推理桥接器 shangdi178/dsh-reasoning-bridge

dsh-reasoning-bridge

DeepSeek Harness（dsh）推理桥接插件：把高成本推理交给网页版 AI（默认 ChatGPT 网页版，目标可切换；当前内置 chatgpt 与 arena），把取证、采纳、修改、测试全部留在 dsh 本地。
基于契约化 Context Packet / Reasoning Result 交接、版本化风险授权门、可执行的浏览器传输驱动 和 SHA-256 运行回执。来自网页的建议必须经本地重新取证后才能执行——见下方 强制执行 vs. 纪律约定 一节，那里写明了哪些是代码机制、哪些只是工作流纪律，不要把它们混为一谈。

$reasoning-bridge 诊断这个复杂 Bug，完成修复并在本地验证。

理解项目 → 本地取证 → 压缩为 1–3K token 的脱敏 Packet → 捆绑的 transport.mjs 驱动调试 Chrome 一次性发给网页 AI → 校验结构化 Result → 本地重新取证后分类为 accepted / rejected / deferred → dsh 自己改代码、跑测试 → 写运行回执 → complete 闸门后才宣布完成

网页 AI 提方案，dsh 负责验证与执行。

强制执行 vs. 纪律约定

这是本插件最重要的边界说明。「采纳门」是工作流纪律，不是代码机制：插件在 dsh.plugin.json 里声明 "tools": []，不注册任何工具，因此无法拦截模型对 pwsh / edit / write 的调用。网页回复一律是不可信数据，抓回后逐字落盘， 最终是否遵守采纳门取决于模型是否照做。

| 声明 | 性质 | 落点 |
| 发送前拒绝未授权：consent 非 READY 时 open/probe/send/fetch/launch 直接失败 | ✅ 代码机制 | transport.mjs 的 consentBlock()、lib/web.js 的 BROWSER_ROUTES 守卫（status 只探端口，保持可用以便诊断） |
| 只接受已支持目标：--site 必须是 chatgpt/arena 的站点之一，且 --target 必须与之匹配 | ✅ 代码机制 | transport.mjs 的 resolveTarget()（未知站点报 usage 错误，不再借用其他目标的页面模块） |
| 发送前拒绝疑似凭据：request 文件命中凭据形状即拒发（--allow-unscanned 显式放行） | ✅ 代码机制 | validate.mjs 的 scanForSecrets() + transport.mjs 的 scanBlock() |
| complete 闸门复扫产物：不只信 privacy_review. 自述布尔，重新扫描 packet/result/evidence 内容 | ✅ 代码机制 | validate.mjs 的 verifyReceiptArtifacts() |
| complete 闸门要求旁证：adoption 须有至少一条已分类提案、至少一条本地证据，且每个 accepted 项各带自己的 anchor | ✅ 代码机制 | validate.mjs 的 receiptCompletionErrors() |
| 拒绝编码绕过：UTF-16 等非 UTF-8 的 request 文件先解码再扫描，不会以乱码形式绕过 | ✅ 代码机制 | transport.mjs 的 decodeRequest() |
| 不读 Cookie / 存储 / 隐藏凭据：页面表达式禁触这些 API | ✅ 代码机制（测试守卫） | page-.mjs + tests/transport.test.mjs 的 FORBIDDEN_PAGE_APIS |
| 回环 + Host + Origin 校验：面板路由只允许本机同源访问 | ✅ 代码机制 | lib/web.js |
| 一次发送、不重试：传输层无重试循环 | ✅ 代码机制 | transport.mjs |
| 采纳门：每条建议本地重开文件/符号取证后分类，网页文本绝不直接进工具调用 | ⚠️ 纪律约定 | SKILL.md 第 9 步、references/adoption-gate.md |
| 语义隐私审查：正则扫描之外人工判断业务秘密 | ⚠️ 纪律约定 | SKILL.md 第 6 步 |
| 不发送完整 diff / 无关文件：靠 Packet 构造时的自觉裁剪 | ⚠️ 纪律约定 | references/context-packet.md |
| 模型身份可信：verified 依赖可见 UI 的人工确认与本地证据 | ⚠️ 纪律约定 | references/transport-chatgpt.md §3 |

凭据扫描是形状启发式：覆盖 PEM/PGP 私钥、AWS、GitHub/GitLab、Slack/Discord webhook、 OpenAI/Stripe/Google/npm/HF/Azure/Twilio 令牌、JWT、带密码的连接串、Authorization/Cookie 头、 .env 与 KEY: value 形式的赋值等常见形态，但无法理解业务秘密——放行只代表「没命中已知形状」。

赋值类规则会检查右侧的值是否真的像密钥材料（长度、字符多样性、排除占位符与代码表达式），因此 const token = getToken();、api_key=YOUR_KEY_HERE、Authorization: <your-token-here>、 password: 表单上的标签 这类正常的代码与散文不会误报；同时 DB_PASS=correcthorsebatterystaple 这类「命名即密码」的赋值连纯单词口令也会命中。这一条是修出来的：早期版本对任意右侧都开火，把合法 Packet 一并拦下，反而会训练使用者去按 --allow-unscanned——比它想堵的漏洞更糟。

它仍然抓不到的东西（实测）：被拆行或插空格的密钥、base64/hex 编码后的密钥、被截断的 JWT、纯高熵但无命名线索的字符串、内网主机名与私有 IP、个人数据（邮箱/电话/身份证）、以及「口令出现在散文里」（如 the staging password is hunter2，句中无赋值形式）这类 业务语义秘密。这些只能靠语义隐私审查拦住，而语义审查是纪律不是机制——所以「扫描通过」永远不等于「可以发」。

功能

- 一句话调用：复杂任务中点名 reasoning-bridge 技能即可，无需 setup 命令、无需 API Key、不跑后台服务
- Doctor 自检：Node 运行时、技能文件完整性、包身份、授权状态一次校验（doctor.mjs --json）
- 版本化风险授权：首次交接前展示不弱化的风险声明，用户显式同意后写入 ~/.dsh/dsh-reasoning-bridge/consent.json；拒绝即禁用，随时可撤销（consent.mjs status|enable|disable）。
授权状态由传输层强制执行：非 READY 时 open/probe/send 与面板按钮一律失败
- 可执行传输驱动：transport.mjs（零依赖，Node ≥ 22）附着到 dsh 调试 Chrome（:9222），以 awaitPromise 求值页面阶段——composer 等待、一次性发送、流式结束检测、经站点自身 copy 控件 + 剪贴板取回（失败降级为可见 DOM 文本）；每个失败都是 {ok:false, why} 数据而不是静默卡死；status|launch|open|probe|send|fetch 六个子命令
- 发送前凭据闸门：send 在读取 request 文件后立即做凭据形状扫描，命中即拒发并给出 why: "secret-scan-failed"；确需发送可用 --allow-unscanned 显式放行（风险自担）
- Windows 兜底启动：dsh 内置 browser_launch 仅支持 macOS；transport.mjs launch 自动定位 Chrome/Edge，用专用独立 profile（不拷贝任何凭据文件）启动调试实例，首次在该可见窗口人工登录一次后长期复用
- 多目标传输层：目标在设置面板里下拉选择（target 是枚举，写错的值直接拒绝），也可 target.mjs get|set|list 切换，默认 chatgpt；每个目标一份 references/transport-<id>.md 适配器 + 一份 scripts/lib/page-<id>.mjs 选择器/阶段模块，定义登录探测、模式探测、一次性发送与可见取回。
已内置并真机验证：chatgpt、arena（https://arena.ai/）。没有其他目标： Claude / Gemini / DeepSeek 等均未实现，不会出现在目标列表里，也无法被选中
- 诚实的模型身份：targets-table.mjs 为每个目标记录模型策略——chatgpt 可选可验证；arena 是 Battle Mode 双匿名模型（model_identity: "battle"），探测返回 model_verifiable: false、取回返回两个答案，回执只能记为未验证
- 交互式链路面板：dsh 设置面板里的链路卡片能看还能点——授权 / 目标 / 浏览器状态三个状态 chip，按钮可体检、启动浏览器、打开目标站点（人工登录或过验证码用）、预检探测（返回结构化摘要：目标、模式、登录态、验证码、模型身份）、吊销授权
- 契约化交接：Packet（目标/验收/仓库状态/证据/约束/问题）与 Result（结论/假设/所用证据/ 建议修改/测试/风险/未知项）有精确的标记与章节校验，packet_id 绑定请求与回答
- 确定性校验器：validate.mjs 零依赖校验 packet / result / pair / receipt / complete，含凭据形状扫描、3K token 上限、SHA-256 产物绑定
- 传输状态机（v0.2.0）：确定性 handoff 状态机 PRECHECKED → COMPOSER_VERIFIED → SEND_INTENT → SUBMITTED → RESULT_OBSERVED → RESULT_VALIDATED， UNCERTAIN 为终态——提交结果未确认的 run 不能 complete，也不能重发； transport.mjs handoff <transcript.json> 校验状态轨迹，complete 闸门复验回执里的 handoff 字段并要求 packet_id 绑定
- Browser Use 传输（v0.2.0）：浏览器操作迁移到 DSH 官方 Browser Use provider （Playwright MCP / Chrome DevTools MCP）的 navigate/snapshot/fill/click 语义，每步动作后重新观察页面；支持经 --autoConnect 或 mode: attach 复用主 Chrome 的登录态（附着正在运行的浏览器，不复制 Cookie、不另开浏览器、不改用户 profile）；内置 CDP 驱动保留为无 provider 环境的回退路径（references/transport-browser-use.md）
- 本地采纳门（纪律约定，非代码机制）：SKILL.md 要求网页输出的命令、补丁、路径、测试串不得直接进工具调用，每条建议须本地重开文件/符号取证后分类为 accepted / rejected / deferred；回执的 complete 闸门会要求这些字段非空并复扫产物，但无法阻止不遵守的模型——这是本插件已知的信任边界
- 运行回执：脱敏元数据 + 产物哈希 + 模型可见性证据 + 隐私审查字段 + 产物内容复扫；只有确定性 complete 闸门全过才能宣布完成

安装

需要 dsh ≥ 0.1.0。三种方式任选其一：

方式一：npm 包（发布后）
dsh plugin --profile web add dsh-reasoning-bridge

方式二：从源码目录
dsh plugin --profile web add ./dsh-reasoning-bridge

方式三：离线 tarball
npm pack
dsh plugin --profile web add ./dsh-reasoning-bridge-0.4.0.tgz

装完重启 dsh web，技能目录里会出现 reasoning-bridge。

使用

在 dsh 会话中直接发起真实任务：

$reasoning-bridge 从第一性原理诊断这个性能回退，验证修复后交付。

$reasoning-bridge 审查这个架构决策，基于本地证据选定方案并完成实现。

适合桥接的任务：根因不明确、存在多个可行方案、需要高成本技术判断。
机械修改、简单查询和已定方案请留在本地直接完成。

浏览器接入（quickstart）

传输默认走 DSH Browser Use provider（Chrome DevTools MCP / Playwright MCP）； provider 未挂载时回退到捆绑的 CDP 驱动。三种接入方式按优先级：

A. attach 到你正在运行的 Chrome（登录态直接可用）

1. 用调试端口启动你的 Chrome（注意：Chrome M136+ 拒绝在默认 User Data 目录开调试端口，需要一个指向日常 profile 的目录别名 junction——数据原地，不拷贝任何文件）：

taskkill /f /im chrome.exe :: 完全退出 Chrome（会丢未保存表单）
mklink /J C:\Users\<你>\chrome-debug-link "%LOCALAPPDATA%\Google\Chrome\User Data" "C:\Program Files\Google\Chrome\Application\chrome.exe" --remote-debugging-port=9222 --user-data-dir=C:\Users\<你>\chrome-debug-link

2. profile 挂载 provider（两行加进 profile 的 cordis.patch.yml）：

- insert:
- id: dsh-browser-use
name: '@deepseek-ai/dsh-browser-use'
- id: dsh-experimental-browser-use-chrome-devtools-mcp
name: '@deepseek-ai/dsh-experimental-browser-use-chrome-devtools-mcp'
config:
mode: attach
endpoint: http://127.0.0.1:9222

3. 重启 dsh。此后技能用 snapshot/fill/click 操作你的真实标签页，ChatGPT 登录态直接可用。

⚠️ 风险：9222 开着时本机任何进程都能读这个浏览器的会话。只在交接时用调试端口启动，平时正常启动 Chrome。

B. 专用 profile 登录一次（无需 provider，安全边界最干净）

transport.mjs launch 弹出专用窗口（不碰你的日常 profile），在窗口里登录一次目标站点，之后长期复用。不会弹你日常的 Chrome——这是刻意的：复用日常 profile 需要拷贝 Cookie（纪律禁止），给日常 Chrome 开调试端口有上述攻击面。

C. 无浏览器验证

npm test 里含一个本地假聊天页面 E2E（tests/fixtures/fake-chat.html），在 9222 有调试 Chrome 时走完整交接（send → fetch → 状态机），无浏览器时自动跳过。

首次运行

用户不需要单独 setup。技能工作流依次执行：

| 状态 | 含义 | 恢复方式 |
| NEEDS_AUTOMATION_CONSENT | 尚无有效的浏览器自动化风险决策 | 阅读风险声明并显式启用或拒绝 |
| AUTOMATION_DISABLED | 用户已拒绝或撤销全自动桥接 | 保持本地执行，或稍后显式重新启用 |
| READY | 授权就绪 | 进入浏览器预检或开始桥接 |
| MISSING_RUNTIME | Node.js 18+ 不可用 | 安装 Node.js 18+ 后重试 |
| INVALID_INSTALLATION | 技能文件缺失或包名不符 | 重新安装插件目录 |
| NEEDS_BROWSER | 调试 Chrome 未运行且启动失败，或传输驱动缺 Node ≥ 22 | transport.mjs launch 兜底启动；Node 过旧则升级 Node |
| NEEDS_LOGIN | 目标站点未登录（arena 支持匿名运行，不会报此状态） | 用户接管页面完成登录，原任务保留待续 |
| NEEDS_MODEL_SELECTION | 要求的模型不可见或未选中；对战型目标（arena）无法提供单一可归属模型 | 选择目标模型或改用可验证目标；技能不会替换成其他模型 |
| NEEDS_SITE_PERMISSION | 目标站点无法加载或控件不可确认 | 按提示处理；状态不确定立即停止 |

登录、验证码、双因素、权限和模型选择始终是用户接管步骤；密码、验证码、Cookie、恢复码不能交给 Agent。

可随时撤销全自动桥接：

node skills/reasoning-bridge/scripts/consent.mjs disable --json

隐私与安全

- 授权后，技能通过 dsh 内置浏览器的可见控件把一个最小化 Packet 发送到目标站点；不调用私有接口，不读取 Cookie / 浏览器存储 / 隐藏认证信息，不需要 API Key，不运行托管服务，不收集遥测。
- 发送前有代码闸门：send 读取 request 文件后会立即做凭据形状扫描，命中即拒发（why: "secret-scan-failed"）。这是形状启发式，不是内容审查——下列约束仍主要靠 Packet 构造时的裁剪与人工判断（见强制执行 vs. 纪律约定）。
- 设计上不会主动发送：密码、Token、API Key、私钥、Cookie、验证码；.env 或原始凭据文件；完整私有仓库或完整未提交 diff；与任务无关的源文件。
- 正则扫描无法理解所有业务秘密，发送前还必须做语义隐私审查。
- 网页输出在 dsh 本地重新验证之前始终是不可信数据。注意：插件不注册任何工具，无法在代码层拦截模型对 pwsh/edit/write 的调用——采纳门的最终保障是模型的遵守。
- 本插件不绕过任何平台的套餐、模型权限、登录、工作区策略、限额或站点安全机制。
自动提交与结果获取仍受适用服务条款解释或滥用防护系统影响；风险声明只能知情，不能消除风险。

Unofficial Experimental（非官方实验功能）：自动控制网页版 AI 存在非零账号风险，可能触发安全机制、临时限制或账号处置。本插件与任何平台无关联、未获其认可或授权；用户明确接受风险前，全自动桥接默认关闭。

HTTP / 状态文件

核心零依赖、无环回路由；web profile 下主入口经作用域注入
（ctx.inject(['webServer','loader'], …)）挂载设置面板用的链路路由——headless/CLI
profile 没有 webServer，这段代码根本不执行，也不需要任何 profile 级手写补丁：

| 路由 | 作用 |
| GET /reasoning-bridge/state | 授权 / 目标 / 浏览器状态 + 目标列表（面板下拉的数据源） |
| POST /reasoning-bridge/doctor | 安装自检 |
| POST /reasoning-bridge/launch | 启动调试 Chrome |
| POST /reasoning-bridge/open | 打开（前置）目标站点，供人工登录/验证码 |
| POST /reasoning-bridge/probe | 预检探测 |
| POST /reasoning-bridge/target | 切换目标（校验后写状态） |
| POST /reasoning-bridge/consent | 仅吊销方向；启用必须在会话里经风险披露后确认 |

护栏：仅回环 + Host 校验 + POST 的 Origin/Sec-Fetch-Site 校验。状态文件：

| 文件 | 说明 |
| ~/.dsh/settings.yaml 的 reasoning-bridge 段 | 设置面板写入的目标与超时（首选配置面） |
| ~/.dsh/dsh-reasoning-bridge/consent.json | 版本化风险授权决策（可用 $DSH_REASONING_BRIDGE_HOME 覆盖） |
| ~/.dsh/dsh-reasoning-bridge/state.json | 当前目标（target.mjs set），settings 段为空时的后备 |
| ~/.dsh/dsh-reasoning-bridge/chrome-profile/ | Windows 兜底启动的专用调试 Chrome profile（不拷贝凭据；仅存调试实例自己的会话） |
| ~/.dsh/dsh-reasoning-bridge/runs/<packet_id>/ | 建议存放 packet / result / evidence / receipt 的运行目录 |

开发

零依赖、零构建：lib/ 与 skills/ 即产物，直接可跑。

npm test # 55+ 个 node:test：契约校验、授权状态机、目标表与模型策略、传输表达式与
禁用 API 守卫、发送前双闸门（consent + 凭据扫描）、插件注册、面板路由
npm run doctor # 安装自检

- 服务端（lib/index.js）：cordis 插件，inject: ['skills', 'systemPrompt', 'settings']，经 ctx.skills.register 注册运行时技能（resourceBase 指向技能目录）、注入一段 systemPrompt 说明何时使用、注册设置 schema（target 为枚举），并用作用域注入条件挂载 web 路由（lib/web.js）
- 客户端（lib/client.js）：设置面板区块——链路卡片（状态 chip + 体检/启动/打开站点/预检/吊销）与目标下拉（数据来自 /state，失败降级为文本框）
- 技能（skills/reasoning-bridge/SKILL.md）：唯一工作流入口，references/ 按需加载契约
- 传输（scripts/transport.mjs + scripts/lib/）：零依赖 CDP 驱动与页面阶段表达式，附着到 dsh 调试 Chrome；选择器漂移以 why 码呈现，禁触 Cookie/存储由测试守卫（FORBIDDEN_PAGE_APIS，含 sendBeacon/cookieStore/WebSocket/import() 等绕过面）；发送前强制执行 consent 与凭据扫描两道闸门，按状态表分派 page-<id>.mjs，两种输入模式（paste-event / insert-text）
- 设计溯源与移植说明见 DESIGN.md

License

MIT