拦截器 MrChengl11/Stop-That-Shit-DSH

Stop-That-Shit-DSH（STS × DeepSeek Harness 二次开发）

这是二次开发（derivative work），不是上游官方项目。

* 上游：lennney/stop-that-shit v0.2.5，MIT，作者 "Stop That Shit contributors"
* 本仓库：MrChengl11 在 DeepSeek Harness 上的移植与适配层（DSH adapter）
* 上游没有 DeepSeek Harness 适配器；本仓库的 lib/、install.mjs、cordis.patch.yml、test/、docs/、e2e/、research/ 均为本仓库新增
* 上游决策引擎（src/controller.cjs、src/decision.cjs、src/contracts.cjs 等）未做任何修改，以 MIT 条款原样收录在 vendor-sts/
* 上游 MIT 许可证与版权声明保留在 vendor-sts/LICENSE；本仓库自身代码同样以 MIT 发布，见 LICENSE

目录

| 路径 | 内容 | 来源 |
| lib/index.js | DSH 插件入口：挂 tools/pre-execute 等宿主钩子 | 本仓库新增 |
| lib/adapter.js | DSH 工具名 → 上游 ControlEvent v2 的适配 | 本仓库新增 |
| vendor-sts/ | 上游 STS v0.2.5 源码，原样拷贝（MIT） | 上游 |
| test/conformance.mjs | 49 条 conformance 断言，不跑模型 | 本仓库新增 |
| install.mjs | 幂等安装/卸载到任意 DSH profile | 本仓库新增 |
| e2e/ | 端到端探针（真实 headless 启动 + 真实模型） | 本仓库新增 |
| research/claude-code-bridge/ | 早期走 Claude Code hook 桥接路线的探针与结论 | 本仓库新增 |
| docs/01..03 | 上游分析、DSH 扩展面取证、桥接路线记录 | 本仓库新增 |
| docs/04..05 | 兼容性判定报告、原生插件设计报告（中文） | 本仓库新增 |

与上游的关系

本仓库只提供宿主粘合层：把 DeepSeek Harness 的扩展点翻译成上游认识的事件。

| DSH 扩展点 | 用途 |
| agent/inbox/claimed | 在 harness 拼接上下文之前拿到真实用户 prompt |
| agent/pre-step | 把契约/状态提示注入本轮 |
| tools/pre-execute | before-action，可真正返回 deny |
| tools/post-execute | 子 agent 结束时释放 delegation 预留 |
| systemPrompt.context | 按请求发布当前契约状态（order 550） |

决定"拦不拦"的逻辑全部来自上游 vendor-sts/，本仓库不重写判定规则。

快速开始

也可以直接下 Releases 里的 dsh-stop-that-shit-0.1.0.tgz，解包后跑 node install.mjs。

node install.mjs # 安装到默认 profile "desktop"
node install.mjs --profile X # 指定 profile
node install.mjs --uninstall # 卸载
node test/conformance.mjs # 49 条断言

以下为插件本体文档

Stop That Shit 现在是一个原生 DeepSeek Harness 插件。

Stop That Shit 是任务边界守卫：它不给进程做沙箱，而是把智能体约束在用户用 $stop-that-shit 指令声明的模式、文件、依赖策略和委派预算之内。上游自带 Codex、Claude Code、OpenCode、Hermes Agent CLI、Pi 和 Oh My Pi 的适配器。本包是 DeepSeek Harness 适配器：原样复用上游决策引擎，只补宿主粘合层。

它做什么

| DSH 扩展点 | 用途 |
| agent/inbox/claimed | 在 harness 把上下文合并进来之前读取真实用户 prompt，这样指令仍然是第一行非空内容。 |
| agent/pre-step | 把守卫的契约/状态提示作为用户消息追加到 prompt 所属的那一步。 |
| tools/pre-execute | before-action 事件。返回 {kind:"deny", reason} —— 真正的拒绝，reason 会以 Error: <reason> 的形式送到模型那里。 |
| tools/post-execute | 子代理调用结束时，释放委派预留。 |
| systemPrompt.context | 按请求发布实时契约状态（order 550），不重写稳定的系统提示词。 |

嵌套的 PTC 子调用（run_code 派发 tools.write）会作为独立执行到达 tools/pre-execute，逐个判定。

安装

// <profile>/package.json
{
"dsh": { "profile": { "bundles": ["@deepseek-ai/dsh-base", "dsh-stop-that-shit"] } }
}

把本包放进 <profile>/node_modules/dsh-stop-that-shit（junction 也可以），再在 bundle 列表里声明它。包内声明了 dsh.bundle.patch，会往配置档树里插入一条 cordis 条目（sts-native）。

engines.dsh 为 0.2.1-rc.3；只要它存在，就由它单独决定兼容性，@deepseek-ai/dsh- 上的 peerDependencies 会被忽略。插件在运行时不导入任何 @deepseek-ai 包——链接进来的配置档 bundle 无法解析宿主包，因为配置档没有重新导出它们。

使用

指令必须是消息的第一个非空行，任务文本必须放在 -- 之后：

$stop-that-shit change files=src/app.ts -- Refactor the handler in src/app.ts.

| 字段 | 取值 |
| mode | answer review monitor change |
| level | watch guard lock |
| scope | files=a|b， 表示整棵树 |
| policies | deps=deny|ask|allow，hash=deny|ask|allow |
| budget | agents=N |

用 $stop-that-shit status、... runtime、... explain evt_...、... label evt_... correct|incorrect|inconclusive 查询。

两个语法陷阱，都继承自上游，而且都真实存在：

后面跟任务文本时，-- 是必填的。$stop-that-shit review do the thing 会返回 INVALID_DIRECTIVE_TOKEN，该轮会话保持未武装状态。
* level 是裸词，不是键值：$stop-that-shit change watch files=src/app.ts。写成 level=watch 会被当作未知指令字段拒绝。

任何不以该指令开头的消息，都会让守卫保持 unconfirmed / 仅监视状态，不会拒绝任何操作。

配置

- id: sts-native
name: dsh-stop-that-shit
config:
dataDir: C:/Users/you/.dsh/sts-data # default: $DSH_HOME/sts-data or ~/.dsh/sts-data
announceWhenUnarmed: true # publish the watch-only preamble as runtime context
announceOnPrompt: true # inject the contract after a steering prompt

验证

node test/conformance.mjs # 49 assertions, no model in the loop

测试套件在伪造的 cordis ctx 上驱动插件注册的同一批处理器，断言完整的决策矩阵：形状、指令解析、边界内/外写入、shell 分类、PTC 容器、review 模式、watch 级别、hash 与依赖策略、智能体预算、运行时命令，以及 fail-open 行为。

端到端测试（真实无头启动、真实模型）由另一套测试单独覆盖：研究空间里的 e2e-native/probe-native.mjs；它的断言取决于模型选择哪个工具，所以这套测试是确定性的关卡。

已知限制

* 不是安全边界。 Stop That Shit 自称护栏；真正的边界仍然是 DSH 沙箱和权限预设。run_code 脚本通过 node:fs 写文件，会被归类为 control，而不是文件写入，也不会做路径检查。
* 无法证明目标的 shell 命令（例如 node -e ...、python x.py）会被归为 unknown；在 files= 边界下，这类命令会以 WRITE_PATH_UNPROVEN 为由被拒绝。
* 护栏采用失败放行：钩子出错时只记录日志，动作照常放行，与上游钩子适配器的行为一致。

许可

vendor-sts/ 是上游 stop-that-shit v0.2.5 的源码，MIT 协议，原样复制；见 vendor-sts/LICENSE。本包自身的胶水代码为 MIT 协议。