Skip to main content
Glama
deenesjakoruzh
dongsheng123132

dsh-build-hermeticity-proof

by dongsheng123132
OverviewSchemaSourceRelated ServersDiscussionsAdmin
JavaScript
Local

DSH-Build-Hermetizitätsnachweis

Eine offline, deterministische Beweisebene für DeepSeek-Harness-Lieferketten. Sie prüft, ob eine explizite, nur-Hash-Build-Zugriffsquittung innerhalb ihrer deklarierten Datei-, Umgebungs-, Netzwerk-, Uhr-, Zufalls- und Ausgabeabschließung geblieben ist.

Es führt keinen Build aus, erzwingt keine Sandbox, authentifiziert die Quittung nicht und beweist nicht, dass nicht aufgezeichnete Zugriffe nicht auftreten konnten. Es beweist auch keine Reproduzierbarkeit. Ein hermetic-Urteil bedeutet nur, dass die gelieferte Quittung intern vollständig und richtlinienkonform ist.

Komplementäre Abgrenzung

  • dsh-reproducible-build-proof vergleicht unabhängig durchgeführte Rebuild-Quittungen auf byte-identische spezifizierte Ausgaben.

  • dsh-attestation-proof verifiziert DSSE/in-toto-Signaturen, Subjekte und Schwellenwerte der Unterzeichner.

  • Dieses Plugin prüft die deklarierte Abschlussgrenze externer Einflüsse eines aufgezeichneten Builds: Datei-Lese-/Schreibzugriffe, Umgebungslesezugriffe, Netzwerk, Uhr und Zufall.

Beobachteter nicht deklarierter Zugriff schlägt fehl. Ein verweigerter nicht deklarierter Versuch wird als Eindämmungsnachweis aufbewahrt, verletzt jedoch nicht den Abschluss. Beobachteter Netzwerkzugriff schlägt unter der v1-Nur-Verweigern-Netzwerkrichtlinie immer fehl. Deklarierte Eingaben und Ausgaben müssen alle in der Quittung erscheinen; die Quellrevision, der Aufruf, der Uhrwert, der Zufallsseed und die zulässigen Umgebungswerte sind hash-gebunden.

Related MCP server: dsh-artifact-promotion-proof

Installation

dsh plugin add github:dongsheng123132/dsh-build-hermeticity-proof#COMMIT

Das Bundle stellt dsh_build_hermeticity_inspect und dsh_build_hermeticity_verify aus einem headless-Kern bereit. Der unabhängige MCP-stdio-Server stellt build_hermeticity_inspect und build_hermeticity_verify bereit. Die CLI akzeptiert inspect oder verify sowie einen expliziten JSON-Pfad.

Siehe examples/hermetic.json. Berichte enthalten nur Hashes, Zählwerte, boolesche Werte, Klassifikationen und Urteile. Geheimnisartiges Material, Rohprotokolle und Body-/Inhaltsfelder werden abgelehnt. Das DSH-Verify-Tool liest ein arbeitsbereichsrelatives Manifest ohne Symlinks, schreibt nur in ein explizites arbeitsbereichsrelatives artifactDir, erstellt ausschließlich deterministische inhaltsadressierte Ausgaben und verifiziert sie durch Rücklesen.

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

Node.js 22 oder neuer ist erforderlich. Der Verifizierer hat keine Laufzeitabhängigkeit, startet keinen Prozess und stellt keine Netzwerkanfrage.

This server cannot be deployed

One endpoint for every MCP toolRayrun runs every MCP server behind one URL and holds the credentials. Each call is decided per client, tool, and argument, then recorded.ray.runAd

Resources

Related MCP Connectors

Related MCP Servers

  • dsh-artifact-promotion-proof

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Enables offline, deterministic verification that one immutable artifact followed a declared build-to-production promotion chain, using only hash-based evidence and failing closed on incomplete or nonconformant gate records.
    MIT

  • dsh-duty-separation-proof

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Enables offline verification that a supplied DSH workflow adhered to declared duty-separation constraints, producing a redacted, content-addressed JSON verdict.
    MIT

  • dsh-vulnerability-remediation

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Offers proof-only tools to inspect and verify remediation closure receipts, deterministically confirming asset coverage, fixed artifact deployment, rescanning, deadline compliance, and zero-residual closure without executing scans or touching live systems.
    MIT