dsh-rule-engine 0.6.4 → 0.6.5

package/scripts/probe-intent.mjs

@@ -1,14 +0,0 @@
-// probe-intent.mjs - 测"落"字为何被判问句（用户明确执行却拦）
-import { parseUserIntents, shouldDenyMutation } from "../lib/core/intent.js";
-const texts = [
-  "2、连同上面这条一起落",
-  "连上面这条一起落",
-  "落",
-  "全部一起落",
-  "认可全部link不装npm形态",
-  "1、认可形态 2、连上面这条一起落"
-];
-for (const t of texts) {
-  const r = parseUserIntents(t);
-  console.log(`"${t}" → hasExecute=${r.hasExecute} hasQuestion=${r.hasQuestion} types=${r.clauses.map((c) => c.type).join(",")}`);
-}

package/scripts/publish-aptitude-check.mjs

@@ -1,105 +0,0 @@
-// publish-aptitude-check.mjs — 发布适用性门禁（T6，2026-08-31）
-// 目的：兑现 README「通用化」承诺的"陌生人视角"检查——发布物必须先证明：
-//   ① 无 AGENTS.md（陌生环境冷启动）：引擎零错 / 零死映射 / 零意外拦截面
-//   ② 空白规则文件：静默（0 规则、无错、无 dead）
-//   ③ 任意编号规则（非本机编号）：声明式绑定与"纯自证"分流行为正确
-//   ④ 四要素 + 执行等级格式的最小规则：actions/handler 解析正确（README 格式契约冒烟）
-//   ⑤ 发布物个人标识扫描：files 白名单内文件不得含本机个人标识（本地用户名/真实路径/邮箱/私人注释）
-// 默认模式 = 单进程纯函数链（不 spawn、不 import index.js，沙箱可直接跑）；
-// --deep 模式 = 额外子进程全链冷启动（临时 DSH_HOME + 完整引擎加载 + 真实裁决链，需完整权限/CI）。
-// 用法：node scripts/publish-aptitude-check.mjs [--deep] [--tgz <路径>]
-import { mkdtempSync, writeFileSync, rmSync, readFileSync, readdirSync, statSync, existsSync } from "node:fs";
-import { tmpdir } from "node:os";
-import { join, dirname, resolve } from "node:path";
-import { fileURLToPath } from "node:url";
-
-const root = resolve(dirname(fileURLToPath(import.meta.url)), "..");
-const args = process.argv.slice(2);
-const deep = args.includes("--deep");
-const tgzArg = args.includes("--tgz") ? args[args.indexOf("--tgz") + 1] : null;
-
-const FAILS = [];
-function check(ok, msg) {
-  console.log(`${ok ? "✅" : "❌"} ${msg}`);
-  if (!ok) FAILS.push(msg);
-}
-
-// ①-④ 使用的纯函数链（与引擎 lib 同源，动态 import 保证读到本次代码）
-const { loadRules } = await import("../lib/core/parser.js");
-const { understandAll, understandRule, analyzeCoverage, defaultHandlerMapSize } = await import("../lib/core/understander.js");
-
-// ── ① 陌生环境冷启动（临时 DSH_HOME，无 AGENTS.md）──
-const sceneDir = mkdtempSync(join(tmpdir(), "aptitude-check-"));
-process.env.DSH_HOME = sceneDir;
-process.env.DSH_WORKSPACE = root;
-{
-  const parsed = loadRules();
-  check(parsed.ok === false && parsed.missing === true, `① 无 AGENTS.md：处理器返回 missing（ok=${parsed.ok}, missing=${parsed.missing}）`);
-  const configs = understandAll([]);
-  check(configs.length === 0, "① 无 AGENTS.md：理解产物为空（不产生任何规则）");
-  const { dead, uncovered } = analyzeCoverage(configs);
-  // 残余1 剥离后：代码层无默认表（通用部署空表）→ dead=0；关键断言 = 无规则被声称机器执行（uncovered=0）且冷启动零报错
-  check(dead.size === 0, `① 无 AGENTS.md：dead=0（代码层无默认偏好表）`);
-  check(uncovered.length === 0, `① 无 AGENTS.md：零未覆盖（uncovered=0）`);
-}
-
-// ── ② 空白规则文件静默 ──
-{
-  writeFileSync(join(sceneDir, "AGENTS.md"), "", "utf8");
-  const parsed = loadRules();
-  check(parsed.ok === true && parsed.rules.length === 0, `② 空白 AGENTS.md：解析成功且 0 规则（rules=${parsed.rules.length}）`);
-  const configs = understandAll(parsed.rules);
-  check(configs.length === 0, "② 空白 AGENTS.md：理解产物为空");
-}
-
-// ── ③ 任意编号规则（非本机编号）：声明式绑定 + 纯自证分流 ──
-{
-  const arbitrary = {
-    index: "X-77",
-    title: "陌生用户规则（执行等级：A+D）",
-    section: "自定义分区",
-    level: "A+D",
-    body: "- **触发**：使用内联命令。\n- **检查**：拦 node -e / pwsh -c。\n- **动作**：拒绝。\n- **豁免**：无。"
-  };
-  const plain = understandRule(arbitrary);
-  check(plain.handler === "", "③ 任意编号 + 无声明：handler 为空（纯自证分流，不误绑定本机执行器）");
-  check(plain.actions.includes("deny") && plain.actions.includes("self-certify"), "③ 任意编号：A+D 动作解析正确（deny+self-certify）");
-  // 架构 v3 P1：声明值统一归一为 kind 名——kind 名（陌生用户视角）与历史内部名（兼容）都须绑定
-  const declaredKind = understandRule({ ...arbitrary, body: arbitrary.body + "\n<!-- handler: approval -->" });
-  check(declaredKind.handler === "approval", "③ 任意编号 + 声明（kind 名）：绑定指定执行器");
-  const declaredLegacy = understandRule({ ...arbitrary, body: arbitrary.body + "\n<!-- handler: rule12a-approval -->" });
-  check(declaredLegacy.handler === "approval", "③ 任意编号 + 声明（历史内部名）：归一为同一 kind");
-  const covered = analyzeCoverage(understandAll([arbitrary]));
-  check(covered.uncovered.some((u) => u.ruleId === "X-77"), "③ 任意编号 A 级无 handler：被标记未覆盖（提示正确）");
-  // 通用化闭环：defaultMap 清空 → 陌生规则无兜底绑定（纯声明式世界，不借道本机偏好表）；
-  // 注：analyzeCoverage 自省对象恒为本机默认表（体检对象），不受 defaultMap 影响。
-  const bare = understandRule(arbitrary, { defaultMap: {} });
-  check(bare.handler === "", "③ defaultMap 清空：陌生规则无兜底绑定（纯声明式世界）");
-}
-
-// ── ④ 四要素 + 执行等级格式契约冒烟（README 格式）──
-{
-  const elem = understandRule({
-    index: "E-1",
-    title: "格式样例（执行等级：B + D）",
-    section: "样例分区",
-    level: "B + D",
-    body: "- **触发**：触发条件。\n- **检查**：检查项。\n- **动作**：动作说明。\n- **豁免**：豁免说明。"
-  });
-  check(elem.elements.trigger.length > 0 && elem.elements.check.length > 0 && elem.elements.action.length > 0 && elem.elements.exemption.length > 0, "④ 四要素提取完整");
-  check(elem.actions.includes("correct") && elem.actions.includes("self-certify"), "④ 组合等级 B + D 动作解析正确");
-  check(elem.confidence === "high", "④ 四要素齐全 → 置信 high");
-}
-
-// ── ⑤（2026-09-04 本机化：存在性判据 + 个人词表扫描移入本机发行工具
-//    scripts/scan-real-paths.mjs（判据库 scripts/lib/realpath-guard.js），
-//    本文件只保留 ①-④ 通用发布适用性检查；发布前由本机 release-gate 统一执行门禁）──
-
-// ── --deep：完整引擎链冷启动（子进程，需完整权限/CI；沙箱不可用）──
-if (deep) {
-  console.log("\n（--deep 模式：请确认在完整权限/CI 环境运行——子进程捕获受沙箱限制）");
-}
-
-rmSync(sceneDir, { recursive: true, force: true });
-console.log(`\n${FAILS.length === 0 ? "ADEPTITUDE CHECK PASS" : `ADEPTITUDE CHECK FAIL（${FAILS.length} 项）`}`);
-process.exit(FAILS.length === 0 ? 0 : 1);

package/scripts/readme-version-check.mjs

@@ -1,41 +0,0 @@
-#!/usr/bin/env node
-// readme-version-check.mjs — README 版本四性一致性门禁
-// 检查：package.json version == README 徽章 == README 正文"当前版本 X" == 版本历史表含当前版本 == 发行固定源锚定当前版本
-// 用法：node scripts/readme-version-check.mjs   （在包根目录运行；exit 0 = 一致，exit 1 = 不一致）
-
-import { readFileSync } from "node:fs";
-import { fileURLToPath } from "node:url";
-import { dirname, join } from "node:path";
-
-const root = join(dirname(fileURLToPath(import.meta.url)), "..");
-const pkg = JSON.parse(readFileSync(join(root, "package.json"), "utf8"));
-const readme = readFileSync(join(root, "README.md"), "utf8");
-const ver = pkg.version;
-
-let failures = [];
-const ok = (cond, label, detail) => {
-  if (cond) console.log(`PASS  ${label}`);
-  else { failures.push(label); console.log(`FAIL  ${label} — ${detail}`); }
-};
-
-// 1. 徽章：badge/version-X.Y.Z
-const badge = readme.match(/badge\/version-(\d+\.\d+\.\d+)/);
-ok(badge?.[1] === ver, "徽章=package.json", `徽章=${badge?.[1] ?? "未找到"} vs package=${ver}`);
-
-// 2. 正文"当前版本 X"（允许"当前版本 **X**"）
-const cur = readme.match(/当前版本[^\d]{0,10}(\d+\.\d+\.\d+)/);
-ok(cur?.[1] === ver, "正文当前版本=package.json", `正文=${cur?.[1] ?? "未找到"} vs package=${ver}`);
-
-// 3. 版本历史表包含当前版本行：| **X.Y.Z** | 或 | X.Y.Z |
-const tableHit = new RegExp(`^\\|\\s*\\*{0,2}${ver.replace(/\./g, "\\.")}\\*{0,2}\\s*\\|`, "m").test(readme);
-ok(tableHit, "版本历史表含当前版本行", `未找到 | ${ver} | 行`);
-
-// 4. 发行固定源锚定当前版本："**X（当前）**" 或 "X.Y.Z（当前）"
-const pin = readme.match(/\*\*(\d+\.\d+\.\d+)（当前）\*\*/);
-ok(pin?.[1] === ver, "发行固定源=package.json", `固定源=${pin?.[1] ?? "未找到"} vs package=${ver}`);
-
-if (failures.length) {
-  console.error(`\nVERSION CHECK FAILED（${failures.length} 项不一致）`);
-  process.exit(1);
-}
-console.log(`\nVERSION CHECK OK（${ver} 四处一致）`);

package/scripts/release-plugin.mjs

@@ -1,432 +0,0 @@
-// release-plugin.mjs —— DSH 插件全渠道一键发布（npm + git + GitHub Release）
-// 用法：node release-plugin.mjs <插件名|插件目录> [版本号] [--sync-profile]
-//   - 插件名从 scripts/plugins.json 清单解析（规则 26 ⑤）；或直接给目录路径
-//   - 版本号省略时自动 patch+1（如 1.4.7 -> 1.4.8）
-//   - 自动同步 README 徽章 version-X.Y.Z
-//   - --sync-profile：发布成功后自动更新 profiles/<profile>/pnpm-workspace.yaml 豁免名单
-//     （备份原文件）+ 运行全量装配审计（写 .dsh 需以 danger-full-access 运行本脚本）
-// 前置：npm 已认证、gh 已认证、git 已配置。
-// 网络：2026-09-03 实测修正——直连 github.com/npm registry 已不可靠（443 超时/连接重置）；
-//       需代理环境请设 DSH_RELEASE_PROXY=http://127.0.0.1:7890（本机 Clash 7890）。未设时脚本仍尝试直连。
-// 步骤：版本 bump -> 测试 -> npm pack -> npm publish -> [publish 后 dist-tags 校验（B1，2026-09-03）]
-//       -> git commit+push -> gh release（带 tgz asset）
-// 安全：token 经环境变量注入，不在命令文本/日志中打印
-import { execSync } from "node:child_process";
-import { existsSync, readFileSync, writeFileSync, mkdirSync, copyFileSync, statSync, rmSync } from "node:fs";
-import { dirname, join, relative, resolve } from "node:path";
-import { fileURLToPath } from "node:url";
-import { ensureExempt } from "./lib/pnpm-exempt.mjs";
-
-const PROXY = process.env.DSH_RELEASE_PROXY || ""; // 默认直连；需要代理时显式设置
-/** 代理前缀（命令文本）：空 = 直连 */
-const proxyPrefix = () => (PROXY ? `set HTTPS_PROXY=${PROXY}&& set HTTP_PROXY=${PROXY}&& ` : "");
-const SCRIPT_DIR = dirname(fileURLToPath(import.meta.url));
-const WORKSPACE = join(SCRIPT_DIR, "..");
-
-function run(cmd, opts = {}) {
-  console.log(`> ${cmd.slice(0, 120)}${cmd.length > 120 ? "..." : ""}`);
-  return execSync(cmd, { stdio: "inherit", encoding: "utf8", shell: true, ...opts });
-}
-function quiet(cmd) {
-  try {
-    return execSync(cmd, { encoding: "utf8", shell: true, stdio: "pipe" }).toString().trim();
-  } catch {
-    return "";
-  }
-}
-function fail(msg) {
-  console.error(`\n[发布中止] ${msg}`);
-  process.exit(1);
-}
-
-// ── 0. 解析目标（清单名 或 目录路径）────────────────────────────
-const args = process.argv.slice(2);
-const syncProfile = args.includes("--sync-profile");
-const dryRun = args.includes("--dry-run"); // 2026-08-29：发布前预览（只推导+打印，不改文件）
-const target = args.find((a) => !a.startsWith("--")) || "";
-let manifest = null;
-let entry = null;
-let dir = null;
-try {
-  manifest = JSON.parse(readFileSync(join(SCRIPT_DIR, "plugins.json"), "utf8"));
-  entry = manifest.plugins.find((p) => p.name === target) || null;
-} catch {
-  // 清单缺失时仅支持目录路径
-}
-if (entry) {
-  dir = resolve(WORKSPACE, entry.dir);
-} else if (target) {
-  dir = resolve(target);
-} else {
-  fail("用法：node release-plugin.mjs <插件名|插件目录> [版本号] [--sync-profile]");
-}
-if (!existsSync(join(dir, "package.json"))) fail(`目录不存在或不是插件包：${dir}`);
-
-// ── 0. 读取包信息 ────────────────────────────────────────────────
-const pkgPath = join(dir, "package.json");
-const pkg = JSON.parse(readFileSync(pkgPath, "utf8"));
-const name = pkg.name;
-const oldVer = pkg.version;
-// 版本号 = 非 -- 开头的参数（排除目标名本身），位置任意
-// 2026-08-29 修复（0.5.11-pre 体系）：oldVer 为 -pre/-rc 等预发布后缀时——
-// ① 发布语义 = 剥后缀发正式版（0.5.11-pre → 发布 0.5.11，不是 +1）；
-// ② 自动推导不再 split(".") 直接 Number（"11-pre" 会得 NaN——旧 bug）。
-// 显式传参优先；且显式传参如果是 -pre 形态（意外），本发布不剥（警告留痕）。
-const nextVer = args.find((a) => !a.startsWith("--") && a !== target) || (() => {
-  // 预发布后缀（-pre/-rc）→ 剥后缀发正式版（0.5.11-pre → 0.5.11）
-  if (/-(?:pre|rc|beta|alpha)(?:[.\d]*)$/i.test(oldVer)) return oldVer.replace(/-.*$/, "");
-  // 纯数字 → +1（历史行为）
-  const [maj, min, pat] = oldVer.split(".").map(Number);
-  if (Number.isNaN(pat)) fail(`无法解析版本号：${oldVer}`);
-  return `${maj}.${min}.${pat + 1}`;
-})();
-const repoOverride = entry?.repo || null;
-console.log(`\n=== 发布 ${name}: ${oldVer} -> ${nextVer} ===\n`);
-
-// ── 0.5 本地配套包版本一致性（防止 host/client 版本错位）──────────
-function checkDependencyPair() {
-  if (!entry?.dependsOn || !manifest) return;
-  for (const depName of entry.dependsOn) {
-    const depEntry = manifest.plugins.find((p) => p.name === depName);
-    const depDir = depEntry ? resolve(WORKSPACE, depEntry.dir) : null;
-    if (!depDir || !existsSync(join(depDir, "package.json"))) {
-      console.log(`（未找到依赖 ${depName} 的本地包，跳过版本一致性检查）`);
-      continue;
-    }
-    const depPkg = JSON.parse(readFileSync(join(depDir, "package.json"), "utf8"));
-    const range = pkg.dependencies?.[depName];
-    if (!range) continue;
-    const m = range.match(/^\^(\d+)\.(\d+)\.(\d+)/);
-    if (!m) {
-      console.log(`（依赖 ${depName} 范围 ${range} 不是简单 ^x.y.z，跳过自动校验）`);
-      continue;
-    }
-    const v = depPkg.version.split(".").map(Number);
-    const ok = v[0] === +m[1] && (v[1] > +m[2] || (v[1] === +m[2] && v[2] >= +m[3]));
-    if (!ok) fail(`${name} 声明依赖 ${depName}@${range}，但本地 ${depName} 是 ${depPkg.version}`);
-    console.log(`[依赖一致性] ${name} -> ${depName} ${depPkg.version} ✓`);
-  }
-}
-checkDependencyPair();
-
-// ── 1. 前置检查 ──────────────────────────────────────────────────
-if (!/^\d+\.\d+\.\d+$/.test(nextVer)) fail(`版本号格式错误：${nextVer}`);
-// 2026-09-02 修复：gh auth status 的 "Logged in" 输出在 stderr（新版 gh），stdout 可能为空空
-// → 2>&1 合并 stderr，避免已认证被误判"gh 未认证"（实测 keyring 已登录却判失败）
-if (!quiet("gh auth status 2>&1").includes("Logged in")) fail("gh 未认证");
-const whoami = quiet("npm whoami 2>&1");
-if (!whoami) fail("npm 未认证（npm whoami 失败）");
-
-// ── 1.5 DSH 兼容预检（发布前防“升级后插件不兼容”）──────────────
-const compatScript = join(SCRIPT_DIR, "check-dsh-compat.mjs");
-if (existsSync(compatScript)) {
-  console.log("\n=== DSH 兼容预检 ===");
-  run(`node "${compatScript}" "${dir}"`);
-}
-
-// ── 1.6 profile dump-config 冒烟（确认 DSH 可导出当前 profile 配置）──
-function findDshBin() {
-  const candidates = [process.env.DSH_BIN, "D:/example/global-npm/dsh.cmd", "D:/example/global-npm/dsh", "dsh"].filter(Boolean);
-  for (const c of candidates) {
-    if (quiet(`where ${c}`)) return c;
-  }
-  return "";
-}
-const dshCmd = findDshBin();
-if (dshCmd) {
-  const dump = quiet(`"${dshCmd}" --profile ${manifest?.profile || "web"} --dump-config`);
-  if (dump && !/error|Error|ENOENT/i.test(dump)) {
-    console.log("（profile dump-config 冒烟通过：DSH 配置可正常导出）");
-  } else {
-    console.log("（profile dump-config 冒烟未通过：请人工确认 DSH 可用后发布）");
-  }
-} else {
-  console.log("（未找到 dsh 命令，跳过 profile dump-config 冒烟）");
-}
-
-// ── 2. 版本 bump（package.json + README 徽章）────────────────────
-if (dryRun) {
-  // 发布门禁 B1/B2（阶段 B，02 v1.4）：dry-run 同样先过门禁（失败即中止，不进入授权/发布）
-  console.log("\n=== 发布门禁 B1（README 版本四性）===");
-  run(`cd /d "${dir}" && node scripts/readme-version-check.mjs`);
-  console.log("\n=== 发布门禁 B2（lib/ 本机痕迹扫描）===");
-  run(`cd /d "${dir}" && node scripts/local-residue-scan.mjs`);
-  console.log("（发布门禁 B1/B2 通过）");
-  console.log(`[DRY-RUN] 不修改任何文件。`);
-  console.log(`[DRY-RUN] oldVer=${oldVer} → nextVer=${nextVer}`);
-  const rd = join(dir, "README.md");
-  if (existsSync(rd)) {
-    const t = readFileSync(rd, "utf8");
-    const oldBadgeVer = `version-${oldVer}`;
-    const oldBadgeUrl = `version-${oldVer.replace(/-/g, "--")}`;
-    const nextUrl = `version-${nextVer}`;
-    const replaced = t.replaceAll(oldBadgeVer, nextUrl).replaceAll(oldBadgeUrl, nextUrl);
-    console.log(`[DRY-RUN] README 徽章将变为: ${replaced.match(/version-[^\s]+/)?.[0] || "(未命中，检查徽章形态)"}`);
-  }
-  // §1.2（2026-09-08）dry-run 可观测项（单测锚点）
-  console.log(`[DRY-RUN] plugins.json 条目: ${entry ? `${entry.name} (dir=${entry.dir})` : "(未命中——将回退目录路径参数)"}`);
-  console.log(`[DRY-RUN] dist-tags 轮询: ${Math.max(30, Number(process.env.RELEASE_DIST_TAG_POLL_SEC) || 180)}s（RELEASE_DIST_TAG_POLL_SEC 可配）`);
-  console.log(`[DRY-RUN] README 四点同步: 徽章 / 正文当前版本 / 历史表新行 / 固定源自动维护`);
-  console.log(`[DRY-RUN] 固定源将更新为: **${nextVer}（当前）** 锚点 ${quiet(`cd /d "${dir}" && git rev-parse HEAD`).trim().slice(0, 7)}（发布后自动回填 release 提交号）`);
-  process.exit(0);
-}
-writeFileSync(pkgPath, readFileSync(pkgPath, "utf8").replace(`"version": "${oldVer}"`, `"version": "${nextVer}"`));
-for (const readme of ["README.md", "README.en.md"]) {
-  const rp = join(dir, readme);
-  if (existsSync(rp)) {
-    const text = readFileSync(rp, "utf8");
-    // 2026-08-29 修复：徽章 URL 编码把 `0.5.11-pre` 转成 `0.5.11--pre`（`-` 被 shields 双横线），
-    // 旧正则 `version-0.5.11-pre` 匹配不到 `version-0.5.11--pre` → 徽章漏改（㉙ 机器根因之一）。
-    // replaceAll 用字面串（非正则），无需转义。
-    const oldBadgeVer = `version-${oldVer}`;                       // JSON 形态：version-0.5.11-pre
-    const oldBadgeUrl = `version-${oldVer.replace(/-/g, "--")}`;   // URL 形态：version-0.5.11--pre
-    const nextUrl = `version-${nextVer}`;
-    const replaced = text
-      .replaceAll(oldBadgeVer, nextUrl)
-      .replaceAll(oldBadgeUrl, nextUrl);
-    if (replaced !== text) writeFileSync(rp, replaced);
-  }
-}
-// §1.2-②（2026-09-08 第二批）：README 正文"当前版本"行同步
-// 方案 A（2026-09-09，踩坑 140 根治）：固定源行**自动维护**——bump 时插入「（当前）」行（锚点=改号前 HEAD），
-//   发布提交后由 §5.5 回填真实 release 提交号；旧「（当前）」标记与遗留占位注释一并清理。
-//   旧做法只插占位注释，而 B1 门禁要求「固定源=package 版本」→ 每次发布必撞（0.6.3 首发实证）。
-const headBeforeShort = quiet(`cd /d "${dir}" && git rev-parse HEAD`).trim().slice(0, 7);
-let fixedSourceBumpLine = "";
-for (const readme of ["README.md", "README.en.md"]) {
-  const rp = join(dir, readme);
-  if (!existsSync(rp)) continue;
-  let rtxt = readFileSync(rp, "utf8");
-  const before = rtxt;
-  rtxt = rtxt.replace(/(> 当前版本 \*\*)\d+\.\d+\.\d+(\*\*)/, `$1${nextVer}$2`);
-  if (readme === "README.md" && rtxt.includes("## 发行固定源")) {
-    // ① 旧「（当前）」标记降级（只保留版本号加粗）
-    rtxt = rtxt.replace(/\*\*(\d+\.\d+\.\d+)（当前）\*\*/g, "**$1**");
-    // ② 清理遗留占位注释（方案 A 起不再产生）
-    rtxt = rtxt.replace(/\n<!-- fixed-source: [^>]*-->\n/g, "\n");
-    // ③ 插入新版本行（幂等：已存在则跳过）
-    if (!rtxt.includes(`- **${nextVer}（当前）**`)) {
-      fixedSourceBumpLine = `- **${nextVer}（当前）** 固定于 main Commit \`${headBeforeShort}\`（\`git checkout ${headBeforeShort}\` + 发布 bump 可复现 npm \`${name}@${nextVer}\` 与 GitHub Release v${nextVer} 同源代码）。**注：release 提交号由发布脚本自动回填。**`;
-      rtxt = rtxt.replace("## 发行固定源\n", `## 发行固定源\n\n${fixedSourceBumpLine}\n`);
-    }
-  }
-  if (rtxt !== before) writeFileSync(rp, rtxt);
-}
-console.log(`版本已 bump（package.json + README 徽章 + 正文当前版本 + 固定源 ${nextVer}（锚点 ${headBeforeShort}））`);
-
-// B1（2026-09-03）：README 版本表行自动插入（阶段 C 人脑核对已失效的自动化；幂等：已存在 nextVer 行则跳过）
-// 位置：版本表（| 版本 | 日期 | 要点 |）表头后第一数据行之前（最新在上）；内容用调用方 notes 参数或 git log 最近提交信息
-const notes = process.argv.includes("--notes") ? process.argv[process.argv.indexOf("--notes") + 1] : "";
-for (const readme of ["README.md"]) {
-  const rd = join(dir, readme);
-  if (!existsSync(rd)) continue;
-  let rtxt = readFileSync(rd, "utf8");
-  const tableHeader = "| 版本 | 日期 | 要点 |";
-  const hi = rtxt.indexOf(tableHeader);
-  if (hi < 0 || rtxt.includes(`| **${nextVer}** |`)) continue;
-  const today = new Date().toLocaleDateString("en-CA"); // 本地时区 YYYY-MM-DD
-  const summary = notes || (quiet(`cd /d "${dir}" && git log -1 --pretty=%s`).slice(0, 90) || "（待补变更摘要）");
-  const nl = rtxt.indexOf("\n", hi);
-  if (nl < 0) continue;
-  const row = `| **${nextVer}** | ${today} | ${summary.replace(/\|/g, "\\|")} |`;
-  rtxt = rtxt.slice(0, nl + 1) + row + "\n" + rtxt.slice(nl + 1);
-  writeFileSync(rd, rtxt, "utf8");
-  console.log(`[B1] ${readme} 版本表已插入 ${nextVer} 行（摘要来源：${notes ? "notes 参数" : "git log"}）；请核对内容`);
-}
-
-// ── 3. 测试（规则 23：发布前运行时验证）─────────────────────────
-if (pkg.scripts && pkg.scripts.test) {
-  console.log("\n=== 运行测试 ===");
-  run(`cd /d "${dir}" && npm test --prefix "${dir}"`);
-} else {
-  console.log("（无 test 脚本，跳过）");
-}
-
-// ── 3.5 发布门禁 B1/B2（阶段 B，02 v1.4：测试全过后、进入授权/发布前；失败即中止）──
-console.log("\n=== 发布门禁 B1（README 版本四性）===");
-run(`cd /d "${dir}" && node scripts/readme-version-check.mjs`);
-console.log("\n=== 发布门禁 B2（lib/ 本机痕迹扫描）===");
-run(`cd /d "${dir}" && node scripts/local-residue-scan.mjs`);
-// ── 3.6 存在性扫描（泄露预防，2026-09-05）：本机增强门禁——REAL_PATHS_SCAN 指向存在性扫描器 →
-// 0 命中才继续；未设置=WARN（本机工具不进包，通用用户无此工具；发布流水线建议设置）──
-const scanReal = process.env.REAL_PATHS_SCAN;
-if (scanReal) {
-  console.log("\n=== 存在性扫描（真实路径判据，0 命中红线）===");
-  run(`node "${scanReal}" --root "${dir}"`);
-} else {
-  console.log("（未设置 REAL_PATHS_SCAN——存在性扫描跳过（本机增强门禁，建议发布前设置））");
-}
-console.log("（发布门禁 B1/B2/存在性 通过）");
-
-// ── 3.7 判据库回归（窗口 B 接入，2026-09-06）：净化判据（L1 敏感串全集全历史 0 非白名单 + L2 根段未覆盖 0）
-// 本机增强门禁——JUDGE_SCAN 指向本机判定门禁（stage1 判据库扫描器包装）；未设置=WARN ──
-const judgeScan = process.env.JUDGE_SCAN;
-if (judgeScan) {
-  console.log("\n=== 判据库回归（净化判据，0 非白名单 / 0 未覆盖 红线）===");
-  run(`node "${judgeScan}" --root "${dir}"`);
-} else {
-  console.log("（未设置 JUDGE_SCAN——判据库回归跳过（本机增强门禁，建议发布前设置））");
-}
-
-// ── 3.8 豁免预插（E7，2026-09-08 接线；单源 scripts/lib/pnpm-exempt.mjs）：bump 后 publish 前，
-// 把 nextVer 自动预插 profiles/web pnpm-workspace.yaml 的 minimumReleaseAgeExclude——⑬ 绝对口径
-// 要求"publish 后 latest ∈ 豁免名单"，预插保证该不变式由发布器维护（防手工遗忘 → 发布后 ⑬ 红）。
-// 幂等（已存在跳过）；DRY-RUN 只打印；yaml 读取失败抛错中止发布（fail-closed）。──
-{
-  const dshHome = process.env.DSH_HOME || join(process.env.USERPROFILE || "", ".dsh");
-  const yamlPath = join(dshHome, "profiles", "web", "pnpm-workspace.yaml");
-  console.log("\n=== 豁免预插（minimumReleaseAgeExclude ← nextVer）===");
-  ensureExempt(yamlPath, name, nextVer, { dryRun: !!process.env.DRY_RUN, log: console.log });
-}
-
-// ── 4. pack + publish ────────────────────────────────────────────
-console.log("\n=== npm pack ===");
-run(`cd /d "${dir}" && npm pack --pack-destination .`);
-const tgz = `${name}-${nextVer}.tgz`;
-if (!existsSync(join(dir, tgz))) fail(`打包产物缺失：${tgz}`);
-
-// ── 4.5 发布物存在性扫描（泄露预防硬项，2026-09-05）：解包 tgz → 判据库直扫（0 命中才 publish）──
-const scanReal2 = process.env.REAL_PATHS_SCAN;
-if (scanReal2) {
-  const unpackDir = join(dir, ".pkg-check-" + nextVer);
-  if (existsSync(unpackDir)) rmSync(unpackDir, { recursive: true, force: true });
-  mkdirSync(unpackDir, { recursive: true });
-  run(`tar -xzf "${join(dir, tgz)}" -C "${unpackDir}"`);
-  console.log("\n=== 发布物存在性扫描（解包直扫，0 命中红线）===");
-  run(`node "${scanReal2}" --root "${join(unpackDir, "package")}"`);
-  console.log("（发布物存在性扫描通过）");
-}
-
-console.log("\n=== npm publish ===");
-run(`cd /d "${dir}" && ${proxyPrefix()}npm publish ${tgz}`);
-
-// B1（2026-09-03）：publish 后校验 registry dist-tags（0.5.16 事故：publish 自报成功但 latest 未切；
-// 脚本此前只跑 publish 不校验发布态——三通道验证铁律：npm 通道以 dist-tags 为准，self-report 不算数）
-// B1 v2（2026-09-03 同日晚）：registry 传播以分钟计，publish 后立即校验曾误报中止（0.5.17 实弹）→
-// §1.2-③（2026-09-08 第二批）：轮询 60s→180s（本机首次传播实测 >60s）；RELEASE_DIST_TAG_POLL_SEC 可配（下限 30）
-const pollSec = Math.max(30, Number(process.env.RELEASE_DIST_TAG_POLL_SEC) || 180);
-const attempts = Math.ceil(pollSec / 10);
-console.log(`\n=== npm 发布态校验（dist-tags，轮询最多 ${pollSec}s / ${attempts} 次）===`);
-function sleepMs(ms) { Atomics.wait(new Int32Array(new SharedArrayBuffer(4)), 0, 0, ms); }
-const queryTags = () => quiet(`cd /d "${dir}" && ${proxyPrefix()}npm view ${name} dist-tags.latest`);
-const queryVer = () => quiet(`cd /d "${dir}" && ${proxyPrefix()}npm view ${name}@${nextVer} version`);
-let latestActual = "";
-for (let i = 0; i < attempts; i++) {
-  latestActual = queryTags();
-  if (latestActual === nextVer) break;
-  if (i < attempts - 1) { console.log(`  [B1] 等待 registry 传播（${i + 1}/${attempts - 1}，latest=${latestActual || "(空)"}）…`); sleepMs(10000); }
-}
-if (latestActual !== nextVer) {
-  const verExists = queryVer() === nextVer;
-  fail(`npm 发布态异常：dist-tags.latest=${latestActual || "(为空)"}，预期 ${nextVer}——${verExists ? `版本已存在但 latest 未跟：可执行 npm dist-tag add ${name}@${nextVer} latest 修正` : "版本未查询到：可能 staged/缓存（见踩坑 117）"}；人工核查前勿继续 git/Release 通道`);
-}
-console.log(`dist-tags.latest=${latestActual} ✓`);
-
-// ── 5. git commit + push（token 经环境变量注入 URL，命令文本不含密钥明文）─────
-console.log("\n=== git commit + push ===");
-// 2026-08-25 修复 pushUrl 双重拼接：origin 可能是 ssh（git@github.com:）、https（https://github.com/）
-// 或裸路径（user/repo）三种形态——统一归一化为 "owner/repo" 路径再拼 token URL（此前 https origin 未剥前缀
-// 导致 "https://github.com/https://github.com/..." 双重 URL，push 404）
-const repo = (repoOverride || quiet(`cd /d "${dir}" && git remote get-url origin`))
-  .replace(/^git@github\.com:/, "")
-  .replace(/^https?:\/\/github\.com\//, "")
-  .replace(/\.git$/, "");
-const token = quiet("gh auth token");
-if (!token) fail("无法获取 gh token");
-// 与 v3.72 同款通道：token 拼进 HTTPS URL 直推（避开沙箱下 msys 凭据管道的 EPERM）
-// 0.6.0：用户名从 repo 归属提取（不再硬编码——发布物不含本机账号）
-const repoOwner = repo.split("/")[0];
-if (!repoOwner) fail("无法解析仓库 owner（repo=" + repo + "）");
-const pushUrl = `https://${repoOwner}:${token}@github.com/${repo}.git`;
-// 2026-08-31 修复：repoRoot 实测 git 仓库根（插件目录可能只是子目录，如 rules-manager 在 oss 仓库内）；
-// stageSpec = 插件目录相对仓库根路径（防 git add -A 误带仓库内无关改动/未跟踪物）
-const repoRoot = quiet(`cd /d "${dir}" && git rev-parse --show-toplevel`).trim();
-const relDir = relative(repoRoot, dir).split(/[\\/]/).join("/");
-const stageSpec = relDir && relDir !== "." ? relDir : "";
-// 2026-08-29 防漏机检（0.5.10 git 欠账事故：git add -u 只更新已跟踪文件，未跟踪新文件
-// （npm pack 按目录打包、天然包含）会漏进 git 提交 → git 与 npm 内容不一致）。
-// 现在：提交前检测未跟踪文件并打印名单，改用 add -A 一并提交（.gitignore 已排除杂质）。
-const untrackedList = quiet(`cd /d "${repoRoot}" && git status --porcelain -- ${stageSpec}`)
-  .split("\n").filter((l) => l.startsWith("??")).map((l) => l.slice(3));
-if (untrackedList.length > 0) {
-  console.log(`（未跟踪文件 ${untrackedList.length} 个将一并提交：${untrackedList.slice(0, 6).join(", ")}${untrackedList.length > 6 ? " 等" : ""}）`);
-}
-// 2026-09-04：提交物本机路径/个人标识检查已本机化（release-gate.mjs → scan-real-paths.mjs
-// 存在性判据 + 本机词表）；本文件不再内置扫描词表（发布物零个人化字符串），
-// 由发布方在发布前调用本机 gate 一次完成。教训 8105d3e 由本机 gate 兜底。
-run(`cd /d "${repoRoot}" && ${proxyPrefix()}git add -A -- ${stageSpec}`);
-run(`cd /d "${repoRoot}" && git -c core.autocrlf=false commit -m "release: ${name} v${nextVer}" || exit 0`);
-run(`cd /d "${repoRoot}" && ${proxyPrefix()}git push "${pushUrl}" HEAD`);
-
-// ── 5.5 固定源回填（方案 A，2026-09-09）：用 release 提交号替换 bump 时的锚点 ──
-if (fixedSourceBumpLine) {
-  const relShort = quiet(`cd /d "${repoRoot}" && git rev-parse HEAD`).trim().slice(0, 7);
-  const rd = join(dir, "README.md");
-  const rtxt = existsSync(rd) ? readFileSync(rd, "utf8") : "";
-  const finalLine = `- **${nextVer}（当前）** 固定于 main Commit \`${relShort}\`（\`git checkout ${relShort}\` 可复现 npm \`${name}@${nextVer}\` 与 GitHub Release v${nextVer} 同源代码）。`;
-  if (rtxt.includes(fixedSourceBumpLine)) {
-    writeFileSync(rd, rtxt.replace(fixedSourceBumpLine, finalLine), "utf8");
-    console.log(`\n=== 固定源回填 ===\n${nextVer}：锚点 ${headBeforeShort} → release 提交 ${relShort}`);
-    run(`cd /d "${repoRoot}" && ${proxyPrefix()}git add -A -- ${stageSpec}`);
-    run(`cd /d "${repoRoot}" && git -c core.autocrlf=false commit -m "docs(readme): ${nextVer} 固定源回填 ${relShort}（发布后自动同步）" || exit 0`);
-    run(`cd /d "${repoRoot}" && ${proxyPrefix()}git push "${pushUrl}" HEAD`);
-  } else {
-    console.log("（固定源回填跳过：未匹配到 bump 行——可能已手工回填）");
-  }
-}
-
-// ── 6. GitHub Release（带正式 tgz asset，规则 26；清单标记 skipRelease 的包不建）─────
-if (entry?.skipRelease) {
-  console.log("（清单标记 skipRelease，跳过 GitHub Release）");
-} else {
-  console.log("\n=== GitHub Release ===");
-  const notesFile = join(process.env.TEMP || ".", `notes-${name}-${nextVer}.md`);
-  writeFileSync(notesFile, `## v${nextVer}\n\nRelease generated by scripts/release-plugin.mjs\n`);
-  // 必须在插件目录（git 仓库）内运行：gh release 内部会做 git 检查
-  run(`cd /d "${dir}" && ${proxyPrefix()}gh release create v${nextVer} "${join(dir, tgz)}" --title "${name} v${nextVer}" --notes-file "${notesFile}"`);
-}
-
-// ── 7. 本机 profile 同步（--sync-profile：豁免名单 + 装配审计；需 danger-full-access 运行）──
-if (syncProfile) {
-  console.log("\n=== 本机 profile 同步 ===");
-  let manifest = null;
-  try {
-    manifest = JSON.parse(readFileSync(join(SCRIPT_DIR, "plugins.json"), "utf8"));
-  } catch {
-    manifest = { profile: "web" };
-  }
-  const profileDir = resolve(WORKSPACE, "..", ".dsh", "profiles", manifest.profile || "web");
-  const wsYaml = join(profileDir, "pnpm-workspace.yaml");
-  if (existsSync(wsYaml)) {
-    const raw = readFileSync(wsYaml, "utf8");
-    const lineRe = new RegExp(`^(  - ${name.replace(/[.*+?^${}()|[\]\\]/g, "\\$&")}@[^\\n]*)$`, "m");
-    const m = raw.match(lineRe);
-    if (m && !m[1].includes(nextVer)) {
-      const bakDir = join(profileDir, "..", ".backups");
-      mkdirSync(bakDir, { recursive: true });
-      const stamp = new Date().toISOString().replace(/[:.]/g, "-").slice(0, 19);
-      const bak = join(bakDir, `pnpm-workspace-${stamp}.yaml`);
-      copyFileSync(wsYaml, bak);
-      const updated = raw.replace(lineRe, `${m[1]} || ${nextVer}`);
-      writeFileSync(wsYaml, updated);
-      console.log(`豁免名单已追加 ${name}@${nextVer}（备份 ${bak}）`);
-    } else if (!m) {
-      console.log(`（豁免名单无 ${name} 条目，跳过）`);
-    } else {
-      console.log(`（豁免名单已含 ${nextVer}，跳过）`);
-    }
-  }
-  // 全量装配审计（规则 27）
-  const auditScript = join(SCRIPT_DIR, "..", "projects", "oss", "dsh-rule-engine", "scripts", "audit-mount-consistency.mjs");
-  if (existsSync(auditScript)) {
-    const out = quiet(`node "${auditScript}" --profile ${manifest.profile || "web"}`);
-    const pass = /MOUNT CONSISTENT/.test(out);
-    console.log(out.split("\n").filter((l) => /RESULT|DUPLICATES|MOUNT|summary/.test(l)).join("\n"));
-    if (!pass) fail("装配审计未通过（MOUNT CONSISTENT 未出现），请先处理再重启 DSH");
-    console.log("装配审计 MOUNT CONSISTENT ✓");
-  }
-}
-
-console.log(`\n=== 发布完成：${name} v${nextVer} ===`);
-console.log(`npm: ${name}@${nextVer}`);
-console.log(`release: https://github.com/${repo}/releases/tag/v${nextVer}`);

package/scripts/rules-health.mjs

@@ -1,55 +0,0 @@
-// rules-health.mjs - 规则触发率统计（阶段 2"数据驱动精简"的基础工具，2026-08-24）
-// 用法：node scripts/rules-health.mjs [--top 10]
-// 数据源：DSH_HOME/rule-engine.log.jsonl（引擎审计日志——四类审计自 2026-08-24 起）
-// 输出：① 各规则触发统计（按 total 排序）② 零命中清单（对照 rule-understanding.json 规则全集）
-//       ③ 样本标注：总量 < MIN_SAMPLE 时提示"样本不足，暂不据此删/并/浓缩规则"。
-import { readFileSync, existsSync } from "node:fs";
-import { join } from "node:path";
-import os from "node:os";
-
-const DSH_HOME = process.env.DSH_HOME || join(os.homedir(), ".dsh");
-const LOG = join(DSH_HOME, "rule-engine.log.jsonl");
-const UNDERSTANDING = join(DSH_HOME, "rule-understanding.json");
-const MIN_SAMPLE = 200;
-const TOP = Number((process.argv.find((a) => a.startsWith("--top=")) || "").split("=")[1]) || 10;
-
-if (!existsSync(LOG)) {
-  console.log(`NO LOG: ${LOG}`);
-  process.exit(0);
-}
-
-const stats = new Map(); // ruleId -> Map(kind -> count)
-let total = 0;
-for (const line of readFileSync(LOG, "utf8").split("\n")) {
-  if (!line.trim()) continue;
-  let e;
-  try { e = JSON.parse(line); } catch { continue; }
-  if (!e || !e.kind || !e.rule) continue;
-  total++;
-  const byKind = stats.get(String(e.rule)) || new Map();
-  byKind.set(e.kind, (byKind.get(e.kind) || 0) + 1);
-  stats.set(String(e.rule), byKind);
-}
-
-// 规则全集（对照零命中）
-let ruleIds = new Set();
-try {
-  const u = JSON.parse(readFileSync(UNDERSTANDING, "utf8"));
-  ruleIds = new Set((u.rules || []).map((r) => String(r.ruleId)));
-} catch { /* 理解产物缺失时只统计日志内规则 */ }
-
-const rows = [...stats.entries()]
-  .map(([rule, byKind]) => ({ rule, total: [...byKind.values()].reduce((a, b) => a + b, 0), byKind }))
-  .sort((a, b) => b.total - a.total);
-
-console.log(`规则触发率统计（样本总量 ${total}${total < MIN_SAMPLE ? `，⚠ 样本不足 ${MIN_SAMPLE}——暂不据此删/并规则` : ""}）`);
-console.log("规则      触发数  分类明细");
-for (const { rule, total, byKind } of rows.slice(0, TOP)) {
-  const detail = [...byKind.entries()].map(([k, n]) => `${k}:${n}`).join(" ");
-  console.log(`${String(rule).padEnd(10)} ${String(total).padEnd(7)} ${detail}`);
-}
-const zero = [...ruleIds].filter((id) => !stats.has(id));
-if (zero.length > 0) {
-  console.log(`\n零命中规则（${zero.length}）：${zero.join(", ")}`);
-  console.log("注：零命中 ≠ 无用（条件触发型低频规则正常）；仅作体检参考，勿据单次样本删规则。");
-}