DSH 制品晋升证明

DeepSeek Harness 供应链的离线、确定性证据层。它检查一个明确的制品摘要是否遵循了声明的构建 → 暂存 → 生产链，并具有每个阶段所需的精确环境绑定、前驱收据和门禁证据。

它不部署任何内容、不调用注册表、不授予批准、不验证运行时健康状态，也不改变环境。它同样不认证收据或验证来源签名。promoted 判定仅表示所提供的仅哈希记录在内部是完整、有序且符合策略的。

互补边界

• dsh-release-proof 比较下载端点的 HTTP、长度、版本和 SHA-256 一致性。

• dsh-attestation-proof 验证 DSSE/in-toto 签名、主体和签名者阈值。

• dsh-reproducible-build-proof 比较独立重建输出。

• dsh-build-hermeticity-proof 检查单个已记录构建的声明外部影响闭包。

• dsh-output-custody-proof 检查 DSH 工具结果如何被投射、溢出并持久记录。

• 此插件检查跨声明的部署阶段的零重建晋升连续性。dsh-evidence-arena 将选定的编码工作树晋升到仓库中；此插件从不写入候选或仓库。

每个阶段必须恰好出现一次且按顺序出现。制品摘要、阶段/环境哈希和前驱部署收据必须保持连续。所需的门禁类型必须出现一次、绑定同一制品、先于晋升，并满足该阶段的独立权威阈值。缺失、过期、重排、跨制品或多余的门禁证据均以失败关闭。

Related MCP server: proofspec

安装

dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT

该捆绑包从一个无头核心暴露 dsh_artifact_promotion_inspect 和 dsh_artifact_promotion_verify。独立的 MCP stdio 服务器暴露 artifact_promotion_inspect 和 artifact_promotion_verify。CLI 接受 inspect 或 verify 以及显式的 JSON 路径。

参见 examples/promoted.json。报告仅包含哈希、计数、布尔值、门禁分类和判定。形似秘密的材料和原始日志/正文/内容字段被拒绝。DSH 验证工具读取工作区相对的非符号链接清单，仅写入显式的工作区相对 artifactDir，仅创建确定性的内容寻址输出，并通过读回进行验证。

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

需要 Node.js 22 或更高版本。验证器没有运行时依赖，不生成任何进程，也不发起任何网络请求。