dsh-canary-decision-proof

在 Canary 发布的审计场景中，团队常常面临两个难题：证据链分散、难以离线复验，以及判定标准模糊导致不同审查者对同一组数据得出不同结论。dsh-canary-decision-proof 只做一件事——接收完整的 canary 证据清单，执行确定性的定点数比较，输出唯一有效裁决（promote、abort 或 pause），并将其与已记录的决策进行比对。它从不启动、停止、推进或回滚任何实例，从不查询实时指标，也从不进行统计推断。

核心机制遵循固定的决策优先级：证据不完整、过期、未绑定、采样不足或时序无效时一律暂停；否则任一指标达到其声明的 failureLimit 则中止；否则判定通过。所有指标值均为正定点整数（valueMicros），回归以整数基点表达，相同输入永远产生相同输出。报告仅包含哈希、计数、时间戳、定点比较和裁决，不含原始业务文本或密钥。写入限定在显式工作区目录内，拒绝路径逃逸和符号链接，并通过回读验证。

适合需要闭环、可审计 canary 证据链的团队：插件与控制平面无关，可与 Argo Rollouts、DSH 或自定义编排并行使用，通过 DSH 的 dsh_canary_decision_inspect / verify 或独立 stdio MCP 服务器调用，把「这次发布是否应当放行」变成一个离线、可重放的哈希链问题。