dsh-windows-readiness-proof

在将 DeepSeek Harness 部署到受管 Windows 主机之前，最关键的判断是：操作系统版本、安全策略、文件系统约束、会话环境与身份配置是否真正满足运行时前提。dsh-windows-readiness-proof 正是为这一刻而生——它是一个证据验证器，而非采集器或修复工具。它不执行 PowerShell、不读取注册表、不修改组策略、不创建 Defender 排除项、不编辑 WDAC/AppLocker、不安装软件、不重启服务、不探测网络。它接收一份 SHA-256 钉住的、经过净化的观察快照，逐行对照显式就绪清单进行判定，并返回确定性的通过或失败结论。

验证覆盖面广而克制：Windows 产品类型、架构、构建号与待重启状态；Node、DSH、PowerShell 版本与语言模式；WDAC、AppLocker、Defender、执行策略、Credential Guard 与 TLS 1.2 的分级状态；长路径支持、原子重命名、工作区/临时目录 ACL 类别与符号链接策略；非交互会话、不透明身份类别、可写配置文件与恢复配置；可用工作区与临时存储空间；以及仅以端点 SHA-256 加状态/TLS/代理类别表示的连接身份。任何缺失、过期、未来时间戳、格式异常、含秘密形态、携带真实身份、路径逃逸、符号链接或策略不符的证据都会触发失败关闭。报告仅暴露不透明身份、哈希、分级标签、原因码与控制状态——绝不出现用户名、域名、注册表路径、原始命令输出、凭据或未脱敏观察。

它适合企业 IT 与安全团队、需要可审计工件的 CI 流水线、以及跨组织交接前必须证明 Windows 环境就绪的合规工作流。它与 Harness Doctor（诊断本地 DSH/Codex/OpenClaw 安装健康）和 Windows 桌面控制技能（执行 UI 与 PowerShell 操作）形成清晰互补：它只做一件事——将一份预采集的就绪事实集，在显式策略下转化为确定性的、可审查的审计结论。