dsh-worktree-guard
DeepSeek Harness 的 Git 工作树防护：以会话为根的隔离、始终启用的 Git 层安全网、用于主分支授权的机械式人工门禁
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add dsh-worktree-guard@0.2.0Worktree Guard 以 dsh-worktree-guard 发布，当前版本为 0.2.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
可选的 git worktree 守卫 DSH（DeepSeek Harness）插件。
宗旨：把 worktree 从"模型的自觉"变成"宿主的结构"——隔离靠会话根（结构），安全靠单调收窄的常开网（兜底），授权靠带 TTL 的机械人闸（治理）。
完整设计（含宿主契约证据、七条裁决性原则、决策表、Agent 沟通面）见 doc/design.md v1.1。
worktree_create 建副本后，以副本为会话根新开会话 → DSH 沙箱自动锚定，写隔离即结构。.git/状态区、push 受保护分支（master/main）、删 worktree 分支、git -C 定向到主根 → deny + 单轮可执行的指令。worktree_authorize_main/worktree_allow 走 pre-execute ask 门，模型无法自授。| 等级 | 覆盖 |
|---|---|
| 结构拒绝 | 会话根沙箱写隔离；authorize ask 门 |
| 词法启发 | pwsh 命令文本、路径归一化判域、读域守卫（8.3 短名/变量拼接可绕——raise the bar，非边界） |
| 纯纪律 | danger-full-access 下的一切 |
已知边界详见 doc/design.md §14。
DSH 插件（package.json dsh.bundle.patch → cordis.patch.yml）。已发布到 npm 后：
# 安装到 profile（CLI）
dsh plugin --profile web add dsh-worktree-guard
# 或 GUI 设置 → 插件 → 安装 bundle：dsh-worktree-guard
# 验证已挂载（应看到 worktree-guard 条目）
dsh web --dump-config
安装后变化：未绑定会话零注入、行为不变；worktree_* 工具出现在会话中；git 误毁防护（push 主干/删 worktree 分支/写 .git 等）常开生效。
# CLI（与原生工具同一 core）
node wt.mjs create fix-login --brief "修复登录"
node wt.mjs status
会话内（插件加载后）使用 worktree_create / worktree_enter / worktree_exit / worktree_status 等工具；被拦截时按 deny 消息的"下一步"行动，或调用 worktree_status。
配置 sidecar：主 checkout 根的 <repo>/.dsh/worktree-guard.json（protected_branches、read_policy、branch_prefix、main_write_whitelist、sync.*、TTL 等，snake/camel 键均可；设计 §13）。注意 main_write_whitelist 为 glob 全匹配（如 "docs/*"、"gen/**"）；目录前缀不带通配符（如 "docs/"）不会命中。
node --test # 决策表单测 + 真实临时仓库集成测 + 三轮对抗审查回归（见 test/）
零依赖纯 ESM（Node ≥20，Windows 优先适配）。
opencode-worktree-isolation（透明重写、Windows 归一化）× zcode-worktree-guard（默认开放、常开网、prune、204 用例方法论）× chuck-ma opencode-worktree-guard（merge-base、block-with-instruction）→ 按 DSH 实测契约（不可改写入参）重构为结构优先形态。详见 doc/design-review.md。