DashClaw

证据显示项目在最小权限上有实质设计：middleware 默认拒绝 /api/*、公开路由白名单、admin/member 角色门、分离职责（SELF_APPROVAL_FORBIDDEN）、SSRF 的 DNS 固定与私有 IP 拒绝，故 least_privilege 给 2；但 hook 以 agent 自身权限运行、可被同权限进程篡改，README 自认非防篡改，扣分。user_confirmation 给 3：远程审批、fail-closed 拦截、block 不可降级、standing grant 需预览与可撤销，证据充分。data_flow_transparency 给 2：文档说明 guard 决策、DLP 脱敏、act 证据分级，但实际数据流向（如 LLM/第三方调用）仅部分披露。sensitive_data_handling 给 2：有 DLP 扫描、AES-GCM+AAD、掩码、密钥不入 bundle，但历史审计暴露过明文泄露与 CBC 无认证问题，虽已修复仍显示风险面。dependency_security 给 1：package.json 依赖多为 ^ 浮动版本，xlsx 漏洞被“接受风险”而非修复，仅靠 Dependabot/overrides，证据不足以证明持续受控。external_effects 给 2：明确承认外部效果非 exactly-once、需对账，runGoverned 不重复回调，属诚实但非彻底。rollback 给 1：有 observe 模式、env 回滚开关、outcome 不可变与 parent_action_id 恢复，但缺少面向用户的一键回滚/撤销执行证据。source_attribution 给 1：MIT 与作者字段存在，但发布者身份未经验证、无签名发布或来源证明，仅元数据。

self_consistency 给 2：README 与 SECURITY 文档对 enforcement 边界、claim 协议、升级顺序描述一致，且多处自我修正（如“不承诺 exactly-once”），但文档极长且含大量日期化历史，存在版本漂移风险。dependency_availability 给 1：依赖 Node 20+、Postgres、可选 Redis/Upstash、Docker 或嵌入式 PG，安装路径多且 CI 需分别安装 cli/mcp-server 依赖，普通用户环境适配证据薄弱。failure_messages 给 2：文档描述 409 outcome already set、SELF_APPROVAL_FORBIDDEN、not_approved/expired/hash_mismatch 等明确错误，但多为断言，未见完整错误目录。

audience_and_scenarios 给 3：明确面向无人值守长时运行的 solo/小团队，场景（夜间跑、CI、后台 fleet）具体。capability_boundaries 给 3：专门设“What DashClaw is not”章节，逐条划清非通用追踪/平台/硬隔离，边界诚实。trigger_precision 给 2：决策格 allow<warn<allow_contained<require_approval<block、join=max、block 绝对，规则清晰；但 prompt-injection 扫描与校准阈值细节仅断言，精度证据有限。environment_fit 给 2：支持 Claude Code/Codex/Hermes/OpenClaw/MCP/Node/Python/REST 多运行时，但机械强制仅限少数 seam，其余为协作式，环境适配不均衡。

information_architecture 给 2：README 结构清晰、有目录锚点、THESIS/MAINTAINER/维护日志分离，但单文件极长且信息密度过高。install_notes 给 2：npx dashclaw up、Vercel 部署、各运行时安装命令齐全，但依赖 Docker/Postgres 与多包安装，步骤偏重。naming_stability 给 1：版本号 5.38.0 且文档含 v2.6/v4.63/v5.20 等大量历史版本引用，命名与 API 面（41/61 方法、136 路由）频繁变动，稳定性证据不足。examples_and_faq 给 2：有 examples/、QUICK-START、各集成指南与代码片段，但 FAQ 式内容分散。known_limitations 给 3：专章列出非通用强制、非防篡改、非大规模验证、外部效果非 exactly-once，限制披露充分。license 给 3：LICENSE 为完整 MIT 文本，package.json 标注 MIT，一致。versioning_changelog 给 2：有 CHANGELOG 引用、维护日志、版本同步检查脚本，但未见完整 changelog 文件内容。maintenance_responsibility 给 2：MAINTAINER.md 章程、AI 维护者+人类持有、维护日志公开，责任路径清晰；但发布者身份未验证，扣分。

output_usability 给 2：审批收件箱、CLI、PWA、Telegram/Discord 多通道，决策记录与签名收据可用；但收据仅证明签名内容而非外部效果，输出可用性受限。marginal_value 给 2：在无人值守场景提供远程审批与审计轨迹，相对本地权限提示有增量价值；但协作式集成需调用方配合，增量被削弱。cost_benefit 给 1：需自托管 Postgres、配置多密钥、维护多运行时 hook，成本较高，而强制仅限少数 seam，收益/成本比证据不足。

claim_traceability 给 2：README 大量声明附有文档链接（enforcement-boundary、durable-execution-finality、维护日志），可追溯；但部分性能/校准声明仅断言。cross_source_corroboration 给 2：README、SECURITY.md、SECURITY_FIXES、CI 工作流相互印证安全修复与测试存在，但均为项目自述，无独立第三方验证。fact_inference_separation 给 2：文档区分“机械强制 vs 协作式”、收据证明范围、client-reported 诊断非 attestation，事实与推断分离较好；但营销性表述（如“catches it before it runs”）仍偏强。