dsh-rule-engine 0.4.0 → 0.4.2

package/README.md

@@ -1,105 +1,107 @@
-# dsh-rule-engine
-
-DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯一真相源，自动解析规则四要素与执行等级，再通过「工具守卫 + 文本检测 + 时序检查 + 审计台账」执行用户规则，而不是内置一套与用户无关的安全清单。
-
-## 项目背景
-
-这个项目来自一个非常具体的个人需求：
-
-- 作者是**零编程基础**用户，但极其重视规则的制定、执行、遵守与复盘。
-- 作者发现：规则如果只写在文本里、靠模型“自觉”执行，会反复失效（例如时间词写错、内联命令违规、交付前漏验证等）。
-- 因此核心思路是：**规则的执行不能只靠自觉，要尽量靠插件在机制层强制**。
-- 本插件所有规则均从 `AGENTS.md` 动态解析，规则增删改后无需重写插件。
-
-当前实现基于已有的 `AGENTS.md` 规则体系拓展，社区暂无类似插件供参考（大概率为该等约束可能限制开发自由性，不适用于专业编程人员），**可能存在大量不完备、误判或边界问题**。欢迎任何使用者提出调整建议、提交 issue 或 PR。项目仍处于“可运行但需要持续打磨”的阶段。
-
-## 功能分层
-
-- 阶段 1 容器：解析 AGENTS.md 全部规则 → 理解产物（`rule-understanding.json` 可生成）
-- 阶段 2 匹配机 + 工具守卫 + 文本检测
-- 阶段 3 时序检查 + 授权询问集成
-- 阶段 4 D 级自证调度 + `/guard` 命令完善
-
-当前实现以「模式库兜底」为主，LLM 理解器预留扩展点；所有规则均从 AGENTS.md 实时解析。
-
-## 命令
-
-| 命令 | 作用 |
-|---|---|
-| `/guard status` | 引擎状态（规则数/置信度/放行/解锁） |
-| `/guard rules` | 规则清单 + 理解产物 |
-| `/guard active` | 最近激活了哪些规则、为什么 |
-| `/guard log [N]` | 最近 N 条审计 |
-| `/guard unlock [N]` | 解锁配置写保护 N 分钟（仅用户） |
-| `/guard bypass [N]` | 临时整体放行 N 分钟（仅用户） |
-| `/guard lock` | 立即恢复全部守卫（取消解锁/放行） |
-| `/guard revoke` | 撤销全部授权记录 |
-| `/guard reload` | 强制重解析 AGENTS.md |
-
-## 装配方式
-
-本插件已按官方 **bundle** 规范打包，包内自带 `cordis.patch.yml`。
-
-推荐安装方式：
-
-```bash
-dsh plugin --profile web add dsh-rule-engine
-```
-
-或手动将 `dsh-rule-engine` 加入 profile 的 `dsh.profile.bundles` 数组。包内的 `cordis.patch.yml` 会自动挂载插件行：
-
-```yaml
-- insert:
-    - id: dsh-rule-engine
-      name: 'dsh-rule-engine'
-```
-
-如果你是从源码手动调试，也可以沿用 insert 方式挂载，但正式安装建议走 bundle。
-
-## 安全设计
-
-- 只读操作（read/grep/glob/read_image/str_replace_editor view）无条件放行，拦截只针对变更类操作
-- 插件自身配置/理解产物对模型只读：直接 `edit/write` 会被守卫拒绝，需 `/guard unlock`
-- AGENTS.md mtime 变化后自动重解析（`fs.watch` + stat 兜底），规则增删改无需重启
-- 低置信规则不参与硬拦，避免误伤；在 `/guard rules` 中标记人工复核
-- 授权证据按“操作类型 + 目标路径前缀”结构化匹配，区分“询问”与“授权”
-- 备份证据按“目标路径 → 备份路径”记录，删除/覆盖前必须存在对应路径且备份文件真实存在
-- 版本/手册类文件写后自检：版本号连续、append 不覆盖上一行，失败自动回滚并审计
-- 跨工具一致性：同一敏感操作经 `edit` / `write` / `str_replace_editor` / `pwsh` 必须得到相同拦截/放行结论
-- 命令输出静默错误检测：全 false/0/null 或与上一条完全一致时审计 + 注入提醒，不阻断
-- 技能目录实时联动：`ctx.skills` 目录变化后自动刷新，已禁用/不存在的技能不触发 12B
-- LLM 增量理解：对非 high 置信规则调用 `ctx.llm` 补全结构化理解，失败自动回退模式库
-- D 级自证泛化：按规则特征触发自证提示，每规则每会话限 3 次
-- 授权记录默认 10 分钟 TTL，无路径的全局授权 TTL 缩短为 2 分钟；可用 `/guard revoke` 撤销
-- 用户直接命令式指令（如“删除这个文件”）也视为授权
-- 规则 1 支持“用户明确要求重试”豁免
-- 会话状态有容量上限并自动清理，防止长跑内存膨胀
-- LLM 理解按“规则 + AGENTS.md mtime”去重，避免重复烧 token
-- 审计日志：`~/.dsh/rule-engine.log.jsonl`
-- 守卫使用 `ctx.tools.guard()` 单调拒绝，模型无法自行绕过
-
-## 当前局限与后续优化路线
-
-当前版本已经具备完整四层骨架，但距离“成熟”仍有距离。以下是一些**难度较高、尚未完全实现**的优化方向，欢迎社区共同推进：
-
-1. **LLM 理解器深化**
-   当前只对非 high 置信规则做一次 LLM 增量理解；未来应支持“规则变更窗口期”、增量重理解、低置信人工复核队列。
-
-2. **授权语义精确化**
-   当前 ask 授权记录为宽泛 `any` + 路径前缀；未来可要求 ask 面板显式声明操作类型，或支持“一次授权仅针对单个 callId”。
-
-3. **备份证据完整化**
-   当前校验备份文件存在；未来可增加哈希/大小一致性校验、备份链管理与自动清理。
-
-4. **规则 12C / 13B / 10 / 15 / 19 等流程类规则深度执行**
-   这些规则需要更多业务语义（下载校验、会话三层验证、版本判断、知识沉淀），目前偏“自证提示”，尚未做到机器可判定。
-
-5. **跨会话持久化**
-   授权/备份目前为内存态，重启失效。持久化涉及写入保护、并发与恢复，风险较高，暂未实现。
-
-6. **输出文本实时拦截**
-   受 DSH 官方架构限制，`assistant/message` 无法“拦下不发”，只能事后审计 + 纠正注入；这是平台边界，不是插件能单独突破的。
-
+# dsh-rule-engine
+
+DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯一真相源，自动解析规则四要素与执行等级，再通过「工具守卫 + 文本检测 + 时序检查 + 审计台账」执行用户规则，而不是内置一套与用户无关的安全清单。
+
+## 项目背景
+
+这个项目来自一个非常具体的个人需求：
+
+- 作者是**零编程基础**用户，但极其重视规则的制定、执行、遵守与复盘。
+- 作者发现：规则如果只写在文本里、靠模型“自觉”执行，会反复失效（例如时间词写错、内联命令违规、交付前漏验证等）。
+- 因此核心思路是：**规则的执行不能只靠自觉，要尽量靠插件在机制层强制**。
+- 本插件所有规则均从 `AGENTS.md` 动态解析，规则增删改后无需重写插件。
+
+当前实现基于已有的 `AGENTS.md` 规则体系拓展，社区暂无类似插件供参考（大概率为该等约束可能限制开发自由性，不适用于专业编程人员），**可能存在大量不完备、误判或边界问题**。欢迎任何使用者提出调整建议、提交 issue 或 PR。项目仍处于“可运行但需要持续打磨”的阶段。
+
+## 功能分层
+
+- 阶段 1 容器：解析 AGENTS.md 全部规则 → 理解产物（`rule-understanding.json` 可生成）
+- 阶段 2 匹配机 + 工具守卫 + 文本检测
+- 阶段 3 时序检查 + 授权询问集成
+- 阶段 4 D 级自证调度 + `/guard` 命令完善
+
+当前实现以「模式库兜底」为主，LLM 理解器预留扩展点；所有规则均从 AGENTS.md 实时解析。
+
+## 命令
+
+| 命令 | 作用 |
+|---|---|
+| `/guard status` | 引擎状态（规则数/置信度/放行/解锁） |
+| `/guard rules` | 规则清单 + 理解产物 |
+| `/guard active` | 最近激活了哪些规则、为什么 |
+| `/guard log [N]` | 最近 N 条审计 |
+| `/guard unlock [N]` | 解锁配置写保护 N 分钟（仅用户） |
+| `/guard bypass [N]` | 临时整体放行 N 分钟（仅用户） |
+| `/guard lock` | 立即恢复全部守卫（取消解锁/放行） |
+| `/guard revoke` | 撤销全部授权记录 |
+| `/guard reload` | 强制重解析 AGENTS.md |
+
+## 装配方式
+
+本插件已按官方 **bundle** 规范打包，包内自带 `cordis.patch.yml`。
+
+推荐安装方式：
+
+```bash
+dsh plugin --profile web add dsh-rule-engine
+```
+
+或手动将 `dsh-rule-engine` 加入 profile 的 `dsh.profile.bundles` 数组。包内的 `cordis.patch.yml` 会自动挂载插件行：
+
+```yaml
+- insert:
+    - id: dsh-rule-engine
+      name: 'dsh-rule-engine'
+```
+
+如果你是从源码手动调试，也可以沿用 insert 方式挂载，但正式安装建议走 bundle。
+
+## 安全设计
+
+- 只读操作（read/grep/glob/read_image/str_replace_editor view）无条件放行，拦截只针对变更类操作
+- 插件自身配置/理解产物对模型只读：直接 `edit/write` 会被守卫拒绝，需 `/guard unlock`
+- AGENTS.md mtime 变化后自动重解析（`fs.watch` + stat 兜底），规则增删改无需重启
+- 低置信规则不参与硬拦，避免误伤；在 `/guard rules` 中标记人工复核
+- 授权证据按“操作类型 + 目标路径前缀”结构化匹配，区分“询问”与“授权”
+- 备份证据按“目标路径 → 备份路径”记录，删除/覆盖前必须存在对应路径且备份文件真实存在
+- 版本/手册类文件写后自检：版本号连续、append 不覆盖上一行，失败自动回滚并审计
+- 跨工具一致性：同一敏感操作经 `edit` / `write` / `str_replace_editor` / `pwsh` 必须得到相同拦截/放行结论
+- 命令输出静默错误检测：全 false/0/null 或与上一条完全一致时审计 + 注入提醒，不阻断
+- 技能目录实时联动：`ctx.skills` 目录变化后自动刷新，已禁用/不存在的技能不触发 12B
+- LLM 增量理解：对非 high 置信规则调用 `ctx.llm` 补全结构化理解，失败自动回退模式库；AGENTS.md 变化触发重载后会自动补一次增量理解（按规则+版本去重，不重复烧 token）
+- D 级自证泛化：按规则特征触发自证提示，每规则每会话限 3 次
+- 授权记录默认 10 分钟 TTL，无路径的全局授权 TTL 缩短为 2 分钟；可用 `/guard revoke` 撤销
+- 用户直接命令式指令（如“删除这个文件”）也视为授权
+- 规则 1 支持“用户明确要求重试”豁免
+- 会话状态有容量上限并自动清理，防止长跑内存膨胀
+- LLM 理解按“规则 + AGENTS.md mtime”去重，避免重复烧 token
+- 审计日志：`~/.dsh/rule-engine.log.jsonl`
+- 守卫使用 `ctx.tools.guard()` 单调拒绝，模型无法自行绕过
+- **自由区域（Free Zone）**：AGENTS.md 中 `<!-- free-zone:start -->` / `<!-- free-zone:end -->` 标记框住的区段**整区跳过**（不解析、不产生规则、不硬拦、不审计）——适合放“想生效但不想被机器强制”的软约束（如法律守则）。区内的 `### [规则 F<n>]` 条目由配套插件 dsh-rules-manager 在设置页/`/rules` 中可见可管理。新增自由规则请手动在标记内编写（`/rules add` 只会插入到 free-zone 之前），详见 dsh-rules-manager 的 README「📝 新增一条自由规则（零基础三步）」
+- **禁用规则联动**：dsh-rules-manager 的「禁用规则」存储（`~/.dsh/disabled-rules.json`）会被引擎读取，被禁用的规则标记为 disabled，不参与硬拦/纠察；恢复启用后自动重新生效
+
+## 当前局限与后续优化路线
+
+当前版本已经具备完整四层骨架，但距离“成熟”仍有距离。以下是一些**难度较高、尚未完全实现**的优化方向，欢迎社区共同推进：
+
+1. **LLM 理解器深化**
+   当前只对非 high 置信规则做一次 LLM 增量理解；未来应支持“规则变更窗口期”、增量重理解、低置信人工复核队列。
+
+2. **授权语义精确化**
+   当前 ask 授权记录为宽泛 `any` + 路径前缀；未来可要求 ask 面板显式声明操作类型，或支持“一次授权仅针对单个 callId”。
+
+3. **备份证据完整化**
+   当前校验备份文件存在；未来可增加哈希/大小一致性校验、备份链管理与自动清理。
+
+4. **规则 12C / 13B / 10 / 15 / 19 等流程类规则深度执行**
+   这些规则需要更多业务语义（下载校验、会话三层验证、版本判断、知识沉淀），目前偏“自证提示”，尚未做到机器可判定。
+
+5. **跨会话持久化**
+   授权/备份目前为内存态，重启失效。持久化涉及写入保护、并发与恢复，风险较高，暂未实现。
+
+6. **输出文本实时拦截**
+   受 DSH 官方架构限制，`assistant/message` 无法“拦下不发”，只能事后审计 + 纠正注入；这是平台边界，不是插件能单独突破的。
+
 ## 致谢
 
 感谢以下项目与作者的无私开源付出，本项目在开发过程中直接受益：
@@ -116,17 +118,17 @@ dsh plugin --profile web add dsh-rule-engine
   - SandBase deepseek-harness-handbook（sandbaseai）
   - 以及 DSH 官方文档镜像与源码维护者
 
-## 免责声明
-
-本项目是**个人/社区项目**，**不属于 DeepSeek Harness 官方项目**，与官方无隶属关系。使用风险自负，请在生产环境前充分测试。
-
-## 开发与测试
-
-```bash
-npm test
-bash scripts/build.sh
-```
-
-## License
-
-MIT
+## 免责声明
+
+本项目是**个人/社区项目**，**不属于 DeepSeek Harness 官方项目**，与官方无隶属关系。使用风险自负，请在生产环境前充分测试。
+
+## 开发与测试
+
+```bash
+npm test
+bash scripts/build.sh
+```
+
+## License
+
+MIT

package/lib/core/audit.js

@@ -1,16 +1,25 @@
 // audit.js - 审计台账（JSONL）。
 // 每次拦截/纠察/自证都追加一行；超限自动裁剪保留尾部。
+// P2-9：裁剪改为惰性——每 APPEND_TRIM_INTERVAL 次追加才做一次大小检查，
+// 避免每次写入都 statSync（高频 deny/纠察时降低 IO）。
 import { appendFileSync, readFileSync, statSync, writeFileSync } from "node:fs";
 import { auditFilePath } from "./paths.js";
 
 const LOG_MAX_BYTES = 512 * 1024;
 const LOG_KEEP_LINES = 400;
+const APPEND_TRIM_INTERVAL = 32;
+
+let appendCount = 0;
 
 export function audit(entry) {
   try {
     const line = JSON.stringify({ ts: new Date().toISOString(), ...entry }) + "\n";
     appendFileSync(auditFilePath(), line, "utf8");
-    trimLog();
+    appendCount++;
+    if (appendCount >= APPEND_TRIM_INTERVAL) {
+      appendCount = 0;
+      trimLog();
+    }
   } catch {
     // 审计失败不阻断主流程
   }

package/lib/core/guard-core.js

@@ -13,7 +13,6 @@ import {
   commandText,
   isAssemblyMutationTool,
   isBackupTool,
-  isChinesePs1Violation,
   isHighRiskEntryFile,
   isManualReadTool,
   isProtectedConfigPath,
@@ -255,19 +254,16 @@ function matchRule(cfg, ctx) {
     return null;
   }
 
-  // 规则 9：内联命令 / BOM 写配置
+  // 规则 9：内联命令 / BOM 写配置（PS7 语义：仅拦显式 utf8BOM）
   if (cfg.handler === "rule9-inline-bom") {
     if ((name === "pwsh" || name === "bash") && cmd) {
       if (INLINE_CMD.test(cmd)) {
         return makeHit(cfg, "【硬拦截】禁止内联命令（node -e / pwsh -c / node -p 等），请先写脚本文件再执行");
       }
       if (BOM_WRITE.test(cmd)) {
-        return makeHit(cfg, "【硬拦截】禁止用 Set-Content/Out-File -Encoding UTF8 写 .json/.yaml（会带 BOM）");
+        return makeHit(cfg, "【硬拦截】禁止用 Set-Content/Out-File -Encoding utf8BOM 写 .json/.yaml（PS7 显式带 BOM）");
       }
     }
-    if (isChinesePs1Violation(name, args)) {
-      return makeHit(cfg, "【硬拦截】含中文的 .ps1 必须 UTF-8 带 BOM；当前写入方式可能无 BOM，请改用纯 ASCII 或显式 BOM 流程");
-    }
     return null;
   }
 

package/lib/core/parser.js

@@ -3,7 +3,8 @@
 import { readFileSync, statSync } from "node:fs";
 import { agentsFilePath } from "./paths.js";
 
-const RULE_HEADER_RE = /^###\s*\[规则\s*([0-9A-Za-z]+)\]\s*(.+?)\s*$/;
+// 与 rules-manager 解析口径一致：标题剥离「（来源：…）」后缀（P1-4），避免 /guard rules 显示带尾巴
+const RULE_HEADER_RE = /^###\s*\[规则\s*([0-9A-Za-z]+)\]\s*(.+?)\s*(?:（来源[^）]*）)?\s*$/;
 const SECTION_RE = /^##\s+(.+?)\s*$/;
 const FREE_ZONE_START_RE = /^\s*<!--\s*free-zone:start\s*-->\s*$/;
 const FREE_ZONE_END_RE = /^\s*<!--\s*free-zone:end\s*-->\s*$/;

package/lib/core/paths.js

@@ -1,10 +1,11 @@
 // paths.js - 解析 DSH 用户目录。
-// 不依赖 @deepseek-ai/dsh-home-paths，优先使用 DSH_HOME 环境变量，回退到 ~/.dsh。
-import { homedir } from "node:os";
+// 统一使用官方 @deepseek-ai/dsh-home-paths 的 resolveDshHome()（P1-7）：
+// 优先级 = 显式配置 > $DSH_HOME > ~/.dsh，与 dsh-rules-manager 口径一致。
 import { join } from "node:path";
+import { resolveDshHome } from "@deepseek-ai/dsh-home-paths";
 
 export function dshHome() {
-  return process.env.DSH_HOME || join(homedir(), ".dsh");
+  return resolveDshHome();
 }
 
 export function agentsFilePath() {
@@ -22,3 +23,8 @@ export function configFilePath() {
 export function understandingFilePath() {
   return join(dshHome(), "rule-understanding.json");
 }
+
+/** dsh-rules-manager 的已禁用规则存储（引擎据此把规则标记 disabled，P0-2） */
+export function disabledRulesFilePath() {
+  return join(dshHome(), "disabled-rules.json");
+}

package/lib/core/patterns.js

@@ -4,8 +4,10 @@
 export const INLINE_CMD =
   /\b(?:node|pwsh|powershell)\s+(?:-[ep]|--eval|--print|-Command|-c)\b/i;
 
+// PS7 语义（2026-08-19 同步）：utf8 = 无 BOM、utf8BOM = 带 BOM、utf8NoBOM = 无 BOM。
+// 只拦显式 -Encoding utf8BOM 写 .json/.yaml；PS7 下 -Encoding utf8 无 BOM 合规放行。
 export const BOM_WRITE =
-  /(?:set-content|add-content|out-file|writealltext)[\s\S]{0,300}?(?:-Encoding\s+UTF8|utf8)[\s\S]{0,300}?\.(?:json|ya?ml)\b|(?:set-content|add-content|out-file|writealltext)[\s\S]{0,300}?\.(?:json|ya?ml)\b[\s\S]{0,300}?(?:-Encoding\s+UTF8|utf8)/i;
+  /(?:set-content|add-content|out-file|writealltext)[\s\S]{0,300}?(?:-Encoding\s+utf8bom|utf8bom)[\s\S]{0,300}?\.(?:json|ya?ml)\b|(?:set-content|add-content|out-file|writealltext)[\s\S]{0,300}?\.(?:json|ya?ml)\b[\s\S]{0,300}?(?:-Encoding\s+utf8bom|utf8bom)/i;
 
 export const DESTRUCTIVE_CMD =
   /(?:remove-item|rm\s+-r|rmdir\s+\/s|rd\s+\/s|del\s+(?:\/[a-z]+\s+)*\/[a-z]*s[a-z]*|move-item|rename-item|copy-item\s+[^\n]*?(?:-\s*force|overwrite))/i;
@@ -16,6 +18,10 @@ export const SENSITIVE_CMD =
 export const CONFIG_FILE_RE =
   /(?:^|[\\/])(?:AGENTS\.md|settings\.yaml|\.credentials\.yaml|workspace\.json|cordis\.patch\.yml|rule-understanding\.json|rule-guard\.json|rule-engine\.json)$/i;
 
+/** 受保护文件名（命令文本中出现即需警惕；P0-1c 起仅在写类命令中生效） */
+export const PROTECTED_FILENAME_RE =
+  /(?:AGENTS\.md|settings\.yaml|\.credentials\.yaml|workspace\.json|cordis\.patch\.yml|rule-understanding\.json|rule-engine\.json)/i;
+
 export const DATA_DIR_RE =
   /(?:^|[\\/])\.dsh[\\/](?:sessions|storages|\.backups)[\\/]/i;
 
@@ -145,14 +151,28 @@ function extractCommandWriteTargets(command) {
   let m;
   while ((m = flagRe.exec(command))) {
     const rest = command.slice(m.index + m[0].length);
-    const toks = absolutePathTokens(rest);
-    if (toks.length > 0) targets.push(toks[0]);
+    // 只取 flag 的“紧邻参数值”（引号包裹或单个 token），不再扫描剩余整条命令——
+    // 否则 `-Path $var` 后跟的无关只读路径会被误判为写目标（P0-1 误拦）
+    const quoted = rest.match(/^\s*["']([^"']+)["']/);
+    let token = null;
+    if (quoted) {
+      token = quoted[1].trim();
+    } else {
+      const plain = rest.match(/^\s*([^\s"'`，。；：！？（）【】《》、;|&]+)/);
+      if (plain) token = plain[1].trim();
+    }
+    // 只接受绝对路径字面量：变量（$x / %x%）、相对路径无法可靠解析 → 跳过（不误判）
+    if (token && /^[a-z]:[\\/]/i.test(token)) {
+      if (!isExecutableToken(token)) targets.push(token);
+    }
   }
   const redirRe = /(?:^|[\s>])(?:>>|>)\s*["']?([A-Za-z]:[\\/][^"';\s]+)/g;
   while ((m = redirRe.exec(command))) {
     targets.push(m[1].trim());
   }
   if (targets.length > 0) return [...new Set(targets)];
+  // flag 未解析出目标时：命令含变量则无法可靠推断 → 返回空（宁可不拦，不误拦）
+  if (/\$[A-Za-z_][A-Za-z0-9_]*|%\w+%|\$\([^)]*\)/.test(command)) return [];
   const fallback = absolutePathTokens(command);
   return fallback.length > 0 ? [fallback[0]] : [];
 }
@@ -208,30 +228,14 @@ export function isGetDateCommand(command) {
   return typeof command === "string" && /\bget-date\b/i.test(command);
 }
 
-const PS1_FILE_RE = /\.(?:ps1|psm1|psd1)(?=[\s'"`]|$)/i;
-
-/** 判断是否命中规则 9 的「含中文 .ps1 未按 UTF-8 带 BOM」硬拦项 */
-export function isChinesePs1Violation(toolName, args) {
-  const name = String(toolName || "");
-  const p = pathTarget(args);
-  const cmd = commandText(args);
-  const hasCJK = (s) => typeof s === "string" && CJK_RE.test(s);
-  if ((name === "write" || name === "edit") && p && PS1_FILE_RE.test(p)) {
-    const content = args?.content ?? args?.new_string ?? "";
-    if (hasCJK(content)) return true;
-  }
-  if ((name === "pwsh" || name === "bash") && cmd && PS1_FILE_RE.test(cmd) && hasCJK(cmd)) {
-    if (/(?:-Encoding\s+UTF8|utf8)/i.test(cmd)) return false;
-    return true;
-  }
-  return false;
-}
+// 注：PS5.1 时代的「含中文 .ps1 必须 UTF-8 带 BOM」硬拦已移除（2026-08-19）——
+// PS7 默认且正确读取 UTF-8 无 BOM 脚本，无需 BOM；规则 9 已同步 PS7 语义。
 
 const READ_ONLY_TOOLS = new Set(["read", "grep", "glob", "read_image"]);
 const READONLY_CMD_RE =
   /\b(?:Get-Content|Get-ChildItem|Get-Item|Get-Command|Get-Date|Select-String|Find-String|Test-Path|Get-Process|Get-Service|cat|type|dir|ls|grep|findstr|more|netstat|where)\b/i;
 const MUTATING_CMD_RE =
-  /(?:Set-Content|Add-Content|Out-File|Remove-Item|Move-Item|Copy-Item|Rename-Item|New-Item|Clear-Content|git\s+(?:push|commit)|rm\s+-r|rmdir\s+\/s|del\s+\/s|>|>>)/i;
+  /(?:Set-Content|Add-Content|Out-File|Remove-Item|Move-Item|Copy-Item|Rename-Item|New-Item|Clear-Content|git\s+(?:push|commit)|rm\s+-r|rmdir\s+\/s|del\s+\/s|(?:^|[^0-9])>>|(?:^|[^0-9])>)/i;
 
 /** 判断命令文本是否只读（读文件/查询类，无写入/删除/提交副作用） */
 export function isReadOnlyCommand(command) {
@@ -373,7 +377,10 @@ export function isSensitiveToolCall(toolName, args) {
     if (name === "edit" || name === "write" || name === "pwsh" || name === "bash") return true;
   }
   if (name === "pwsh" || name === "bash") {
-    if (cmd && (SENSITIVE_CMD.test(cmd) || /(?:AGENTS\.md|settings\.yaml|\.credentials\.yaml|workspace\.json|cordis\.patch\.yml|rule-understanding\.json|rule-engine\.json)/i.test(cmd) || commandHasOutsideWrite(cmd))) return true;
+    // P0-1c：受保护文件名检查必须配合「写类命令」——纯描述性文本（如 gh release --notes 里的
+    // "AGENTS.md" 字样、echo 输出内容）不再触发敏感判定；真写类命令（Set-Content/Remove-Item 等
+    // 命中 MUTATING_CMD_RE）提到受保护文件仍判敏感。
+    if (cmd && (SENSITIVE_CMD.test(cmd) || (MUTATING_CMD_RE.test(cmd) && PROTECTED_FILENAME_RE.test(cmd)) || commandHasOutsideWrite(cmd))) return true;
   }
   if (name === "edit" || name === "write") {
     if (p && (isProtectedConfigPath(p) || isOutsideWorkspace(p))) return true;

package/lib/core/state.js

@@ -1,9 +1,10 @@
 // state.js - 插件运行时状态（内存态）。
 // 所有会话级状态以 sessionId 为 key；turn 级状态在 turn/start 重置。
-import { statSync } from "node:fs";
+import { readFileSync, statSync } from "node:fs";
 import { loadRules } from "./parser.js";
-import { agentsFilePath } from "./paths.js";
+import { agentsFilePath, disabledRulesFilePath } from "./paths.js";
 import { understandAll } from "./understander.js";
+import { writeUnderstanding } from "./understanding-store.js";
 import { AUTH_TTL_MS } from "./authorization.js";
 
 const MAX_SESSIONS = 200;
@@ -165,17 +166,35 @@ export function resetTurn(state, sessionId, turnNumber) {
   return s.turn;
 }
 
-/** 重新加载并理解 AGENTS.md */
+/** 读取 dsh-rules-manager 的 disabled-rules.json，返回已禁用规则 id 集合（P0-2） */
+export function loadDisabledRuleIds() {
+  try {
+    const raw = readFileSync(disabledRulesFilePath(), "utf8");
+    const list = JSON.parse(raw);
+    if (!Array.isArray(list)) return new Set();
+    return new Set(list.map((d) => String(d?.index)).filter(Boolean));
+  } catch {
+    return new Set();
+  }
+}
+
+/** 重新加载并理解 AGENTS.md；统一在 reload 后刷新理解产物（P0-3） */
 export function reloadRules(state) {
   const parsed = loadRules();
   state.rules = parsed.ok ? parsed.rules : [];
   state.configs = understandAll(state.rules);
+  // 对接 disabled-rules.json：被禁用规则在引擎侧同样标记 disabled（不参与硬拦/纠察）
+  const disabledIds = loadDisabledRuleIds();
+  for (const cfg of state.configs) {
+    if (disabledIds.has(String(cfg.ruleId))) cfg.disabled = true;
+  }
   state.configOk = parsed.ok;
   state.configError = parsed.error || null;
   state.mtimeMs = parsed.mtimeMs || 0;
   state.loadedAt = Date.now();
   state.lastMtimeCheck = Date.now();
   state.reloadCount++;
+  if (parsed.ok) writeUnderstanding(state.configs);
   return state;
 }
 

package/lib/core/understander.js

@@ -65,7 +65,7 @@ function splitKeywords(text) {
 function hintPatterns(checkText) {
   const hints = [];
   if (/node\s+-e|node\s+-p|pwsh\s+-c|--eval|--print|-Command\b/i.test(checkText)) hints.push("inline-command");
-  if (/set-content|out-file|add-content|writealltext|utf8/i.test(checkText)) hints.push("bom-write");
+  if (/set-content|out-file|add-content|writealltext|utf8bom/i.test(checkText)) hints.push("bom-write");
   if (/ask_user_question|授权|弹框/i.test(checkText)) hints.push("ask");
   if (/get-date|时间词|昨天|今天/i.test(checkText)) hints.push("time");
   if (/skill|技能/i.test(checkText)) hints.push("skill");

package/lib/core/version-guard.js

@@ -60,6 +60,19 @@ function isVersionRenumber(oldString, newString) {
   return m1[1] === m2[1] && m1[2] === m2[2];
 }
 
+/** 判断是否为“同一行内仅版本号数字变更”（如徽章 version-1.4.3 → version-1.4.7）——
+ *  前后缀完全一致、仅中间版本号不同 → 合法更新，不是覆盖上一行（文档审计发现：徽章行更新被误拦） */
+function isInlineVersionChange(oldString, newString) {
+  if (typeof oldString !== "string" || typeof newString !== "string") return false;
+  if (!isSingleLine(oldString) || !isSingleLine(newString)) return false;
+  if (isTableRow(oldString) || isTableRow(newString)) return false;
+  const re = /^([\s\S]*?)(\d+\.\d+(?:\.\d+)?)([\s\S]*)$/;
+  const m1 = oldString.match(re);
+  const m2 = newString.match(re);
+  if (!m1 || !m2) return false;
+  return m1[1] === m2[1] && m1[3] === m2[3] && m1[2] !== m2[2];
+}
+
 /** 判断是否单行文本（不含换行） */
 function isSingleLine(s) {
   return !s.includes("\n") && !s.includes("\r");
@@ -120,6 +133,7 @@ export function validateEditAppend(oldString, newString) {
   if (typeof oldString !== "string" || typeof newString !== "string") return { ok: true, errors: [] };
   if (oldString.length === 0) return { ok: true, errors: [] };
   if (isVersionRenumber(oldString, newString)) return { ok: true, errors: [] };
+  if (isInlineVersionChange(oldString, newString)) return { ok: true, errors: [] };
   if (newString.includes(oldString)) return { ok: true, errors: [] };
   if (oldString.includes(newString)) return { ok: true, errors: [] };
   if (isSameLineReplacement(oldString, newString)) return { ok: true, errors: [] };

package/lib/index.js

@@ -53,8 +53,8 @@ export const inject = ["tools", "commands", "agents", "workspaceRegistry", "skil
 
 const pluginConfig = loadPluginConfig();
 state.enabled = pluginConfig.enabled;
+// reloadRules 内部已统一刷新理解产物（P0-3），此处不再重复写
 reloadRules(state);
-writeUnderstanding(state.configs);
 
 // ── 工具函数 ────────────────────────────────────────────────────────────────
 
@@ -575,7 +575,8 @@ export function apply(ctx) {
           clearTimeout(timer);
           timer = setTimeout(() => {
             reloadRules(state);
-            writeUnderstanding(state.configs);
+            // 规则变化后补一次 LLM 增量理解（有 ruleId@mtime 去重，不会重复烧 token；P1-6）
+            void enrichRulesWithLlm(ctx, state);
           }, 200);
         });
       } catch {

package/lib/service.js

@@ -94,7 +94,8 @@ class RuleEngineService extends TypertRemoteService {
     try {
       const current = currentVersion();
       const headers = { "User-Agent": "dsh-rule-engine", Accept: "application/vnd.github+json" };
-      const releaseRes = await fetch("https://api.github.com/repos/jilian-dsh/dsh-rule-engine/releases/latest", { headers });
+      // P2-8：网络异常/慢速时避免面板挂起
+      const releaseRes = await fetch("https://api.github.com/repos/jilian-dsh/dsh-rule-engine/releases/latest", { headers, signal: AbortSignal.timeout(8000) });
       if (!releaseRes.ok) {
         return { ok: false, error: `GitHub Release 检查失败：HTTP ${releaseRes.status}` };
       }
@@ -104,7 +105,7 @@ class RuleEngineService extends TypertRemoteService {
 
       let impacts = [];
       try {
-        const impactRes = await fetch("https://raw.githubusercontent.com/jilian-dsh/dsh-rule-engine/main/upgrade-impact.json", { headers: { "User-Agent": "dsh-rule-engine" } });
+        const impactRes = await fetch("https://raw.githubusercontent.com/jilian-dsh/dsh-rule-engine/main/upgrade-impact.json", { headers: { "User-Agent": "dsh-rule-engine" }, signal: AbortSignal.timeout(8000) });
         if (impactRes.ok) {
           const data = await impactRes.json();
           if (Array.isArray(data?.versions)) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-rule-engine",
-  "version": "0.4.0",
+  "version": "0.4.2",
   "description": "DSH 规则执行引擎 v3：容器解析 AGENTS.md + 理解器 + 匹配机 + 执行框架",
   "type": "module",
   "main": "lib/index.js",
@@ -38,6 +38,7 @@
     "audit:mount": "node scripts/audit-mount-consistency.mjs --profile web"
   },
   "peerDependencies": {
+    "@deepseek-ai/dsh-home-paths": ">=0.1.0-rc.3",
     "@deepseek-ai/dsh-typert-protocol": ">=0.1.0-rc.3"
   },
   "dsh": {