前言¶
在 DSH（DeepSeek Harness）里让智能体参与「从需求到上线」的全流程时，常见问题是：先写代码、后补 UX 与安全，RAG 与 subagent 没有退出标准，发布时只剩一串链接、没有可核验的证据。dsh-fullstack-engineer（仓库 yinbo-liao/DSH-full-stack-engineer-plugin）不是代码生成器，而是一套规划与评审工具：用固定工程顺序和门禁，把「可交付」拆成可检查的工件。社区目录见 SkillHub 插件页；分类为工作流，与 DSH「一切皆插件」的生态一致，目录站点独立于 DeepSeek / 幻方，并非官方应用商店。
这是什么¶
维护者 yinbo-liao。包名 dsh-fullstack-engineer，当前版本 0.1.0（MIT）。插件向智能体提供 full-stack engineering operating contract：范围化需求、UX 模式、安全与可靠性、基于 LangChain / LangGraph 的分步 RAG，以及面向 subagent 的 harness / loop 工程约定。README 明确：它是 planning and review instrument，不替你把应用生成出来，而是强制顺序与证据，使应用具备可发布条件。插件本身无网络、文件系统或进程访问；实际校验由宿主或 CI 承担。
核心工具与输出¶
下面六个工具在 README 中有对应输出说明；另有一份系统提示片段 fullstack-engineer:playbook，写明不可妥协的工程顺序。
| 工具 | 主要输出 |
|---|---|
fullstack_plan |
Jobs、非目标、验收标准、UX 流/状态、架构、威胁模型、SLO、交付门禁、完成定义 |
fullstack_ux_review |
按屏状态矩阵、模式匹配、可访问性、文案规则、反模式 |
fullstack_security_review |
设计级威胁模型（对象授权、租户隔离、注入、SSRF、密钥、CSRF、审计、AI 边界）及控制与测试 |
fullstack_rag_blueprint |
十步 RAG：源与 ACL 清单 → 摄入 → 解析 → 分块 → 嵌入/索引 → 混合检索/重排 → grounded 生成 → 评估 → 观测 → 运营 |
fullstack_subagent_plan |
Supervisor 与 worker 契约、允许工具、循环预算、无进展/停止规则、harness 要求、门禁、红队用例 |
fullstack_gate |
针对命名工件的 pass/hold，及关门所需证据记录 |
插件强制的工程顺序¶
README 将流程固定为六步，与门禁链 scope → ux → build → reliability → rag → harness → release → outcome 一致（GATE_G 仅用于扩展；KPI/护栏失败不阻塞发布或回滚）。
- Frame：用户、jobs、非目标、约束、验收、单一成功 KPI。
- UX：流程与各状态（
default、loading、empty、partial、error、offline、permission-denied、success），可访问性与文案。 - Contract：API、数据模型、授权、迁移、回滚。
- Threat model：对象授权、多租户、注入、SSRF、密钥、CSRF/会话、审计；AI 侧含 prompt 注入、RAG ACL 泄漏、工具滥用。
- Evaluate：语料归属/ACL、golden set、阈值；在 RAG 或 subagent 之前先定义回滚。
- Release evidence：记录须含 producer、commit、范围与新鲜度，不能只有 URI。
RAG 蓝图要点（LangChain / LangGraph）¶
fullstack_rag_blueprint 采用分步设计，每阶段有退出标准。LangChain 作为组件工具集（如 DocumentLoader、TextSplitter、VectorStore、Retriever、RunnableParallel、reranker）；需要有界多步状态时用 LangGraph 编排。设计要点包括：混合检索（BM25 + 向量）、评分前 ACL 过滤、top-20 召回后重排至 5；500–800 token 分块、15% overlap、父文档扩展；引用或拒绝、不给出无依据答案；50+ 题的 golden set（含拒绝与注入）；阈值示例 recall@5 ≥ 0.85、faithfulness ≥ 0.90、citation precision ≥ 0.90、refusal correctness ≥ 0.95；token/成本/延迟预算与周反馈循环。
Subagent harness¶
fullstack_subagent_plan 产出 supervisor + 类型化 worker（product、UX、backend、frontend、security、verifier），一次只路由一个、上下文预算纪律、迭代/工具调用上限、无进展规则、停止条件、审批门禁、仅追加审计预期，以及「自批证据」「跳过 verifier」等红队场景。
与 dsh-secure-mesh 的集成¶
若已安装 dsh-secure-mesh，提示会引导智能体对外部 HTTP 使用 secure_fetch（禁止裸出口）、不可逆/高影响操作前 request_human_approval（仅 approved: true 授权）、对 SQL/Python/金融类主张使用 validate_claim，并对检索与外部文本应用不可信数据围栏规则。
安装与启用¶
包声明了 dsh.bundle.patch，可按任意 DSH bundle 方式安装。README 原文步骤如下。
- 发布/安装包
dsh-fullstack-engineer@0.1.0，或使用 Git checkout。 - 在 Plugins 页面添加 bundle，或将
cordis.patch.yml中的fullstack-engineer条目写入 profile。 - 重启或重载 profile。
依赖要求（package.json）：engines.dsh 为 >=0.2.0 <0.3.0；peer 含 @deepseek-ai/cordis、@deepseek-ai/dsh-system-prompt、@deepseek-ai/dsh-tools 等对应版本区间。
本地开发可先构建与 stub 测试：
npm install
npm run build
npm run test:stub
在禁止 Node 测试子进程的沙箱中，可按 README 使用 in-process 测试命令（node --test --test-isolation=none 等）。与真实 profile 联调时，README 示例为本地路径添加插件后跑 integration.real.test.mjs（路径因环境而异，以你本机 checkout 为准）。
配置项¶
| Key | 默认 | 作用 |
|---|---|---|
rigor |
standard |
lean、standard 或 regulated；regulated 增加审批/审计预期 |
defaultStack |
FastAPI + PostgreSQL + React |
brief 未指定栈时的默认 |
prompt |
true |
是否向系统提示贡献 playbook 段 |
plan、uxReview、securityReview、ragBlueprint、subagentPlan、gate |
true |
是否注册各工具 |
maxOpenQuestions |
8 |
开放问题上限（3–20） |
典型用法（工作流层面）¶
资料未给出单条 CLI 对话示例，但工具设计暗示可按门禁顺序调用：先用 fullstack_plan 定范围与验收，再用 fullstack_ux_review / fullstack_security_review 对齐界面与安全设计；若要上 RAG，在实现前跑 fullstack_rag_blueprint 对齐十步与阈值；多智能体方案用 fullstack_subagent_plan；各阶段产出齐全后由 fullstack_gate 判定 pass/hold。Playbook 段（prompt: true 时）会把上述顺序写进系统提示，减少智能体跳步。
适用场景与限制¶
适合：需要在 DSH 里做全栈/feature 交付规划、评审 UX 与安全、起草 RAG 或 subagent 方案、用统一门禁收束证据的团队或个人。
注意（均来自 README）：
- 规划是确定性强、带观点的，不能替代产品发现。
- 威胁模型在设计层，列的是应有测试，不声称已执行。
- 不部署、不迁移、不调提供商、不写代码。
- 证据真伪由宿主/CI 验证；gate 只说明必须具备什么。
- 安装前请自行审阅仓库源码与 MIT 许可证；插件在 DSH 进程权限下运行，与其他插件叠加时需评估整体暴露面。
结尾¶
dsh-fullstack-engineer 把全栈交付从「凭感觉做完」改成「按顺序产出、用证据过门」——规划、UX、契约、威胁模型、评估与发布记录一环扣一环，并单独覆盖 RAG 十步与 subagent harness。若你在 Harness 里做复杂功能而不是单次脚本，可把该 bundle 当作工作流基线。
- 目录页：https://www.skillhub.cn/plugins/yinbo-liao/DSH-full-stack-engineer-plugin
- GitHub：https://github.com/yinbo-liao/DSH-full-stack-engineer-plugin
