工作树守卫 earneet/dsh-worktree-guard

dsh-worktree-guard

可选的 git worktree 守卫 DSH（DeepSeek Harness）插件。

宗旨：把 worktree 从「模型的自觉」变成「宿主的结构」——隔离靠会话根（结构），安全靠单调收窄的常开网（兜底），授权靠带 TTL 的机械人闸（治理）。

完整设计（含宿主契约证据、七条裁决性原则、决策表、Agent 沟通面）见 doc/design.md v1.1。

它做什么

- 会话根模式（产品本体）：worktree_create 建副本后，以副本为会话根新开会话 → DSH 沙箱自动锚定，写隔离即结构。
- 常开安全网（是否绑定都生效）：跨副本写入、写 .git/状态区、push 受保护分支（master/main）、删 worktree 分支、git -C 定向到主根 → deny + 单轮可执行的指令。
- 读域守卫：绑定态读主 checkout → 放行 + 溯源标记（默认 warn）或 deny（strict）——防止「写对地方、改错东西」。
- 机械人闸：worktree_authorize_main/worktree_allow 走 pre-execute ask 门，模型无法自授。
- 收尾零债：merge-base 证明式「已合并」判定、死绑定 prune、全树摘链接后再删副本（防 junction 穿透）。

守卫等级（诚实分级，P6）

| 等级 | 覆盖 |
| 结构拒绝 | 会话根沙箱写隔离；authorize ask 门 |
| 词法启发 | pwsh 命令文本、路径归一化判域、读域守卫（8.3 短名/变量拼接可绕——raise the bar，非边界） |
| 纯纪律 | danger-full-access 下的一切 |

已知边界详见 doc/design.md §14。

安装与使用

DSH 插件（package.json dsh.bundle.patch → cordis.patch.yml）。已发布到 npm 后：

安装到 profile（CLI）
dsh plugin --profile web add dsh-worktree-guard
或 GUI 设置 → 插件 → 安装 bundle：dsh-worktree-guard 验证已挂载（应看到 worktree-guard 条目）
dsh web --dump-config

安装后变化：未绑定会话零注入、行为不变；worktree_ 工具出现在会话中；git 误毁防护（push 主干/删 worktree 分支/写 .git 等）常开生效。

CLI（与原生工具同一 core）
node wt.mjs create fix-login --brief "修复登录"
node wt.mjs status

会话内（插件加载后）使用 worktree_create / worktree_enter / worktree_exit / worktree_status 等工具；被拦截时按 deny 消息的「下一步」行动，或调用 worktree_status。

配置 sidecar：主 checkout 根的 <repo>/.dsh/worktree-guard.json（protected_branches、read_policy、branch_prefix、main_write_whitelist、sync.、TTL 等，snake/camel 键均可；设计 §13）。注意 main_write_whitelist 为 glob 全匹配（如 "docs/"、"gen/*"）；目录前缀不带通配符（如 "docs/"）不会命中。

开发

node --test # 决策表单测 + 真实临时仓库集成测 + 三轮对抗审查回归（见 test/）

零依赖纯 ESM（Node ≥20，Windows 优先适配）。

谱系

opencode-worktree-isolation（透明重写、Windows 归一化）× zcode-worktree-guard（默认开放、常开网、prune、204 用例方法论）× chuck-ma opencode-worktree-guard（merge-base、block-with-instruction）→ 按 DSH 实测契约（不可改写入参）重构为结构优先形态。详见 doc/design-review.md。