前言¶
在 DeepSeek Harness (DSH) 的供应链管理中，验证一个不可变的工件是否严格遵循了声明的构建、预发、生产推广链，是保障环境一致性的关键环节。传统的验证方式往往需要部署、调用注册表或验证运行时健康，这不仅耗时，还可能引入不必要的副作用。dsh-artifact-promotion-proof 专注于提供一种离线的、确定性的证据层，它不依赖网络请求或外部服务，仅通过哈希记录即可完成推广链的合规性检查。
插件介绍¶
dsh-artifact-promotion-proof 是一个由 dongsheng123132 维护的管理安全类插件。其核心职责是生成离线的内容寻址证明，验证特定的工件哈希是否在声明的推广链中保持连续性。
该插件解决的问题是：在没有任何部署操作、注册表调用或运行时健康检查的情况下，仅凭提供的哈希记录，验证工件是否完整、有序且符合策略地通过了各个阶段。它不负责认证收据或验证来源签名，仅验证数据结构的内部完整性。
核心功能¶
插件提供了一套严格但非侵入式的验证机制：
- 推广链验证：检查工件哈希是否在声明的 build → staging → production 链中严格连续。
- 环境绑定检查：确保每个阶段的证据包含精确的环境绑定、前置收据以及门控证据。
- 零重建推广：支持跨声明部署阶段的零重建推广连续性。
- 确定性证据：生成确定的、内容寻址的证据层，用于 DeepSeek Harness 供应链审计。
- 报告结构：验证报告仅包含哈希值、计数、布尔值、门控分类和最终裁决，不包含原始日志、主体或内容字段。
安装与启用¶
安装该插件需要使用 DSH 的 profile 机制。确保你的 DeepSeek Harness 版本满足兼容性要求（>= 0.1.2-alpha.4）。
执行以下命令进行安装：
dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT
安装完成后，插件会暴露相关的 CLI 和 MCP 接口。
典型用法¶
插件提供了 CLI 和 MCP stdio 两种使用方式，核心命令均包含 inspect 和 verify 两个操作。
CLI 使用：
dsh_artifact_promotion_inspect
dsh_artifact_promotion_verify
CLI 接受 inspect 或 verify 操作，并支持显式指定 JSON 路径。
MCP stdio 使用：
MCP 服务器暴露了以下接口：
- artifact_promotion_inspect
- artifact_promotion_verify
验证工具要求：
DSH 的 verify 工具需要读取一个工作区相对路径的非符号链接清单（manifest），并将输出写入到指定的工作区相对路径 artifactDir 中。验证过程会通过回读来确保内容的确定性。
Node.js 22 或更新版本是运行此插件的前提。
适用场景与注意¶
该插件适用于需要静态审计供应链推广流程的场景，例如安全合规检查、自动化审计流水线等。
在使用时，需注意以下事实：
- 权限与副作用：插件以当前 DSH 进程权限运行，不会执行部署、调用注册表、授予批准、验证运行时健康或修改环境等操作。
- 验证范围：验证器的“promoted”裁决仅意味着提供的哈希记录在内部是完整的、有序的且符合策略的，不意味着它认证了收据或验证了来源签名。
- 数据格式限制：插件拒绝形状像机密的材料以及原始的日志/主体/内容字段，仅处理结构化的哈希记录。
- 运行时特征：验证器本身没有运行时依赖，不生成进程，也不发起任何网络请求。
- 阶段顺序：清单中的每个阶段必须恰好出现一次，且必须按顺序排列，否则将导致验证失败。
短结尾¶
dsh-artifact-promotion-proof 为 DeepSeek Harness 提供了底层且确定性的证据层。通过剥离部署和健康检查的复杂性，它允许开发者专注于数据记录的完整性和顺序性。对于关注供应链静态合规性的场景，这是一个可靠的工具。更多细节可参考插件目录或GitHub 仓库。
