在 DeepSeek Harness (DSH) 生態中，系統會在啓動時生成官方默認的工具架構目錄。現有的工具如 dsh-mcp-lens 已經提供了大型 MCP 目錄壓縮和架構預算檢查功能。此插件不做這些。它驗證部署特定的、顯式記錄的信封：例如，在升級後，所有者/原生表面和讀取器/原生表面是否仍完全暴露批准的工具身份和架構。
功能¶
此插件生成離線內容尋址的證據，證明實際記錄的模型可見工具表面符合批准的鎖定，跨代理範圍、權限模式和呈現模式。
核心能力包括：
* 驗證部署特定的、顯式記錄的信封。
* 檢測漂移：缺失或意外的表面、範圍/權限/呈現不匹配、工具添加或移除、架構變更、順序漂移、過時或未來觀察、重複身份和版本不匹配。
* 通過 DSH bundle 暴露 dsh_tool_surface_inspect 和 dsh_tool_surface_verify。
* 提供基於 MCP 服務器的內聯、無文件系統等效方案。
用法¶
CLI 提供兩個主要子命令。
檢查工具表面：
dsh-tool-surface-proof inspect --manifest surface.json
驗證工具表面：
dsh-tool-surface-proof verify --workspace-root . --manifest surface.json --artifact-dir artifacts
驗證器讀取一個工作區相對的正則文件，拒絕符號鏈接和遍歷，不進行網絡請求或子進程。它將一個內容尋址的 JSON 報告寫入明確指定的 artifact 目錄。
限制與注意事項¶
此插件不捕獲實時運行時狀態，授予或拒絕權限，執行命令，連接到 MCP 服務器，或證明記錄器誠實。它依賴於受信任的部署特定記錄器來創建觀察信封。
報告僅包含 SHA-256 身份、計數和漂移類別。它們從不返回工具名稱、描述、架構或原始業務內容。
技術規格¶
- 許可證： MIT
- 兼容性： DSH >= 0.1.2-alpha.4, Node >= 22
- 安裝： 官方安裝命令未提供。請參考 GitHub 倉庫獲取源代碼。
總結¶
對於需要證明部署特定的工具表面符合批准的鎖定，而不暴露工具名稱或業務邏輯的團隊，此插件提供了一種機制。它關注部署範圍的一致性，而不是運行時權限或執行。
