Prueba de promoción de artefactos DSH

Una capa de evidencia determinista y sin conexión para cadenas de suministro de DeepSeek Harness. Comprueba si un resumen (digest) de artefacto explícito siguió una cadena declarada de compilación → ensayo → producción con los enlaces de entorno exactos, recibos de predecesor y evidencia de compuerta requeridos en cada etapa.

No despliega nada, no llama a un registro, no concede aprobaciones, no verifica el estado del entorno en tiempo de ejecución ni muta un entorno. Tampoco autentica recibos ni verifica firmas de procedencia. Un veredicto promoted significa únicamente que los registros proporcionados, de solo hash, son internamente completos, están ordenados y se ajustan a la política.

Límite complementario

• dsh-release-proof compara los extremos de descarga para verificar el acuerdo de HTTP, longitud, versión y SHA-256.

• dsh-attestation-proof verifica firmas DSSE/in-toto, sujetos y umbrales de firmantes.

• dsh-reproducible-build-proof compara salidas de reconstrucciones independientes.

• dsh-build-hermeticity-proof comprueba el cierre de influencia externa declarado de una compilación registrada.

• dsh-output-custody-proof comprueba cómo se proyecta, se vuelca y se registra de forma duradera el resultado de una herramienta DSH.

• Este plugin comprueba la continuidad de promoción sin reconstrucción a lo largo de las etapas de despliegue declaradas. dsh-evidence-arena promueve un árbol de trabajo de codificación seleccionado a un repositorio; este plugin nunca escribe un candidato ni un repositorio.

Cada etapa debe aparecer exactamente una vez y en orden. El resumen del artefacto, el hash de etapa/entorno y el recibo de despliegue del predecesor deben permanecer continuos. Los tipos de compuerta obligatorios deben aparecer una vez, vincular el mismo artefacto, preceder a la promoción y cumplir el umbral de autoridad distinta de la etapa. La evidencia de compuerta ausente, obsoleta, reordenada, de otro artefacto o adicional provoca un fallo en modo cerrado.

Related MCP server: proofspec

Instalación

dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT

El paquete expone dsh_artifact_promotion_inspect y dsh_artifact_promotion_verify desde un núcleo sin interfaz (headless). El servidor MCP stdio independiente expone artifact_promotion_inspect y artifact_promotion_verify. La CLI acepta inspect o verify junto con una ruta JSON explícita.

Consulte examples/promoted.json. Los informes contienen únicamente hashes, recuentos, booleanos, clasificaciones de compuertas y veredictos. Se rechazan materiales con forma de secreto y los campos de registro/cuerpo/contenido en bruto. La herramienta de verificación DSH lee un manifiesto relativo al espacio de trabajo que no es un enlace simbólico, escribe únicamente en un artifactDir explícito relativo al espacio de trabajo, crea salidas deterministas direccionadas por contenido exclusivamente y las verifica mediante relectura.

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

Se requiere Node.js 22 o superior. El verificador no tiene dependencias en tiempo de ejecución, no inicia ningún proceso y no realiza ninguna solicitud de red.