代码评审范围解析 ashllll/dsh-open-code-review

dsh-open-code-review

DeepSeek Harness（DSH）插件，把 阿里 Open Code Review 的确定性评审引擎接入 DSH 智能体。

Open Code Review（OCR）的核心设计是分工：不能出错的部分交给工程逻辑——哪些文件在评审范围内、每个文件适用哪些规则；判断部分交给模型。本插件保留这个分工，把判断侧换成你自己的 DSH 模型。
OCR 自己的 LLM 全程不会被调用，因此不需要配置第二家模型服务，也不需要 API Key。

ocr_review_scope → 哪些改动文件可评审（确定性） ocr_review_rules → 这些文件适用哪些规则（确定性）你 → 读 diff、判断、带覆盖率地出报告

环境要求

| ocr | 1.9.0 及以上——--format json 自 1.9.0 引入。已在 Windows x64 + 1.12.11 上验证。随插件一起安装，无需单独配置。 |
| git | 2.41 及以上（OCR 通过 git 读取 diff）。 |
| DSH | 任意支持插件的版本。已在 DSH Desktop 0.1.7-rc.2 上验证。 |

安装

dsh plugin --profile web add github:ashllll/dsh-open-code-review

本地检出也可以——dsh plugin --profile web add <tgz 绝对路径>。
注意：pnpm 会把相对路径按当前目录解析，而不是 profile 目录，所以请传绝对路径。

npm 上无作用域的 dsh-open-code-review 属于另一个无关项目，因此本包使用作用域名：
发布后安装命令为 dsh plugin --profile web add @ashllll/dsh-open-code-review。

刷新页面后，三个工具 ocr_review_scope、ocr_review_rules、ocr_health 即出现，技能目录中会多出 open-code-review。安装到此结束：ocr 二进制随插件一起到位。

ocr 从哪里来

插件把 @alibaba-group/open-code-review 声明为 optionalDependency，因此包管理器在安装插件时就会把原生二进制一并拉下来。上游把它放在六个按 os/cpu 门控的平台包里，并带 preferUnplugged——落到磁盘上的是真实文件，启动器的 postinstall（下载兜底）根本不需要执行。
这一点很关键：插件市场默认禁止构建脚本。

解析顺序如下，ocr_health 会报告实际命中的来源：

| 顺序 | 来源 | 何时使用 |
| 1 | ocrPath | 你显式指定。 |
| 2 | vendorDir | 插件自管安装目录 <DSH_HOME>/open-code-review。 |
| 3 | 随包依赖 | 默认：包管理器随插件装好的那个。 |
| 4 | PATH | 全局 npm install -g @alibaba-group/open-code-review，Windows 下还会顺着 npm 的 ocr.cmd 垫片找到旁边的原生二进制。 |

想固定某个构建就用 ocrPath；想把二进制放在 profile 之外就装进 vendorDir：

npm install --prefix "<DSH_HOME>/open-code-review" @alibaba-group/open-code-review

<DSH_HOME> 是 harness 数据根目录（环境变量 $env:DSH_HOME；默认 ~/.dsh， DSH Desktop 为 %APPDATA%\dsh-desktop\harness）。

插件提供了什么

工具

| 工具 | 用途 |
| ocr_review_scope | 哪些改动文件可评审，以及取 diff 所需的 mode 与 ref 信息。可传 commit，或 from+to，都不传则评审工作区改动。 |
| ocr_review_rules | OCR 为指定路径解析出的评审规则，按规则内容分组，共用同一规则的文件只出现一次。规则正文即评审清单。 |
| ocr_health | 解析到了哪个 ocr 可执行文件、来自哪里、版本多少、是否满足最低版本；找不到时直接给出安装命令。 |

技能

open-code-review 承载完整工作流——解析范围、解析规则、用 git 读 diff、逐个文件评审、输出带行号定位与覆盖率统计的报告。按需加载，因此常驻提示词只占几行。

关于「移植」

上游为其他四种宿主提供了同一套契约：opencode 插件、 Claude Code 与 Kimi Code 的斜杠命令、以及两个可移植技能。本包是这套集成里 DSH 形态的那一个。
OCR 引擎没有任何重写——插件驱动的是真正的 ocr 二进制。

配置

插件以一个 patch 行挂载，暴露三个配置项：

- id: open-code-review
name: '@ashllll/dsh-open-code-review'
config:
vendorDir: !!js dshHomePath('open-code-review') # 默认值 ocrPath: '' # 显式指定二进制或安装目录，优先级最高 timeoutMs: 180000 # 单次调用超时（毫秒）

覆盖项写进你自己 profile 的 cordis.patch.yml （<DSH_HOME>/profiles/<name>/cordis.patch.yml）。注意 DSH 对 config 是整体替换而非深合并，想保留的字段要一并写出。只停用不卸载：

- id: open-code-review
disabled: true

范围说明

有意未移植：

- ocr review 与 ocr scan——LLM 驱动的评审流水线。它需要自己的模型服务与 API Key，而这正是委托模式要消除的东西。确实需要的话，自行配置 OCR 的 LLM （ocr config provider、ocr config model），再通过 pwsh 工具调用 CLI。
- ocr viewer、ocr session 、ocr config ——交互式或有状态的面板，没有合适的工具化契约。

自定义规则完全可用：在仓库里放 .opencodereview/rule.json，ocr_review_rules 会自动解析，并在结果里标注 source: project。格式见 OCR 规则文档。

上架插件市场

插件市场浏览的是一份精选注册表—— awesome-dsh-plugin——因此上架只需向那个仓库提一个包含单个 YAML 文件的 PR，本仓库无需改动。条目已备好：

data/plugins/ashllll__dsh-open-code-review.yml

url: https://github.com/ashllll/dsh-open-code-review
name: ashllll/dsh-open-code-review
category: git
description:
en: 'Review code with Open Code Review: deterministic scope and rule resolution, judged by your own DSH model, no API key.'
zh: '用 Open Code Review 评审代码：确定性的范围与规则解析，由你自己的 DSH 模型判断，无需 API Key。'

git 即注册表中的「Git 与代码评审」分类。描述加引号是因为其中含 : ，否则 YAML 会把它解析成嵌套键。

PR 已提交——#6343。 注册表要求仓库创建满 24 小时，而本仓库创建于 2026-10-01，因此唯一未通过的就是该项检查。
它会自行重跑并自动转绿，无需重新提交；用注册表自带的 scripts/check-submission.mjs 对本地条目运行，报告出的也只有这一个问题。其余门槛——已声明 dsh.bundle、仓库存在且未归档、不是 DSH 本身——全部通过，双语描述齐备。

安全

- 调用时不联网。 插件自身从不发起请求。ocr 二进制由包管理器在安装插件时拉取（约 55 MB），而不是插件在工具运行时去下载。若二进制缺失，工具会失败并给出确切的恢复命令。
- 不经 shell。 ocr 通过解析出的原生可执行文件以 shell: false 启动，模型传入的 ref 与路径不会被拼进命令行。npm 的 .cmd 垫片只当作路标用于定位原生二进制，不执行它——这同时跳过了启动器的后台更新检查。
- 委托模式只读。 ocr delegate 不写任何会话文件，只把一份 JSON 打到 stdout 后退出。
- 沙箱边界。 插件直接以子进程方式启动 ocr，因此这次调用不经过 DSH 的 shell 沙箱与审批门禁（pwsh 会经过）。它读取目标 git 仓库——文件名、状态、解析出的规则正文，不读取文件内容。
请把 repo 指向你愿意被检查的仓库；若某 profile 不接受这一点，请停用本插件。
- 有界。 10 MiB 输出上限、墙钟超时，超时或取消时终止整棵进程树（Windows 下含 taskkill /T）。

开发

node test/smoke.mjs

32 项检查，覆盖参数构建、各种 npm 目录布局下的二进制解析（随包依赖、npm 垫片、 vendor 目录、PATH）、委托 JSON 解析、frontmatter 处理。
当能解析到 ocr 时，还会跑真实链路：ocr version、针对临时 git 仓库的 delegate preview、以及解析 Python 规则集的 delegate rule。没有 ocr 时这三项报告为 skipped，而不是失败。

许可

Apache-2.0。部分内容派生自 alibaba/open-code-review；复用了什么、改了什么，见 NOTICE。本项目与阿里巴巴集团无隶属或背书关系。