# 实际验证记录

日期：2026-10-27。平台：Windows，Node.js 24.19.0，DeepSeek Harness npm `0.2.1-rc.2`，隔离的 DSH_HOME，真实 DSH Web 界面。

## 核心闭环

使用原生文件与会话界面完成，而非模拟模型响应：

1. 在 Canvas 新建 HTML 成果「Orbit · 产品发布页」。
2. 打开预览，进入批注模式并点击 `<h1>`。批注保存了 `html > body > h1` 及原始标题引用。
3. 点击「让 DSH 按批注修改」，通过当前原生会话提交。DeepSeek-V4.1-Flash 实际读取并发布了新版本，耗时约 8 秒。
4. 在 Canvas 自动读取到第二版：标题从「让好想法，真正落地。」变成「灵感不止于对话。」，其余 HTML 内容保持一致。
5. 双栏预览与文本差异显示两个版本；采用第一版后仍有两个历史版本，再采用第二版成功。
6. 刷新浏览器后成果、批注、版本历史仍在。

早期集成中曾因路由依赖错误导致插件激活失败，模型当时明确报告工具不存在。修复为 DSH Connection 的原生已鉴权路由后，才完成上述成功闭环。失败轮次没有计入成功验证。

## 界面及数据

- 通过原生文件选择器同时导入 Markdown 和 PNG，实际保存成功。
- Markdown 标题、列表、引用和 GFM 表格正确渲染。
- 图片成功解码；导出的 PNG 与原文件 SHA-256 完全一致。
- 手动编辑 Markdown 并保存为第二版；刷新后内容保留。
- 勾选多个成果、按标题搜索、适应画布、缩放、方向键移动、拖动标题移动均已在真实界面操作。移动坐标实际更新并保存。
- 采用 DSH 的 composer overlay 标记和高度变量，画布按原生输入框留出空间；内容较多时右侧面板可滚动。
- 深色模式使用宿主色彩变量。浅色模式、手机尺寸、键盘完整操作流程尚未完成全面人工验收。

## 隔离及 API

实际导入包含 `<script>`、`onerror`、远程图片、iframe、表单、meta refresh、JavaScript 链接的 HTML：

- 预览原始标记文本保持不变，用户脚本未执行。
- 在实际 iframe DOM 中确认用户脚本、事件属性、嵌套 iframe、表单、远程 src 和 JavaScript 链接均已清除。
- iframe 仅有 `allow-scripts`，没有 `allow-same-origin`；CSP 默认拒绝资源，只许可插件自身带 nonce 的批注桥接脚本及内联样式、data 图片。
- 本次验证不是完整安全审计，不承诺对浏览器或 DOMPurify 的未知漏洞提供隔离。

`npm run test:integration -- <隔离实例启动日志>`：**12 项原生 HTTP 检查通过**，覆盖未登录 401、异源 403、读取/保存、批注与请求准备、不可变版本、过期 base version 冲突、版本恢复、并发 revision 冲突、未变更响应、伪造图片拒绝、会话数据隔离。

`npm run check`：TypeScript 通过，**11 个测试通过**，Host 与浏览器插件构建通过。测试覆盖重载持久化、版本保留、并发、输入校验、路径隔离、损坏存储、选中上下文、差异算法及错误后恢复发送。

安装包验证：用 `npm pack` 生成 `.tgz`，通过真实 `dsh plugin --profile web add <tgz> --ignore-scripts` 安装到全新 DSH_HOME，仅安装插件自身 1 个包。启动该新实例后，上述 **12 项原生 HTTP 检查全部再次通过**。压缩包包含 Host、浏览器 bundle、补丁配置、图标、locale、许可证和说明；不包含模型密钥、测试会话、工作日志及 node_modules。

独立模型复核发现两项缺陷，均先添加失败回归测试，再修复并重新通过测试：

- 大量短行导致 `push(...rows)` 参数栈溢出：改为逐项追加，且差异仅在请求查看时计算；超过合计 10,000 行提示导出，不计算逐行差异；显示最多 2,000 行。
- 失败保存的 Promise 阻塞后续发送：发送等待队列时恢复已有拒绝，再重新准备上下文。真实 React hook 测试确认失败保存、刷新、再次发送顺序可恢复。

## 依赖及范围

项目 `npm audit`：**0 个漏洞**。开发依赖中的 DSH 包固定依赖 Zod 4.4.3，曾触发 [GHSA-mrhx-c7xc-m3w5](https://github.com/advisories/GHSA-mrhx-c7xc-m3w5)；本项目用 override 将开发树固定到修复版 4.6.6，并通过类型与回归检查。运行中的 DSH 宿主依赖由 DSH 自己管理；插件不替换宿主的 Zod，也不把 Zod 打包到插件中。此开发 override 不代表宿主已修复该上游问题。

未验证：其他 DSH 版本、桌面内嵌容器、真实图片理解请求、长时间运行、跨进程并发写入、多人协作及任意脚本型 Web 应用执行。HTML 的静态预览限制属于当前产品范围。