dsh-config-origin-proof：DeepSeek Harness 配置來源所有權證明

前言¶

DeepSeek Harness (DSH) 的配置管理依賴於來源優先級和策略組合。開發者在調試或審計時，常需要確認某個最終生效的配置具體來自哪個源，以及是否存在被更高優先級源覆蓋或“影子源”的情況。雖然 DSH 自身的 --dump-config 可以查看組合後的結果，但它不提供關於來源所有權和決策過程的可驗證證據。dsh-config-origin-proof 旨在填補這一空白，通過證據層將配置來源的決策過程轉化爲可重現的收據。

插件介紹¶

dsh-config-origin-proof 是一個爲 DeepSeek Harness 提供配置來源所有權證據層的插件。它由用戶 dongsheng123132 維護。

該插件的核心作用是將可信生產者（如 DSH composer）產生的結構化記錄轉化爲可重現的證據收據。它不重新實現 DSH composer 或收集實時配置，DSH 自身的 --dump-config 仍是權威來源。它與 dsh-policy-drift-proof（檢查策略變更）和 dsh-profile-lock-proof（證明安裝包完整性）形成互補，專注於回答“記錄中的哪個來源獲勝”以及“爲什麼”。

核心功能¶

來源驗證：驗證 DSH 配置來源的所有權。
可重現證據：提供可重現的證據收據，確保配置決策的可追溯性。
安全脫敏：拒絕原始值和敏感字段（如 secret、credential、prompt、message 或 prose 形狀的文本），僅報告穩定 ID、SHA-256 摘要和裁決。
多接口支持：支持 DSH、CLI 和 MCP 三種操作模式。

安裝與啓用¶

通過以下命令將該插件添加到指定的 DSH profile（例如 web）中：

dsh plugin --profile web add github:dongsheng123132/dsh-config-origin-proof

典型用法¶

根據使用場景的不同，該插件提供了 DSH 接口、CLI 命令和 MCP 內聯接口。

CLI 驗證¶

在命令行中運行驗證命令，指定工作區根目錄、記錄文件和輸出目錄：

dsh-config-origin-proof verify --workspace-root examples --recording recording.json --artifact-dir artifacts

DSH 接口¶

在 DSH 運行時環境中，可以調用以下接口：

dsh_config_origin_inspect
dsh_config_origin_verify

MCP 接口¶

MCP 模式爲內聯操作，無文件系統、網絡、進程或工件寫入：

config_origin_inspect_inline
config_origin_verify_inline

適用場景與注意事項¶

適用場景：需要嚴格審計配置來源、防止配置注入攻擊、或需要爲配置決策生成不可篡改證據的開發環境。

注意事項：
* 權限與安全：插件以當前 DSH 進程的權限運行，安裝前建議檢查源碼與許可證（MIT）。
* 兼容性：DSH 版本需滿足 >=0.1.2-alpha.4，Node.js 版本需滿足 >=22。
* 驗證邏輯：當更高優先級的來源未被觀察到時，驗證器會失敗（fail closed），即直接報錯而不繼續。
* 模式差異：MCP 模式完全基於內存操作，不涉及文件系統或網絡寫入。

總結¶

dsh-config-origin-proof 通過內容尋址的證據機制，讓 DeepSeek Harness 的配置管理變得可驗證。它不收集實時配置，而是基於可信的記錄文件提供審計視角，幫助開發者理清配置來源的優先級和決策依據。更多細節與源碼，請參考 GitHub 倉庫。