Codex 自动审查 TheSethRose/dsh-auto-codex-review

dsh-auto-codex-review

DeepSeek Harness Auto review 的实验性独立分支，只用 codex-auto-review，通过本地安装的 Codex CLI 调用。主智能体的服务商和模型永远不会被当作审查方。

复用了什么

MIT 许可的 @deepseek-ai/dsh-experimental-auto-review 基线来自 DSH 0.2.0-rc.2，提供风险策略、过滤后的会话历史、待执行操作检查，以及 tools/pre-execute 门禁。未改动的基线放在 upstream/。这是包级别的衍生作品，不是整个 DSH monorepo 的分支。

这个分支用隔离的 Codex CLI 传输替换了 DSH LLM 推理。审查拒绝即为最终结果，不会再打开手动审批兜底；卸载插件后，Auto 会话会退回到 Read only。

环境要求

- peerDependencies 中列出的 DSH 0.2.0-rc.2 服务；更新的 DSH API 未经验证。
- Node.js ^22.19.0 || >=24.0.0；macOS 或 Linux。Windows 会直接失败关闭。
- 本地可信的 Codex CLI，用 ChatGPT 登录（codex login）。CLI 0.159.0 已实测通过；CLI 与后端的兼容性仍属实验性质。
- 账号需有 codex-auto-review 访问权限，并能通过 HTTPS 访问 chatgpt.com。没有 API key 兜底，也没有主智能体服务商兜底。

构建与安装

git clone https://github.com/TheSethRose/dsh-auto-codex-review.git
cd dsh-auto-codex-review
npm ci
npm pack

用你 DSH 配置档的包/打包安装器安装生成的 dsh-auto-codex-review-0.1.0.tgz。manifest 声明了 dsh.bundle.patch: cordis.patch.yml，它会加载构建产物 lib/index.js。安装不会改动已有的会话预设：想审查哪个会话，就为它选择 Auto。先禁用上游 Auto-review 插件；两个插件不能同时接管 Auto。本仓库尚未发布到 npm registry。

手动组合 Cordis 时，在已有的 Session、ToolRuntime、PermissionPreset 和 agent-instructions 服务之后加载构建入口：

- id: auto-codex-review
name: /absolute/path/to/dsh-auto-codex-review/lib/index.js
config:
codexPath: codex
timeoutMs: 120000
maxBytes: 2097152

配置只接受下面这些部署选项。审查模型、端点、策略、协议和 CLI 参数都是固定的。

| 选项 | 默认值 | 含义 |
| codexPath | codex | 可信 CLI 可执行文件路径，或 PATH 中的命令 |
| timeoutMs | 120000 | 正整数，整体审查超时，单位毫秒 |
| maxBytes | 2097152 | 正整数，每个通道的传输/输出字节上限 |

未知字段、空的可执行文件名、非正数或非整数的上限，都会在加载时报错。数值上限不能超过 2147483647。

审查行为

- 低风险允许执行。中风险需要当前人类请求的明确授权，或直接父级已授权的任务。高风险拒绝。
- 审查方能看到保留的上游策略和冻结的项目指令、直接父任务、过滤后的历史记录，以及确切的待执行操作。助手推理和普通工具结果文本会被排除。
- 输出格式错误、JSON 键重复、多余字段、不支持的风险值、命令行失败、超时和取消，都会阻止工具主体执行。审查方批准后，下游防护依然生效。
- 原生调用和 PTC 内部工具派发走同一道闸门。外层 run_code 包装器不经过审查。Auto 没有文件沙箱，run_code 内部的直接 Node 效果会绕过内部工具审查。不要把 Auto 当作操作系统安全边界。
- 审查拒绝和失败通过工具运行时返回。插件销毁时会取消并等待进行中的审查。

传输与隐私

每次审查都会在私有临时目录中启动一个临时命令行进程。用户规则/配置、项目发现、shell 工具、MCP、钩子、插件、应用、浏览器工具，以及其他上下文/工具功能全部禁用。一条随机回环路由会重建上游请求，带上 model: "codex-auto-review"、tools: [] 和 tool_choice: "none"；它会丢弃命令行提示词和续接元数据。只有文本/推理 SSE 事件会被转发，终端完成信号会一直扣留，直到整个上游流通过校验。

命令行管理它已有的 ChatGPT 登录。网关会把 bearer 认证和账号路由临时转发到固定的 https://chatgpt.com/backend-api/codex/responses 端点；插件代码不读取认证存储，不保存这些请求头，也不暴露命令行 stderr。审查内容会发送给 OpenAI。插件使用 store: false，但这并不构成服务端留存保证。启动进程需要你信任所选的命令行二进制文件和本地用户环境。

计费

OpenAI 的文档把原生 ChatGPT 认证的自动审查检查列为免费：Using Codex with your ChatGPT plan。那是后端权益，不能证明任意固定模型的命令行调用都免费。这个 fork 不声称免费计费，不伪造 Guardian 请求头，也不附带原生 Guardian 父响应元数据。请自行核实账号用量。

校验

npm run check # Build and keyless regression tests
npm pack --dry-run # Inspect the distributable payload
npm run test:live # Opt-in: authenticated synthetic reviewer request

test:live 如果设置了 DSH_CODEX_PATH 就用它，否则用 codex。它会提出一个合成的项目本地文本操作，但从不执行；成功输出会包含 "proposedActionExecuted":false。不要在无凭据的 CI 里运行它。CI 会构建、运行现有的无密钥测试，并在 Node 22/24 上为 Linux/macOS 打包。

已知限制

- 分类可能出错；没有持久授权、重试，也没有确定性的工具豁免。
- 私有 ChatGPT Responses 端点、模型可用性和 Codex CLI 参数都可能变化。不支持的改动会直接失败，不会放行。
- PTC 的直接影响，以及进程外子进程的权限，都不在这个插件的控制范围内。
- 上游同步的 Session 读取器和 API 兼容性假设都保留。安装只在真实配置档里以 link: 依赖跑过；插件管理器 UI 那条路径还没验证过。
- 权限选择器的 Auto 项和启用对话框，用的是随包发布的 dsh-client-ui-permission-presets 客户端插件所拥有的 permission.access 文案，那份文案描述的仍是内置的同模型审查器。client.js 会在运行时改写这两条字符串，并在每次语言区域注册时重试，因为随包发布的字典可能在这个 bundle 激活之后才注册。语言区域内部结构不符合预期时，随包文案保持原样不动。配套脚本会清掉 Auto EXP 徽标，并加上 ChatGPT SVG：菜单里 16px，触发器里 14px。它的样式表明确归这个 bundle 所有，卸载时移除。外观选择器针对的是随包发布的 DSH 0.2.0-rc.2 选择器类名。移除徽标不会改变实验状态或审批策略。

许可证与维护

MIT。见 LICENSE、NOTICE、AGENTS.md、CONTRIBUTING.md 和 SECURITY.md。与 OpenAI 或 DeepSeek 均无隶属关系。