dsh-warranty-calc 0.2.0 → 0.2.2

package/CHANGELOG.md

@@ -0,0 +1,29 @@
+# Changelog
+
+## 0.2.2
+
+- Ship `CHANGELOG.md` and `SECURITY.md` inside the package. `files` is an
+  allowlist and neither was on it, so no release note had ever reached anyone
+  who installed this package, and npm had no changelog section to show.
+## 0.2.1
+
+- Citation pass: every `excerpt` was checked against this repository's own
+  `rules/evidence/` record, and the record was completed for the clauses the
+  rules quote.
+- Seven source URLs were broken by a duplicated path segment and could not be opened.
+- Adds `rules/citations-baseline.json`, which the `check:citations` gate reads:
+  it lists any excerpt not yet traceable to the evidence, and that list can
+  only shrink.
+## 0.2.0
+
+- Release infrastructure brought to the family standard: `verify:self-contained`,
+  `check:lockfile`, `check:readmes` and `check:citations` gates, a `prepublishOnly` that
+  re-runs the whole chain, SECURITY.md, dependabot, and the OpenSSF Scorecard workflow.
+- `check:citations` enforces the rule this pack's own header states: every `excerpt`
+  must be a verbatim quotation, findable in `rules/evidence/`. Rules that are not
+  traceable yet are listed in `rules/citations-baseline.json`, and that file can only
+  shrink - anything new has to be sourced before it can land.
+- The README install command now names the published package instead of a local tarball.
+- Five-language READMEs hold the same section count and the same configuration keys.
+- Rule pack: 7 rules across WC-001..WC-007.
+- Licensed Apache-2.0.

package/SECURITY.md

@@ -0,0 +1,39 @@
+# Security Policy
+
+## Reporting a vulnerability
+
+Please report security vulnerabilities **privately** through GitHub's private
+vulnerability reporting:
+
+**Security → Report a vulnerability** at
+https://github.com/PerryLink/dsh-warranty-calc/security/advisories/new
+
+Do **not** open a public issue for security findings.
+
+Before reporting, **sanitize everything you paste**: remove tokens, API keys,
+credentials, authorization headers, session contents, and personal data. Logs
+without secrets only.
+
+## Scope note
+
+This plugin is an offline checker. It reads the material you hand it and
+compares it against a versioned rule pack; it makes no network calls and no
+model calls, and it stores nothing.
+
+## What to include
+
+- affected package version (and DeepSeek Harness runtime version)
+- a minimal reproduction
+- your impact assessment
+
+## Response expectations
+
+- acknowledgement within **7 days**
+- status updates at least every **14 days** until resolution
+- coordinated disclosure: the fix and advisory are prepared first; the finding
+  is disclosed publicly after the fix ships
+
+## Credits and disclosure
+
+- reporters are credited in the advisory and CHANGELOG unless they ask to stay anonymous
+- advisories follow GitHub's advisory workflow and are published together with the fix

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-warranty-calc",
-  "version": "0.2.0",
+  "version": "0.2.2",
   "description": "质保期与索赔金额核对（按质保期月数与里程、索赔金额算式核对自洽，仅提示差异，不作出定性结论）",
   "type": "module",
   "main": "lib/index.mjs",
@@ -23,7 +23,9 @@
     "README-hi.md",
     "locale/*.json",
     "icon.svg",
-    "rules"
+    "rules",
+    "CHANGELOG.md",
+    "SECURITY.md"
   ],
   "scripts": {
     "build": "tsdown",
@@ -32,7 +34,7 @@
     "verify:self-contained": "node scripts/verify-self-contained.mjs",
     "check:lockfile": "node scripts/check-lockfile-drift.mjs",
     "check:readmes": "node scripts/check-readme-sync.mjs",
-    "prepublishOnly": "pnpm run typecheck && pnpm test && pnpm run build && pnpm run verify:self-contained && pnpm run check:readmes && pnpm run check:citations",
+    "prepublishOnly": "pnpm run typecheck && pnpm test && pnpm run build && pnpm run verify:self-contained && pnpm run check:lockfile && pnpm run check:readmes && pnpm run check:citations",
     "prepare": "tsdown",
     "check:citations": "node scripts/check-citations.mjs"
   },

package/rules/citations-baseline.json

@@ -1,8 +1,4 @@
 {
   "note": "Excerpt segments that are not yet traceable to this repository's rules/evidence/ record. The check:citations gate fails on anything new and on any entry that has become traceable, so this list can only shrink.",
-  "untraceable": [
-    "WC-001:6b8768521ea3",
-    "WC-005:5e802e274f83",
-    "WC-007:6b8768521ea3"
-  ]
+  "untraceable": []
 }

package/rules/evidence/clause-verification-sanbao-43.md

@@ -0,0 +1,85 @@
+# 条文核查报告 —— dsh-warranty-calc（家用汽车三包期限核对）
+
+- **核查日期**：2026-10-07
+- **核查对象**：`WC-001`、`WC-005`、`WC-007` 引用的《家用汽车产品修理更换退货责任规定》
+- **核查方法**：按规则 `basis.source` 指向的**国务院公报页面**取回全文，逐字复制。
+- **结论**：**取得逐字条文** —— 第九条、第十七条、第十八条、第十九条。
+
+---
+
+## 一、本轮先修的一处真实缺陷：`source` URL 是坏的
+
+规则库中 **7 处** `source` 字段写成了下面这个**拼接错误的 URL**：
+
+```
+https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+                                                      ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
+                                                      多拼接了一段，浏览器无法打开
+```
+
+正确地址应为
+`https://www.gov.cn/gongbao/content/2021/content_5639836.htm`。
+**7 处已全部修正。** 这类坏链会让读者完全无法核对引文来源，与「引文应可追溯」的纪律直接冲突。
+
+---
+
+## 二、已取得逐字条文的文件
+
+### 《家用汽车产品修理更换退货责任规定》
+
+- **版本事实**（逐字照录自该页正文）：
+  **国家市场监督管理总局令第 43 号**。《规定》已经 **2021 年 3 月 18 日**国家市场监督管理总局
+  第 4 次局务会议通过，**2021 年 7 月 22 日**公布（局长 张工签署），**自 2022 年 1 月 1 日起施行**。
+- **来源**：《国务院公报》2021 年第 27 号，中国政府网
+  <https://www.gov.cn/gongbao/content/2021/content_5639836.htm>
+  （**中央人民政府门户网站 · 国务院公报**，属中央发布渠道）
+- **取得方式**：整页取回后剥离标签、逐字复制；顿号、括号与项号按原页保留。
+
+逐字条文（与本插件规则相关的各条）：
+
+> **第九条**　三包凭证应当包括下列内容：
+> 　　（一）产品品牌、型号、车辆类型、车辆识别代号（VIN）、生产日期；
+> 　　（二）生产者的名称、地址、邮政编码、客服电话；
+> 　　（三）销售者的名称、地址、邮政编码、客服电话、开具购车发票的日期、交付车辆的日期；
+> 　　（四）生产者或者销售者约定的修理者（以下简称修理者）网点信息的查询方式；
+> 　　（五）家用汽车产品的三包条款、包修期、三包有效期、使用补偿系数；
+> 　　（六）主要零部件、特殊零部件的种类范围，易损耗零部件的种类范围及其质量保证期；
+> 　　（七）家用纯电动、插电式混合动力汽车产品的动力蓄电池在包修期、三包有效期内的容量衰减限值；
+> 　　（八）按照规定需要明示的其他内容。
+
+> **第十七条**　修理者应当建立修理记录存档制度。修理记录保存期限不得低于6年。
+> 　　修理记录应当包括送修时间、行驶里程、消费者质量问题陈述、检查结果、修理项目、更换的零部件名称和编号、材料费、工时及工时费、车辆拖运费用、提供备用车或者交通费用补偿的情况、交车时间、修理者和消费者签名或者盖章等信息，并提供给消费者一份。
+> 　　消费者因遗失修理记录或者其他原因需要查阅或者复印修理记录，修理者应当提供便利。
+
+> **第十八条**　家用汽车产品的三包有效期不得低于2年或者行驶里程50,000公里，以先到者为准；包修期不得低于3年或者行驶里程60,000公里，以先到者为准。
+> 　　三包有效期和包修期自销售者开具购车发票之日起计算；开具购车发票日期与交付家用汽车产品日期不一致的，自交付之日起计算。
+
+> **第十九条**　家用汽车产品在包修期内出现质量问题或者易损耗零部件在其质量保证期内出现质量问题的，消费者可以凭三包凭证选择修理者免费修理（包括免除工时费和材料费）。
+> 　　修理者能够通过查询相关信息系统等方式核实购买信息的，应当免除消费者提供三包凭证的义务。
+
+---
+
+## 三、条号归属核对（未发现错置）
+
+`WC-001`/`WC-007`（第十七条、第九条）、`WC-005`（第十九条）各条号与本规定原文一致。
+
+⚠️ **本规定第十八条含两个硬性下限**（三包有效期 **2 年或 50,000 公里**、包修期 **3 年或 60,000 公里**，
+均"以先到者为准"），且**起算点有兜底规则**（发票日期与交付日期不一致时自交付之日起计算）。
+若本插件的计算逻辑未体现"以先到者为准"或该兜底起算规则，即为**实质错误**——本次已把该条全文录入，
+供后续核对计算逻辑时直接比对。
+
+⚠️ 本规则库的 `kind`、`severity`、`excerpt` **一律未改动**。
+
+## 四、仍未取得的部分（如实标注）
+
+| 文件 | 状态 |
+|---|---|
+| 本规定第二十条及以后（更换、退货的具体情形与折旧计算） | 页面已含全文，但本插件规则未引用，故不全录。 |
+| 《中华人民共和国产品质量法》《消费者权益保护法》 | **未取得**；本规定第一条列为立法依据，本插件不直接引用。 |
+
+## 五、复现方法
+
+```sh
+curl -sL -A 'Mozilla/5.0' 'https://www.gov.cn/gongbao/content/2021/content_5639836.htm' \
+  | sed 's/<[^>]*>//g' | tr -s ' ' | grep -o '第十七条[^第]*'
+```

package/rules/warranty-calc.yaml

@@ -41,7 +41,7 @@ rules:
       clause: 第十七条（修理记录应当包括……更换的零部件名称和编号……）、第九条（三包凭证的内容）
       excerpt: 修理者应当建立修理记录存档制度。修理记录保存期限不得低于6年。修理记录应当包括送修时间、行驶里程、消费者质量问题陈述、检查结果、修理项目、更换的零部件名称和编号、材料费、工时及工时费、车辆拖运费用、提供备用车或者交通费用补偿的情况、交车时间、修理者和消费者签名或者盖章等信息，并提供给消费者一份。
       kind: direct
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: presenceAny
@@ -64,7 +64,7 @@ rules:
       clause: 第十八条（三包有效期与包修期均为"不得低于"的下限）、第四条（鼓励经营者作出严于本规定的承诺）
       excerpt: 本条依据为本机构配置的口径，不存在可引用的标准条文；本规则库不伪造引文。
       kind: institutional-configuration
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: date
@@ -97,7 +97,7 @@ rules:
       clause: 第十八条（三包有效期、包修期与其起算点）
       excerpt: 家用汽车产品的三包有效期不得低于2年或者行驶里程50,000公里，以先到者为准；包修期不得低于3年或者行驶里程60,000公里，以先到者为准。三包有效期和包修期自销售者开具购车发票之日起计算；开具购车发票日期与交付家用汽车产品日期不一致的，自交付之日起计算。
       kind: derived-from-principle
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: number
@@ -121,7 +121,7 @@ rules:
       clause: 第十八条（行驶里程 50,000 公里／60,000 公里，以先到者为准）
       excerpt: 本条依据为本机构配置的口径，不存在可引用的标准条文；本规则库不伪造引文。
       kind: institutional-configuration
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: fieldComparison
@@ -145,7 +145,7 @@ rules:
       clause: 第十九条（免费修理，包括免除工时费和材料费）
       excerpt: 家用汽车产品在包修期内出现质量问题或者易损耗零部件在其质量保证期内出现质量问题的，消费者可以凭三包凭证选择修理者免费修理（包括免除工时费和材料费）。
       kind: direct
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: productOf
@@ -171,7 +171,7 @@ rules:
       clause: 第十八条（起算点：自销售者开具购车发票之日起；不一致时自交付之日起）
       excerpt: 家用汽车产品的三包有效期不得低于2年或者行驶里程50,000公里，以先到者为准；包修期不得低于3年或者行驶里程60,000公里，以先到者为准。三包有效期和包修期自销售者开具购车发票之日起计算；开具购车发票日期与交付家用汽车产品日期不一致的，自交付之日起计算。
       kind: derived-from-principle
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: date
@@ -199,7 +199,7 @@ rules:
       clause: 第十七条（修理记录存档制度）、第九条（三包凭证的内容）
       excerpt: 修理者应当建立修理记录存档制度。修理记录保存期限不得低于6年。修理记录应当包括送修时间、行驶里程、消费者质量问题陈述、检查结果、修理项目、更换的零部件名称和编号、材料费、工时及工时费、车辆拖运费用、提供备用车或者交通费用补偿的情况、交车时间、修理者和消费者签名或者盖章等信息，并提供给消费者一份。
       kind: derived-from-principle
-      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htmgongbao/content/2021/content_5639836.htm
+      source: https://www.gov.cn/gongbao/content/2021/content_5639836.htm
     params:
         check:
           kind: unique