dsh-tender-workbench 0.4.1 → 0.4.2

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
Files changed (7) hide show
  1. package/CHANGELOG.md +13 -1
  2. package/README.en.md +7 -7
  3. package/README.md +6 -6
  4. package/docs/RELEASE-0.4.2.md +63 -0
  5. package/lib/client.js +283 -283
  6. package/package.json +2 -2
  7. package/docs/RELEASE-0.4.1.md +0 -77
package/CHANGELOG.md CHANGED
@@ -4,6 +4,17 @@ All notable changes to `dsh-tender-workbench` are documented in this file.
4
4
 
5
5
  ## [Unreleased]
6
6
 
7
+ ## [0.4.2] - 2026-09-05
8
+
9
+ ### Changed
10
+
11
+ - Advanced the stable release metadata and bilingual installation guidance to 0.4.2 for an end-to-end Trusted Publishing verification release.
12
+ - Kept the runtime implementation, public exports, workflow behavior, and Artifact schema unchanged from 0.4.1.
13
+
14
+ ### Security
15
+
16
+ - Publishes from the tag workflow through the npm Trusted Publisher binding for `duhu2000/dsh-tender-workbench` and `release.yml`, using GitHub Actions OIDC and npm provenance without a long-lived npm token.
17
+
7
18
  ## [0.4.1] - 2026-09-05
8
19
 
9
20
  ### Changed
@@ -37,6 +48,7 @@ All notable changes to `dsh-tender-workbench` are documented in this file.
37
48
  - Release automation uses GitHub OIDC Trusted Publishing and does not require a long-lived npm token in the repository.
38
49
  - Runtime credentials remain owned by the authorized MCP connector; Session-private source data and generated Artifacts are not published.
39
50
 
40
- [Unreleased]: https://github.com/duhu2000/dsh-tender-workbench/compare/v0.4.1...HEAD
51
+ [Unreleased]: https://github.com/duhu2000/dsh-tender-workbench/compare/v0.4.2...HEAD
52
+ [0.4.2]: https://github.com/duhu2000/dsh-tender-workbench/releases/tag/v0.4.2
41
53
  [0.4.1]: https://github.com/duhu2000/dsh-tender-workbench/releases/tag/v0.4.1
42
54
  [0.4.0]: https://github.com/duhu2000/dsh-tender-workbench/releases/tag/v0.4.0
package/README.en.md CHANGED
@@ -4,7 +4,7 @@
4
4
 
5
5
  `dsh-tender-workbench` is an open-source DeepSeek Harness plugin for finding, screening, reviewing, and delivering tender opportunities. It combines authorized `qcc-tender` data, deterministic screening rules, bounded Agent analysis, explicit human decisions, and immutable Excel/PDF reports in one Session-scoped Better Sidebar workbench.
6
6
 
7
- Current stable version: **0.4.1** (stable release).
7
+ Current stable version: **0.4.2** (stable release).
8
8
 
9
9
  ## What it does
10
10
 
@@ -67,12 +67,12 @@ dsh plugin --profile web add dsh-tender-workbench
67
67
  dsh web --no-open
68
68
  ```
69
69
 
70
- To install the exact 0.4.1 release:
70
+ To install the exact 0.4.2 release:
71
71
 
72
72
  ```sh
73
73
  dsh plugin --profile web add 'dsh-mcp-connector@>=0.2.31'
74
74
  dsh plugin --profile web add 'dsh-better-sidebar@>=0.17.1'
75
- dsh plugin --profile web add dsh-tender-workbench@0.4.1
75
+ dsh plugin --profile web add dsh-tender-workbench@0.4.2
76
76
  ```
77
77
 
78
78
  To install from an independent checkout, install the required Provider plugins first, then run from this repository:
@@ -91,7 +91,7 @@ To install a packed build:
91
91
  ```sh
92
92
  dsh plugin --profile web add 'dsh-mcp-connector@>=0.2.31'
93
93
  dsh plugin --profile web add 'dsh-better-sidebar@>=0.17.1'
94
- dsh plugin --profile web add ./dsh-tender-workbench-0.4.1.tgz
94
+ dsh plugin --profile web add ./dsh-tender-workbench-0.4.2.tgz
95
95
  dsh web --no-open
96
96
  ```
97
97
 
@@ -108,11 +108,11 @@ dsh plugin --profile web remove dsh-tender-workbench
108
108
  Upgrade an existing installation by installing the stable version and fully restarting the Web profile:
109
109
 
110
110
  ```sh
111
- dsh plugin --profile web add dsh-tender-workbench@0.4.1
111
+ dsh plugin --profile web add dsh-tender-workbench@0.4.2
112
112
  dsh web --no-open
113
113
  ```
114
114
 
115
- Version 0.4.1 keeps the workflow and Artifact schema used by 0.4.0; it changes the GitHub/npm presentation language and distribution metadata rather than migrating Session data. If a deployment-specific regression requires rollback, reinstall `dsh-tender-workbench@0.4.0` and restart the profile. Published npm versions and Git tags are immutable; fixes after publication use a new patch version rather than overwriting 0.4.1.
115
+ Version 0.4.2 keeps the runtime code, public exports, workflow, and Artifact schema used by 0.4.1. This patch validates the npm Trusted Publishing path from GitHub Actions through OIDC and provenance without migrating Session data. If a deployment-specific regression requires rollback, reinstall `dsh-tender-workbench@0.4.1` and restart the profile. Published npm versions and Git tags are immutable; fixes after publication use a new patch version rather than overwriting 0.4.2.
116
116
 
117
117
  ## Using the workbench
118
118
 
@@ -137,7 +137,7 @@ The build emits the Host loader at `lib/index.js`, the Client bundle at `lib/cli
137
137
 
138
138
  The province, city, and district source snapshot is maintained in [resources/area.ts](resources/area.ts).
139
139
 
140
- See [CHANGELOG.md](CHANGELOG.md) and [the 0.4.1 release checklist](docs/RELEASE-0.4.1.md) for the stable-release scope and operational checks.
140
+ See [CHANGELOG.md](CHANGELOG.md) and [the 0.4.2 release checklist](docs/RELEASE-0.4.2.md) for the stable-release scope and operational checks.
141
141
 
142
142
  ## Current scope
143
143
 
package/README.md CHANGED
@@ -4,7 +4,7 @@
4
4
 
5
5
  > 面向国内招投标团队的 DeepSeek Harness 开源智能体插件：在一个会话级工作台内完成标讯与拟建项目查询、确定性规则初筛、限定范围智能分析、人工复核，以及 Excel/PDF 报告交付。
6
6
  >
7
- > 当前稳定版本：**0.4.1**（正式版本）
7
+ > 当前稳定版本：**0.4.2**（正式版本）
8
8
 
9
9
  [![CI](https://github.com/duhu2000/dsh-tender-workbench/actions/workflows/ci.yml/badge.svg)](https://github.com/duhu2000/dsh-tender-workbench/actions/workflows/ci.yml)
10
10
  [![npm](https://img.shields.io/npm/v/dsh-tender-workbench)](https://www.npmjs.com/package/dsh-tender-workbench)
@@ -49,10 +49,10 @@ dsh web --no-open
49
49
 
50
50
  安装或移除插件后，请完整重启 Web Profile。插件通过 `dsh.bundle.patch` 启用 `cordis.patch.yml`，并注册 `dsh-tender-workbench` Loader。
51
51
 
52
- 安装指定的 `0.4.1` 版本：
52
+ 安装指定的 `0.4.2` 版本：
53
53
 
54
54
  ```sh
55
- dsh plugin --profile web add dsh-tender-workbench@0.4.1
55
+ dsh plugin --profile web add dsh-tender-workbench@0.4.2
56
56
  ```
57
57
 
58
58
  移除插件：
@@ -98,11 +98,11 @@ dsh plugin --profile web remove dsh-tender-workbench
98
98
  从已有版本升级：
99
99
 
100
100
  ```sh
101
- dsh plugin --profile web add dsh-tender-workbench@0.4.1
101
+ dsh plugin --profile web add dsh-tender-workbench@0.4.2
102
102
  dsh web --no-open
103
103
  ```
104
104
 
105
- `0.4.1` 沿用 `0.4.0` 的工作流与 Artifact Schema，仅调整 GitHub/npm 的中文优先展示及分发元数据，不迁移会话数据。如部署环境出现特定回归，可重新安装 `dsh-tender-workbench@0.4.0` 并重启 Profile。已发布的 npm 版本和 Git 标签保持不可变，后续修复使用新的补丁版本。
105
+ `0.4.2` 与 `0.4.1` 的运行时代码、公共导出、工作流和 Artifact Schema 保持一致；本补丁用于通过 npm Trusted Publishing 验证 GitHub Actions OIDC 与 provenance 自动发布链路，不迁移会话数据。如部署环境出现特定回归，可重新安装 `dsh-tender-workbench@0.4.1` 并重启 Profile。已发布的 npm 版本和 Git 标签保持不可变，后续修复使用新的补丁版本。
106
106
 
107
107
  ## 本地开发
108
108
 
@@ -117,7 +117,7 @@ corepack pnpm@11.7.0 run check
117
117
 
118
118
  `check` 会执行类型检查、完整 Vitest 测试、生产构建、README/发布状态校验以及 npm tarball 白名单预检。配置 npm Trusted Publishing 后，[发布工作流](.github/workflows/release.yml)可使用 OIDC 和 provenance；手工发布不得声称 provenance。
119
119
 
120
- 省、市、区数据源快照维护在 [resources/area.ts](resources/area.ts)。版本变更见 [CHANGELOG.md](CHANGELOG.md)，发布检查见 [0.4.1 发布清单](docs/RELEASE-0.4.1.md)。
120
+ 省、市、区数据源快照维护在 [resources/area.ts](resources/area.ts)。版本变更见 [CHANGELOG.md](CHANGELOG.md)，发布检查见 [0.4.2 发布清单](docs/RELEASE-0.4.2.md)。
121
121
 
122
122
  ## 当前范围
123
123
 
package/docs/RELEASE-0.4.2.md ADDED
@@ -0,0 +1,63 @@
1
+ # dsh-tender-workbench 0.4.2 发布清单
2
+
3
+ - Version: **0.4.2**
4
+ - 发布日期：2026-09-05
5
+ - Status: **release candidate**
6
+ - Git 标签：`v0.4.2`
7
+ - npm 目标：`dsh-tender-workbench@0.4.2`（`latest`）
8
+ - GitHub Release：<https://github.com/duhu2000/dsh-tender-workbench/releases/tag/v0.4.2>
9
+
10
+ ## 发布范围
11
+
12
+ 0.4.2 是 npm Trusted Publishing 交付链路验证补丁。运行时代码、公共导出、工作流行为和 Artifact Schema 与 0.4.1 保持一致；版本通过 `v0.4.2` 标签触发 `.github/workflows/release.yml`，由 GitHub Actions OIDC 发布至 npm 并生成 provenance，不使用长期 npm Token。
13
+
14
+ ## 兼容性与安装
15
+
16
+ - Node.js：`^22.19.0 || >=24.0.0`
17
+ - 包管理器：`pnpm@11.7.0`
18
+ - DeepSeek Harness 公共包：`>=0.1.1-rc.2 || >=0.1.2-0`
19
+ - `dsh-mcp-connector`：`>=0.2.31`
20
+ - `dsh-better-sidebar`：`>=0.17.1 || >=0.18.0-0`
21
+ - 必需 MCP 工具：`mcp__qcc-tender__search_tenders`、`mcp__qcc-tender__search_proposed_projects`
22
+
23
+ ## 发布门禁
24
+
25
+ - [x] 使用仓库锁文件完成 frozen pnpm install。
26
+ - [x] TypeScript 类型检查通过。
27
+ - [x] 完整 Vitest 测试通过。
28
+ - [x] Host Loader、Client Bundle、source map 和类型声明构建成功。
29
+ - [x] 中文/英文 README 与 0.4.2 发布状态检查通过。
30
+ - [x] npm tarball 只包含白名单公开文件，且同时包含 `README.md` 与 `README.en.md`。
31
+ - [x] tag 模式检查确认 `v0.4.2` 与包版本一致。
32
+ - [ ] `main` CI 在 Linux Node 22/24 和 Windows Node 24 全部通过。
33
+ - [ ] npm Trusted Publishing OIDC 自动发布成功，`latest` 指向 0.4.2。
34
+ - [ ] npm provenance 可验证，仓库和工作流身份与 Trusted Publisher 精确匹配。
35
+ - [ ] GitHub Release 为 latest、非 draft、非 prerelease。
36
+
37
+ 未勾选项均为待办，不得报告为已完成。发布成功后在 `main` 上追加不可变发布结果记录，不移动 `v0.4.2` 标签。
38
+
39
+ ## 发布步骤
40
+
41
+ 1. 使用 pnpm 11.7.0 执行 frozen install 和完整 `check`，再以 `GITHUB_REF_NAME=v0.4.2` 执行 tag 模式检查。
42
+ 2. 审查 tarball 白名单与 Git diff，只提交 0.4.2 发布元数据并推送 `main`。
43
+ 3. 等待所有必需 CI job 通过后，在发布提交上创建 annotated tag `v0.4.2` 并推送。
44
+ 4. 由 GitHub Actions 通过 OIDC 自动发布；不使用手工 npm fallback 来替代本次验证目标。
45
+ 5. 核验 npm version、dist-tag、provenance、中文 description、中文 README、仓库地址、tarball 摘要、Git 标签和 GitHub Release。
46
+
47
+ ## 本地验证记录
48
+
49
+ 2026-09-05 使用 Node.js 25.9.0 与 pnpm 11.7.0 完成验证：
50
+
51
+ - `pnpm install --frozen-lockfile`：通过，锁文件无需变更。
52
+ - `pnpm run check`：通过；40 个测试文件中 207 项通过、1 项预期跳过，并完成类型检查、生产构建、双语文档检查、发布状态检查和打包白名单验证。
53
+ - tag 模式检查：以 `GITHUB_REF_NAME=v0.4.2` 通过。
54
+ - tarball：170 个文件，全部位于发布白名单内。
55
+
56
+ 上游 `@deepseek-ai/dsh-client-ui-primitives` 仍缺少其声明的 source map，Vitest 会给出提示；本包生成的 source map 完整，构建与门禁通过。
57
+
58
+ ## 安全与回滚
59
+
60
+ - 禁止存储或输出 npm/GitHub Token、QCC 凭证、源数据集、真实业务证据或会话私有 Artifact。
61
+ - 推送标签前如门禁失败，修正发布提交并重新运行全部门禁。
62
+ - 推送标签后如自动发布失败，不复用或移动公开标签；诊断并使用新的补丁版本向前修复。
63
+ - npm 发布后不得覆盖或 unpublish 0.4.2；部署回滚目标为 `dsh-tender-workbench@0.4.1`。