DSH-AIO: DeepSeek Harness portable (offline, Windows x64)

DSH-AIO-portable-win-x64.zip

@@ -0,0 +1,3 @@
+version https://git-lfs.github.com/spec/v1
+oid sha256:15f0ce17fe4a1ba27b135b514e5ec1cf3d43321afa27610dfdea8bcdfa1c4cdb
+size 344356530

DSH-AIO-portable-win-x64.zip.sha256

@@ -0,0 +1 @@
+15f0ce17fe4a1ba27b135b514e5ec1cf3d43321afa27610dfdea8bcdfa1c4cdb  DSH-AIO-portable-win-x64.zip

README.md

@@ -0,0 +1,133 @@
+---
+license: other
+license_name: mixed-third-party
+language:
+- vi
+- en
+tags:
+- deepseek-harness
+- dsh
+- portable
+- offline
+- windows
+- agent
+---
+
+# DSH-AIO — DeepSeek Harness portable (Windows x64, offline)
+
+**Tải về:** `DSH-AIO-portable-win-x64.zip` (329M) — SHA256 `15f0ce17fe4a1ba27b135b514e5ec1cf3d43321afa27610dfdea8bcdfa1c4cdb`
+
+Giải nén vào đường dẫn ngắn (ví dụ `D:\dsh`), sửa `config\internal-api.env` (lần đầu launcher tự mở Notepad), rồi double-click `Start-DeepseekHarness.cmd`. Không cần quyền admin, không cần Internet.
+
+Các file khác trong repo (`scripts/`, `docs/`, `config/`, `package.json`, `package-lock.json`) là mã nguồn/tài liệu dùng để **dựng lại** gói từ đầu (`scripts\build-portable.ps1`, cần Internet).
+
+---
+
+> **Bản công khai (Hugging Face).** Vì giấy phép, bản này **không kèm**:
+> - `dsh-deepseek-splash` (repo gốc không có LICENSE) - bỏ qua các dòng nói về splash bên dưới;
+> - `@anthropic-ai/claude-agent-sdk` + `claude.exe` (bản quyền Anthropic, không được phát hành lại) - plugin `@deepseek-ai/dsh-subagent-claude-code` vẫn có trong `node_modules\` nhưng **tắt** và sẽ không chạy được nếu thiếu SDK này.
+>
+> Dựng lại đầy đủ phần còn lại (cần Internet, trên máy build): `scripts\build-portable.ps1` (dùng `package-lock.json` đi kèm; SDK của Anthropic sẽ được tải từ npm theo điều khoản của họ).
+
+# DeepSeek Harness (dsh) - bản Portable
+
+Chạy [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) **offline, không cần quyền admin, không cài gì**.
+Gói chứa sẵn Node.js portable (win-x64), toàn bộ dependencies của `@deepseek-ai/dsh@0.2.1-rc.5` và các plugin (xem bên dưới).
+
+Yêu cầu: **Windows 10 22H2 / Windows 11 x64**, Windows PowerShell 5.1 (có sẵn), trình duyệt bất kỳ (Edge/Chrome).
+
+## Dùng
+
+1. Giải nén vào **đường dẫn ngắn**, ví dụ `D:\dsh` (đường dẫn tương đối dài nhất trong gói là ~180 ký tự; tổng không được quá 259 ký tự nếu Windows chưa bật LongPaths).
+2. Double-click **`Start-DeepseekHarness.cmd`**.
+   - Lần đầu, Notepad mở file `config\internal-api.env`: điền `BASE_URL`, `API_KEY`, `MODEL_ID` (và `API_PROTOCOL` nếu cần), lưu, đóng Notepad.
+3. Trình duyệt tự mở Web UI (`http://127.0.0.1:3080`). Đóng cửa sổ console để dừng.
+
+### `config\internal-api.env`
+
+| Biến | Ý nghĩa |
+|---|---|
+| `BASE_URL` | Địa chỉ API, thường kết thúc `/v1` |
+| `API_KEY` | Key của gateway (chỉ truyền qua biến môi trường, không ghi vào YAML) |
+| `MODEL_ID` | Tên model; nhiều model cách nhau dấu phẩy, model đầu là mặc định |
+| `API_PROTOCOL` | `openai-completions` (mặc định) · `openai-responses` · `anthropic-messages` |
+| `HTTPS_PROXY`, `NO_PROXY` | Tuỳ chọn (không hỗ trợ SOCKS; NO_PROXY không hỗ trợ CIDR) |
+| `NODE_EXTRA_CA_CERTS` | Tuỳ chọn: file CA nội bộ nếu gateway dùng HTTPS tự ký |
+
+Model OpenAI mới (vd `gpt-6-*`) **không** cho dùng function tools qua chat/completions → đặt `API_PROTOCOL=openai-responses`.
+Gateway nội bộ kiểu vLLM/LiteLLM/one-api thường dùng `openai-completions`.
+
+Đổi API: sửa file env rồi chạy **`Reset-Config.cmd`** (sinh lại `data\dsh-home\profiles\web\cordis.patch.yml`, bản cũ được sao lưu `.bak-*`; các tuỳ chọn đã đổi trong UI Settings sẽ về mặc định), sau đó khởi động lại. Có thể đổi trực tiếp trong UI: *Settings → Models*.
+
+## Plugin đi kèm (đã kiểm tra mã nguồn: không gọi mạng ngoài khi chạy)
+
+Bật qua `config\plugins.txt` (profile `web`), cài sẵn trong `node_modules\`, version ghim cứng:
+
+| Plugin | Version | Ghi chú |
+|---|---|---|
+| `dsh-better-sidebar` | 0.28.2 | Sidebar: file tree, editor, terminal, Git, side chat. Các link github.com trong UI chỉ là link tĩnh. |
+| `@akshaydev17/dsh-spotlight` | 0.0.3 | Command palette (`Ctrl+K`). Dùng **bản fork** vì bản gốc `@0xsline/dsh-spotlight` import `schemastery` không scope nên không chạy với dsh (diff chỉ khác tên package + import này). |
+| `@nanmicoder/dsh-agent-teams` | 0.1.28 | Multi-agent. Chỉ gọi API cục bộ. (Tác giả khai báo host khuyến nghị là rc.2/rc.3; đã test chạy với rc.5.) |
+| `dsh-browser-cdp` | 1.7.5 | Điều khiển Chrome/Edge **có sẵn trên máy** qua CDP (cổng cục bộ). Tuỳ chọn: tải FFmpeg từ GitHub *chỉ khi bạn bấm cài* — **đừng bật** trong môi trường kín (backend mặc định là CDP, không cần FFmpeg). |
+
+| `dsh-deepseek-splash` | 1.0.2 (commit `f9e8fbe`) | Animation khởi động 4K (video 11 MB). Chỉ phục vụ 2 file tĩnh cục bộ + chèn 1 script hiển thị video; bấm "Skip" hoặc `Esc` để bỏ qua. Cài từ `vendor\dsh-deepseek-splash-1.0.2.tgz` (đúng bản đã đọc mã). **Không chạy** `安装开屏.ps1` / `还原原版.ps1` trong repo gốc: đó là script vá `app.asar` của bản Desktop. |
+
+**Đã cài sẵn nhưng TẮT mặc định:**
+
+- `@deepseek-ai/dsh-subagent-claude-code` 0.2.1-rc.5 (chính thức): chạy **Claude Code native** (`claude.exe`, ~209 MB, tự đăng nhập/gọi API Anthropic) làm subagent. Bản chất cần truy cập Anthropic, hoặc một gateway tương thích Anthropic Messages (đặt `env: ANTHROPIC_BASE_URL`, `ANTHROPIC_API_KEY` trong `cordis.patch.yml`; nên thêm `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1`). Bật lên sẽ thêm tool `subagent_claude_code` vào **mọi** agent (đã đo: 31 → 47 tool cùng agent-teams) nhưng không khởi chạy tiến trình nào cho tới khi được gọi. Để bật: bỏ dấu `#` dòng tương ứng trong `config\plugins.txt` rồi chạy `Reset-Config.cmd`. Chưa test gọi thật (không có API Anthropic).
+
+**Đã loại** (không đưa vào gói):
+
+- `dsh-market` (`@dsh-market/plugin`): bản chất cần mạng — tải danh mục từ `*.github.io`/jsDelivr, GitHub OAuth, npm registry, rồi cài bằng pnpm/npm. Vô dụng và gây lỗi kết nối trong mạng kín.
+- `TencentDB-Agent-Memory`: không phải plugin dsh mà là **proxy/gateway riêng** (dsh phải nói giao thức Anthropic Messages tới proxy; proxy lại gọi LLM + embedding mặc định ở dịch vụ ngoài, cần Docker/server riêng). Có chế độ standalone SQLite nhưng không phù hợp "một thư mục, một click".
+- `dsh-tui` (0.2.19): không tương thích dsh 0.2.1-rc.5 (gọi `/api/session.create`, server dùng `/api/session/create`; đồng thời không gửi token xác thực → HTTP 401/404).
+
+Để bật/tắt plugin: sửa `config\plugins.txt`, chạy `Reset-Config.cmd`. **Thêm plugin mới** (kiểm tra mạng, cài offline, test, đóng gói, sự cố thường gặp): xem [`docs/THEM-PLUGIN.md`](docs/THEM-PLUGIN.md). Plugin chưa cài sẵn trong `node_modules\` sẽ bị bỏ qua (offline không tải được).
+
+## Dữ liệu nằm ở đâu
+
+Mọi thứ nằm trong thư mục gói, không ghi vào `%USERPROFILE%`:
+
+- `data\dsh-home` – cấu hình, session, credentials (`DSH_HOME`)
+- `data\agents-home` – `DSH_AGENTS_HOME`
+- `data\workspace` – workspace mặc định của agent (agent chỉ nên làm việc ở đây; đừng trỏ vào thư mục nhạy cảm)
+- Telemetry của dsh bị tắt (`DSH_TELEMETRY_DISABLED=1`).
+
+Di chuyển thư mục gói sau khi đã chạy: đường dẫn workspace lưu trong `data\dsh-home\storages\workspace.json` là tuyệt đối; xoá `data\dsh-home` (hoặc thêm lại workspace trong UI) nếu workspace báo lỗi đường dẫn.
+
+## Chia sẻ sang máy khác
+
+Nén cả thư mục bằng `scripts\pack.ps1` (tạo `dist\DeepseekHarness-Portable.zip`; **không** kèm key, session, `data\`). Máy đích: giải nén → điền `config\internal-api.env` → double-click.
+
+> Windows có thể hiện cảnh báo SmartScreen/“Mark of the Web” với file tải từ mạng. Chuột phải zip → Properties → **Unblock** trước khi giải nén để tránh.
+
+## Không dùng được khi offline
+
+Plugin market / `dsh plugin` (cần pnpm + mạng), tool `web_fetch`/`web_search`, MCP server từ xa. Agent chạy lệnh qua **PowerShell** (không kèm bash/git).
+
+## Cập nhật phiên bản (cần Internet, trên máy build)
+
+```powershell
+# dựng lại đúng cây package đã kiểm thử (npm ci theo package-lock.json, đã gồm plugin)
+powershell -ExecutionPolicy Bypass -File scripts\build-portable.ps1
+powershell -ExecutionPolicy Bypass -File scripts\verify-offline.ps1
+powershell -ExecutionPolicy Bypass -File scripts\pack.ps1
+```
+
+Nâng cấp/thêm plugin: dùng npm của runtime portable **với `--legacy-peer-deps --ignore-scripts`** (không có `--legacy-peer-deps`, npm có thể kéo bản cũ của `@deepseek-ai/*` do peer optional; có nó thì npm lại gỡ các peer mà dsh cần — các peer này đã được ghim tường minh trong `package.json`, đừng xoá). Sau khi cài, thêm tên vào `config\plugins.txt` và chạy `verify-offline.ps1`.
+
+`node_modules\` nằm ở **thư mục gốc gói** (không phải `app\`): plugin được import từ `data\dsh-home\profiles\web\`, và Node tìm `node_modules` bằng cách đi lên các thư mục cha.
+
+`dsh` đang ở giai đoạn developer preview (có thể đổi phá vỡ) nên phiên bản được ghim cứng, không tự nâng cấp.
+
+## Kiểm thử
+
+`scripts\verify-offline.ps1` (21 kiểm tra): chạy một job headless với mock OpenAI API cục bộ, proxy chết (mọi kết nối ra ngoài đều hỏng), `PATH` tối thiểu; khởi động profile web + 5 plugin đang bật, kiểm tra plugin kích hoạt/tải được (splash chèn đúng và phục vụ asset cục bộ), **không có kết nối TCP ngoài loopback**, không ghi ra ngoài gói, không cần admin.
+
+## An toàn
+
+Xem [SAFETY.md](https://github.com/deepseek-ai/deepseek-harness/blob/master/SAFETY.md): agent có thể chạy lệnh và đọc/ghi file. Chỉ đặt API key đang dùng thật vào `config\internal-api.env` trên máy tin cậy.
+
+## Giấy phép
+
+Gói chứa phần mềm bên thứ ba, mỗi thành phần theo giấy phép riêng (xem file `LICENSE` trong từng thư mục `node_modules\<package>` và `runtime\node\LICENSE`): DeepSeek Harness (`@deepseek-ai/*`, MIT), Node.js, và các plugin MIT liệt kê ở trên. Script và tài liệu hướng dẫn trong repo này chưa khai báo giấy phép riêng. Đây là phần mềm thử nghiệm (developer preview); xem [SAFETY.md](https://github.com/deepseek-ai/deepseek-harness/blob/master/SAFETY.md) của dsh trước khi dùng.

Reset-Config.cmd

@@ -0,0 +1,5 @@
+@echo off
+setlocal
+"%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe" -NoProfile -ExecutionPolicy Bypass -File "%~dp0scripts\launch.ps1" -ResetConfig
+echo.
+pause

Start-DeepseekHarness.cmd

@@ -0,0 +1,8 @@
+@echo off
+setlocal
+title DeepSeek Harness (portable)
+"%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe" -NoProfile -ExecutionPolicy Bypass -File "%~dp0scripts\launch.ps1" %*
+if errorlevel 1 (
+  echo.
+  pause
+)

config/cordis.patch.template.yml

@@ -0,0 +1,24 @@
+# Template -> data\dsh-home\profiles\web\cordis.patch.yml (render boi scripts\launch.ps1)
+# Cac placeholder dang BASE_URL va MODELS (trong dau ngoac nhon kep) duoc lay tu config\internal-api.env
+# Neu gateway can them: compat / reasoningEfforts / headers -> xem docs llm-pi-ai (providers.md)
+- id: llm-pi-ai
+  config:
+    providers:
+      internal:
+        displayName: "Internal API"
+        api: {{API_PROTOCOL}}
+        baseURL: {{BASE_URL}}
+        apiKeyEnv: INTERNAL_API_KEY
+        models:
+{{MODELS}}
+
+# Model mac dinh cho session moi = model dau tien trong MODEL_ID (thay vi deepseek-official)
+- id: agent-default-model
+  config:
+    provider: internal
+    model: {{DEFAULT_MODEL}}
+
+# Workspace mac dinh nam trong goi portable (thay vi Documents cua may). launch.ps1 dat DSH_DOCUMENTS_DIR.
+- id: workspace-controller
+  config:
+    documentsDirectory: !!js process.env.DSH_DOCUMENTS_DIR

config/internal-api.env.sample

@@ -0,0 +1,23 @@
+# Cau hinh API noi bo (OpenAI Chat Completions). Sua 3 dong dau roi luu.
+# Khong dung dau ngoac kep tru khi gia tri co khoang trang.
+
+# Dia chi API, thuong ket thuc bang /v1
+BASE_URL=http://10.0.0.5:8000/v1
+
+# API key cua gateway noi bo
+API_KEY=sk-CHANGE_ME
+
+# Ten model tren gateway. Nhieu model: cach nhau dau phay (vd: qwen3-coder,deepseek-v3)
+MODEL_ID=ten-model
+
+# Giao thuc API cua gateway (mac dinh openai-completions):
+#   openai-completions = /v1/chat/completions   (vLLM, LiteLLM, one-api, da so gateway noi bo)
+#   openai-responses   = /v1/responses          (OpenAI that, cac model moi dung function tools)
+#   anthropic-messages = /v1/messages
+API_PROTOCOL=openai-completions
+
+# --- Tuy chon (bo dau # de dung) ---
+# HTTPS_PROXY=http://proxy.noibo:8080
+# NO_PROXY=noibo.local,.corp.example.com
+# CA noi bo neu gateway dung HTTPS tu ky (duong dan tuyet doi hoac tuong doi so voi thu muc goi):
+# NODE_EXTRA_CA_CERTS=certs\noibo-ca.pem

config/plugins.txt

@@ -0,0 +1,15 @@
+# Plugin (bundle) bat cho profile web, theo thu tu. Moi dong = ten package da cai san trong node_modules\ (thu muc goc goi).
+# Them/bot dong roi chay Reset-Config.cmd. KHONG them plugin chua cai san (offline khong tai duoc).
+#
+# Da kiem tra ma nguon: khong goi mang ngoai luc chay.
+dsh-better-sidebar
+@akshaydev17/dsh-spotlight
+@nanmicoder/dsh-agent-teams
+# Co the goi mang CHI KHI nguoi dung chu dong bat (tai FFmpeg tu GitHub); mac dinh khong tai.
+dsh-browser-cdp
+
+# --- DA CAI SAN NHUNG TAT MAC DINH ---
+# Chay Claude Code native (@anthropic-ai/claude-agent-sdk) lam subagent => can truy cap API Anthropic
+# (hoac gateway tuong thich Anthropic Messages qua config env ANTHROPIC_BASE_URL). Bat len se them tool
+# "subagent_claude_code" vao MOI agent. Chi bat khi co gateway noi bo phu hop, xem README.
+# @deepseek-ai/dsh-subagent-claude-code

docs/THEM-PLUGIN.md

@@ -0,0 +1,241 @@
+# Hướng dẫn thêm plugin vào DeepSeek Harness portable
+
+Tài liệu này mô tả cách **kiểm tra, cài sẵn và bật** một plugin dsh trong gói portable, sao cho gói vẫn chạy offline, không cần admin và nén sang máy khác dùng được ngay.
+
+> **Nguyên tắc:** mọi thứ phải được tải về **trước**, trên máy build có Internet. Máy đích (mạng kín) không tải thêm được gì. Plugin nào cần mạng ngoài để hoạt động thì **không đưa vào gói** (xem mục 7).
+
+Các lệnh dưới đây chạy trong **Windows PowerShell 5.1** (có sẵn trong Win10/11), tại **thư mục gốc của gói** trên máy build. Thư mục gốc là nơi có `Start-DeepseekHarness.cmd`, `node_modules\`, `runtime\`.
+
+## 0. Tổng quan cách plugin hoạt động trong gói
+
+- Plugin dsh là một package npm (hoặc repo GitHub) có khai báo `"dsh": { "bundle": { "patch": "./cordis.patch.yml" } }` trong `package.json`. Đó là **bundle**: `cordis.patch.yml` của nó chèn plugin vào cây dịch vụ của dsh.
+- Plugin được cài vào **`node_modules\` ở thư mục gốc gói** (không phải thư mục con). Lý do: mã plugin được import từ `data\dsh-home\profiles\web\`, và Node tìm `node_modules` bằng cách đi lên các thư mục cha.
+- Plugin nào được bật do **`config\plugins.txt`** quyết định: mỗi dòng là tên package; launcher ghi các tên đó vào `data\dsh-home\profiles\web\package.json` (`dsh.profile.bundles`) khi tạo profile hoặc khi chạy `Reset-Config.cmd`.
+- Phiên bản được **ghim cứng** trong `package.json` + `package-lock.json`. Lockfile là thứ giúp `scripts\build-portable.ps1` dựng lại đúng cây package.
+
+## 1. Kiểm tra plugin trước khi cài
+
+Plugin chạy với **toàn quyền của agent** (đọc/ghi file, chạy lệnh) nên phải đọc mã trước khi cài. Làm lần lượt:
+
+### 1.1 Thông tin cơ bản (không tải gì về máy)
+
+```powershell
+$pkg = '<tên-package>@<version>'      # ví dụ: dsh-better-sidebar@0.28.2
+npm view $pkg name version license repository.url maintainers dist.unpackedSize
+npm view $pkg dependencies peerDependencies optionalDependencies --json
+npm view $pkg scripts --json          # chú ý preinstall / install / postinstall / prepare
+npm view $pkg dsh --json              # phải có bundle.patch nếu là bundle
+```
+
+Cờ đỏ cần cân nhắc kỹ:
+
+| Dấu hiệu | Ý nghĩa |
+|---|---|
+| Có `install` / `postinstall` tải file | Cần mạng khi cài, có thể tải thêm nhị phân |
+| Phụ thuộc `playwright`, `puppeteer`, `@puppeteer/browsers` | Thường tải Chromium từ Internet |
+| Phụ thuộc SDK của dịch vụ đám mây (OpenAI, Anthropic, AWS…) | Gọi API ngoài khi chạy |
+| Ít lượt tải, 1 tác giả, repo không rõ | Chưa được cộng đồng kiểm chứng |
+| `dsh.engines` / peer không liệt kê phiên bản host đang dùng (`0.2.1-rc.5`) | Có thể không tương thích |
+
+### 1.2 Tải tarball về thư mục tạm và đọc mã (không chạy)
+
+Dùng thư mục tạm riêng; **không** chạy bất kỳ script nào trong đó.
+
+```powershell
+$audit = Join-Path $env:TEMP 'plugin-audit'
+Remove-Item -Recurse -Force $audit -ErrorAction SilentlyContinue
+New-Item -ItemType Directory -Force $audit | Out-Null
+Push-Location $audit
+npm pack $pkg --ignore-scripts                        # chỉ tải tarball
+& "$env:SystemRoot\System32\tar.exe" -xzf (Get-ChildItem *.tgz).Name
+Pop-Location
+
+$code = Get-ChildItem "$audit\package" -Recurse -Include *.js,*.mjs,*.cjs -File
+
+# (a) URL ngoài trong mã
+$code | Select-String -Pattern 'https?://[A-Za-z0-9._/-]+' -AllMatches |
+  ForEach-Object { $_.Matches.Value } | Sort-Object -Unique |
+  Where-Object { $_ -notmatch 'w3\.org|json-schema|example\.|localhost|127\.0\.0\.1' }
+
+# (b) lệnh gọi mạng và tiến trình con
+$code | Select-String -Pattern 'fetch\(|XMLHttpRequest|new WebSocket|https?\.request|sendBeacon|child_process|spawn\(|execFile|exec\(' |
+  Select-Object -First 40 Path, LineNumber
+```
+
+Cách đọc kết quả:
+
+- `exec(` cũng khớp `RegExp.exec(...)` (không phải chạy lệnh) → bỏ qua dòng kiểu `/^…/.exec(chuỗi)`.
+- `fetch('/api/...')` hoặc URL tương đối, `127.0.0.1`: gọi **máy cục bộ**, an toàn.
+- Link `https://github.com/...` nằm trong chuỗi giao diện/locale: thường chỉ là liên kết tĩnh, kiểm tra ngữ cảnh.
+- `fetch('https://...')`, gọi `api.github.com`, `registry.npmjs.org`, CDN, OAuth: **cần mạng ngoài** → loại hoặc vô hiệu hoá tính năng đó.
+- `child_process`, `spawn`: plugin chạy tiến trình con; xem nó chạy gì (git, shell, trình duyệt…) và có hợp lý không.
+
+Đọc cả `README.md` của plugin: mục "network", "telemetry", "offline". Đọc `cordis.patch.yml` xem nó chèn những gì.
+
+### 1.3 Plugin từ GitHub (không có trên npm)
+
+Ghim vào **một commit cụ thể** (không dùng nhánh), tải về và đọc mã đúng commit đó:
+
+```powershell
+$sha = '<commit-sha-40-ký-tự>'
+$d = Join-Path $env:TEMP 'plugin-src'
+Remove-Item -Recurse -Force $d -ErrorAction SilentlyContinue
+New-Item -ItemType Directory -Force $d | Out-Null
+Invoke-WebRequest -UseBasicParsing "https://codeload.github.com/<owner>/<repo>/tar.gz/$sha" -OutFile "$d\src.tgz"
+& "$env:SystemRoot\System32\tar.exe" -xzf "$d\src.tgz" -C $d
+```
+
+Sau khi đọc xong và chấp nhận, đóng thành tarball nằm trong gói (xem 2.2) để lần sau dựng lại không phụ thuộc GitHub.
+
+> Repo GitHub có thể kèm script cài đặt riêng (`.ps1`, `.sh`). **Đừng chạy chúng**: ví dụ repo `deepseek-splash` có `安装开屏.ps1` vá file `app.asar` của bản Desktop, không liên quan tới gói này. Chỉ dùng cách cài bằng npm ở dưới.
+
+## 2. Cài plugin vào gói (máy build, có Internet)
+
+### 2.1 Chuẩn bị môi trường và chụp trạng thái trước
+
+Luôn dùng Node/npm **của gói**, không dùng Node hệ thống.
+
+```powershell
+$root = (Get-Location).Path                     # thư mục gốc của gói
+$env:PATH = "$root\runtime\node;$env:PATH"
+$env:npm_config_cache = "$root\data\npm-cache"
+$env:NPM_CONFIG_UPDATE_NOTIFIER = 'false'
+$npm = "$root\runtime\node\node_modules\npm\bin\npm-cli.js"
+
+# sao lưu manifest để có thể quay lại
+Copy-Item package.json      package.json.bak
+Copy-Item package-lock.json package-lock.json.bak
+
+# chụp danh sách package cấp cao nhất trước khi cài
+function Snap {
+  Get-ChildItem "$root\node_modules" -Directory | Where-Object { $_.Name -notlike '.*' } | ForEach-Object {
+    if ($_.Name -like '@*') { Get-ChildItem $_.FullName -Directory | ForEach-Object { "$($_.Parent.Name)/$($_.Name)" } }
+    else { $_.Name }
+  } | Sort-Object
+}
+$before = Snap
+```
+
+### 2.2 Lệnh cài
+
+**Luôn dùng đủ 3 cờ** `--legacy-peer-deps --ignore-scripts --save-exact`:
+
+```powershell
+# Plugin trên npm:
+node $npm install --save-exact --legacy-peer-deps --ignore-scripts --omit=dev --no-audit --no-fund <tên-package>@<version>
+
+# Plugin từ GitHub (đã đọc mã ở 1.3): đóng tarball vào vendor\ rồi cài từ file
+New-Item -ItemType Directory -Force "$root\vendor" | Out-Null
+node $npm pack "$d\<repo>-$sha" --ignore-scripts --pack-destination "$root\vendor"
+node $npm install --save-exact --legacy-peer-deps --ignore-scripts --omit=dev --no-audit --no-fund ".\vendor\<tên-file>.tgz"
+```
+
+Vì sao các cờ này:
+
+| Cờ | Lý do |
+|---|---|
+| `--legacy-peer-deps` | Plugin thường khai báo peer *optional* kéo về bản **cũ** của `@deepseek-ai/*` → xung đột `ERESOLVE` hoặc nhân đôi phiên bản. Cờ này bỏ qua peer tự cài |
+| `--ignore-scripts` | Không chạy `install`/`postinstall` của bên thứ ba |
+| `--save-exact` | Ghim đúng phiên bản vào `package.json` |
+
+### 2.3 Kiểm tra cây package sau khi cài
+
+```powershell
+$after = Snap
+Compare-Object $before $after      # chỉ nên thấy package MỚI (=>); không được có package bị gỡ (<=)
+```
+
+- Có dòng `<=` (package bị gỡ): **dừng lại**. Cài lại các package đó với đúng phiên bản (lấy từ `$before`/`package-lock.json.bak`) rồi ghim bằng `npm install --save-exact --legacy-peer-deps --ignore-scripts <pkg>@<ver>`. Các peer mà dsh cần (ví dụ `@deepseek-ai/cordis-plugin-group`, `@deepseek-ai/dsh-fs`, …) đã được ghim sẵn trong `package.json`; không xoá chúng.
+- Thấy package `@deepseek-ai/*` ở phiên bản **khác** `0.2.1-rc.5`: có nhân đôi phiên bản host → huỷ bằng cách khôi phục `package.json.bak` / `package-lock.json.bak` và chạy lại `scripts\build-portable.ps1`.
+
+## 3. Bật plugin
+
+1. Mở `config\plugins.txt`, thêm một dòng với **đúng tên package** (ví dụ `@scope/ten-plugin`).
+   - Muốn tắt tạm: thêm `#` ở đầu dòng.
+   - Plugin chưa có trong `node_modules\` sẽ bị launcher **bỏ qua** (và in cảnh báo).
+2. Chạy **`Reset-Config.cmd`** (hoặc `scripts\launch.ps1 -ResetConfig`). Lệnh này ghi lại `data\dsh-home\profiles\web\package.json` (danh sách bundle) và sao lưu bản cũ thành `.bak-<thời gian>`.
+   - Lưu ý: nó cũng ghi lại `cordis.patch.yml`; các tuỳ chọn bạn đã đổi trong UI Settings quay về mặc định (bản cũ nằm trong file `.bak-*`).
+3. Khởi động bằng `Start-DeepseekHarness.cmd` và xem console: không được có dòng `did not activate` hoặc `failed to import`.
+
+Nếu plugin cần cấu hình (ví dụ `env`, đường dẫn…), thêm một mục vào `config\cordis.patch.template.yml` theo cú pháp của dsh (ghi đè theo `id` của entry trong `cordis.patch.yml` của plugin) rồi chạy lại `Reset-Config.cmd`. **Không đặt secret trong YAML**; dùng biến môi trường (`!!js process.env.TEN_BIEN`) như `apiKeyEnv` đang làm.
+
+> Package **không** có `dsh.bundle.patch` thì không bật được bằng `plugins.txt`; cần tự thêm entry vào `cordis.patch.yml` của profile. Đây là trường hợp nâng cao, hãy đọc README của plugin.
+
+## 4. Kiểm thử
+
+### 4.1 Chạy bộ test tự động
+
+```powershell
+powershell -NoProfile -ExecutionPolicy Bypass -File scripts\verify-offline.ps1
+```
+
+Bộ test này chạy với proxy chết và `PATH` tối thiểu, rồi kiểm tra: plugin kích hoạt không lỗi, **không có kết nối TCP ra ngoài loopback**, không ghi ra `~\.dsh`, `~\.agents`, `Documents`.
+
+Để test thêm plugin mới, mở `scripts\verify-offline.ps1` và thêm tên vào vòng `foreach ($pl in ...)` (mục "Plugin co trong roster va client tai duoc"). Plugin chỉ có phần server (không có `client.js`, như splash) thì thêm một kiểm tra riêng, giống mẫu "Splash".
+
+### 4.2 Test thủ công
+
+1. Chạy `Start-DeepseekHarness.cmd`, mở UI.
+2. Kiểm tra roster client chứa plugin: ở tab trình duyệt, DevTools Console chạy
+   `window.__DSH_BOOT__.entries.map(e => e.id).filter(x => /ten-plugin/.test(x))`.
+3. Gửi một tin nhắn có dùng tool để chắc plugin không làm hỏng luồng chat.
+4. Theo dõi mạng khi dùng thử tính năng của plugin:
+   ```powershell
+   Get-NetTCPConnection | Where-Object { $_.RemoteAddress -notin '127.0.0.1','::1','0.0.0.0','::' } |
+     Where-Object { (Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).Path -like "$root*" }
+   ```
+   Kết quả phải **rỗng**.
+
+### 4.3 Bật plugin ảnh hưởng thế nào tới agent
+
+Một số plugin thêm tool vào **mọi** agent (tốn token ở mỗi request và mở rộng quyền). Đo trước/sau số tool bằng mock API nếu cần (`scripts\dev\mock-openai.mjs` ghi tên tool vào `data\tmp\mock-requests.jsonl`).
+
+## 5. Cập nhật tài liệu và đóng gói
+
+1. Ghi plugin vào bảng trong `README.md` (tên, phiên bản, kết quả đánh giá mạng). Nếu là bản fork hoặc cài từ GitHub, ghi rõ commit.
+2. Chạy lại `scripts\verify-offline.ps1` (phải đạt hết).
+3. Đóng gói: `powershell -NoProfile -ExecutionPolicy Bypass -File scripts\pack.ps1` → `dist\DeepseekHarness-Portable.zip` (+ `.sha256`). Gói **không** chứa `config\internal-api.env` và `data\`.
+4. Khuyến nghị: giải nén bản zip vào một đường dẫn khác có dấu cách, rồi chạy lại `verify-offline.ps1` ở đó để giả lập máy đích.
+5. Xoá bản sao lưu nếu không cần: `package.json.bak`, `package-lock.json.bak`.
+
+Dựng lại toàn bộ từ lockfile (kể cả plugin) trên máy có Internet:
+
+```powershell
+powershell -NoProfile -ExecutionPolicy Bypass -File scripts\build-portable.ps1
+```
+
+## 6. Gỡ plugin / hoàn tác
+
+```powershell
+# gỡ hẳn
+node $npm uninstall --legacy-peer-deps --ignore-scripts --no-audit --no-fund <tên-package>
+# rồi xoá dòng tương ứng trong config\plugins.txt và chạy Reset-Config.cmd
+
+# hoặc quay về trạng thái trước khi cài
+Copy-Item package.json.bak package.json -Force
+Copy-Item package-lock.json.bak package-lock.json -Force
+node $npm ci --legacy-peer-deps --ignore-scripts --omit=dev --no-audit --no-fund
+```
+
+Nếu `npm uninstall` báo `EBUSY`: đang có server dsh chạy hoặc cửa sổ terminal đang đứng trong thư mục của plugin; tắt dsh và `cd` ra ngoài rồi thử lại.
+
+Chỉ **tắt** plugin (giữ cài sẵn): thêm `#` đầu dòng trong `config\plugins.txt` và chạy `Reset-Config.cmd`.
+
+## 7. Xử lý sự cố thường gặp
+
+| Triệu chứng | Nguyên nhân | Cách xử lý |
+|---|---|---|
+| `Cannot find package '<plugin>' imported from ...\profiles\web\` | Plugin chưa cài vào `node_modules\` ở thư mục gốc gói, hoặc `node_modules` không nằm ở gốc | Cài lại theo mục 2; đảm bảo `node_modules\<plugin>` tồn tại cạnh `runtime\` |
+| `Cannot find package '@deepseek-ai/cordis-plugin-group'` (hoặc package `@deepseek-ai/*` khác) khi khởi động | Cài plugin làm npm gỡ các peer mà dsh cần | Khôi phục `package.json.bak`/lockfile hoặc chạy `build-portable.ps1`; luôn dùng 3 cờ ở mục 2.2 |
+| `npm error ERESOLVE ... Conflicting peer dependency` | Peer optional của plugin kéo bản cũ `@deepseek-ai/*` | Dùng `--legacy-peer-deps` |
+| `failed to import: Cannot find package 'schemastery'` (hoặc `cordis`) | Plugin import package **không có scope**, dsh dùng `@deepseek-ai/schemastery` / `@deepseek-ai/cordis` | Tìm bản fork đã sửa import (như `@akshaydev17/dsh-spotlight`), đọc diff kỹ; nếu không có thì loại plugin |
+| `skipping profile bundle "..."` | Package không có `dsh.bundle.patch`, hoặc không tương thích phiên bản dsh | Kiểm tra `dsh.engines` và README plugin |
+| UI báo `HTTP 404/401` từ plugin dạng client riêng | Plugin viết cho phiên bản host khác (API khác) | Không tương thích với `0.2.1-rc.5` → loại (như `dsh-tui` 0.2.19) |
+| Plugin kích hoạt nhưng tính năng báo lỗi mạng | Plugin cần dịch vụ ngoài | Mục 8: loại hoặc vô hiệu hoá tính năng đó |
+| `scripts\verify-offline.ps1` báo có kết nối ngoài loopback | Plugin gọi mạng khi chạy | Xác định tiến trình/cổng đích bằng lệnh ở 4.2 rồi loại plugin |
+
+## 8. Plugin đã đánh giá
+
+Kết quả cụ thể (cài / tắt / loại, kèm lý do) nằm trong bảng ở [`README.md`](../README.md) mục "Plugin đi kèm". Tóm tắt các trường hợp **không** đưa vào gói vì cần mạng ngoài hoặc không tương thích: `dsh-market` (tải danh mục từ github.io/jsDelivr, OAuth GitHub, npm registry), `TencentDB-Agent-Memory` (proxy riêng, gọi LLM/embedding ngoài), `dsh-tui` (không tương thích rc.5). `@deepseek-ai/dsh-subagent-claude-code` được cài sẵn nhưng **tắt** vì chạy Claude Code native (cần API Anthropic hoặc gateway tương thích).
+
+Bật plugin đang tắt: bỏ `#` ở dòng của nó trong `config\plugins.txt`, chạy `Reset-Config.cmd`. Riêng `dsh-subagent-claude-code` cần thêm cấu hình `env` (`ANTHROPIC_BASE_URL`, `ANTHROPIC_API_KEY`, `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1`) và gateway nội bộ nói giao thức Anthropic Messages; khi bật nó thêm tool `subagent_claude_code` vào mọi agent.

package.json

@@ -0,0 +1 @@
+{"name":"dsh-portable","version":"1.0.0","private":true,"type":"module","dependencies":{"@akshaydev17/dsh-spotlight":"0.0.3","@deepseek-ai/cordis-plugin-group":"1.0.5","@deepseek-ai/dsh":"0.2.1-rc.5","@deepseek-ai/dsh-anonymous-user-id":"0.2.1-rc.5","@deepseek-ai/dsh-attachment":"0.2.1-rc.5","@deepseek-ai/dsh-bash-local":"0.2.1-rc.5","@deepseek-ai/dsh-compaction":"0.2.1-rc.5","@deepseek-ai/dsh-deepseek-account":"0.2.1-rc.5","@deepseek-ai/dsh-fs":"0.2.1-rc.5","@deepseek-ai/dsh-jobs":"0.2.1-rc.5","@deepseek-ai/dsh-llm-deepseek":"0.2.1-rc.5","@deepseek-ai/dsh-output-retention":"0.2.1-rc.5","@deepseek-ai/dsh-ptc-runtime":"0.2.1-rc.5","@deepseek-ai/dsh-sandbox":"0.2.1-rc.5","@deepseek-ai/dsh-scope":"0.2.1-rc.5","@deepseek-ai/dsh-sdk-protocol":"0.2.1-rc.5","@deepseek-ai/dsh-session-persistence":"0.2.1-rc.5","@deepseek-ai/dsh-session-query":"0.2.1-rc.5","@deepseek-ai/dsh-session-telemetry":"0.2.1-rc.5","@deepseek-ai/dsh-session-title-llm":"0.2.1-rc.5","@deepseek-ai/dsh-shell":"0.2.1-rc.5","@deepseek-ai/dsh-spill":"0.2.1-rc.5","@deepseek-ai/dsh-subagent-claude-code":"0.2.1-rc.5","@deepseek-ai/dsh-util-time":"0.2.1-rc.5","@deepseek-ai/dsh-util-workspace-path":"0.2.1-rc.5","@deepseek-ai/dsh-workflow":"0.2.1-rc.5","@nanmicoder/dsh-agent-teams":"0.1.28","dsh-better-sidebar":"0.28.2","dsh-browser-cdp":"1.7.5"}}

scripts/build-portable.ps1

@@ -0,0 +1,95 @@
+# build-portable.ps1 - CHAY 1 LAN tren may CO Internet.
+# Tai Node portable (win-x64) + cai dsh va cac plugin (theo package-lock.json) vao thu muc goc goi.
+# Tuong thich Windows PowerShell 5.1. Khong can quyen admin.
+#
+# - Co package-lock.json  -> "npm ci": dung lai CHINH XAC cay package da kiem thu (dsh + plugin).
+# - Khong co lockfile     -> cai moi dsh@$DshVersion (KHONG co plugin; them plugin bang tay, xem README).
+# Luu y: node_modules nam o THU MUC GOC (khong phai app\) de Node tim thay plugin khi import tu
+# data\dsh-home\profiles\web\ (Node di len cac thu muc cha de tim node_modules).
+param(
+    [string]$NodeVersion = 'v24.22.2',
+    [string]$DshVersion  = '0.2.1-rc.5',
+    [switch]$Force
+)
+$ErrorActionPreference = 'Stop'
+[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
+$ProgressPreference = 'SilentlyContinue'
+
+$Root    = Split-Path -Parent $PSScriptRoot
+$Runtime = Join-Path $Root 'runtime'
+$NodeDir = Join-Path $Runtime 'node'
+$Data    = Join-Path $Root 'data'
+$Dl      = Join-Path $Data 'tmp\download'
+foreach ($d in @($Runtime, $Dl, (Join-Path $Data 'npm-cache'))) {
+    New-Item -ItemType Directory -Force -Path $d | Out-Null
+}
+
+# ---- 1. Node portable -------------------------------------------------------
+$nodeExe = Join-Path $NodeDir 'node.exe'
+if ((Test-Path $nodeExe) -and -not $Force) {
+    Write-Host "[1/4] Node da co: $(& $nodeExe -v)"
+} else {
+    $base = "https://nodejs.org/dist/$NodeVersion"
+    $zipName = "node-$NodeVersion-win-x64.zip"
+    $zip = Join-Path $Dl $zipName
+    Write-Host "[1/4] Tai $zipName ..."
+    Invoke-WebRequest -UseBasicParsing -Uri "$base/$zipName" -OutFile $zip
+    $sums = (Invoke-WebRequest -UseBasicParsing -Uri "$base/SHASUMS256.txt").Content
+    $line = ($sums -split "`n") | Where-Object { $_ -match [regex]::Escape($zipName) } | Select-Object -First 1
+    if (-not $line) { throw "Khong tim thay checksum cho $zipName" }
+    $expected = ($line.Trim() -split '\s+')[0].ToLower()
+    $actual = (Get-FileHash -Algorithm SHA256 $zip).Hash.ToLower()
+    if ($expected -ne $actual) { throw "SHA256 khong khop: expected $expected, got $actual" }
+    Write-Host "      SHA256 OK"
+    $ex = Join-Path $Dl 'node-extract'
+    if (Test-Path $ex) { Remove-Item -Recurse -Force $ex }
+    New-Item -ItemType Directory -Force -Path $ex | Out-Null
+    & (Join-Path $env:SystemRoot 'System32\tar.exe') -xf $zip -C $ex
+    if ($LASTEXITCODE -ne 0) { throw 'Giai nen Node that bai' }
+    $inner = Get-ChildItem $ex -Directory | Select-Object -First 1
+    if (Test-Path $NodeDir) { Remove-Item -Recurse -Force $NodeDir }
+    Move-Item $inner.FullName $NodeDir
+    Remove-Item -Recurse -Force $ex
+    Write-Host "      Node $(& $nodeExe -v)"
+}
+
+# ---- 2. npm ci / install ------------------------------------------------------
+$npmCli = Join-Path $NodeDir 'node_modules\npm\bin\npm-cli.js'
+$env:PATH = "$NodeDir;$env:PATH"
+$env:npm_config_cache = Join-Path $Data 'npm-cache'
+$env:NPM_CONFIG_UPDATE_NOTIFIER = 'false'
+$lock = Join-Path $Root 'package-lock.json'
+Push-Location $Root
+try {
+    if (Test-Path $lock) {
+        Write-Host '[2/4] npm ci (theo package-lock.json) ...'
+        # --legacy-peer-deps: tranh keo ban cu cua @deepseek-ai/* qua peer optional cua plugin.
+        # Cac peer that su cua dsh da duoc ghim tuong minh trong package.json.
+        & $nodeExe $npmCli ci --legacy-peer-deps --ignore-scripts --omit=dev --no-audit --no-fund --loglevel=warn
+    } else {
+        Write-Host "[2/4] npm install @deepseek-ai/dsh@$DshVersion (khong co lockfile) ..."
+        [IO.File]::WriteAllText((Join-Path $Root 'package.json'), '{"name":"dsh-portable","version":"1.0.0","private":true,"type":"module"}', (New-Object Text.UTF8Encoding $false))
+        & $nodeExe $npmCli install "@deepseek-ai/dsh@$DshVersion" --save-exact --ignore-scripts --omit=dev --no-audit --no-fund --loglevel=warn
+    }
+    if ($LASTEXITCODE -ne 0) { throw 'npm that bai' }
+} finally { Pop-Location }
+
+# ---- 3. Kiem tra --------------------------------------------------------------
+Write-Host "[3/4] Kiem tra ..."
+$bin = Join-Path $Root 'node_modules\@deepseek-ai\dsh\lib\bin.js'
+if (-not (Test-Path $bin)) { throw "Khong thay $bin" }
+$native = Get-ChildItem (Join-Path $Root 'node_modules') -Directory -Filter 'node-addon-require-builtin-win32-x64-msvc' -ErrorAction SilentlyContinue
+if (-not $native) { Write-Warning 'Thieu node-addon-require-builtin-win32-x64-msvc (koffi native)!' }
+Push-Location $Root
+try { Write-Host "      dsh --version: $(& $nodeExe $bin --version)" } finally { Pop-Location }
+
+# ---- 4. Thong ke ----------------------------------------------------------------
+Write-Host "[4/4] Thong ke ..."
+$files = Get-ChildItem (Join-Path $Root 'node_modules') -Recurse -File -Force -ErrorAction SilentlyContinue
+$mb = [math]::Round((($files | Measure-Object Length -Sum).Sum) / 1MB, 1)
+$longest = $files | Sort-Object { $_.FullName.Length } -Descending | Select-Object -First 1
+$relLen = $longest.FullName.Length - $Root.Length
+Write-Host "      node_modules: $($files.Count) files, $mb MB"
+Write-Host "      duong dan tuong doi dai nhat: $relLen ky tu (+ goc giai nen phai < $(259 - $relLen))"
+Write-Host "      $($longest.FullName.Substring($Root.Length))"
+Write-Host 'XONG.'

scripts/dev/mock-openai.mjs

@@ -0,0 +1,62 @@
+// Mock OpenAI-compatible server de test offline (khong can API that).
+//   node scripts/dev/mock-openai.mjs [port]
+// GET /v1/models, POST /v1/chat/completions (stream + non-stream).
+// Tra loi "MOCK-REPLY: <tin nhan cuoi>". Ghi request vao data/tmp/mock-requests.jsonl.
+import http from 'node:http'
+import { appendFileSync, mkdirSync } from 'node:fs'
+import { dirname, resolve } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+const port = Number(process.argv[2] || 8089)
+const here = dirname(fileURLToPath(import.meta.url))
+const logFile = resolve(here, '..', '..', 'data', 'tmp', 'mock-requests.jsonl')
+mkdirSync(dirname(logFile), { recursive: true })
+
+function textOf(content) {
+  if (typeof content === 'string') return content
+  if (Array.isArray(content)) return content.map((p) => p?.text ?? '').join('')
+  return ''
+}
+
+const server = http.createServer((req, res) => {
+  let body = ''
+  req.on('data', (c) => (body += c))
+  req.on('end', () => {
+    const url = req.url.split('?')[0]
+    const auth = req.headers['authorization'] || ''
+    if (req.method === 'GET' && url.endsWith('/models')) {
+      res.writeHead(200, { 'content-type': 'application/json' })
+      res.end(JSON.stringify({ object: 'list', data: [{ id: 'mock-model', object: 'model', owned_by: 'mock' }] }))
+      return
+    }
+    if (req.method === 'POST' && url.endsWith('/chat/completions')) {
+      let j = {}
+      try { j = JSON.parse(body) } catch {}
+      appendFileSync(logFile, JSON.stringify({ t: Date.now(), auth: auth ? auth.slice(0, 14) + '...' : '', model: j.model, stream: j.stream, nMsgs: j.messages?.length, tools: (j.tools || []).map((t) => t.function?.name) }) + '\n')
+      const last = [...(j.messages || [])].reverse().find((m) => m.role === 'user')
+      const reply = 'MOCK-REPLY: ' + textOf(last?.content).slice(0, 200)
+      const id = 'chatcmpl-mock-' + Date.now()
+      const created = Math.floor(Date.now() / 1000)
+      if (j.stream) {
+        res.writeHead(200, { 'content-type': 'text/event-stream', 'cache-control': 'no-cache', connection: 'keep-alive' })
+        const send = (delta, finish, usage) =>
+          res.write('data: ' + JSON.stringify({ id, object: 'chat.completion.chunk', created, model: j.model, choices: [{ index: 0, delta, finish_reason: finish ?? null }], ...(usage ? { usage } : {}) }) + '\n\n')
+        send({ role: 'assistant', content: '' })
+        for (const w of reply.split(/(?<= )/)) send({ content: w })
+        send({}, 'stop')
+        if (j.stream_options?.include_usage) {
+          res.write('data: ' + JSON.stringify({ id, object: 'chat.completion.chunk', created, model: j.model, choices: [], usage: { prompt_tokens: 10, completion_tokens: 10, total_tokens: 20 } }) + '\n\n')
+        }
+        res.write('data: [DONE]\n\n')
+        res.end()
+      } else {
+        res.writeHead(200, { 'content-type': 'application/json' })
+        res.end(JSON.stringify({ id, object: 'chat.completion', created, model: j.model, choices: [{ index: 0, message: { role: 'assistant', content: reply }, finish_reason: 'stop' }], usage: { prompt_tokens: 10, completion_tokens: 10, total_tokens: 20 } }))
+      }
+      return
+    }
+    res.writeHead(404, { 'content-type': 'application/json' })
+    res.end(JSON.stringify({ error: { message: 'not found: ' + req.method + ' ' + url } }))
+  })
+})
+server.listen(port, '127.0.0.1', () => console.log(`mock-openai listening on http://127.0.0.1:${port}/v1`))

scripts/launch.ps1

@@ -0,0 +1,170 @@
+# launch.ps1 - khoi dong DeepSeek Harness (Web UI) o che do portable, offline.
+# Tuong thich Windows PowerShell 5.1 (Win10 22H2). Khong can quyen admin.
+param(
+    [switch]$ResetConfig,   # render lai cordis.patch.yml tu config roi thoat
+    [int]$Port = 3080,
+    [switch]$NoOpen,        # khong tu mo trinh duyet (dung khi test)
+    [string]$Prompt = '',   # chay 1 job headless (khong UI) roi in ket qua - dung de test tu dong
+    [string]$ConfigFile = '',  # (test) file env thay cho config\internal-api.env
+    [string]$DataDir = '',     # (test) thu muc data thay cho data\
+    [string]$PluginsFile = ''  # (test) file danh sach plugin thay cho config\plugins.txt
+)
+$ErrorActionPreference = 'Stop'
+try { [Console]::OutputEncoding = [Text.Encoding]::UTF8 } catch {}
+
+$Root     = Split-Path -Parent $PSScriptRoot
+$Node     = Join-Path $Root 'runtime\node\node.exe'
+$Bin      = Join-Path $Root 'node_modules\@deepseek-ai\dsh\lib\bin.js'
+$Data     = Join-Path $Root 'data'
+$DshHome  = Join-Path $Data 'dsh-home'
+$EnvFile  = Join-Path $Root 'config\internal-api.env'
+$Sample   = Join-Path $Root 'config\internal-api.env.sample'
+$Template = Join-Path $Root 'config\cordis.patch.template.yml'
+if ($DataDir)    { $Data = $DataDir; $DshHome = Join-Path $Data 'dsh-home' }
+if ($ConfigFile) { $EnvFile = $ConfigFile }
+$Profile  = 'web'
+if ($Prompt) { $Profile = 'headless' }
+$PatchDir = Join-Path $DshHome "profiles\$Profile"
+$Patch    = Join-Path $PatchDir 'cordis.patch.yml'
+
+function Fail([string]$msg) {
+    Write-Host ''
+    Write-Host "LỖI: $msg" -ForegroundColor Red
+    exit 1
+}
+function Write-Utf8([string]$path, [string]$text) {
+    [IO.File]::WriteAllText($path, $text, (New-Object Text.UTF8Encoding $false))
+}
+function Read-EnvFile([string]$path) {
+    $h = @{}
+    foreach ($line in [IO.File]::ReadAllLines($path, [Text.Encoding]::UTF8)) {
+        $l = $line.Trim()
+        if ($l -eq '' -or $l.StartsWith('#')) { continue }
+        $i = $l.IndexOf('=')
+        if ($i -lt 1) { continue }
+        $k = $l.Substring(0, $i).Trim()
+        $v = $l.Substring($i + 1).Trim()
+        if ($v.Length -ge 2 -and (($v[0] -eq '"' -and $v[$v.Length - 1] -eq '"') -or ($v[0] -eq "'" -and $v[$v.Length - 1] -eq "'"))) {
+            $v = $v.Substring(1, $v.Length - 2)
+        }
+        $h[$k] = $v
+    }
+    return $h
+}
+function YamlQuote([string]$s) {
+    return '"' + ($s.Replace('\', '\\').Replace('"', '\"')) + '"'
+}
+
+if (-not (Test-Path $Node)) { Fail "Không thấy runtime Node ($Node). Gói chưa được build - chạy scripts\build-portable.ps1 (cần Internet)." }
+if (-not (Test-Path $Bin))  { Fail "Không thấy dsh ($Bin). Gói chưa được build - chạy scripts\build-portable.ps1 (cần Internet)." }
+
+# --- 1. Cau hinh API noi bo ---------------------------------------------------
+if (-not (Test-Path $EnvFile)) {
+    Copy-Item $Sample $EnvFile
+    Write-Host 'Lần chạy đầu: hãy điền BASE_URL, API_KEY, MODEL_ID rồi lưu và đóng Notepad.' -ForegroundColor Yellow
+    Start-Process notepad.exe -ArgumentList ('"' + $EnvFile + '"') -Wait
+}
+$cfg = Read-EnvFile $EnvFile
+foreach ($k in 'BASE_URL', 'API_KEY', 'MODEL_ID') {
+    if (-not $cfg.ContainsKey($k) -or [string]::IsNullOrWhiteSpace($cfg[$k]) -or $cfg[$k] -like '*CHANGE_ME*') {
+        Start-Process notepad.exe -ArgumentList ('"' + $EnvFile + '"')
+        Fail "Thiếu '$k' trong $EnvFile. Hãy điền rồi chạy lại."
+    }
+}
+
+# --- 2. Thu muc du lieu (nam trong goi, khong dung ~/.dsh) --------------------
+foreach ($d in 'dsh-home', 'agents-home', 'workspace', 'tmp', 'npm-cache') {
+    New-Item -ItemType Directory -Force -Path (Join-Path $Data $d) | Out-Null
+}
+$env:DSH_HOME        = $DshHome
+$env:DSH_AGENTS_HOME = Join-Path $Data 'agents-home'
+$env:TEMP            = Join-Path $Data 'tmp'
+$env:TMP             = $env:TEMP
+$env:npm_config_cache = Join-Path $Data 'npm-cache'
+$env:NPM_CONFIG_UPDATE_NOTIFIER = 'false'
+$env:DSH_TELEMETRY_DISABLED = '1'
+$env:DSH_DOCUMENTS_DIR = Join-Path $Data 'workspace'
+$env:PATH = (Join-Path $Root 'runtime\node') + ';' + (Join-Path $Root 'node_modules\.bin') + ';' + $env:PATH
+
+# --- 3. Bien moi truong cho tien trinh con ------------------------------------
+$env:INTERNAL_API_KEY = $cfg['API_KEY']
+foreach ($k in 'HTTP_PROXY', 'HTTPS_PROXY', 'NO_PROXY', 'ALL_PROXY') {
+    if ($cfg.ContainsKey($k) -and $cfg[$k]) { Set-Item -Path "Env:$k" -Value $cfg[$k] }
+}
+if ($cfg.ContainsKey('NODE_EXTRA_CA_CERTS') -and $cfg['NODE_EXTRA_CA_CERTS']) {
+    $ca = $cfg['NODE_EXTRA_CA_CERTS']
+    if (-not [IO.Path]::IsPathRooted($ca)) { $ca = Join-Path $Root $ca }
+    if (-not (Test-Path $ca)) { Fail "NODE_EXTRA_CA_CERTS trỏ tới file không tồn tại: $ca" }
+    $env:NODE_EXTRA_CA_CERTS = $ca
+}
+
+# --- 3b. Manifest profile: bundles = dsh-base + web-app + plugin trong config\plugins.txt ----
+$Manifest = Join-Path $PatchDir 'package.json'
+if ($Profile -eq 'web' -and ($ResetConfig -or -not (Test-Path $Manifest))) {
+    $bundles = @('@deepseek-ai/dsh-base', '@deepseek-ai/dsh-web-app')
+    if (-not $PluginsFile) { $PluginsFile = Join-Path $Root 'config\plugins.txt' }
+    if (Test-Path $PluginsFile) {
+        foreach ($l in [IO.File]::ReadAllLines($PluginsFile, [Text.Encoding]::UTF8)) {
+            $t = $l.Trim()
+            if ($t -and -not $t.StartsWith('#')) {
+                $pkgDir = Join-Path $Root ('node_modules\' + $t.Replace('/', '\'))
+                if (Test-Path $pkgDir) { $bundles += $t }
+                else { Write-Host "Bỏ qua plugin '$t' (chưa được cài sẵn trong node_modules)." -ForegroundColor Yellow }
+            }
+        }
+    }
+    $items = ($bundles | ForEach-Object { '          ' + (YamlQuote $_) }) -join ",`n"
+    $json = "{`n  `"name`": `"dsh-profile-web`",`n  `"private`": true,`n  `"dependencies`": {},`n  `"dsh`": {`n    `"profile`": {`n      `"bundles`": [`n$items`n      ]`n    }`n  }`n}`n"
+    New-Item -ItemType Directory -Force -Path $PatchDir | Out-Null
+    if (Test-Path $Manifest) { Copy-Item $Manifest ($Manifest + '.bak-' + (Get-Date -Format 'yyyyMMdd-HHmmss')) }
+    Write-Utf8 $Manifest $json
+    Write-Host "Đã tạo $Manifest ($($bundles.Count) bundle)" -ForegroundColor Green
+}
+
+# --- 4. Render cordis.patch.yml (chi khi chua co hoac -ResetConfig) ------------
+if ($ResetConfig -or -not (Test-Path $Patch)) {
+    $models = @($cfg['MODEL_ID'] -split '[,;]' | ForEach-Object { $_.Trim() } | Where-Object { $_ })
+    $modelYaml = ($models | ForEach-Object { '          - id: ' + (YamlQuote $_) }) -join "`n"
+    $proto = 'openai-completions'
+    if ($cfg.ContainsKey('API_PROTOCOL') -and $cfg['API_PROTOCOL']) { $proto = $cfg['API_PROTOCOL'].Trim() }
+    if ($proto -notin 'openai-completions', 'openai-responses', 'anthropic-messages') {
+        Fail "API_PROTOCOL='$proto' không hợp lệ. Chọn: openai-completions | openai-responses | anthropic-messages."
+    }
+    $tpl = [IO.File]::ReadAllText($Template, [Text.Encoding]::UTF8)
+    $out = $tpl.Replace('{{BASE_URL}}', (YamlQuote $cfg['BASE_URL'])).Replace('{{API_PROTOCOL}}', $proto).Replace('{{DEFAULT_MODEL}}', (YamlQuote $models[0])).Replace('{{MODELS}}', $modelYaml)
+    New-Item -ItemType Directory -Force -Path $PatchDir | Out-Null
+    if (Test-Path $Patch) { Copy-Item $Patch ($Patch + '.bak-' + (Get-Date -Format 'yyyyMMdd-HHmmss')) }
+    Write-Utf8 $Patch $out
+    Write-Host "Đã tạo $Patch" -ForegroundColor Green
+}
+if ($ResetConfig) { Write-Host 'Đã reset cấu hình model từ config\internal-api.env.'; exit 0 }
+
+if ($Prompt) {
+    Set-Location (Join-Path $Data 'workspace')
+    & $Node $Bin --profile headless $Prompt
+    exit $LASTEXITCODE
+}
+
+# --- 5. Chon cong ---------------------------------------------------------------
+function Test-PortFree([int]$p) {
+    try {
+        $l = New-Object Net.Sockets.TcpListener([Net.IPAddress]::Loopback, $p)
+        $l.Start(); $l.Stop(); return $true
+    } catch { return $false }
+}
+$chosen = 0
+for ($p = $Port; $p -lt $Port + 20; $p++) { if (Test-PortFree $p) { $chosen = $p; break } }
+if ($chosen -eq 0) { Fail "Không tìm được cổng trống từ $Port đến $($Port + 19)." }
+
+# --- 6. Chay dsh ---------------------------------------------------------------
+Set-Location (Join-Path $Data 'workspace')
+Write-Host ''
+Write-Host "DeepSeek Harness (portable) - http://127.0.0.1:$chosen" -ForegroundColor Cyan
+Write-Host "  Dữ liệu : $DshHome"
+Write-Host "  Workspace: $(Join-Path $Data 'workspace')"
+Write-Host '  Đóng cửa sổ này (hoặc Ctrl+C) để dừng.'
+Write-Host ''
+$dshArgs = @($Bin, 'web', '--port', $chosen)
+if ($NoOpen) { $dshArgs += '--no-open' }
+& $Node @dshArgs
+exit $LASTEXITCODE

scripts/pack.ps1

@@ -0,0 +1,98 @@
+# pack.ps1 - nen goi portable thanh dist\*.zip
+# KHONG kem: config\internal-api.env (key that), data\ (session, credentials, cache), dist\.
+# Dung bsdtar cua Windows (System32\tar.exe), khong dung Compress-Archive (loi path dai / >2GB).
+#
+#   pack.ps1            -> dist\DeepseekHarness-Portable.zip  (ban day du, dung noi bo)
+#   pack.ps1 -Public    -> dist\DSH-AIO-portable-win-x64.zip  (ban co the phat hanh cong khai)
+#
+# -Public bo cac thanh phan KHONG duoc phep phat hanh lai:
+#   - @anthropic-ai/claude-agent-sdk (+ ban native claude.exe): "All rights reserved", chi dung theo dieu khoan Anthropic.
+#   - dsh-deepseek-splash: repo goc khong co LICENSE.
+# va thay package.json / package-lock.json / config\plugins.txt / README.md bang ban da cat cac thanh phan do
+# (de "npm ci" tren may khac khong loi do thieu vendor\ ).
+param(
+    [string]$OutName = '',
+    [switch]$Public
+)
+$ErrorActionPreference = 'Stop'
+$Root = Split-Path -Parent $PSScriptRoot
+$Dist = Join-Path $Root 'dist'
+$Tar  = Join-Path $env:SystemRoot 'System32\tar.exe'
+if (-not $OutName) { $OutName = if ($Public) { 'DSH-AIO-portable-win-x64.zip' } else { 'DeepseekHarness-Portable.zip' } }
+New-Item -ItemType Directory -Force -Path $Dist | Out-Null
+
+foreach ($need in 'runtime\node\node.exe', 'node_modules\@deepseek-ai\dsh\lib\bin.js', 'config\internal-api.env.sample') {
+    if (-not (Test-Path (Join-Path $Root $need))) { throw "Thieu $need - chay scripts\build-portable.ps1 truoc." }
+}
+
+# data\ rong: chi giu 1 file huong dan de thu muc ton tai
+$dataStub = Join-Path $Root 'data\README.txt'
+New-Item -ItemType Directory -Force -Path (Join-Path $Root 'data') | Out-Null
+Set-Content -Encoding ASCII $dataStub 'Thu muc du lieu cua DeepSeek Harness portable (sessions, cau hinh, workspace). Tu dong tao khi chay.'
+
+$excludes = @('--exclude', 'config/internal-api.env', '--exclude', 'config/*.bak*', '--exclude', 'scripts/dev/*.jsonl')
+$items = @('Start-DeepseekHarness.cmd', 'Reset-Config.cmd', 'README.md', 'config', 'scripts', 'docs', 'runtime', 'vendor', 'node_modules', 'package.json', 'package-lock.json', 'data/README.txt')
+$overlay = @()
+
+if ($Public) {
+    $stage = Join-Path $Root 'data\tmp\public-stage'
+    if (Test-Path $stage) { Remove-Item -Recurse -Force $stage }
+    New-Item -ItemType Directory -Force -Path (Join-Path $stage 'config') | Out-Null
+    $utf8 = New-Object Text.UTF8Encoding $false
+
+    # plugins.txt: bo dsh-deepseek-splash (+ dong chu thich cua no)
+    $pl = [IO.File]::ReadAllLines((Join-Path $Root 'config\plugins.txt'), [Text.Encoding]::UTF8) |
+        Where-Object { $_ -notmatch 'dsh-deepseek-splash' -and $_ -notmatch '^# Anim khoi dong 4K' }
+    [IO.File]::WriteAllLines((Join-Path $stage 'config\plugins.txt'), $pl, $utf8)
+
+    # package.json + lockfile: go splash (khong can vendor\), khong dong den node_modules cua may build
+    Copy-Item (Join-Path $Root 'package.json') $stage
+    Copy-Item (Join-Path $Root 'package-lock.json') $stage
+    $npmCli = Join-Path $Root 'runtime\node\node_modules\npm\bin\npm-cli.js'
+    $nodeExe = Join-Path $Root 'runtime\node\node.exe'
+    $env:npm_config_cache = Join-Path $Root 'data\npm-cache'
+    $env:NPM_CONFIG_UPDATE_NOTIFIER = 'false'
+    Push-Location $stage
+    try {
+        & $nodeExe $npmCli uninstall dsh-deepseek-splash --package-lock-only --legacy-peer-deps --ignore-scripts --no-audit --no-fund --loglevel=error
+        if ($LASTEXITCODE -ne 0) { throw 'npm uninstall (stage) that bai' }
+    } finally { Pop-Location }
+    if ((Get-Content -Raw (Join-Path $stage 'package.json')) -match 'deepseek-splash') { throw 'splash van con trong package.json (stage)' }
+
+    # README: them thong bao ban cong khai
+    $notice = @(
+        '> **Bản công khai (Hugging Face).** Vì giấy phép, bản này **không kèm**:',
+        '> - `dsh-deepseek-splash` (repo gốc không có LICENSE) - bỏ qua các dòng nói về splash bên dưới;',
+        '> - `@anthropic-ai/claude-agent-sdk` + `claude.exe` (bản quyền Anthropic, không được phát hành lại) - plugin `@deepseek-ai/dsh-subagent-claude-code` vẫn có trong `node_modules\` nhưng **tắt** và sẽ không chạy được nếu thiếu SDK này.',
+        '>',
+        '> Dựng lại đầy đủ phần còn lại (cần Internet, trên máy build): `scripts\build-portable.ps1` (dùng `package-lock.json` đi kèm; SDK của Anthropic sẽ được tải từ npm theo điều khoản của họ).',
+        ''
+    )
+    $readme = [IO.File]::ReadAllText((Join-Path $Root 'README.md'), [Text.Encoding]::UTF8)
+    [IO.File]::WriteAllText((Join-Path $stage 'README.md'), (($notice -join "`n") + "`n" + $readme), $utf8)
+
+    # luu y: --exclude cua tar cung chan ca file overlay cung duong dan, nen liet ke tuong minh cac file trong config\
+    # (tru plugins.txt) thay vi exclude; plugins.txt ban cat nam o overlay.
+    $items = $items | Where-Object { $_ -notin 'README.md', 'vendor', 'package.json', 'package-lock.json', 'config' }
+    $items += Get-ChildItem (Join-Path $Root 'config') -File |
+        Where-Object { $_.Name -notin 'plugins.txt', 'internal-api.env' -and $_.Name -notlike '*.bak*' } |
+        ForEach-Object { 'config/' + $_.Name }
+    $excludes += @('--exclude', 'node_modules/dsh-deepseek-splash',
+        '--exclude', 'node_modules/@anthropic-ai/claude-agent-sdk',
+        '--exclude', 'node_modules/@anthropic-ai/claude-agent-sdk-win32-x64')
+    $overlay = @('-C', $stage, 'config/plugins.txt', 'package.json', 'package-lock.json', 'README.md')
+}
+
+$zip = Join-Path $Dist $OutName
+if (Test-Path $zip) { Remove-Item -Force $zip }
+Push-Location $Root
+try {
+    & $Tar -a -cf $zip @excludes @items @overlay
+    if ($LASTEXITCODE -ne 0) { throw "tar that bai (exit $LASTEXITCODE)" }
+} finally { Pop-Location }
+
+$mb = [math]::Round((Get-Item $zip).Length / 1MB, 1)
+$hash = (Get-FileHash -Algorithm SHA256 $zip).Hash.ToLower()
+Set-Content -Encoding ASCII ($zip + '.sha256') "$hash  $OutName"
+Write-Host "Da tao $zip ($mb MB)"
+Write-Host "SHA256: $hash"

scripts/verify-offline.ps1

@@ -0,0 +1,138 @@
+# verify-offline.ps1 - kiem thu tu dong: chay offline (proxy chet), PATH toi thieu, khong admin,
+# khong ghi ra ngoai goi. Dung mock OpenAI API cuc bo; KHONG dung config\internal-api.env that.
+# Tuong thich Windows PowerShell 5.1.
+$ErrorActionPreference = 'Stop'
+$Root = Split-Path -Parent $PSScriptRoot
+$Node = Join-Path $Root 'runtime\node\node.exe'
+$Work = Join-Path $Root 'data\verify-tmp'
+$results = New-Object System.Collections.ArrayList
+function Check([string]$name, [bool]$ok, [string]$detail = '') {
+    [void]$results.Add([pscustomobject]@{ Name = $name; Ok = $ok; Detail = $detail })
+    $mark = if ($ok) { 'PASS' } else { 'FAIL' }
+    $color = if ($ok) { 'Green' } else { 'Red' }
+    Write-Host ("[{0}] {1} {2}" -f $mark, $name, $detail) -ForegroundColor $color
+}
+
+if (Test-Path $Work) { Remove-Item -Recurse -Force $Work }
+New-Item -ItemType Directory -Force -Path $Work | Out-Null
+$stamp = Get-Date
+
+# 0. khong admin
+$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
+Check 'Khong chay voi quyen admin' (-not $isAdmin) $(if ($isAdmin) { '(dang elevated - hay chay lai o cmd thuong)' } else { '' })
+
+# 1. mock API
+$port = 18089
+$mockLog = Join-Path $Root 'data\tmp\mock-requests.jsonl'
+if (Test-Path $mockLog) { Remove-Item $mockLog -Force }
+$mock = Start-Process -FilePath $Node -ArgumentList @('"' + (Join-Path $Root 'scripts\dev\mock-openai.mjs') + '"', $port) -PassThru -WindowStyle Hidden
+Start-Sleep -Seconds 2
+
+try {
+    # 2. config tam: proxy chet => moi ket noi ra ngoai (khong phai loopback) deu hong
+    $cfg = Join-Path $Work 'test.env'
+    @(
+        "BASE_URL=http://127.0.0.1:$port/v1",
+        'API_KEY=sk-verify-offline',
+        'MODEL_ID=mock-model',
+        'API_PROTOCOL=openai-completions',
+        'HTTP_PROXY=http://127.0.0.1:9',
+        'HTTPS_PROXY=http://127.0.0.1:9'
+    ) | Set-Content -Encoding ASCII $cfg
+    $data = Join-Path $Work 'data'
+
+    # 3. chay headless voi PATH toi thieu (khong co node/git/npm cua he thong)
+    $minPath = "$env:SystemRoot\System32;$env:SystemRoot;$env:SystemRoot\System32\WindowsPowerShell\v1.0"
+    $launch = Join-Path $Root 'scripts\launch.ps1'
+    $outFile = Join-Path $Work 'out.txt'
+    $psi = New-Object Diagnostics.ProcessStartInfo
+    $psi.FileName = Join-Path $env:SystemRoot 'System32\WindowsPowerShell\v1.0\powershell.exe'
+    $psi.Arguments = "-NoProfile -ExecutionPolicy Bypass -File `"$launch`" -ConfigFile `"$cfg`" -DataDir `"$data`" -Prompt `"say hello`""
+    $psi.UseShellExecute = $false
+    $psi.RedirectStandardOutput = $true
+    $psi.RedirectStandardError = $true
+    $psi.EnvironmentVariables['PATH'] = $minPath
+    $p = [Diagnostics.Process]::Start($psi)
+    $stdout = $p.StandardOutput.ReadToEnd()
+    $stderr = $p.StandardError.ReadToEnd()
+    if (-not $p.WaitForExit(120000)) { $p.Kill(); Check 'Headless job hoan thanh <120s' $false } else { Check 'Headless job thoat ma 0' ($p.ExitCode -eq 0) "exit=$($p.ExitCode)" }
+    Set-Content -Encoding UTF8 $outFile ($stdout + "`n--- STDERR ---`n" + $stderr)
+    Check 'Tra loi tu mock API xuat hien (MOCK-REPLY)' (($stdout + $stderr) -match 'MOCK-REPLY') "(xem $outFile)"
+
+    # 4. mock nhan request voi key dung (bien moi truong, khong nam trong YAML)
+    $log = if (Test-Path $mockLog) { Get-Content $mockLog } else { @() }
+    Check 'Mock API nhan >=1 request chat' ($log.Count -ge 1) "($($log.Count) request)"
+    Check 'Header Authorization mang key tu INTERNAL_API_KEY' (($log -join "`n") -match 'Bearer sk-veri') ''
+    $yaml = Get-Content -Raw (Join-Path $data 'dsh-home\profiles\headless\cordis.patch.yml')
+    Check 'API key khong nam trong cordis.patch.yml' ($yaml -notmatch 'sk-verify') ''
+
+    # 5. du lieu nam trong goi
+    Check 'DSH_HOME nam trong goi (data\dsh-home co sessions)' (Test-Path (Join-Path $data 'dsh-home\sessions')) ''
+
+    # 6. khong ghi ra ngoai goi
+    $up = $env:USERPROFILE
+    Check '~\.dsh khong bi tao moi' (-not ((Test-Path "$up\.dsh") -and ((Get-Item "$up\.dsh").LastWriteTime -gt $stamp))) ''
+    Check '~\.agents khong bi tao moi' (-not ((Test-Path "$up\.agents") -and ((Get-Item "$up\.agents").LastWriteTime -gt $stamp))) ''
+    $docs = [Environment]::GetFolderPath('MyDocuments')
+    Check 'Documents\deepseek-harness khong bi tao' (-not ((Test-Path "$docs\deepseek-harness") -and ((Get-Item "$docs\deepseek-harness").LastWriteTime -gt $stamp))) ''
+
+    # 7. profile web + plugin (better-sidebar, spotlight, agent-teams, browser-cdp)
+    $wport = 18090
+    $wdata = Join-Path $Work 'webdata'
+    $wout = Join-Path $Work 'web-out.txt'
+    $werr = Join-Path $Work 'web-err.txt'
+    $oldPath = $env:PATH
+    $env:PATH = $minPath
+    $web = Start-Process -FilePath $psi.FileName -PassThru -WindowStyle Hidden -RedirectStandardOutput $wout -RedirectStandardError $werr `
+        -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File `"$launch`" -ConfigFile `"$cfg`" -DataDir `"$wdata`" -NoOpen -Port $wport"
+    $env:PATH = $oldPath
+    try {
+        $url = $null
+        for ($i = 0; $i -lt 60 -and -not $url; $i++) {
+            Start-Sleep -Seconds 1
+            $txt = (Get-Content -Raw $wout -ErrorAction SilentlyContinue) + (Get-Content -Raw $werr -ErrorAction SilentlyContinue)
+            if ($txt -match '(http://127\.0\.0\.1:\d+/\?token=[A-Za-z0-9_-]+)') { $url = $Matches[1] }
+        }
+        Check 'Web UI khoi dong (co URL token)' ([bool]$url) ''
+        $txt = (Get-Content -Raw $wout -ErrorAction SilentlyContinue) + (Get-Content -Raw $werr -ErrorAction SilentlyContinue)
+        Check 'Khong co plugin nao loi khi kich hoat' (($txt -notmatch 'did not activate') -and ($txt -notmatch 'failed to import') -and ($txt -notmatch 'skipping profile bundle')) '(xem web-out/web-err.txt)'
+        if ($url) {
+            $sess = New-Object Microsoft.PowerShell.Commands.WebRequestSession
+            $r = Invoke-WebRequest -UseBasicParsing -Uri $url -WebSession $sess -TimeoutSec 30
+            Check 'GET / voi token -> 200' ($r.StatusCode -eq 200) ''
+            $base = ([uri]$url).GetLeftPart('Authority')
+            foreach ($pl in 'dsh-better-sidebar', '@akshaydev17/dsh-spotlight', '@nanmicoder/dsh-agent-teams', 'dsh-browser-cdp') {
+                $code = 0
+                if ($r.Content -match ('"id":"' + [regex]::Escape($pl) + '","url":"([^"]+)"')) {
+                    try { $code = (Invoke-WebRequest -UseBasicParsing -Uri "$base/$($Matches[1])" -WebSession $sess -TimeoutSec 30).StatusCode } catch { $code = [int]$_.Exception.Response.StatusCode }
+                    Check "Plugin co trong roster va client tai duoc: $pl" ($code -eq 200) "(HTTP $code)"
+                } else {
+                    Check "Plugin co trong roster va client tai duoc: $pl" $false '(khong co trong roster)'
+                }
+            }
+        }
+        # splash la tuy chon (ban cong khai khong kem): chi kiem tra neu plugin co trong goi
+        if ($url -and (Test-Path (Join-Path $Root 'node_modules\dsh-deepseek-splash'))) {
+            Check 'Splash (dsh-deepseek-splash) duoc chen vao index HTML' ($r.Content -match 'deepseek-splash') ''
+            $code = 0
+            try { $code = (Invoke-WebRequest -UseBasicParsing -Uri "$base/api/deepseek-splash/harness-poster.jpg" -WebSession $sess -TimeoutSec 30).StatusCode } catch { $code = [int]$_.Exception.Response.StatusCode }
+            Check 'Splash phuc vu asset cuc bo (poster)' ($code -eq 200) "(HTTP $code)"
+        }
+        # khong co ket noi TCP ra ngoai loopback tu bat ky tien trinh nao thuoc goi
+        $ids = @(Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -like "$Root*" } | ForEach-Object { $_.ProcessId })
+        $ext = @(Get-NetTCPConnection -ErrorAction SilentlyContinue | Where-Object { ($ids -contains $_.OwningProcess) -and ($_.RemoteAddress -notin '127.0.0.1', '::1', '0.0.0.0', '::') })
+        Check 'Khong co ket noi TCP ra ngoai loopback (web + plugin)' ($ext.Count -eq 0) "($($ext.Count) ket noi, $($ids.Count) tien trinh)"
+        Check '~\.dsh van khong bi tao moi sau khi chay plugin' (-not ((Test-Path "$up\.dsh") -and ((Get-Item "$up\.dsh").LastWriteTime -gt $stamp))) ''
+    } finally {
+        if ($web -and -not $web.HasExited) { & taskkill.exe /PID $web.Id /T /F | Out-Null }
+    }
+} finally {
+    if ($mock -and -not $mock.HasExited) { Stop-Process -Id $mock.Id -Force }
+    Start-Sleep -Milliseconds 500
+}
+
+$fail = @($results | Where-Object { -not $_.Ok }).Count
+Write-Host ''
+if ($fail -eq 0) { Write-Host "TAT CA $($results.Count) KIEM TRA DAT." -ForegroundColor Green; Remove-Item -Recurse -Force $Work -ErrorAction SilentlyContinue; exit 0 }
+Write-Host "$fail kiem tra that bai. Chi tiet: $Work" -ForegroundColor Red
+exit 1