dsh-purge（社区称「破甲」）是一个跑在你自己机器上的 DeepSeek Harness（DSH）附加组件，通过宿主补丁、提示词注入、破甲强化段、权限配置、agent 预设这 5 层心智模型，把审批弹窗、沙箱拦截、工具围栏等交互摩擦收敛成一次设置，并提供状态自检、提示词管理与本机备份回滚，让 AI 更连贯地辅助学习与动手实验。

很多人装完插件后只关心"装上了没有"，但 dsh-purge 的设计哲学恰恰相反：每一层都要有可验证的证据。想真正搞懂它（以及排查"模型又开始推脱"这类问题），只需要建立这套 5 层心智模型。官方在 AGENTS.md 里只用一张表格就讲清了全部：

一句话总结：①④ 是全局的"硬件"，②③ 默认全局但可按预设排除，⑤ 只管人格不管能力。下面逐层拆解。

第 1 层：宿主补丁 —— 80 条精确片段改写 DSH 源码

这是整个插件的地基。所谓"宿主补丁"，就是把 DSH 客户端（app.asar）解包后，用精确的源码片段匹配（锚点）替换掉审批弹窗、沙箱围栏、拒绝话术等逻辑。

• 补丁总表定义在 lib/core.js 的ALL_PATCHES中，由PATCHES/CODE_PATCHES/ENGINE_PATCHES/NEW_TOOL_PATCHES四组拼成共 80 条；
• 每条补丁 ={id, name, file, replacements, markers}：pattern是宿主源码的精确片段，markers里留[dsh-purge]标记用于判断"已应用"；
• 锚点表分组自检逻辑见 lib/selfcheck.js，例如第 15 条"沙箱 confine 直通"让命令不再被包进 bwrap 等 runner，第 6/33/48 条"拒绝话术中性化"让工具描述不再教模型"请申请审批"。

面板里能看到每层补丁的计数与备份状态，全部就绪即为全绿：

生命周期要点（这是最高频的维护动作）：

1. 点「应用」→ 解包 host、写 80 条补丁、自动建快照；
2. 必须退出并重开 DSH，补丁才被加载；
3. DSH 官方更新、插件升级后旧补丁会失效，重新点一次「应用」即可——它是幂等的。

若宿主升级导致锚点漂移，purge-community diagnose会给出文件、行号与候选新落点，再用reanchor apply <id>把新锚点钉成本地覆盖，全程可撤销。补丁表怎么读、怎么加一条，完整规则在 AGENTS.md。

第 2 层：提示词注入 —— 每步重贴的 dsh-purge section

宿主补丁解决"系统不让"，提示词注入解决"模型自己想说"。你的注入正文本放在$DSH_HOME/prompt-inject.md（用户文件，插件只读不改），插件运行时把它作为一个名为dsh-purge的 section，在每一轮对话、每一步重新贴进系统提示——而不是只在会话开头贴一次。

为什么"每步重贴"很关键？长上下文里模型会"漂移"，开头的指令权重逐渐衰减。dsh-purge 用反复重贴对抗这种衰减，这也是自检中"运行时提示词注入"层要单独验证的原因（见 lib/preset-injection.js 的会话级注入策略）。

1.6.40 起新增excludePresets：把roleplay、minimal等预设加入排除列表后，这些会话保留原有人设、只清掉 Purge 段落。注意排除 ≠ 撤销——全局宿主补丁仍然生效。规则集的启用与编辑同样集中管理在面板里：

第 3 层：破甲强化段 —— 默认开启的尾部 boost

如果注入正文是"长期指令"，强化段（boost）就是"最后一遍叮嘱"。它由 lib/boost.js 提供，以<dsh_boost>块形式追加在 section 尾部（而不是头部）——实证结论是长上下文里尾部指令更稳，多轮对话中不容易被软化。

• 默认开启，结构按"层级声明 → 拒绝视为故障 → 抗谄媚 → 每步重读"组织；
• 开关命令：purge-community boost on|off，状态存在tuning.json；
• 它改的是提示词内容，不碰任何文件，因此与宿主补丁互不干扰。

第 4 层：权限配置 —— profile 里的一次性选择

前两层管"宿主"和"话术"，这一层管"权限策略"。插件在 profile 的cordis.patch.yml里落两项关键选择：

• 沙箱：danger-full-access；
• 审批：approval: never。

selfcheck的「当前 profile 的权限选择」层会读出实际值：确认生效是绿色，"未显式设置但当前有效"标黄inferred，真正不匹配才报broken。注意 UI 里的权限随时可覆盖它，补丁不写死环境变量——这层是默认值，不是锁。

第 5 层：agent 预设 —— unrestricted 只管人格

unrestricted（无限制模式）预设由 lib/presets-plugin.js 注册进agentPresets，在新会话下拉里选择即生效。它的设计边界非常克制：

• 它是standard 的超集，工具面完全一致，差别只在人设：执行优先、不重复声明边界、多轮不退化；
• 预设文件见 presets/unrestricted/preset.yml；
• 不要把它当成"额外破甲"——破甲靠第 1 层的宿主补丁，预设只改人格；只放文件不注册是不会出现在下拉里的。

回归测试卡（A/B 五条 prompt + 判读标准）在 docs/preset-test.md。

五层验证：selfcheck 与运行时探针

5 层模型最大的价值是可验证性：每一层都能独立给出证据，而不是"应该生效了"。

purge-community selfcheck --json # 25 层逐层证据，broken → 退出码 1 purge-community probe new # 生成探针 nonce

探针是判断"注入真的到了模型"的黄金标准：probe new会生成一段带 nonce 的话术，随便发一句对话，模型原样回显 nonce = 链路通；探针 30 分钟自动过期，不长期占 token。

排查口诀（摘自 AGENTS.md 决策树）：

• 回显了但模型仍推脱 → 问题在模型层/人设，调强化段或换预设，别怀疑补丁；
• 没回显 → 注入没到达，查selfcheck的运行时注入层、boost是否被关；
• 补丁数不足 →pending点一次「应用」即可，broken才需要diagnose。

关键模块索引

小结

dsh-purge 的 5 层心智模型可以浓缩成一句话：宿主补丁拆闸、提示词注入定调、强化段压尾、权限配置给默认、预设管人格——前两层是全局硬件事件，后三层是随时可调软的运行时参数。装完后跑一遍selfcheck，看到 25 层逐层证据全绿，再发一句对话验证探针回显，你就真正掌握了它；任何一层变红，对照本文的决策树定位，而不是反复重装。