dsh-release-guardian

每次合并前，你是否都在同一个地方卡住：新增代码能不能跑测试？类型检查过了没有？构建命令到底是哪条？Release Guardian 把这件繁琐的事变成一条确定性的本地扫描。它读取当前工作区、暂存区或指定分支差异中的变更文件与新增行，用规则引擎逐项检查发布风险，并自动发现 JavaScript、Python、Go、Rust、Java 和 .NET 项目的 test、typecheck、build 命令，最终输出人类可读报告或带版本号的 JSON 报告。

安全边界是它最突出的设计：默认操作对目标仓库完全只读，只执行 git 命令和读取配置文件，绝不运行项目代码，也不安装依赖、发布包或部署软件。项目检查是独立的显式授权操作，CLI 需要 --run-checks 加交互确认，宿主工具需要精确命令 ID，且批准 ID 绑定到仓库、基线策略和 diff 指纹，任何源码或配置变动都会使先前授权立即失效。审批的命令不会被沙箱隔离，因此每次执行前都会展示完整计划，要求用户逐条确认。

它提供四个入口：作为 DeepSeek Harness 包注册 release_guardian_check 宿主工具、作为独立 CLI 跑在终端或 CI 中、作为可选 Codex 技能适配器提供带安全意识的引导式审计、以及作为 Claude Code 插件附带只读审计子代理和可选的 pre-commit 门禁。四个入口共用同一份扫描实现和授权边界，是适配器而非四套独立扫描器。

如果你是一个跨语言团队的维护者，正在寻找一种轻量、确定、零遥测的发布前风险信号，而不是一个证明发布绝对安全的黑盒，Release Guardian 就是为此而生的。