Skip to main content
Glama
deenesjakoruzh
dongsheng123132

dsh-build-hermeticity-proof

by dongsheng123132
OverviewSchemaSourceRelated ServersDiscussionsAdmin
JavaScript
Local

DSH 构建封闭性证明

一个用于 DeepSeek Harness 供应链的离线、确定性证据层。它验证一份显式的、仅含哈希的构建访问凭证是否始终处于其声明的文件、环境、网络、时钟、随机性和输出闭包之内。

它不执行构建，不强制沙箱，不验证凭证的真实性，也不证明未记录的访问不可能发生。它同样不证明可重现性。hermetic 判定仅表示所提供的凭证在内部是完整的且符合策略。

互补边界

  • dsh-reproducible-build-proof 比较独立运行的重新构建凭证，以确认指定的输出字节一致。

  • dsh-attestation-proof 验证 DSSE/in-toto 签名、主体和签名者阈值。

  • 本插件检查一次已记录构建的声明外部影响闭包：文件读写、环境读取、网络、时钟和随机性。

观察到未声明的访问即失败。被拒绝的未声明尝试会作为遏制证据保留，但不会破坏闭包。在 v1 仅拒绝网络策略下，观察到的网络访问始终失败。声明的输入和输出必须全部出现在凭证中；源修订版本、调用、时钟值、随机种子和允许的环境值均以哈希绑定。

Related MCP server: dsh-artifact-promotion-proof

安装

dsh plugin add github:dongsheng123132/dsh-build-hermeticity-proof#COMMIT

该捆绑包从一个无头核心暴露 dsh_build_hermeticity_inspect 和 dsh_build_hermeticity_verify。独立的 MCP stdio 服务器暴露 build_hermeticity_inspect 和 build_hermeticity_verify。CLI 接受 inspect 或 verify 以及一个显式的 JSON 路径。

参见 examples/hermetic.json。报告仅包含哈希、计数、布尔值、分类和判定。类秘密材料、原始日志和正文/内容字段均被拒绝。DSH verify 工具读取工作区相对的非符号链接清单，仅写入显式的工作区相对 artifactDir，专门创建确定性内容寻址输出，并通过读回进行验证。

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

需要 Node.js 22 或更高版本。验证器没有运行时依赖，不生成任何进程，也不发起任何网络请求。

This server cannot be deployed

One endpoint for every MCP toolRayrun runs every MCP server behind one URL and holds the credentials. Each call is decided per client, tool, and argument, then recorded.ray.runAd

Resources

Related MCP Connectors

Related MCP Servers

  • dsh-artifact-promotion-proof

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Enables offline, deterministic verification that one immutable artifact followed a declared build-to-production promotion chain, using only hash-based evidence and failing closed on incomplete or nonconformant gate records.
    MIT

  • dsh-duty-separation-proof

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Enables offline verification that a supplied DSH workflow adhered to declared duty-separation constraints, producing a redacted, content-addressed JSON verdict.
    MIT

  • dsh-vulnerability-remediation

    dongsheng123132
    A
    license
    Not graded
    quality
    C
    maintenance
    Offers proof-only tools to inspect and verify remediation closure receipts, deterministically confirming asset coverage, fixed artifact deployment, rescanning, deadline compliance, and zero-residual closure without executing scans or touching live systems.
    MIT