# 项目缺口与增长计划（2026-10-27）

RiskProof 已有确定性的跨工具来源追踪、敏感输出拦截、可解释回执、任务限制、
双语 Web 浮标、配置诊断和执行前试算。当前最需要补齐的是安装兼容、首次价值体验、
真实工具案例和持续反馈；继续堆叠安全功能本身不能证明下载会增长。

## 当前证据

采集于 2026-10-27，npm 使用 UTC 完整日期与等长、不重叠的前后窗口：

| 指标 | 当前窗口 | 上个窗口 | 解释 |
| --- | --- | --- | --- |
| 7 日下载 | 2026-10-20—26：455 | 2026-10-13—19：108 | 包下载次数，包含发版、CI、重装等 |
| 30 日下载 | 2026-09-27—10-26：1,690 | 2026-08-28—09-26：1,123 | 增加 567，约 50.49%；不能归因为新增用户 |
| GitHub stars / forks | 7 / 1 | 无可靠历史快照 | 从本次开始定期保存，不补造历史趋势 |

来源：[npm 日期范围接口](https://api.npmjs.org/downloads/range/2026-08-28:2026-10-26/dsh-riskproof)、
[GitHub 仓库接口](https://api.github.com/repos/onlyqzq/dsh-riskproof)。目录和徽章可能有缓存，
复核时应保留实际日期窗口。每周的 30 日滚动窗口会重叠，不能当作独立实验。

用户已经提供两个明确的采用障碍：

- [PR #6](https://github.com/onlyqzq/dsh-riskproof/pull/6) 报告 DSH 0.2 被现有 peer 范围拒绝加载。
- [PR #4](https://github.com/onlyqzq/dsh-riskproof/pull/4) 报告新版宿主中的浮标 RPC 请求返回 405。

这两个问题应优先于宣传优化，修复必须验证宿主实际 API 与旧版回归，不能仅放宽声明。

路由核查发现新版 Connection 的独立 RPC 注册上下文缺少 WebServer 权限，单纯等待
服务就绪不能修复。新版本使用宿主公开的 exact Fetch 注册接口，走现有 `/api` 认证
与 owner 权限检查；客户端使用合法的 channel `/api` 和 endpoint `riskproof/status`。
旧宿主保留原生 loopback／Origin 限制的专属 RPC 路由，客户端记住可用目标；失联时
最多每 30 秒协商一次，避免每秒重复失败请求。不使用私有 Cordis 符号或修改宿主源码。

## v0.7 的优化

| 缺口 | 改进 | 预期作用与边界 |
| --- | --- | --- |
| 不搭建 DSH 就无法体验价值 | npm 提供 `riskproof-demo`，复用真实规则的四项隔离演练 | 缩短了解规则的路径；演练不等于真实安装或配置验收 |
| 空白概览缺少明确下一步 | Web 首次使用提示演练与 doctor 命令，手动复制后执行 | 帮用户了解规则、检查配置；不自动运行命令或修改策略 |
| 新版宿主加载与连接失败 | 扩展兼容性验证，采用宿主公开的认证路由并保留旧版回退 | 降低真实安装失败，保留既有宿主支持 |
| 项目介绍与版本路线图落后 | 更新中英文 README、npm 关键词和 GitHub 介绍 | 提高相关搜索的可发现性与页面说明的一致性 |
| 无持续增长基线 | 每周采集公开 npm/GitHub 数据，保留 JSON 与工作流摘要 | 观察趋势；不采集插件用户、会话或工具遥测 |

演练命令：

```bash
npx --yes --package=dsh-riskproof@0.7.0 riskproof-demo --language zh-CN
```

npm 安装阶段需要网络并会下载依赖；安装后的演练不连接模型或 DSH，不读私密文件，
不派发工具，不生成真实防护计数。CLI 退出码 0 代表四项模拟规则符合预期，不能证明
宿主环境安全。增加演练入口也会增加包下载，因此不能仅看新版本发布后的下载增幅。

依赖卫生：2026-10-27 的审计原先列出 7 个受影响包，来自测试工具与开发用 DSH 宿主链。
本次将 Vitest／coverage 同步更新至 4.1.12，并在既有版本范围内更新 Vite、source-map-js、
undici 和 zod；更新后 `npm audit` 与 `npm audit --omit=dev` 均返回 0。DSH 测试宿主的
锁定版本保持不变，发布包不捆绑 `node_modules`。用户实际 DSH 宿主需要单独审计，
本仓库结果不能替代宿主自身的依赖检查。

## 之后一个月最值得做的事

1. **第 7 天**：复核 DSH 0.2 的安装反馈和浮标连接；从 Issue 汇总安装失败与误报，
   用可复现的工具定义和模拟输入补测试。没有真实反馈前，不扩写通用规则引擎。
2. **第 14 天**：从常用的网页／数据库／邮件工具中选择一个真实可脱敏案例，说明
   来源链、拦截原因和修复步骤。当前演练和本地模型验收都不是生产客户成功案例。
3. **第 30 天**：对比等长日期窗口的公开下载、stars 和问题趋势，并标注发版、CI、
   演练入口等干扰因素。没有访问与完成安装人数，不能计算安装转化率。

目前仍缺：常用第三方工具的兼容映射、误报样本、跨插件组合验收，以及真实用户留存
反馈。跨进程来源追踪和更丰富 DLP 仍需单独设计安全边界，不应为增长仓促上线。
社区案例发布、外部推广和批量发帖需要明确的内容与受众，不由定时工作流自动发送。

## 获取每周报告

GitHub Actions 的 [Public growth snapshot](https://github.com/onlyqzq/dsh-riskproof/actions/workflows/growth.yml)
每周二北京时间 09:23 计划运行，也可由维护者手动触发；调度可能延迟。每次保存
90 天的 JSON artifact，摘要显示当前与上个 7／30 日窗口。工作流不安装项目依赖、
不安装 RiskProof，也不调用安全演练，避免统计任务自身产生包下载。

本地复核：

```bash
npm run metrics:growth -- --output artifacts/growth/latest.json --summary artifacts/growth/latest.md
```

脚本只访问两个固定的公开 API，不读取令牌、会话或工具记录。缺失、重复、非法日期
数据对应的合计显示 `null`；上期为零时增长百分比也显示 `null`。API 不可用时保留
能取得的部分并退出非零，不用 0 掩盖失败。该维护脚本不随 npm 插件发布。

## v0.7 验收记录

2026-10-27 本地检查结果：

- `npm run verify` 通过：246 项 Vitest 回归、6 项 smoke runner、浏览器发布产物检查、
  9 项分发／增长统计检查均通过；两项 TypeScript 检查和包元数据检查通过。
- `npm run test:coverage` 通过：行覆盖率 95.99%，分支覆盖率 87.70%；
  `npm audit` 与 `npm audit --omit=dev` 均为 0 项漏洞。
- npm 10 在干净目录及独立缓存中通过候选 tarball 启动 `riskproof-demo --json`；
  四项真实引擎演练通过，无需 DSH profile 或模型配置。
- DSH 0.1.0-rc.7、0.1.2-rc.1、0.2.1-rc.4 的真实安装／工具管线通过。
  新增 HTTP 检查验证实际处理器、空会话计数、跨站拒绝及宿主提供的认证，
  避免仅凭启动日志判断浮标可用。
- Chrome 156：DSH 0.1.2-rc.1 中文、0.2.1-rc.4 英文的桌面与 390px 窄屏验收通过，
  覆盖首次引导、手动复制、真实工具活动、来源拦截、只读拒绝、试算、doctor、演练、
  报告、会话切换和断线恢复。0.2 按公开 `retainedBy.mainView` 识别当前会话，
  不打开会话、不增加引用或读取历史。

这些验收使用隔离配置、本地模拟模型和合成工具；不是生产用户成功率或增长归因。
本地日志、包清单和截图保存在忽略目录 `artifacts/`。远端版本、完整 Node／DSH 矩阵
与 npm 发布状态，以相应提交的 CI、Publish 和 registry 可见性为准。