前言¶
在 DeepSeek Harness (DSH) 的供應鏈管理中，驗證一個不可變的工件是否嚴格遵循了聲明的構建、預發、生產推廣鏈，是保障環境一致性的關鍵環節。傳統的驗證方式往往需要部署、調用註冊表或驗證運行時健康，這不僅耗時，還可能引入不必要的副作用。dsh-artifact-promotion-proof 專注於提供一種離線的、確定性的證據層，它不依賴網絡請求或外部服務，僅通過哈希記錄即可完成推廣鏈的合規性檢查。
插件介紹¶
dsh-artifact-promotion-proof 是一個由 dongsheng123132 維護的管理安全類插件。其核心職責是生成離線的內容尋址證明，驗證特定的工件哈希是否在聲明的推廣鏈中保持連續性。
該插件解決的問題是：在沒有任何部署操作、註冊表調用或運行時健康檢查的情況下，僅憑提供的哈希記錄，驗證工件是否完整、有序且符合策略地通過了各個階段。它不負責認證收據或驗證來源簽名，僅驗證數據結構的內部完整性。
核心功能¶
插件提供了一套嚴格但非侵入式的驗證機制：
- 推廣鏈驗證：檢查工件哈希是否在聲明的 build → staging → production 鏈中嚴格連續。
- 環境綁定檢查：確保每個階段的證據包含精確的環境綁定、前置收據以及門控證據。
- 零重建推廣：支持跨聲明部署階段的零重建推廣連續性。
- 確定性證據：生成確定的、內容尋址的證據層，用於 DeepSeek Harness 供應鏈審計。
- 報告結構：驗證報告僅包含哈希值、計數、布爾值、門控分類和最終裁決，不包含原始日誌、主體或內容字段。
安裝與啓用¶
安裝該插件需要使用 DSH 的 profile 機制。確保你的 DeepSeek Harness 版本滿足兼容性要求（>= 0.1.2-alpha.4）。
執行以下命令進行安裝：
dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT
安裝完成後，插件會暴露相關的 CLI 和 MCP 接口。
典型用法¶
插件提供了 CLI 和 MCP stdio 兩種使用方式，核心命令均包含 inspect 和 verify 兩個操作。
CLI 使用：
dsh_artifact_promotion_inspect
dsh_artifact_promotion_verify
CLI 接受 inspect 或 verify 操作，並支持顯式指定 JSON 路徑。
MCP stdio 使用：
MCP 服務器暴露了以下接口：
- artifact_promotion_inspect
- artifact_promotion_verify
驗證工具要求：
DSH 的 verify 工具需要讀取一個工作區相對路徑的非符號鏈接清單（manifest），並將輸出寫入到指定的工作區相對路徑 artifactDir 中。驗證過程會通過回讀來確保內容的確定性。
Node.js 22 或更新版本是運行此插件的前提。
適用場景與注意¶
該插件適用於需要靜態審計供應鏈推廣流程的場景，例如安全合規檢查、自動化審計流水線等。
在使用時，需注意以下事實：
- 權限與副作用：插件以當前 DSH 進程權限運行，不會執行部署、調用註冊表、授予批准、驗證運行時健康或修改環境等操作。
- 驗證範圍：驗證器的“promoted”裁決僅意味着提供的哈希記錄在內部是完整的、有序的且符合策略的，不意味着它認證了收據或驗證了來源簽名。
- 數據格式限制：插件拒絕形狀像機密的材料以及原始的日誌/主體/內容字段，僅處理結構化的哈希記錄。
- 運行時特徵：驗證器本身沒有運行時依賴，不生成進程，也不發起任何網絡請求。
- 階段順序：清單中的每個階段必須恰好出現一次，且必須按順序排列，否則將導致驗證失敗。
短結尾¶
dsh-artifact-promotion-proof 爲 DeepSeek Harness 提供了底層且確定性的證據層。通過剝離部署和健康檢查的複雜性，它允許開發者專注於數據記錄的完整性和順序性。對於關注供應鏈靜態合規性的場景，這是一個可靠的工具。更多細節可參考插件目錄或GitHub 倉庫。
