DSH Artifact Promotion Proof

DeepSeek Harness のサプライチェーン向けの、オフラインで決定的な証拠レイヤーです。1 つの明示的なアーティファクトダイジェストが、宣言されたビルド → ステージング → 本番のチェーンを、各ステージで必要とされる正確な環境バインディング、先行レシート、ゲート証拠とともに辿ったかどうかを検査します。

これは、何かをデプロイせず、レジストリを呼び出さず、承認を付与せず、ランタイムの健全性を検証せず、環境を変更しません。また、レシートを認証せず、来歴シグネチャも検証しません。promoted という判定は、提供されたハッシュのみのレコードが内部的に完全であり、順序どおりであり、ポリシーに準拠していることだけを意味します。

補完的な境界

• dsh-release-proof は、HTTP、長さ、バージョン、SHA-256 の一致について、ダウンロードエンドポイントを比較します。

• dsh-attestation-proof は、DSSE/in-toto シグネチャ、サブジェクト、署名者閾値を検証します。

• dsh-reproducible-build-proof は、独立した再ビルドの出力を比較します。

• dsh-build-hermeticity-proof は、記録された 1 つのビルドが宣言した外部影響の閉包を検査します。

• dsh-output-custody-proof は、DSH ツールの結果がどのように投影され、書き出され、永続的に記録されるかを検査します。

• このプラグインは、宣言されたデプロイ段階をまたぐ、再ビルドなしの昇格の連続性を検査します。dsh-evidence-arena は、選択されたコーディングワークツリーをリポジトリへ昇格させます。一方、このプラグインは候補やリポジトリを一切書き込みません。

すべてのステージは、正確に 1 回だけ、かつ順序どおりに出現しなければなりません。アーティファクトダイジェスト、ステージ/環境ハッシュ、先行デプロイレシートは連続していなければなりません。必須のゲート種別は 1 回出現し、同じアーティファクトにバインドされ、昇格に先行し、そのステージの異なる権限閾値を満たす必要があります。ゲート証拠が欠落している、古くなっている、順序が入れ替わっている、別アーティファクトに属している、または余分である場合、フェイルクローズします。

Related MCP server: proofspec

インストール

dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT

このバンドルは、単一のヘッドレスコアから dsh_artifact_promotion_inspect と dsh_artifact_promotion_verify を公開します。独立した MCP stdio サーバーは、artifact_promotion_inspect と artifact_promotion_verify を公開します。CLI は、inspect または verify と明示的な JSON パスを受け付けます。

examples/promoted.json を参照してください。レポートには、ハッシュ、カウント、ブール値、ゲート分類、判定のみが含まれます。シークレットの形状をしたデータと、生のログ/ボディ/コンテンツフィールドは拒否されます。DSH 検証ツールは、ワークスペース相対の非シンボリックリンクマニフェストを読み取り、明示されたワークスペース相対の artifactDir にのみ書き込み、決定的なコンテンツアドレス指定の出力のみを作成し、読み戻して検証します。

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

Node.js 22 以降が必要です。この検証ツールはランタイム依存関係を持たず、プロセスを生成せず、ネットワークリクエストも行いません。