写入闸门 zhengqiuyang/dsh-pr-gate

dsh-pr-gate

给 DeepSeek Harness（dsh）用的确定性写入闸门——把 CI 闸门挪到写入那一刻。

智能体写的每个文件（write / edit / str_replace_editor）都要过同一套范围策略和残留规则，这套规则原本由 agent-pr-gate 在 CI 里对 PR 执行——在 tools/pre-execute 里写入前先拒绝，在 tools/post-execute 里扫描写入文本的残留，并把每次判定记进一份带内容哈希的 JSONL 台账，可长期留存。信任路径上零 LLM 调用：闸门里那些绝不能交给 LLM 的部分，就放在这里。

为什么是现在（核查于 2026-10-12）

dsh 生态里的审查/守卫赛道全是 LLM 形态：
answer-reviewer 类插件用第二个模型重读对话轮次，dsh-gungnir 靠退出码判断目标是否完成，最接近动作守卫的（cc-safety-net，Claude 生态里 1.6k★）只拦破坏性命令。
没人对智能体写下的内容做确定性把关——范围策略、残留标记，或者一份 CI 能消费的持久记录。
这个位置是空的，而本插件就是 agent-pr-gate 引擎，它活在运行时里，不再等 PR。

它做什么

| 阶段 | 钩子 | 确定性动作 |
| 写入前 | tools/pre-execute | 范围策略：deny glob 永远优先；allow 列表非空即「只允许这些」。被拒的写入根本碰不到磁盘 |
| 写入后 | tools/post-execute | 扫描写入文本的残留：针对审查者的注入文本、被跳过的测试、调试标记。warn（默认）只记日志 + 台账；block 还会让写入失败并给出纠正反馈 |
| 始终 | JSONL 台账 | 每次判定一行——工具、路径、动作、内容的 sha256、命中的模式、残留类型。agent-pr-gate CI 可以把它当作会话侧记录来消费 |

一套策略，两个执行点

把 policyFile 指向你仓库里的 agent-pr-gate.yaml，实时会话就会执行与 CI 闸门对 PR 执行的同一套 allow/deny——所有策略条目取并集。内联的 allow/deny 配置无需文件即可生效。

安装

dsh plugin --profile default add dsh-pr-gate

从 npm 装——无需构建步骤，无需 allowBuilds 授权；git 安装同样是预构建好的（lib/ 随仓库一起发布）。

配置

- id: dsh-pr-gate
name: dsh-pr-gate
config:
tools: [write, edit, str_replace_editor]
allow: [src/, docs/] # non-empty = only these
deny: ["/*.pem", .github/workflows/]
policyFile: "" # or e.g. agent-pr-gate.yaml
residueMode: warn # warn | block
ledgerPath: .dsh-pr-gate/session.jsonl

开发

npm install
npm test # syncs the vendored agent-pr-gate core, builds, runs unit tests

范围 glob 的语义和残留规则都取自同源的 agent-pr-gate 检出（npm run sync；CI 跑 sync --check）。

路线图

- bash 命令的写入启发式检测（识别重定向 / shell 写入，仅告警）
- Ledger → GitHub check-run 桥接（会话存证在 CI 中呈现）
- 按智能体预设逐策略选择，与 CI 门禁的策略类别对齐
- 回合结束时的声明与 diff 比对（智能体的最终总结 vs. 会话账本）

终止条件

如果 dsh 推出第一方确定性写入门禁，或者评审插件在确定性执行上达成一致（目前它们全都基于 LLM），本项就冻结在最后一个可用版本，并在此附上复盘。无论哪种情况，引擎都归 agent-pr-gate 所有。