网页聊天模式 TJ1024yjy/dsh-webchat-mode

dsh-webchat-mode

给 DeepSeek Harness（DSH） 桌面版加一个「网页版式聊天模式」：能联网搜索、能读工作区文件、能记笔记，但改不了任何东西。

对照的标尺是 DeepSeek 网页版免费聊天 —— 打开就能问，能查网上的资料，但不会动你的项目。

这是一个 DSH 插件（Cordis bundle），同时包含 host 与 client 两半： host 负责按会话施加能力边界，client 负责在输入框那一行画出切换控件。

三个模式

| 模式 | 联网搜索 | 读工作区文件 | 记忆/日历 | 改文件 · 跑命令 · 委派 |
| agent（默认） | ✅ | ✅ | ✅ | ✅ 完整能力 |
| webchat | ✅ | ✅ | ✅ | ❌ 一律拒绝 |
| chat | ❌ | ❌ | ❌ | ❌ 纯文本对话 |

webchat 模式放行的工具（共 34 个）：

- 联网检索与抓取 10 个（web_search、web_fetch、research、advanced_search、multi_search、platform_search、video_search、domain_search、cache_search …）
- 工作区读取 4 个（read、glob、grep、read_image）
- 交互 2 个（ask_user_question、present）
- 记忆 15 个 + 日历 4 个（memory_、calendar_）

为什么记忆工具在"只读模式"里也放行？ 因为记忆/日历写的是 DSH 自己的记忆目录（~/.dsh/memory/），性质是记笔记，不是改用户的项目。而 plugin_manager、ssh_、mcp__github__ 这类会动外部世界的工具仍然禁用。

安装

本插件是一个 DSH bundle，装进某个 profile 即可（以 desktop profile 为例）：

1) 把本仓库放到任意目录，例如 ~/.dsh/plugins/dsh-webchat-mode
2) 在 profile 的 package.json 里加依赖 + bundle

profile 的 package.json 需要两处：

{
"dependencies": {
"dsh-webchat-mode": "link:/absolute/path/to/dsh-webchat-mode"
},
"dsh": {
"profile": {
"bundles": [
// …其他 bundle "dsh-webchat-mode" ] } } }

然后在 DSH 桌面版 → 设置 → 插件 里确认该行已启用，重启桌面版生效。

⚠️ 改完插件代码必须重启宿主。DSH 按 URL 缓存 ESM 模块，连 package.json 的 main 解析结果都会被缓存 —— 用界面上的禁用/启用开关不会加载新代码。

使用

方式一：界面控件。 输入框那一行（「工作区内修改」右侧、模型选择器左侧）会出现分段控件：

Chat | Web | Agent

当前模式高亮，点一下即切换。

方式二：斜杠命令。

/mode agent # 完整能力 /mode webchat # 能搜能读能记，不能改 /mode chat # 纯文本

两种方式等价，都作用于当前会话。

实现要点

如果你也想写一个「给 DSH 加能力边界」的插件，这几点是我们踩出来的，可能替你省几个小时。

1. 三层防线，缺一不可

| 层 | API | 作用 |
| 工具过滤 | agent.ctx.tools.restrict(filter) | 从模型看到的工具表里裁掉 |
| 执行守卫 | agent.ctx.tools.guard(fn) | 执行前拦截，返回字符串即拒绝 |
| 提示词 | system-prompt/assemble 钩子 + 自定义 section | 裁剪工具 schema、注入行为约束 |

guard 是最后一道保险：即使 restrict 没生效（比如某类工具它管不到），调用仍会被拒。

2. ⭐ restrict 的 allow 与 deny 方向不同，会决定成败

契约原文：

restrict(filter) — "Restrict global tools for the calling agent scope. Empty filters, unknown names, scope-local names, and reserved transport names fail. Restrictions intersect; scoped registrations remain visible."

关键在于：

- { allow: [...] } 隐含"裁掉一切未列出的"。而 ctx.tools.schemas()（不带参数）只返回全局视图，由 agent preset 行注册的工具不在其中 —— 于是你没法把它们列进 allow，它们就被隐式裁掉了。名字写进 allow 也没用：不在可见集里就传不进去，调用时直接报 unknown tool。
- { deny: [...] } 只禁"明确列出的"。把 deny 名单算成「可见集里不在白名单中的那些」，白名单工具就自动获得放行 —— 包括 schemas() 里看不见的那些。

一句话：要"只允许白名单"，用 deny 反着写，比用 allow 正着写更可靠。

3. 提示词必须播报"真实可用集"

模型是照着提示词规划下一步的。如果提示词里写着某工具可用、实际却被裁掉了，模型就会反复尝试调用、反复被拒，白白烧 token。
所以本插件在 system prompt 里动态列出当前会话真正的工具清单（从 host 侧记录的实际放行集生成），并明确告诉模型：

你的工具只有这些，其他工具在本模式下并不存在 —— 不要尝试调用，也不要围绕它们做计划。

4. 客户端控件怎么挂

ctx.slots.inject('conversation.input.left', () => ctx.slots.register({
name: 'conversation.input.left',
id: 'webchat-mode',
order: 50,
inject: (sessionId) => ({ /* 自定义 props */ }),
}, YourComponent));

- 只用官方声明的槽位，别去读别的插件的 DOM 来"估算位置"
- 组件会额外收到 useProjection
- 当前模式通过会话投影（ctx.sessionProjections.register({...})）暴露给界面，折叠规则与 host 内部判定同源，保证"显示的"和"生效的"永远一致
- 切换动作走 sessions.binding(sessionId).session.command('/mode xxx')，与手敲命令是同一条路径

5. link: 安装的本地包，依赖要从源目录解析

如果你用 link: 装本地插件，包内 import 'zod' 会报 Cannot find package 'zod' —— 即使 profile 的 node_modules 里已经有它（那是别的包自带的隔离依赖树）。

解法：在插件目录里自备依赖：

cd your-plugin
npm install zod --cache ./.npm-cache

（--cache 指向可写目录，避免被系统权限拦住。）

已知限制

- 仅针对 DSH 桌面版 0.2.0-rc.2 实测通过；其他版本 API 可能有变动。
- chat 模式用 { allow: [] } 实现全禁（deny 需要穷举全集才等价，不划算）。
- 本插件不改动 DSH 自身的任何文件，只通过公开 API 施加限制。

License

MIT