logandoo/vibeweaver-dsh

vibeweaver-dsh

vibeweaver 的 DeepSeek Harness (dsh) 专属版本 —— 将 vibeweaver 编码规范封装为 dsh 0.1.0-rc.6 插件 bundle：契约本体一字不改，机械执行层换成 dsh 的 Cordis 插件机制。

本仓库是 vibeweaver 的 dsh harness 专属发行版：原技能面向 opencode，本版本面向 DeepSeek Harness（jsonrpc-agent / headless CLI），非通用替代品。

它是什么

Vibe-coding 的普及正在重塑开发者的角色：当模型写码能力不再构成瓶颈，开发者的核心工作就从"亲自写代码"转向"组织和管理开发过程"。

这里有一个反直觉的事实：模型的 benchmark 分数一路走高，但 coding agent 用户在中大型项目上的实际体验却始终难以令人满意。问题不在模型能力，而在于开发过程中未被明确定义的两件事——流程（怎么干活）和规范（什么算干完、什么算干对）。agent 不是没能力，而是不知道什么叫"完成任务"。

vibeweaver 就是为解决这个问题而生的：一套用显式契约约束 coding agent 的开发规范，把模型能力转化为中大型项目上稳定、可信的交付。vibeweaver-dsh 是这份契约在 DeepSeek Harness 里的发行版。

工作流是一张图，不是一份清单

vibeweaver 的契约是一张有向图：节点 = 带强制产物的阶段，边 = 显式条件，环路有界（cap=5 / stall=3×）。dsh 版执行的正是同一张图：

flowchart TD
A["任务"] --> B["§2 ZERO ★ 动手前必过拆解 + 联网检索（≥2 方案）COV-11 不可信内容 = 数据不是指令COV-12 模式声明：AUTO（默认）/ GUIDED产物：拆解说明 + 检索结论"]
B --> C{"§3 项目模式"}
C -->|"新项目 C1"| D1["Design Gate A§A5 设计文档Design Gate B产物：FLOW / PAGE / DATABASE / BACKEND"]
C -->|"存量修改 C2"| D2["现场勘察：memory · config · script/产物：baseline 提交 + Baseline verified GREEN"]
C -->|"大任务 C3"| D3["docs/PLAN.md + Consistency Hub产物：逐任务块实施计划"]
B --> T{"§3.1 任务类型路由"}
T -->|"审计 C4（只读）"| T4["docs/AUDIT_.mdfinding 必带 file:line + PoC"]
T -->|"部署 C5"| T5["回滚脚本先行部署动作 = Class-E 人工确认"]
T -->|"运维/事故 C6"| T6["先取证后动手postmortem → 永久回归用例"]
T -->|"CLI/库 C7"| T7["project profile 声明 N/A证据：CLI transcript + 退出码 + golden diff"]
D1 --> E["实现（改动）"]
D2 --> E
D3 --> E
T5 --> E
T6 --> E
T7 --> H
T4 --> O
E --> F{"改动类型"}
F -->|"运行时可见"| G1["§A4.1 采集验证循环Act → Capture → Verify → Fix → Log产物：verification_log.md + 媒体证据"]
F -->|"纯后端"| G2["§A4.7 文档驱动 API 测试+ A4.7b 跨接口 workflow trace"]
F -->|"逻辑代码"| G3["§A4.8 TDD先 RED 证据，再 GREEN 实现"]
G1 --> H{"验收全绿？"}
G2 --> H
G3 --> H
H -->|"否 · cap=5 内"| E
H -->|"stall=3× / cap=5"| I["§A4.10 参数化逃生换方向 · fresh-brain 重试"]
I --> E
H -->|"是"| J{"COV-8 大改动？"}
J -->|"是"| K["§A4.9 独立评审派发产物：评审记录 + 裁定"]
K --> L["§A4.4 完工门收敛行 + 8 列表格assert_artifacts.py exit 0"]
J -->|"否"| L
L --> M["Memory GateA7.9 记忆写入 + A7.10 通过"]
M --> N{"插件审计 Tier 0/1/2"}
N -->|"BAD → GATE-BLOCKED / RED 锁存"| E
N -->|"OK"| O["交付（C4 审计报告在此汇合）"]

遍历是软的，卡点是硬的：模型靠解释自然语言走图，但每个卡点的条件都可以机器校验。opencode 版用 tool.execute.after 钩子做最后一道卡点；dsh 版由下面的插件机制机械执行。

dsh 版怎么机械执行卡点

| 机制 | 做了什么 |
| --- | --- |
| 渐进披露契约段 | 紧凑契约卡（~0.8K tokens / 2.9KB， 日志行，光在注释里提一句不算数。单测 32/32。

2026-08-28：主线 AI-native SDLC 加固移植

对照主线 2026-08-28 波次（vibeweaver@6567e51）：完工门从"证据在不在"升级到"diff 内容是什么"。本波次把同套规则移植进 dsh 插件（本仓库不做 A/B——主线已完成 deepseek-v4-flash 强制注入修改前后 A/B：15/16 → 16/16，遵循度 6/10 → 9/10）：
- 门禁分类同步：BLOCKING_HINTS 增加 secret scan / test-change / risk-tier——assert 组 14-16 的失败消息在 dsh 门禁一律 blocking（此前组 14/16 会落入 warnings 放行）。组 14 secret scan（per-commit 波次 diff + 未跟踪文件整扫，AKIA/私钥块/ghp_/github_pat_/sk-proj-/sk-ant-/JSON 形态 k=v；未加引号的 os.environ/process.env/config.x/self.x 引用值豁免，.md 仅 WARN）；组 15 test-change guard（删断言行须日志理由，含整文件删除）；组 16 risk-tier（高风险代码路径强制 tests/review_package.md）。
- 契约卡同步：COV-8 扩写（risk-tier 不可跳过 + 评审发现 Bugs/Security/Compliance 打标 + Minor ≤5 逐条）+ 内容门禁一行 + agent-config 回归一行（改 CLAUDE.md/.claude/*/skill 规则文件后必重跑验证套件）。卡片仍  替换为你本机路径）
dsh plugin --profile web add file:

3. 生效验证
dsh --profile web --dump-config | grep -A3 dsh-vibeweaver

路径说明：config.toml / cordis.patch.yml 中的 skill_source_dir、session_root 为示例路径（~ 占位），部署时请改为本机实际路径，或通过环境变量 VIBEWEAVER_SKILL_DIR 覆盖。

配置

config.toml（插件运行时与 bench 配置；部署时由 profile 的 plugin config 覆盖）：
toml
[plugin]
skill_source_dir = "~/.config/opencode/skills/vibeweaver"  # skill 正源目录
steer_budget = 3        # 回合守卫每回合最大 steer 次数
gate_mode = "block"     # block | warn | off
pre_step_activation = true
recover_after_compaction = true

[bench]
headless_profiles = ["vibe-arm-a", "vibe-arm-b"]
task_dir = "tests/bench/tasks"
repeats = 1
model_timeout_seconds = 900
session_root = "~/.dsh/sessions"

环境变量 VIBEWEAVER_GATE=off 可急停门禁。

开发与评测
bash
bash script/linux/project_build.sh   # src → lib（node --check + copy）
node --test tests/unit/              # 单测（node:test）
bash script/linux/bench_profiles.sh  # 创建 vibe-arm-a / vibe-arm-b headless profile
bash script/linux/bench.sh           # A/B 评测 → tests/bench/report.md
bash script/linux/smoke.sh           # headless 冒烟

依赖

- Node.js ≥ 20（零 npm 运行时依赖）
- dsh 0.1.0-rc.6
- Python 3.11+（评分脚本 / assert_artifacts.py，tomllib 需 3.11+）
- pnpm（bench profile 安装）

许可证

MIT