分离：
   1. 对象与目标
   2. 范围确认
@@ -44,6 +44,8 @@
 
 - 五类 MCP：qcc-company、qcc-risk、qcc-ipr、qcc-operation、qcc-executive
 - 唯一法律实体硬门；多候选必须停下消歧
+- Agent-owned 执行链：`previsit_begin → previsit_query(entity_search) → previsit_confirm_entity → previsit_query`。由真实用户确认付费预算和唯一主体，Host 固定业务路由，经 ToolRuntime 调用
+- 8/18/40 次硬预算含搜索与失败重试；重启后需要重新确认授权；无法匹配的 Provider 契约明确记为未执行
 - 机会轨：八种经营状态 → 状态 × 角色假设 → 支持/反对/未知 → 反证
 - 风险轨：全量扫描 → 零计数不下钻 → 非零维度明细 → 拜访影响
 - 行为信号超过 24 个月只作历史沿革
@@ -53,7 +55,7 @@
 
 ## 安装
 
-前置条件：Node.js 20 或更高版本、DeepSeek Harness `0.1.1-rc.2` 或更高版本、可用的 `pnpm`，以及已经配置好的模型。
+前置条件：Node.js 22.19+（22 LTS）或 24 LTS、固定版本 DeepSeek Harness、可用的 `pnpm`，以及已经配置好的模型。默认安装基线为 DSH `0.1.1-rc.2` / Sidebar `0.17.1` / Connector `0.2.32`；候选基线为 `0.1.2-rc.1` / `0.18.0` / `0.2.37`，尚待真实四插件组合验收。
 
 ### 一键安装（推荐）
 
@@ -65,7 +67,9 @@ bash <(curl -fsSL https://raw.githubusercontent.com/duhu2000/dsh-pre-duediligenc
 
 1. `dsh-better-sidebar@0.17.1`：提供 Session 级右侧工作台容器。
 2. `dsh-mcp-connector@0.2.32`：提供通用 MCP 连接器与市场，通过“企查查·企业工商”完成 OAuth，并动态挂载企业、风险、知产、经营、历史和董监高 MCP。
-3. `dsh-pre-duediligence@0.1.7`：提供左侧智能体入口、访前工作台、提示词生成器和完整 Skill。
+3. `dsh-pre-duediligence@0.1.9`：提供左侧智能体入口、访前工作台、提示词生成器、Host 执行门和 Skill。
+
+脚本先读取 JSON 插件清单并检查全部共同依赖；已有版本不匹配会在安装前停止，不自动降级或覆盖。现有匹配依赖跳过安装。隔离联调可设置 `DSH_PREVISIT_BASELINE=candidate`；开发包路径通过 `DSH_PRE_DUEDILIGENCE_SPEC` 指定。安装前完整停止对应 Profile 的 DSH Web。
 
 安装完成后停止旧的 DSH Web 进程并重新运行：
 
@@ -80,11 +84,11 @@ dsh web
 ~~~bash
 dsh plugin --profile web add dsh-better-sidebar@0.17.1 --allow-build=node-pty
 dsh plugin --profile web add dsh-mcp-connector@0.2.32
-dsh plugin --profile web add dsh-pre-duediligence@0.1.7 --allow-build=dsh-pre-duediligence
+dsh plugin --profile web add dsh-pre-duediligence@0.1.9 --allow-build=dsh-pre-duediligence
 dsh web
 ~~~
 
-Better Sidebar 必须使用 `0.17.1`；工作台依赖它的 `targetedOpen` 与 `stateSubscription` 公共能力。安装命令显式允许 `dsh-pre-duediligence` 的构建脚本；Better Sidebar 使用的 `node-pty` 也需要允许构建。
+工作台检查 Better Sidebar 的 `targetedOpen`、`stateSubscription` 及注册/打开接口；已读取 0.18.0 发布包对应公开接口，真实宿主兼容结论仍以验收矩阵为准。安装命令显式允许插件构建；Better Sidebar 使用的 `node-pty` 也需要允许构建。
 
 如果 pnpm 仍提示 `Ignored build scripts`，请按终端提示在 `~/.dsh/profiles/web/pnpm-workspace.yaml` 的 `allowBuilds` 中允许对应包，然后重新执行失败的安装命令。
 
@@ -94,7 +98,7 @@ Better Sidebar 必须使用 `0.17.1`；工作台依赖它的 `targetedOpen` 与
 dsh plugin --profile web list --depth 0
 ~~~
 
-应能看到 `dsh-better-sidebar@0.17.1`、`dsh-mcp-connector@0.2.32` 和 `dsh-pre-duediligence@0.1.7`。重启 DSH 并连接“企查查·企业工商”后，在左侧菜单点击“访前尽调”只进入初始会话；右侧工作台保持关闭，点击输入框下方业务按钮后才打开对应视图。Better Sidebar 的右侧“+”菜单不会列出该入口，普通会话的首页、输入框、消息流和 Session 头部保持原样。
+应能看到所选基线的 Sidebar、Connector 和 `dsh-pre-duediligence@0.1.9`。重启 DSH 并连接“企查查·企业工商”后，在左侧菜单点击“访前尽调”只进入初始会话；右侧工作台保持关闭，点击输入框下方业务按钮后才打开对应视图。Better Sidebar 的右侧“+”菜单不会列出该入口，普通会话保持 DSH 原样。
 
 ### 从旧访前尽调包迁移
 
@@ -110,10 +114,10 @@ dsh plugin --profile web remove qcc-previsit-dsh
 
 如果 Web profile 已安装 `qcc-dsh-mcp-oauth`，不要让它与 MCP 连接器同时管理同名企查查 Server：
 
-1. 先安装 `dsh-mcp-connector@0.2.32` 和 `dsh-pre-duediligence@0.1.7`，完全重启 DSH。
+1. 先按选定基线安装 MCP 连接器和访前插件，完全重启 DSH。
 2. 打开“🧩 MCP连接器”，按界面提示迁移旧企查查授权；也可以重新连接“企查查·企业工商”。
-3. 迁移完成后停止 DSH，执行 `dsh plugin --profile web remove qcc-dsh-mcp-oauth`。
-4. 再次启动 DSH，在“已安装”中确认企查查连接健康，然后执行一次真实企业查询。
+3. 先确认新连接健康，并在新连接上成功完成一次真实企业查询。
+4. 查询成功后停止 DSH，执行 `dsh plugin --profile web remove qcc-dsh-mcp-oauth`，然后完整重启并复核连接。
 
 连接器只复制旧授权，不会自动删除旧插件或旧凭据；确认新连接可用后再移除旧插件。
 
@@ -134,7 +138,7 @@ pnpm test:ui
 1. 在 DSH 选择一个工作空间和 Session。
 2. 点击左侧“访前尽调”，确认只进入专属初始会话，右侧工作台保持关闭；同时右侧 Better Sidebar 的“+”菜单不出现该入口，普通会话保持 DSH 原样。
 3. 点击“访前尽调”，确认首页标题为“访前尽调一页纸智能体”，LOGO 与菜单一致，说明行独立居中。
-4. 确认五项快捷菜单位于原生输入框下方，点击后才打开右侧工作台并切换到对应视图。
+4. 确认五项快捷菜单位于原生输入框下方，呈单行独立描边卡片、上图标下短标签；390px 窄屏只在菜单内部横向滚动且页面不越界，点击后才打开右侧工作台并切换到对应视图。
 5. 检查右侧五阶段菜单为等宽分栏、上图标下短标题且无第二行描述；选中项为浅蓝底、蓝字和底部蓝线，窄屏不横向越界。
 6. 打开输入框左上角“提示词生成”，检查四步、滚动、固定头尾、Tab 焦点环和 Escape 恢复焦点。
 7. 选择“银行/信贷客户经理、首次拜访、风险与涉诉、股权与实控人、15分钟标准、一页纸简报”并填写企业。

package/docs/COMPATIBILITY.md

@@ -0,0 +1,56 @@
+# 访前尽调 0.1.9 兼容与验收记录
+
+日期：2026-09-07。本文为 0.1.9 发布与验收记录；发布前已回读 npm 0.1.8，本次发布结果以 Registry / GitHub Release 回读为准。公开旧版本和 tag 保持不变；npm 发布不代表真实组合验收通过。
+
+| 组合 | DSH | Sidebar | Connector | 证据级别 / 状态 |
+| --- | --- | --- | --- | --- |
+| stable（共同复现基线） | 0.1.1-rc.2 | 0.17.1 | 0.2.32 | 既有文档基线；0.1.9 真实宿主、Provider 待验收 |
+| candidate（隔离联调） | 0.1.2-rc.1 | 0.18.0 | 0.2.37 | Sidebar 公开接口已读取；0.1.9 真实宿主、Provider 待验收 |
+| 缺失 Sidebar | 两个目标基线 | 无 | 同上 | 自动化验证保留原生入口；工作台局部提示；真实 Loader 待验收 |
+| 未知 Sidebar / 能力缺失 | 两个目标基线 | 非 0.17/0.18 或缺少公共方法 | 同上 | 局部禁用工作台，不声明兼容 |
+| 旧包共存 | 任意 | 任意 | 任意 | 不支持；安装器拒绝 qcc-previsit-dsh 共存 |
+
+Node：22.19+（22 LTS）或 24 LTS。CI 新增两组 Node × 两组 Sidebar × 两组 DSH 客户端 SDK（primitives / invariants）构建/类型/测试矩阵；配置存在不等于远端结果通过。客户端 SDK 契约测试不等于启动真实 DSH，也不替代候选版 Host ToolRuntime 验收。
+
+## 实现边界
+
+- Sidebar 采用可选 peer 和独立服务注入；主入口不依赖工作台。未知版本/接口错误由局部工作台提示，不在主客户端初始化中抛错。
+- 草稿仅通过宿主会话输入机读写。发送后只清除原会话中仍等于已提交文本的草稿；不使用 document-wide textarea 或延迟 setter。
+- 报告来自已认领任务后的助手快照，支持真实 DSH 的 `blocks[kind=text]`，忽略 reasoning、context、interrupted 前缀；不从页面 DOM 抓取报告。输出结构按完整报告/转发摘要分别校验。
+- Native composer 的归属来自专属 Session ID；工具名称不作为业务归属。窗口索引变化导致任务定位失败时不导出旧报告，需重新打开/恢复原生会话核对。
+- 当前任务历史仍以 DSH 会话为准；清空和“新的尽调”的本地视图状态不承诺跨重启恢复。
+- Host 任务授权按 Agent / Session / cwd 绑定；批准记录由 DSH approval service 持久记录。内存预算授权不跨重启复用，恢复查询必须重新确认。
+- 高层业务工具检查真实注册 schema，Provider 缺失或参数契约不匹配时未执行。主体确认要求同一条结构化搜索记录中的全称和信用代码；非结构化搜索响应暂不适配，禁止猜测。
+- 风险明细只接受扫描结构中对应 dimension / 原始工具名下明确的非负整数计数（数字或 count）；其它 Provider 扫描结构需真链路采样、脱敏契约补齐后支持。未知计数不解释成零。
+- 未覆盖固定路由的增量 API 不通过通用动态 MCP 兜底；对报告披露未覆盖。需在 Provider 验收中确认现有业务覆盖是否满足发布标准。
+
+## 四层证据与发布条件
+
+1. 单元/契约：运行 `pnpm test`，覆盖会话、报告、双 Sidebar、预算、确认、主体、防绕过、取消和卸载。
+2. 真实组件/隔离 DOM：`pnpm test:ui`，真实 React + Chrome；浅/深色 × 桌面/390px。该测试不连接真实 DSH。
+3. 真实宿主：全新隔离 Profile 安装构建 tarball，与清洗 0.8.9 / AI填表 0.2.1 / 招投标 0.5.2 共装；普通会话 → 四入口连续切换；发送后立刻切换；关闭/重开工作台；完整重启；逐个升级和单包卸载。逐项记录结果和合成数据截图，未跑项写待验收。
+4. 真实 Provider：用户确认自有额度后，验证企业搜索、多候选选择、名称/信用代码同记录、付费确认、零记录、无权限、部分失败、取消、HTML 下载。Connector 0.2.32 / 0.2.37 分别留证；不得把合成返回写成真实企查查验收。
+
+### 本次本地执行记录（2026-09-07）
+
+- Node v24.18.0；`pnpm check` 通过：类型检查、16 个测试文件 / 101 项测试、构建与类型声明生成。
+- `pnpm test:ui` 通过四种 Chrome 场景：浅/深色 × 1440×900 / 390×700；包含真实 React 生命周期中“发送未完成就切换会话”和提示词弹窗切换隔离。使用本机缓存 Chromium；`PREVISIT_CHROME` 可指定浏览器。结果和合成截图位于忽略提交的 `_scratch/ui-layout/`。
+- 本机已安装 Cordis 4.0.2 / DSH ToolRuntime 0.1.1-rc.2：实际运行生成后的 `lib/index.js`，三个业务工具注册、合成审批服务、合成 MCP 嵌套调度、主体确认、直接 MCP 调用拒绝、回合结束传播和卸载均通过。该检查未启动 DSH Web，也未使用真实审批 UI、客户连接或额度。
+- `bash -n install.sh`、两个发布核验脚本的 `node --check`、`git diff --check` 通过。发布核验脚本的远端 CI / Registry 分支仍须在正式发布流程验证。
+- `npm pack --dry-run --ignore-scripts --json` 通过，发布清单共 38 个文件；包含构建产物，不包含 `_scratch`、测试夹具或本机配置。
+- 真实 Web Loader、四插件共装、Connector 双版本真链路和市场投稿仍待完成；远端 CI 进度另列下文，本地门禁通过不等于组合验收通过。
+
+首次远端 CI（提交 `75bf8b7`）的八组类型检查、单元测试和构建均通过；Linux Chrome 冷启动触发原有 8 秒进程超时，多数组合未进入 UI 断言。发布前修正为 30 秒启动窗口，保留全部原有 UI / 会话断言，减少 Chrome 后台启动服务，并新增隔离 DOM / 日志 / 截图 artifact。必须等待修正提交的完整矩阵通过后打 tag；不以重试绕过失败检查。
+
+## 发布与市场
+
+2026-09-07 已回读 0.1.8：npm maintainers 为 duhu2000 / jinhangshi；CI 和 Release 成功；provenance 指向 7dfba4deba72724f792631557c4d432801abb7b3。
+
+- [CI](https://github.com/duhu2000/dsh-pre-duediligence/actions/runs/34070774757)
+- [Release workflow](https://github.com/duhu2000/dsh-pre-duediligence/actions/runs/34070844360)
+- [GitHub Release](https://github.com/duhu2000/dsh-pre-duediligence/releases/tag/v0.1.8)
+- [Registry provenance](https://registry.npmjs.org/-/npm/v1/attestations/dsh-pre-duediligence@0.1.8)
+
+0.1.9 流程：材料/完整本地门禁 → release commit 推 main → 该提交 CI 全绿 → annotated v0.1.9 tag → Actions 门禁/OIDC/npm/provenance → GitHub Release → Registry 回读并上传证据 artifact。用户已授权本次提交与发布；发布完成后在 main 回写证据，不移动公开 tag 或重用 npm 版本。
+
+市场材料待备齐：准确业务简介、两个安装基线和限制、公开仓库/npm/许可证、无客户信息的安装与切换截图、真实安装/卸载证据、权限与额度说明、规范采用记录。投稿/合并/目录生效分别登记；当前不声明已上架。

package/docs/DSH-UX-001-ADOPTION.md

@@ -1,6 +1,16 @@
-# DSH-UX-001 v1.1.2 采纳与验收记录
+# DSH-UX-001 采纳与验收记录
 
-日期：2026-09-07。业务插件：`dsh-pre-duediligence@0.1.7`。规范源：[共享交互规范 v1.1.2](../../../../AI-设计/DSH智能体开发交互规范方案.md)，视觉参考：[企查查蓝交互 Mockup（原文件名 v1.1.0，内容 v1.1.2）](../../../../AI-设计/DSH智能体_企查查蓝_UI_Mockup_v1.1.0.html)。
+## 0.1.9 整改：目标 v1.2.0，全文核验待完成
+
+日期：2026-09-07。根据团队同步邮件 DSH-AGENT-SYNC-001 中的 v1.2.0 摘要实施；邮件所列权威文件在当前机器对应路径不存在，故不声明已完成 v1.2.0 全文采纳。仓库仅记录采用版本、业务差异、例外和证据，不复制权威规范。
+
+本轮变更：可选 Sidebar 及 0.17/0.18 能力适配；会话输入机替代全页面草稿改写；任务快照报告替代 DOM 抓取；独立报告/维度完成状态；Agent-owned 高层工具经 ToolRuntime 调用、用户付费预算确认、主体确认、防绕过与取消；安装矩阵和发布门禁。详细边界、四层验收及发布证据见 [兼容与验收记录](COMPATIBILITY.md)。
+
+未完成：权威 v1.2.0 全文回读；真实 DSH 四插件共装/切换/升级/卸载；企查查 Provider 两基线契约与最小业务验收；市场投稿。本轮自动化通过情况应引用本次执行结果，不复用下面历史 59 项结论。
+
+## 以下为 0.1.8 / v1.1.3 历史记录
+
+日期：2026-09-07。业务插件：`dsh-pre-duediligence@0.1.8`。规范源：[共享交互规范 v1.1.3](../../../../AI-设计/DSH智能体开发交互规范方案.md)，视觉参考：[企查查蓝交互 Mockup（原文件名 v1.1.0，内容 v1.1.3）](../../../../AI-设计/DSH智能体_企查查蓝_UI_Mockup_v1.1.0.html)。
 
 ## 页面与品牌映射
 
@@ -8,7 +18,7 @@
 | --- | --- | --- |
 | 左侧入口 | 菜单名固定为“访前尽调”，使用 Mockup 的线性建筑 SVG；只创建并进入专属 Session | 位于工作区列表前；不调用 `openTab`，初始页右栏关闭；隐藏 Better Sidebar 标签菜单项 |
 | 中央首页 | 标题“访前尽调一页纸智能体”，同排建筑 LOGO，独立说明行 | 只在插件创建的空白 Session 可逆改写；卸载时恢复宿主标题、图标和预览标识 |
-| 原生输入区 | Composer 下方五项快捷菜单；左上角“提示词生成” | 不替换输入框、模型、权限和原生发送按钮 |
+| 原生输入区 | Composer 下方五项数据清洗补全式描边卡片快捷菜单（上图标、下短标签）；左上角“提示词生成” | 不替换输入框、模型、权限和原生发送按钮；窄屏只在菜单内部横向滚动，不撑宽页面 |
 | 提示词向导 | 对象 → 角色场景 → 范围深度 → 确认输出 | Portal 到 body；回填不发送；已有草稿显式选择替换、追加或取消 |
 | 右侧工作台 | 当前任务 / 任务历史；招投标式五步等宽导航（上图标、下短标题、无描述）；由输入框下方快捷按钮打开和恢复 | Better Sidebar 是唯一权威工作台；关闭不取消会话任务；不另设会话头打开入口；窄屏菜单不横向越界 |
 | 下载材料 | 自包含 HTML 一页纸报告 | 只使用已捕获的当前 Session 报告，不跨 Session 合并 |
@@ -39,7 +49,7 @@
 
 ## Token 与组件
 
-浅色品牌 / 动作色为 `#128BED / #0875D1`，深色为 `#55ADFF / #82C3FF`；表头、背景、文字、边框、成功和复核色均按 v1.1.2 候选表实现。小号白字主按钮使用动作色，深色模式动作按钮使用深色文字。所有变量限定在 `.qcc*` 自有节点，不覆盖全局 `:root`。
+浅色品牌 / 动作色为 `#128BED / #0875D1`，深色为 `#55ADFF / #82C3FF`；表头、背景、文字、边框、成功和复核色均按 v1.1.3 候选表实现。小号白字主按钮使用动作色，深色模式动作按钮使用深色文字。所有变量限定在 `.qcc*` 自有节点，不覆盖全局 `:root`。
 
 ## DSH 兼容范围与例外
 
@@ -51,8 +61,8 @@
 ## 自动化证据
 
 - `pnpm run typecheck`：TypeScript 严格模式通过。
-- `pnpm run test`：11 个测试文件、58 项测试通过，覆盖会话归属、LOGO/首页文本、菜单、提示词草稿合并、五步状态、阶段菜单样式与描述移除、完成判定、报告导出、安装与 Skill 契约。
-- `pnpm run test:ui`：真实 React、隔离宿主 DOM 与本机 Headless Chrome 的浅色/深色 × 桌面/移动共 4 组通过；检查菜单位于 Composer 外下方、三处同源 LOGO、五步等宽纵向图标导航、零描述节点、菜单宽度边界、弹窗滚动和边界、Escape/焦点恢复、主题 Token 及页面横向溢出。
+- `pnpm run test`：11 个测试文件、59 项测试通过，覆盖会话归属、LOGO/首页文本、菜单、提示词草稿合并、首页纵向描边卡片、五步状态、阶段菜单样式与描述移除、完成判定、报告导出、安装与 Skill 契约。
+- `pnpm run test:ui`：真实 React、隔离宿主 DOM 与本机 Headless Chrome 的浅色/深色 × 桌面/移动共 4 组通过；检查快捷菜单的五项单行、纵向布局、54px 高度、中性描边、内部横向滚动与视口边界，并覆盖三处同源 LOGO、五步导航、弹窗、焦点、主题 Token 及页面横向溢出。
 - `pnpm run build` 与 `npm pack --dry-run`：发布前执行，结果以发布提交的 CI / Release 记录为准。
 
 视觉回归截图和机器结果生成于 `_scratch/ui-layout/`，该目录不提交仓库，也不进入 npm 包。
@@ -64,6 +74,7 @@
 3. 浅色、深色及 390px 窄屏下，无横向页面溢出；移动输入字号不低于 16px。
 4. 向导正文可滚动、头尾固定；Tab 不越出弹窗，Escape 关闭并恢复焦点。
 5. 输入框已有文字时验证替换、追加、取消三条路径；回填后不自动发送。
-6. 点击输入框下方五项业务按钮后才打开对应工作台视图；关闭不取消任务，再点同组按钮可重新打开。
-7. 右侧五阶段菜单为等宽分栏、上图标下短标题且无第二行描述；选中项有浅蓝底、蓝字和底部蓝线，390px 窄屏不横向越界。
-8. Agent 停止但无完整报告时仍显示“等待确认 / 继续”；完整报告出现后才显示“报告已生成”并允许下载。
+6. 输入框下方五项业务按钮为数据清洗补全式单行描边卡片、上图标下短标签；390px 窄屏仅菜单内部横向滚动，页面不越界。
+7. 点击上述卡片后才打开对应工作台视图；关闭不取消任务，再点同组按钮可重新打开。
+8. 右侧五阶段菜单为等宽分栏、上图标下短标题且无第二行描述；选中项有浅蓝底、蓝字和底部蓝线，390px 窄屏不横向越界。
+9. Agent 停止但无完整报告时仍显示“等待确认 / 继续”；完整报告出现后才显示“报告已生成”并允许下载。

package/install.sh

@@ -3,9 +3,8 @@
 set -euo pipefail
 
 readonly PROFILE_NAME="${DSH_PROFILE:-web}"
-readonly BETTER_SIDEBAR_SPEC="dsh-better-sidebar@0.17.1"
-readonly MCP_CONNECTOR_SPEC="dsh-mcp-connector@0.2.32"
-readonly PREVISIT_SPEC="${DSH_PRE_DUEDILIGENCE_SPEC:-dsh-pre-duediligence@0.1.7}"
+readonly BASELINE="${DSH_PREVISIT_BASELINE:-stable}"
+readonly PREVISIT_SPEC="${DSH_PRE_DUEDILIGENCE_SPEC:-dsh-pre-duediligence@0.1.9}"
 readonly LEGACY_PREVISIT_NAME="qcc-previsit-dsh"
 readonly LEGACY_QCC_OAUTH_NAME="qcc-dsh-mcp-oauth"
 
@@ -18,42 +17,65 @@ fail() {
   exit 1
 }
 
-command -v node >/dev/null 2>&1 || fail "未找到 Node.js，请先安装 Node.js 20 或更高版本。"
+case "$BASELINE" in
+  stable) DSH_VERSION="0.1.1-rc.2"; SIDEBAR_VERSION="0.17.1"; CONNECTOR_VERSION="0.2.32" ;;
+  candidate) DSH_VERSION="0.1.2-rc.1"; SIDEBAR_VERSION="0.18.0"; CONNECTOR_VERSION="0.2.37" ;;
+  *) fail "未知基线 ${BASELINE}，可选 stable 或 candidate（尚待真实宿主验收）。" ;;
+esac
+readonly DSH_VERSION SIDEBAR_VERSION CONNECTOR_VERSION
+command -v node >/dev/null 2>&1 || fail "请安装 Node.js 22.19+（22 LTS）或 24 LTS。"
 command -v pnpm >/dev/null 2>&1 || fail "未找到 pnpm。请先执行 corepack enable，或安装 pnpm。"
 command -v dsh >/dev/null 2>&1 || fail "未找到 dsh。请先安装 DeepSeek Harness。"
 
-readonly NODE_MAJOR="$(node -p "Number(process.versions.node.split('.')[0])")"
-if (( NODE_MAJOR < 20 )); then
-  fail "当前 Node.js 主版本为 ${NODE_MAJOR}，本插件要求 Node.js 20 或更高版本。"
-fi
+node -e 'const [major,minor]=process.versions.node.split(".").map(Number); process.exit((major===22 && minor>=19)||major===24 ? 0 : 1)' || fail "验收基线要求 Node.js 22.19+（22 LTS）或 24 LTS。"
+readonly CURRENT_DSH_VERSION="$(dsh --version)"
+[[ "$CURRENT_DSH_VERSION" == "$DSH_VERSION" ]] || fail "${BASELINE} 基线要求 DSH ${DSH_VERSION}，当前为 ${CURRENT_DSH_VERSION}。请先核对共同版本矩阵。"
 
 info "检测到 Node.js $(node --version)，DSH $(dsh --version)，目标 profile：${PROFILE_NAME}。"
 
-readonly INSTALLED_PLUGINS="$(dsh plugin --profile "${PROFILE_NAME}" list --depth 0 2>/dev/null || true)"
-if [[ "${INSTALLED_PLUGINS}" == *"${LEGACY_PREVISIT_NAME}@"* ]]; then
+INSTALLED_PLUGINS="$(dsh plugin --profile "$PROFILE_NAME" list --depth 0 --json)" || fail "无法读取插件清单；未执行安装。"
+readonly INSTALLED_PLUGINS
+node -e 'const d=JSON.parse(process.argv[1]); if(!Array.isArray(d)||d.length!==1||!d[0]||typeof d[0]!=="object") process.exit(1); const deps=d[0].dependencies??{}; if(typeof deps!=="object"||Array.isArray(deps)||Object.values(deps).some(p=>!p||typeof p.version!=="string")) process.exit(1)' "$INSTALLED_PLUGINS" || fail "无法识别插件清单；未执行安装。"
+installed_version() {
+  node -e 'const d=JSON.parse(process.argv[1])[0]; const p=d.dependencies?.[process.argv[2]]; if(p && typeof p.version!=="string") process.exit(1); process.stdout.write(p?.version??"")' "$INSTALLED_PLUGINS" "$1"
+}
+readonly LEGACY_PREVISIT="$(installed_version "$LEGACY_PREVISIT_NAME")"
+readonly LEGACY_OAUTH="$(installed_version "$LEGACY_QCC_OAUTH_NAME")"
+readonly CURRENT_SIDEBAR="$(installed_version dsh-better-sidebar)"
+readonly CURRENT_CONNECTOR="$(installed_version dsh-mcp-connector)"
+if [[ -n "$LEGACY_PREVISIT" ]]; then
   fail "检测到旧包 ${LEGACY_PREVISIT_NAME}。为避免重复注册智能体，请先执行：dsh plugin --profile ${PROFILE_NAME} remove ${LEGACY_PREVISIT_NAME}"
 fi
-if [[ "${INSTALLED_PLUGINS}" == *"${LEGACY_QCC_OAUTH_NAME}@"* ]]; then
+if [[ -n "$LEGACY_OAUTH" ]]; then
   readonly LEGACY_QCC_OAUTH_PRESENT=true
 else
   readonly LEGACY_QCC_OAUTH_PRESENT=false
 fi
 
-info "1/3 安装 Better Sidebar（工作台容器）"
-dsh plugin --profile "${PROFILE_NAME}" add "${BETTER_SIDEBAR_SPEC}" --allow-build=node-pty
+[[ -z "$CURRENT_SIDEBAR" || "$CURRENT_SIDEBAR" == "$SIDEBAR_VERSION" ]] || fail "现有 Sidebar ${CURRENT_SIDEBAR} 与 ${BASELINE} 基线 ${SIDEBAR_VERSION} 不同；未修改 Profile，请先明确升级/回滚方案。"
+[[ -z "$CURRENT_CONNECTOR" || "$CURRENT_CONNECTOR" == "$CONNECTOR_VERSION" ]] || fail "现有 Connector ${CURRENT_CONNECTOR} 与 ${BASELINE} 基线 ${CONNECTOR_VERSION} 不同；未修改 Profile，请先明确升级/回滚方案。"
+info "安装前请停止目标 Profile 的 DSH Web。"
+[[ "$BASELINE" != candidate ]] || info "候选矩阵仅供隔离联调，尚不代表四插件组合已通过验收。"
+if [[ -z "$CURRENT_SIDEBAR" ]]; then
+  info "1/3 安装 Better Sidebar（工作台容器）"
+  dsh plugin --profile "$PROFILE_NAME" add "dsh-better-sidebar@${SIDEBAR_VERSION}" --allow-build=node-pty
+fi
 
-info "2/3 安装 MCP 连接器（通过市场连接企查查等 MCP）"
-dsh plugin --profile "${PROFILE_NAME}" add "${MCP_CONNECTOR_SPEC}"
+if [[ -z "$CURRENT_CONNECTOR" ]]; then
+  info "2/3 安装 MCP 连接器（通过市场连接企查查等 MCP）"
+  dsh plugin --profile "$PROFILE_NAME" add "dsh-mcp-connector@${CONNECTOR_VERSION}"
+fi
 
 info "3/3 安装访前尽调工作台"
 dsh plugin --profile "${PROFILE_NAME}" add "${PREVISIT_SPEC}" --allow-build=dsh-pre-duediligence
 
-info "安装完成。请停止正在运行的 DSH Web，然后重新执行：dsh web"
+dsh plugin --profile "$PROFILE_NAME" list --depth 0
+info "安装完成。请完整重启：dsh --profile ${PROFILE_NAME} --no-open"
 if [[ "${LEGACY_QCC_OAUTH_PRESENT}" == true ]]; then
   printf '%s\n' \
     "检测到旧插件 ${LEGACY_QCC_OAUTH_NAME}。重启后先在“🧩 MCP连接器”中迁移旧企查查授权。" \
-    "迁移完成后停止 DSH，执行：dsh plugin --profile ${PROFILE_NAME} remove ${LEGACY_QCC_OAUTH_NAME}" \
-    "再次启动 DSH，并在“企查查·企业工商”中确认连接健康；不要让两个插件同时管理同名 MCP Server。"
+    "先确认新连接健康并完成一次真实企业查询，成功后再停止 DSH。" \
+    "查询成功后才能执行：dsh plugin --profile ${PROFILE_NAME} remove ${LEGACY_QCC_OAUTH_NAME}，然后完整重启。"
 else
   printf '%s\n' \
     "重启后打开左侧“🧩 MCP连接器”，选择“企查查·企业工商”并完成 OAuth 授权。" \