动工守门 643048695/dsh-egm

dsh-egm · 动工前的守门人

大象写图纸，金鱼挑刺，你拍板 —— 然后才写代码。
适配自 google/elephant-goldfish-model（Apache-2.0）。
原版材料的原样镜像在 vendor/egm/；DSH 适配是 skills/egm-gate / egm-review、skills/egm-classic- 和 lib/ 里的派发映射。

现状一句话（先读这个）：原版资源已在源目录与上游 pin 逐字节校验一致（npm 包内容与源目录不完全一致，见下），但原版完整流程、只读隔离、端到端运行都没有验证过。派发默认拒绝；只有用户本人在回复提示中点击「是」确认，或在 EGM 面板点击「允许本轮评审」，或输入 /egm-review-access 确认无隔离 / /egm-unsafe 确认无隔离 后才可能以「非隔离评审」运行。真实只读从未被证实，且旧版（0.1/0.2）曾把门控宣传成「硬锁」——那些说法已勘误，任何基于旧文档的信任都是绕过风险。本文的命令、角色、功能以 lib/dispatch.js 与 resources/classic-.md 为准——代码随时会变。

0.8.6 同一大象续改与直接操作

启动方式选择后自动记住；首条需求发送后摘除插件加上的 /egm 标记，后续普通消息继续当前大象和图纸。当前方案、阶段与操作修订记录按会话和工作区保存；面板可查看并明确「另起方案」。另起会归档旧记录，等待新需求，不创建空白图纸。修订编号用于识别旧操作，不代表剩余次数。

先展示评审结果、代码证据和推荐修改，再显示插件自带的直接动作按钮，无需下一步问卷或再次提交。金鱼负责独立审查，大象负责核实发现和修图纸；「修图纸」只改设计文档，「按方案开始实现」才请求进入代码实现。已经驳回的误报不作阻塞，待核实项不冒充已确认缺陷或已通过。

取消适配规程中「图纸最多修两轮」和「阶段最多重审一次」的固定限制。可按反馈继续修订；重复无进展时说明证据和建议的调整办法。真实金鱼调用许可的时效与次数仍独立生效。普通选择和任务操作不会自动授权评审。

本轮按要求不运行测试；本地安装与热加载回执只能证明代码更新，实际页面点击与模型执行结果仍须分别观察。

0.8.5 确认通知、工作状态与决策顺序

回复确认优先使用插件专有 egm-review 块；旧 EGM 确认块仍兼容。点击先办理当前会话的真实许可，再通过默认折叠的上下文提示通知 AI 继续，不再发送普通用户操作消息。通知失败单独提示，不重复授权，也不改动输入框草稿与附件。

工作大象同时支持 Claude 主题的鲸鱼和螃蟹；找不到主题吉祥物时，按当前输入卡片定位。底栏只在确有运行中的评审时显示「金鱼在忙」。普通聊天、已结束或过期状态不应冒充 EGM 工作。

整套适配流程要求先展示评审发现、证据和推荐修改方案，再等待用户决定。资料缺失、评审失败、未确认的问题和已通过项分别说明；不再用无依据的“接受风险直接开工”或必选第三项代替结果说明。已有有效授权且范围未变时不重复询问；补审只覆盖改动与受影响部分。实际页面显示与完整评审仍需分别验收。

0.8.4 插件自带回复确认按钮

EGM 自带回复中的「是，允许评审／否，先不审」按钮，不要求安装 GenUI。兼容宿主代码块以及显示成 <dsh-ui>…</dsh-ui> 文字的评审确认；只处理 EGM 的许可动作。点击先执行当前会话的真实许可命令，成功后通知 AI 继续原任务，保留输入框草稿和附件。命令失败和继续通知失败分别提示；普通文字“好／同意”不会授权。启动长规程仍默认折叠，面板和命令仍可备用。实现、安装和实际页面点击的验证结果分别记录，不互相代替。

0.8.3 回复专用按钮许可、控制命令过滤与启动消息精简

- 回复专用按钮完成评审许可：当大象整理好方案申请派发金鱼评审时，用户点击 AI 回复卡片中的专用「是/允许」按钮即可完成真实评审许可授权（点「否」拒绝）；普通文字打字输入“是/否/好/取消”不会变更许可，保留显式终端命令与 EGM 面板操作通道。
- 大象模式控制命令过滤：识别并拦截 EGM 授权/关闭等控制命令，严禁将控制命令当作需求文本写入图纸或开工流程（具体支持范围以最终实现报告为准）。
- 启动消息精简与规程供给解耦：/egm 需求与短提示正常显示，详细规程放默认折叠的上下文提示中，AI 仍可读取，避免完整规程全文铺满聊天记录。
- 诚实边界：子会话只读仍不可证实，所有评审结果严格标注 strictGoldfishReview:false，非隔离评审性质未变；真实 DSH 页面上的回复按钮点击交互、命令过滤与实机渲染待实际运行验收，普通打字不授权，不提前声称实机已生效。

0.8.2 复用 Claude 吉祥物与弹层定位

底部 EGM 入口保留。工作大象改用 dsh-claude-style 的吉祥物挂载和 CSS 定位机制，放在当前鲸鱼左侧，随同一个父容器排版；只在本会话真实 EGM 工作时显示。只添加和清理本插件自己的节点。

面板按实际点击入口定位，适配主题原版弹层的翻转和视口边缘限制，不再因为量不到输入卡片就拒绝打开。启动方式、草稿附件、评审许可和 IME 保护保留。定位与宿主接口错误分别显示，悬停提示包含完整原因与版本号。

所适配源码固定于 a0059bde45f968b246bf05c9bb6b87a4a592189b；MIT 许可及来源见 lib/claude-mascot-license.txt。本地回归、安装文件、服务响应与用户页面实机交互分别记录，不能相互替代。

0.8.1 布局修复

底部入口保留。面板按真实进度区的可见内容定位，不把欢迎区或工作大象的透明外框当作整条障碍；工作大象已补入显示树，鲸鱼锚点只在当前输入区查找。空间较小时保留完整可滚动内容，可继续使用启动和评审许可操作。真实 DSH 页面渲染与鼠标点击仍待验收。

0.8.0 交互与启动：新手引导、双启动模式与评审许可

- 新手首次引导（4 步流）：首次点击 EGM 入口即讲清完整 4 步流：「描述需求 → 大象整理方案 → 用户允许金鱼评审 → 看报告/用户裁决」。
- 界面入口与工作大象：
- 输入框底部左侧的 EGM 入口（conversation.input.left）严格保留，位置不移动；
- 工作大象放在当前鲸鱼左侧，与鲸鱼共用挂载父容器；底部入口保持，且仅在真正满足 live && working && workingOnEgm 条件时显示工作态大象与工作动画。实际页面交互结果需另行确认。
- 两种启动模式（保留且记忆）：
- 点击 EGM 入口弹出启动选择卡：对话框方式（在原输入框写需求，支持文字与图片/参考文件，发送时自动走 /egm）或卡片方式（弹固定小卡片写需求，只收文字，不影响原输入框）；
- 勾选「不再提示」后记住选择，保存在浏览器本地存储的 egm.launchMode 中，下次直接以此模式启动；
- 随时可换：对话框方式点输入框左侧的大象标记，卡片方式点卡片里的「换启动方式」，或在 EGM 入口上右键。两种方式按会话互斥，换向时先把原模式写入的 /egm 前缀摘除干净。
- 对话框方式的发送保护依赖宿主当前版本的内部输入接口；若接口变更可能失效，发现后会提示并退出模式。/egm 接受宿主提供的附件，图文模拟测试通过，真实 DSH 页面与模型实际收到图片仍待验收。
- 「评审许可」区（优先界面操作）：
- 在 EGM 面板中持续可找到「评审许可」区，操作指引从旧版的「必须记住两条命令」全面升级为优先使用 EGM 界面按钮操作；
- 面板清晰说明非隔离风险，用户必须勾选风险说明确认框后，才能点击「允许本轮评审」按钮；
- 点击后直接调用宿主原生 commands.execute 执行授权，不修改 composer 输入框草稿与附件，不向模型发起 LLM 回合，一键打开派发窗口（2 小时 / 最多 20 次）与非隔离许可（10 分钟 / 最多 6 次）；
- 面板实时展示真实剩余次数与到期时间；到期或配额用尽后，用户可在同一位置就地重新勾选并确认续期；
- Fail-Closed 原则：打开面板或本地记住启动方式绝对不会自动授权，必须由用户本人主动勾选并点击；
- 无 UI 兜底（Fallback）：在没有前端界面的环境或终端中，用户可使用命令通道（详见下文）。

它解决什么问题

你让 agent 做个小工具，它回你一句「好的」，然后一口气写 400 行。
跑起来才发现：「断网怎么办」没人想、「重名怎么办」没人想、「怎么算完成」根本没说。
修起来比重写还贵。

这个插件在「想清楚」和「动手写」之间插一道闸：

出图纸（大象） → 零上下文挑刺（金鱼） → 你拍板 → 才开工

装

- GUI：设置 → 插件 → 添加插件 → 填这个目录的绝对路径
- 命令：dsh plugin add <这个目录的绝对路径>

装完开一个新会话，技能列表里应出现 egm-gate / egm-review / egm-classic-。实际注册了哪些命令与技能，以 lib/index.js 与 lib/skill-provider.js 当前代码为准。

路径基准：技能规程中的 resources/、agents/、vendor/ 均以插件包根（DSH 的 plugin root）为准，不是 SKILL.md 同目录。若找不到文件，应按环境提供的绝对清单复查，绝对不能自己瞎编模板继续。

用（优先回复专用按钮确认，面板与命令作为备用）

派发金鱼前必须获得用户授权（Fail-Closed 默认拒绝）。0.8.3 优先推荐在 AI 回复卡片中直接点击专用的「是/否」按钮完成授权；普通文字打字输入“是/否/好/取消”不会修改许可。同时保留面板按钮与命令通道作为备用与兜底：

1. 回复专用按钮确认（优先推荐）：在 AI 发出的评审确认卡片中，点击专用的「是/允许」按钮即可完成真实非隔离评审许可发放（点「否」拒绝）。普通文字消息输入“是/否/好/取消”不会触发授权。一键授予 2 小时 / 最多 20 次派发窗口与 10 分钟 / 最多 6 次非隔离许可，彻底免去手动复制命令或翻找面板。
2. 界面面板授权（备选）：在 EGM 面板的「评审许可」区，勾选风险说明并点击「允许本轮评审」按钮。同样授予 2 小时/20 次派发窗口与 10 分钟/6 次非隔离许可，面板就地展示剩余额度与倒计时，用尽可在同一界面续期。
3. 一键授权命令：
- /egm-review-access 确认无隔离（或 grant 确认无隔离）：一次性打开派发窗口（2 小时 / 最多 20 次）并开启非隔离许可（10 分钟 / 最多 6 次）。
- /egm-review-access revoke：撤销许可并关闭派发窗口，但不中断正在运行的评审任务。
4. 分步备用命令（无 UI / 终端 fallback）：
- /egm <一句话需求> —— 人工入口，打开派发窗口（2 小时内最多 20 次）并推进快门禁流程的开场白（kickoff）。
- /egm-open —— 只开窗，不启动流程：打开派发窗口（2 小时内最多 20 次），不发 kickoff、不发许可，供 egm-classic- 等场景使用。未开窗返回 E_GATE_NOT_OPEN。
- /egm-unsafe 确认无隔离 —— 用户输入完整确认语后，发放短时非隔离许可（10 分钟内最多 6 次）。未授权返回 E_READONLY_UNVERIFIED。
- /egm-safe —— 关闭非隔离许可并关闭派发窗口。
5. egm_dispatch 与 egm_dispatch_batch 默认拒绝派发（fail-closed）：子代理只读不可证实——平台外层工具可能摘不掉、子会话继承父权限根——没有许可时直接返回 E_READONLY_UNVERIFIED，不建房间、不派发。（若安装了 dsh-subagent-router，注意此拒绝属于自身许可缺失，绝非 router 冲突，请勿错误归因）。
6. 有许可也不等于隔离：结果一律标注 strictGoldfishReview:false（非隔离评审），报告须写明「只读未经验证」。
7. 配额预检与九鱼续期：egm_dispatch_batch 派发前必须预检剩余许可，若可用额度小于本批金鱼数，整批直接拒绝，绝不跑半截。由独立 fresh 汇总代办自动整理合并产物，汇总不计入评审配额。原版五阶段九鱼工作流（共 9 次派发）在跑完前三阶段（Stage 5/6/7 占 5 次）后，单次许可（6 次）剩余 1 次不足以运行后两个阶段（Stage 8/9 共 4 次派发），仍必须在中途由用户重新授权续期，系统绝不自动补配额。manifest.allPassed: true 仅代表报告全部完成（仍需阅读发现并裁决，不代表设计无缺陷），manifest.partial: true 代表部分任务缺失或失败（保留缺口），严禁主会话代评。

诚实边界：

- 命令与界面门控是插件内状态，不是平台权限边界。egm-gate 为 model-invocable: false：只有用户点名（/egm-gate）或 /egm 启动时才会读取规程文件。但这不是模型行为或文件访问的硬限制——技能文件就在包内，模型仍可以直接读它、自己写图纸，或跳过评审直接写代码；真正被默认拒绝的只有派发工具。不要把「模型没触发 gate」当成安全保证。
- 卡片与检查点是模型执行的约定，不是平台强制机制，模型可能不遵守；评审记录留在 .egm/ 下，不承诺固定文件数量，也不提供无依据的耗时承诺。

原版 EGM（vendor/egm/）

vendor/egm/ 是上游 EGM 的原样镜像：上游 commit a8380ab5f0aba392c97e31c79f9a6666b3f09f14 的 121 个文件逐字节一致（复验：cd vendor/egm && sha256sum -c SHA256SUMS）。逐字节校验只对源目录成立：npm pack 会自动排除 vendor/egm/.gitignore，npm 包内容与源目录不完全一致，逐字节核验请以源目录为准，勿以 npm 包为准。含 7 个 skill 包、9 个角色人格卡、5 份文档标准、上游 docs 与 pytest 套件。上游 pytest 中 test_frontmatter.py 与 test_scenario_coverage.py 已实际运行并通过（2 passed），只验证原版技能声明与场景覆盖；其余上游测试未运行。

| 原版 skill | 阶段 | 干什么 |
| egm-bootstrap | 独立 | 为目录树批量生成/校验 EGM 规范的 README |
| egm-brainstorm | 构思 | 澄清提问 + 金鱼评审，产出 concepts_brief |
| egm-draft | 成稿 | 按文档标准逐节起草设计文档 |
| egm-review | 评审 | 五阶段评审协议（阶段 5–9） |
| egm-review-loop | 循环 | 对抗式评审循环的编排驱动 |
| egm-resolve | 裁决 | 大象逐条裁决发现并修文档 |
| egm-drift-report | 回看 | 设计文档 ↔ 代码漂移检查 |

原版完整流程：brainstorm → draft → review（或 review-loop）→ resolve → drift-report；bootstrap 独立。这些正文是参照材料，不是能在 DSH 直接运行的运行时：原版的宿主假设在 DSH 不成立。在 DSH 里能跑的是下面的适配骨架——它不是对原版的无损复刻，等价性声明见下。

DSH 适配（能跑什么、不能跑什么）

以 resources/classic-fidelity.md 为权威清单，这里只摘要：

适配技能（全部 model-invocable: false，用户点名才运行）：

- egm-classic-review —— 原版五阶段评审（阶段 5–9：初始 Zoom Out / 复述测试 / 敌意评审 / 中期 Zoom Out / 实现就绪）。Stage 7 与 Stage 9 优先使用 egm_dispatch_batch（并发 3），其余单角色走 egm_dispatch。一次完整五阶段 = 9 次派发，超出单次许可额度（6次），须分批并在中途由用户续授权（详见 resources/classic-stages.md）。同阶段内并发不等于整套五阶段实机等价跑通。
- egm-classic-review-loop —— 敌意评审循环（多角色优先接入 egm_dispatch_batch 批量派发并由独立 fresh 汇总代办整理落盘，单角色走 egm_dispatch）。
- egm-classic-brainstorm —— 概念脑暴：先澄清提问与锚定假设，再优先通过 egm_dispatch_batch 并发提交 6 个视角（并发 3），由独立 fresh 汇总代办落盘 concepts_brief.md。
- egm-classic-draft —— 逐节起草设计文档，每节停下等用户批准；不派金鱼、不需要许可。
- egm-classic-resolve —— 大象裁决（CONTEST / ESCALATE / PROPOSE FIX / DECLINE），不派金鱼、不需要 /egm-unsafe。
- egm-classic-drift-report —— 漂移检查，纯读 + 写报告，不派金鱼。
- egm-classic-bootstrap —— 仓库文档引导：BFS 扫描目录、逐目录写契约文档；原版的并行子编排器在 DSH 降级为串行分批。

派发通道与材料控制：
- egm_dispatch 支持单角色派发；egm_dispatch_batch 支持同批 1..6 个任务批量并发派发（默认并发 3，上限 3，共享同批不可变快照，独立 fresh 汇总代办整理落盘）。
- role 取 10 个白名单短名（3 个兼容角色 logic / feasibility / cold + 7 个上游角色）；stage 5–9 校验角色归属；角色↔标准映射固定在工具里。
- range={start,end}：生成真实切片裁剪副本供金鱼阅读，行号映射回原文件。澄清：原版在已查 review-loop 中对 range 仅是提示词指令，上游本身并无强裁剪保证，不得声称原版有强裁剪保证；本地物理裁剪不是权限隔离，硬性禁越读未证实，仍须标 strictGoldfishReview:false。
- sources：必须是工作区内普通文件（严禁传目录）受控复制副本，最少材料原则。
- materials：仅供阶段产物或目标详设复制进房间（≤10 个文件）。

不成立 / 不提供的能力（不许在输出里声称）：

- 「严格金鱼评审」「已隔离」——只读不可证实。
- 「等价于原版 egm_review 五阶段」——工具自己返回 flowEquivalent:false；同阶段内并发不等于整套五阶段实机等价跑通。
- 「物理裁剪等于系统隔离」——裁剪副本不是系统只读权限隔离，硬性禁越读未证实。
- 「partial 算作通过」或「allPassed 代表设计通过」——manifest.allPassed 仅代表报告全部完成（仍需阅读发现并裁决），manifest.partial 保留失败缺口，严禁主会话代评补意见。
- 「上游测试全部通过」——只实际运行了原版 pytest 的 test_frontmatter.py 与 test_scenario_coverage.py（2 passed）；DSH 端到端仍未验证。

原版与 DSH 版的区别（摘要）

| | 原版 EGM | dsh-egm |
| 运行时 | 上游宿主（Claude/Codex 等） | DSH；原版正文仅作参照，适配骨架另算 |
| 派发 | 各宿主自己的子代理工具 | egm_dispatch / egm_dispatch_batch：默认拒绝，需用户通过面板按钮或 /egm-review-access / /egm-unsafe 获得短时非隔离许可 |
| 只读 | 宣称子代理只读 | 不可证实，结果标 strictGoldfishReview:false；0.1/0.2 的「硬锁」宣传已勘误，旧说法不可信 |
| 范围 | 行区间指令（上游无强裁剪保证） | 真实切片裁剪副本并映射行号；但物理裁剪非权限隔离，标 strictGoldfishReview:false |
| 编排与并发 | review / review-loop / brainstorm 并行编排 + synthesizer | Stage 7/9、多角色 review-loop、brainstorm 优先通过 egm_dispatch_batch 阶段内并发 + 独立 fresh 汇总代办；跨阶段由技能编排，不宣称五阶段整体等价 |
| 等价性 | — | 明确不等价（flowEquivalent:false），是有意的降级适配 |
| 成熟度 | 上游真实项目 | DSH 侧未经端到端实测 |

它不是什么

- 不是一个更强的评审模型。默认同模型开新上下文，价值来自「它真的不知道你在想什么」。
- 不保证挑出所有问题，也不承诺评审速度或文件数量。
- 不替你写代码（评审阶段）；评审记录只是记录，卡片不是强制门禁。
- 命令与 model-invocable 标记不是硬限制。门控在插件内，模型可绕过技能层；真正默认拒绝的是派发工具。
- 不是对原版的无损复刻：等价性被工具显式否认。

里面有什么

skills/egm-gate/ 动工前守门（多角色档优先 batch 并发 + fresh 汇总） skills/egm-review/ 对已有文档挑刺（多角色档优先 batch 并发 + fresh 汇总） skills/egm-classic-*/ 原版流程的 DSH 适配骨架（Stage 7/9、loop、brainstorm 优先 batch 并发） agents/ 4 个兼容零上下文角色：逻辑、可行性、实现者复述、汇总 resources/ 图纸模板、缺陷格式、闸门规则 + classic-dispatch / classic-stages / classic-fidelity / classic-report-format（适配契约与边界） lib/ 技能注册、金鱼 preset、/egm 系列命令与评审许可管理、egm_dispatch 与 batch 派发映射 vendor/egm/ 上游 EGM 原样镜像（pin a8380ab，121 文件，SHA256SUMS） tests/ dispatch / skill-provider / plugin-entry 本地测试（维护方运行）

待验证与局限（诚实清单）

- 端到端未实测：完整工作流（无论快门禁还是 classic 五阶段/brainstorm/bootstrap）没有做过真实端到端运行。
- 只读未验证 + 旧版绕过风险：子会话只读装配是设计意图；平台外层注入的命令工具摘不掉，写保护无行为终验。0.1/0.2 曾把命令门控与只读说成「硬锁/已强制」，这些主张已勘误。
- 路径基准约定：resources/、agents/、vendor/ 均以插件包根为准，不是 SKILL.md 同目录；找不到按环境提供的绝对清单复查，不得瞎编模板继续。
- 工作动画真实态：当前对话可见真实 working 态工作提示动画，但不得声称实机已验收。
- 0.8.3 交互与过滤实机验收：回复卡片专用按钮点击授权、大象模式控制命令过滤与精简启动消息已完成规范对齐，普通打字不授权；真实 DSH 浏览器页面上的回复按钮点击交互、命令拦截及渲染仍待实机运行验收。

许可

Apache-2.0。vendor/egm/ 为 Google elephant-goldfish-model 在 commit a8380ab5f0aba392c97e31c79f9a6666b3f09f14 的原样镜像，版权归上游（见 vendor/egm/LICENSE 与包根 LICENSE / NOTICE）。DSH 适配部分是独立实现，与 Google 无关。