dsh-break-glass-settlement-proof：离线验证紧急访问会话结算证据

前言¶

在 DSH 插件开发或智能体运维中，紧急访问（Break-glass）场景的审计是一个关键环节。我们需要确认一个会话是否在声明的生命周期内被正确关闭，且仅执行了允许的操作。本插件提供了验证这些结算证据的工具。

这是什么¶

dsh-break-glass-settlement-proof 是一个 DSH 插件，由用户 dongsheng123132 维护。它的核心功能是提供离线的、确定性的证据，用于验证用户提供的 break-glass 会话关闭证据。它不负责认证收据的真实性，也不提供访问控制，只做验证工作。

核心功能¶

插件主要提供以下能力：

1. 离线证据验证：提供离线、确定性的证据，用于会话结算。
2. 生命周期检查：验证会话的激活、终止和过期状态。
3. 操作审计：检查活跃区间内的操作是否在允许列表中。
4. 权限吊销验证：验证所有声明的权限是否在关闭前被吊销，且吊销收据非零。
5. 工具支持：提供 DSH 原生工具和 MCP 工具，包括 dsh_break_glass_inspect、dsh_break_glass_verify、break_glass_inspect 和 break_glass_verify。
6. 安全报告：生成内容寻址且经过脱敏的报告。

安装与启用¶

安装需要使用 DSH 插件命令，并指定绝对路径。命令如下：

dsh plugin --profile <profile> add /absolute/path/to/dsh-break-glass-settlement-proof

典型用法¶

安装后，可以通过 CLI 或代码调用插件提供的功能。根据文档，典型用法如下：

node bin/dsh-break-glass-settlement-proof.mjs inspect examples/settled.json
node bin/dsh-break-glass-settlement-proof.mjs verify examples/settled.json

适用场景与注意¶

• 适用场景：适用于需要审计 break-glass 会话是否合规关闭的场景，特别是安全运营和合规审计。
• 注意事项：
  • 本插件不是身份提供者或特权访问管理器，不会授予、激活、批准或吊销访问权限。
  • 它仅验证提供的结算数据，不验证收据本身的真实性（即不进行身份认证）。
  • 不查询实时身份基础设施。
  • residualGrantCount: 0 仅是所提供关闭证据中的声明，不代表事实。
  • 使用前请检查源码和许可证（MIT）。

结尾¶

该插件通过提供离线的确定性验证手段，帮助开发者和管理员在不依赖实时基础设施的情况下，快速核查 break-glass 会话的结算状态。如需了解更多细节，请参考 GitHub 仓库。