智能体在 DeepSeek Harness（DSH）会话中可以快速生成报告、图表、图片或 PDF。但要在对话历史中定位这些产物并追溯其来源，通常需要离开当前会话或依赖外部工具。Artifact Harbor 专为 DSH Web 设计，在会话头部提供原生的“Artifacts”入口，将智能体生成的文件锚定在对应的 Workspace 中，实现安全的预览与溯源。
核心能力¶
Artifact Harbor 作为一个本地优先的产物浏览器，提供以下功能：
- 多格式支持：支持 Markdown、HTML、PNG/JPEG/WebP、SVG 和 PDF 的预览。
- 完整元数据：展示文件的路径、MIME 类型、大小、时间戳、SHA-256 校验和以及 Git 状态。
- 可解释溯源：明确标注产物的归属关系（Session、Turn、Tool Call）及置信度（exact、temporal 或 unknown）。
- 安全边界：基于 realpath 限制路径访问范围、限制读取大小、进行内容清洗、应用严格 CSP（禁止网络请求、导航、脚本执行），并使用空 iframe 沙箱渲染。
- 会话原生体验：UI 集成在 DSH Web 内部，不依赖桌面端独立查看器。
- 实时索引：通过防抖的文件监听器，实时更新文件列表，支持创建、编辑、重命名和删除操作。
- 工作区隔离：仅在工作区范围内进行发现，不扫描用户主目录。
安装与启用¶
Artifact Harbor 目前未发布至公开 npm 仓库，需从源码构建并安装。在开始之前，请确保你的环境满足兼容性要求：DeepSeek Harness 版本为 @deepseek-ai/dsh@0.1.1-rc.2，Node.js 版本为 ^22.19.0 或 >=24.0.0，pnpm 版本为 10.20.0。
- 克隆仓库并进入目录：
git clone https://github.com/bleakbelladonnals/dsh-artifact-harbor.git
cd dsh-artifact-harbor
- 启用 Corepack 并安装依赖、构建项目、打包为 tarball：
corepack enable
pnpm install --frozen-lockfile
pnpm build
npm pack --ignore-scripts
- 将打包的插件添加到 DSH Web 配置中并启动 Web 界面：
dsh plugin --profile web add "$PWD/dsh-artifacts-0.1.0.tgz"
dsh web
典型用法¶
安装成功后，打开一个 cwd 指向已注册 Workspace 的 Session。在会话头部会出现 Artifacts 按钮。点击该按钮即可查看当前会话生成的所有受支持文件。文件列表会随着 Workspace 内文件的变化自动刷新。
适用场景与注意事项¶
- 适用对象：需要在会话上下文中管理和审查智能体生成内容的开发者或架构师。
- 社区项目：Artifact Harbor 是社区项目，非 DeepSeek 官方产品。
- 版本限制：v0.1 目前是开发者预览版，固定兼容 DSH
0.1.1-rc.2。 - 内容信任：所有产物内容均被视为不可信，即使是由智能体自身创建。在处理不可信 Workspace 时，请务必阅读
SECURITY.md文档。 - 安全机制：HTML 和 SVG 文件会在 Host 端进行清洗，并附带严格的 CSP（禁止网络、脚本、表单提交等），渲染时不执行脚本或允许跨域访问。
- 路径安全：绝对路径、遍历变体以及试图逃逸 Workspace 的符号链接将被拒绝访问（fail closed）。
卸载¶
如需移除插件，请执行以下命令：
dsh plugin --profile web remove dsh-artifacts
卸载将释放路由、SSE 流、监听器和内存索引。相关的相对元数据可能保留在 $DSH_HOME/state/dsh-artifacts 中，但产物内容和 Session 日志不会被缓存。
Artifact Harbor 基于 MIT 许可证开源，旨在为本地优先的智能体工作流提供安全、可追溯的文件管理能力。项目地址与详细文档可参考其 GitHub 仓库。
