跑起来 + 读懂你机器上的插件树

$ export DEEPSEEK_API_KEY=...
$ npx @deepseek-ai/dsh web

默认在 http://127.0.0.1:3080 起 Web UI，并在本地启动时打开默认浏览器。走 SSH 的话它只打印 URL——因为转发地址是 SSH 客户端或编辑器在管。不想开浏览器就加 --no-open。

这条命令不启动 agent，只打印生效的插件树：

$ dsh --profile web --dump-config

输出是一份可加载的 YAML 文档，每一段前面有一行 # == 注释，写明这一段来自哪个文件、被哪些 patch 层改过。大概长这样：

# == @deepseek-ai/dsh-base
- id: web
  name: '@deepseek-ai/dsh-web'
  config:
    searchProvider: deepseek-official      ← 记住这一行，Lab 2 要换它

- id: web-search-deepseek
  name: '@deepseek-ai/dsh-web-search-deepseek'
  config:
    apiKeyEnv: DEEPSEEK_API_KEY

- id: tool-web
  name: '@deepseek-ai/dsh-tool-web'
  config:
    fetch: false                        # 抓取默认关掉，理由写在补丁文件里
    searchTimeoutMs: 60000

这三行取自 packages/bundle/base/cordis.patch.yml 的真实内容（核对于 commit b150a55）。你机器上的顺序和字段可能不同。

拿着你的输出，回答这四个问题。能全部答上来，这一课的目的就达到了。

1. agent loop 在哪一行？找找 agent-loop。它跟 tool-bash、web 排在同一层，没有任何特殊待遇——这就是「无特权核心」的字面意思。
2. 哪些行来自 dsh-base，哪些来自 dsh-web-app？看 # == 注释。web profile 的 bundle 列表是 base + web-app。
3. 有没有一行是被后面的层改过的？如果有，注释里会写出改它的每一个 overlay 的标签。
4. 有没有带 disabled: !!js … 的行？有的话你多半在看 shell 那一组——base bundle 用 disabled: !!js process.platform === 'win32' 把 bash 和 pwsh 两套按平台各挂一套。!!js 在 dump 里是原样保留、不求值的。

$ dsh --profile web --dump-default-config   # 只有 bundle 层
$ dsh --profile web --dump-config           # 再叠上 profile / home / --patch

刚装完的机器上这两份应该几乎一样——因为你还没写任何补丁。做完 Lab 2 再跑一次，差异就是你自己那一层。

$ ls -a ~/.dsh/profiles/web/
package.json      cordis.patch.yml      node_modules

package.json 里有两样东西：树外插件的 dependencies，和 profile manifest dsh.profile（里面是有序的 bundles 列表）。cordis.patch.yml 就是你的补丁层——现在多半是空的。