dsh-safe-updater

DeepSeek Harness 运行的是持续性 agent 工作流，一次不当的版本升级就可能打断正在进行的会话、破坏工作区状态甚至影响外部集成。dsh-safe-updater 把版本更新变成一条可审计、可回滚的流水线：它将候选版本克隆到隔离的 DSH_HOME 中，安装依赖、校验组合配置、启动临时 Web 服务器进行 HTTP 健康探测，所有检查通过后才允许切换；任何一项失败都会自动回滚，不会中断正在运行的 agent 循环。

插件提供三级递进模式：notify 仅记录新版本不做任何操作，stage 完成完整预演但绝不重启进程，apply 则交由外部 supervisor 执行生产切换。每个候选命令均以参数数组方式执行并禁用 shell，凭据与运行时数据不会被复制到暂存区，状态文件采用原子写入与受限权限，从根本上降低了递归暂存与供应链注入的风险。

它适合把 DSH 当作长期运行基础设施的团队与高级用户：你希望在受控窗口内完成升级、拥有清晰的回滚路径、确保在途 agent 任务零中断，而无需在每次升级前手动比对 npm 版本号。