前言¶

在 DSH 插件場景裏，一個 Windows 主機能不能安全進入 harness 工作流，不能只靠人工看幾項配置。更穩定的做法是：先把主機狀態整理成一份已淨化、SHA-256 固定的觀測證據，再讓插件按明確策略做驗證。

dsh-windows-readiness-proof 用於做這一步驗證：它不採集狀態，也不修復問題，只對已有證據做 readiness 校驗，並生成確定性 artifact。

這是什麼¶

dongsheng123132/dsh-windows-readiness-proof 是 dongsheng123132 維護的 DSH 插件，MIT 許可，要求 Node.js >= 22。

它定位明確：evidence verifier，而不是 collector 或 remediation tool。輸入是已淨化的託管 Windows 主機觀測數據，輸出是可用於 CI 或審計的確定性 artifact。

核心功能¶

校驗對象¶

插件針對 SHA-256 固定、已淨化的託管 Windows 主機觀測數據執行明確的 DeepSeek Harness readiness 驗證。

CLI¶

提供 inspect 和 verify 兩個 CLI 入口，可指定 workspace、manifest 和 artifactDir。

DSH / MCP tools¶

暴露以下 DSH/MCP 工具：

• dsh_windows_readiness_inspect
• dsh_windows_readiness_verify

以及別名：

• windows_readiness_inspect
• windows_readiness_verify

Fail closed¶

對以下證據會採取 fail closed：

• 缺失
• 過期
• 未來時間
• 格式錯誤
• 疑似 secret
• 攜帶身份
• 路徑逃逸
• 符號鏈接
• 策略不匹配

輸出邊界¶

報告只暴露 opaque identities、hashes、classifications、reason codes 和 control status，不暴露用戶名、域名、端點、註冊表路徑、命令輸出、憑據或原始觀測數據。

行爲邊界¶

插件不運行 PowerShell、不讀取註冊表、不修改 Group Policy、不創建 Defender 例外、不編輯 WDAC/AppLocker、不安裝軟件、不重啓服務、不探測網絡。

安裝與啓用¶

安裝時使用官方命令，並把 <commit> 替換爲固定 commit：

dsh plugin --profile windows-readiness add github:dongsheng123132/dsh-windows-readiness-proof#<commit>

由於插件會以當前 dsh 進程權限運行，安裝前建議先檢查源碼與許可證。該插件爲 MIT 許可，要求 Node.js >= 22。

典型用法¶

inspect¶

inspect 用於查看當前 manifest 下的 readiness 狀態：

dsh-windows-readiness-proof inspect --workspace . --manifest manifest.json

verify¶

verify 會執行校驗，並把結果寫入 artifact 目錄：

dsh-windows-readiness-proof verify --workspace . --manifest manifest.json --artifactDir artifacts

退出碼約定：

• exit 0：verified
• exit 2：readiness 或 evidence failure

DSH entry 與 Web loader¶

DSH entry 是 namespace plugin（name / inject / apply），沒有 default export。

對已構建的 DSH checkout 和包含該 bundle 的隔離 Web profile，可以運行：

DSH_CHECKOUT=/path/to/dsh DSH_HOME=/path/to/isolated-home npm run smoke:web-loader

這一步用於檢查 real Cordis Loader 在 stock Web profile 加載 bundle 時，是否保留 tools 注入。

適用場景與注意¶

適合把 Windows readiness 作爲 CI 或審計輸入的團隊。尤其適合希望把“主機是否滿足 harness 前置條件”變成可複覈證據，而不是依賴交互式檢查的場景。

需要注意：

• 它不是採集器，不會替你收集主機狀態；
• 它不是修復工具，不會修改 Group Policy、Defender、WDAC/AppLocker 等配置；
• 證據必須按 manifest 固定，且經過淨化；
• 報告只輸出 opaque identities、hashes、classifications、reason codes 和 control status；
• 插件以當前 dsh 進程權限運行，安裝前應檢查源碼與許可證。

參考¶

GitHub 倉庫：

https://github.com/dongsheng123132/dsh-windows-readiness-proof