DSH Artifact Promotion Proof

Eine offline arbeitende, deterministische Nachweisebene für DeepSeek-Harness-Lieferketten. Sie prüft, ob ein expliziter Artefakt-Digest einer deklarierten Kette Build → Staging → Produktion mit den genauen Umgebungsbindungen, Vorgängerbelegen und Gate-Nachweisen folgt, die in jeder Stufe erforderlich sind.

Es stellt nichts bereit, ruft keine Registry auf, erteilt keine Genehmigung, prüft keinen Laufzeitzustand und verändert keine Umgebung. Es authentifiziert auch keine Belege und verifiziert keine Provenienzsignaturen. Ein promoted-Urteil bedeutet nur, dass die gelieferten Hash-only-Datensätze intern vollständig, geordnet und richtlinienkonform sind.

Komplementäre Abgrenzung

• dsh-release-proof vergleicht Download-Endpunkte auf Übereinstimmung bei HTTP, Länge, Version und SHA-256.

• dsh-attestation-proof verifiziert DSSE/in-toto-Signaturen, Subjekte und Unterzeichnerschwellen.

• dsh-reproducible-build-proof vergleicht die Ausgaben unabhängiger Rebuilds.

• dsh-build-hermeticity-proof prüft die deklarierte Abgeschlossenheit eines aufgezeichneten Builds gegenüber externen Einflüssen.

• dsh-output-custody-proof prüft, wie ein DSH-Tool-Ergebnis projiziert, abgelegt und dauerhaft aufgezeichnet wird.

• Dieses Plugin prüft die Kontinuität der Promotion ohne Rebuild über deklarierte Bereitstellungsstufen. dsh-evidence-arena befördert einen ausgewählten Coding-Worktree in ein Repository; dieses Plugin schreibt niemals einen Kandidaten oder ein Repository.

Jede Stufe muss genau einmal und in der richtigen Reihenfolge vorkommen. Der Artefakt-Digest, der Stufen-/Umgebungs-Hash und der Vorgänger-Bereitstellungsbeleg müssen durchgängig bleiben. Erforderliche Gate-Typen müssen einmal vorkommen, dasselbe Artefakt binden, der Promotion vorausgehen und die Schwelle der Stufe für unterschiedliche Autoritäten erfüllen. Fehlende, veraltete, umsortierte, artefaktübergreifende oder zusätzliche Gate-Nachweise führen zu einem Fail-Closed-Zustand.

Related MCP server: proofspec

Installation

dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT

Das Bundle stellt dsh_artifact_promotion_inspect und dsh_artifact_promotion_verify aus einem einzigen Headless-Kern bereit. Der unabhängige MCP-stdio-Server stellt artifact_promotion_inspect und artifact_promotion_verify bereit. Die CLI akzeptiert inspect oder verify sowie einen expliziten JSON-Pfad.

Siehe examples/promoted.json. Berichte enthalten nur Hashes, Zählwerte, boolesche Werte, Gate-Klassifizierungen und Urteile. Geheimnisähnliches Material und rohe Log-/Body-/Inhaltsfelder werden abgelehnt. Das DSH-Verify-Tool liest ein workspace-relatives Manifest, das kein Symlink ist, schreibt nur in ein explizites workspace-relatives artifactDir, erzeugt ausschließlich deterministische, inhaltsadressierte Ausgaben und verifiziert diese durch Rücklesen.

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

Node.js 22 oder neuer ist erforderlich. Der Verifizierer hat keine Laufzeitabhängigkeit, startet keinen Prozess und führt keine Netzwerkanfrage durch.