DeepSeek Harness (DSH) 生态奉行“一切皆插件”的理念。在构建智能体或供应链验证流程时，如何在不依赖实时沙盒或在线网络验证的情况下，确认构建过程是否严格遵循声明的边界，是一个关键问题。dsh-build-hermeticity-proof 插件旨在提供一种离线、基于哈希的确定性证据层，用于验证记录的构建访问是否严格停留在声明的文件、环境、网络、时钟和随机性闭包内。
该插件由 dongsheng123132 维护，属于 admin-security 类别。它是一个离线、确定性证据层，专为 DeepSeek Harness 供应链设计。其核心价值在于仅通过哈希值验证构建访问收据的内部完整性和策略合规性，无需在验证阶段执行构建或进行网络请求。
核心功能¶
- 离线哈希证明：仅通过哈希验证构建访问范围，无需在线验证。
- 全面的边界检查：验证文件读写、环境变量读取、网络、时钟和随机性访问。
- 确定性内容寻址：生成确定性内容寻址输出。
- 轻量级验证器：验证器无运行时依赖，不生成子进程，不发起网络请求。
安装与启用¶
使用前请确保环境已安装 Node.js 22 或更高版本。通过以下命令安装插件：
dsh plugin add github:dongsheng123132/dsh-build-hermeticity-proof#COMMIT
典型用法¶
插件暴露了 dsh_build_hermeticity_inspect 和 dsh_build_hermeticity_verify（来自无头核心），同时也通过独立的 MCP stdio 服务器暴露了 build_hermeticity_inspect 和 build_hermeticity_verify。CLI 接受 inspect 或 verify 命令，并需要显式的 JSON 路径。
报告仅包含哈希、计数、布尔值、分类和裁决。验证器会拒绝密钥形状的材料、原始日志以及 body/content 字段。
在使用示例 examples/hermetic 时，验证器会读取工作区相对的非符号链接清单，并写入到显式的工作区相对 artifactDir 中，通过回读来验证其完整性。
适用场景与注意事项¶
- 适用场景：适合需要验证构建证据内部完整性和策略合规性的场景，特别是对离线验证有要求的场景。
- 局限性：
- 插件不执行构建，也不强制执行沙盒。它不认证收据，也不证明未记录的访问不可能发生。
- 插件不证明可复现性。一个
hermetic裁决仅意味着提供的收据在内部是完整的且符合策略。 - 在 v1 拒绝网络策略下，观察到的网络访问会失败。
- 生态说明：DSH 理念是「一切皆插件」，社区目录是独立站点，与 DeepSeek / 幻方无官方从属关系。
该插件通过离线哈希证明为构建边界提供了验证层。如需查看源码或获取更多信息，请访问其 GitHub 仓库或社区目录页面。
