0 Fork 0

Files

T

ZiyaZhang 8a915893e7 docs: add THIRD_PARTY_NOTICES.md disclosing third-party dependencies

List direct dependencies by tier (vendored Cordis sources, runtime npm,
dev-only npm, Python SDK, build-time tools) with upstream links and
licenses, and link it from the License section of both READMEs.

2026-07-29 21:29:49 -07:00

9.1 KiB

Raw Blame History

Third-Party Notices

DeepSeek Harness is licensed under BSD 3-Clause. It depends on the third-party open-source software listed below. Each project remains under its own license; nothing in this file changes those terms.

This file lists direct dependencies declared by the workspace. The complete transitive closure, with exact pinned versions, is recorded in pnpm-lock.yaml and can be inspected with pnpm licenses list.

Vendored source (`vendor/`)

The Cordis framework and its foundation libraries are source-vendored into this repository rather than consumed from npm. All are MIT-licensed; each directory preserves its upstream LICENSE file. Exact upstream commits and local modifications are recorded in vendor/README.md.

Package	Upstream	License
`cordis`	https://github.com/cordiverse/cordis	MIT
`@cordisjs/plugin-loader`	https://github.com/cordiverse/cordis	MIT
`@cordisjs/plugin-include`	https://github.com/deepseek-harness/cordis	MIT
`@cordisjs/plugin-group`	https://github.com/deepseek-harness/cordis	MIT
`@cordisjs/plugin-timer`	https://github.com/deepseek-harness/cordis	MIT
`@cordisjs/plugin-hmr`	https://github.com/deepseek-harness/cordis	MIT
`@cordisjs/plugin-logger-console`	https://github.com/deepseek-harness/cordis	MIT
`cosmokit`	https://github.com/deepseek-harness/cosmokit	MIT
`schemastery`	https://github.com/deepseek-harness/schemastery	MIT

Runtime npm dependencies

Direct dependencies that ship in at least one runtime surface (CLI/TUI, Web UI, SDK runtime, or the website at serve time).

Package	License
`@agentclientprotocol/sdk`	Apache-2.0
`@babel/code-frame`	MIT
`@clack/core`	MIT
`@clack/prompts`	MIT
`@earendil-works/pi-ai`	MIT
`@earendil-works/pi-tui`	MIT
`@joplin/turndown-plugin-gfm`	MIT
`@modelcontextprotocol/sdk`	MIT
`@opentelemetry/api`	Apache-2.0
`@opentelemetry/api-logs`	Apache-2.0
`@opentelemetry/exporter-logs-otlp-http`	Apache-2.0
`@opentelemetry/otlp-exporter-base`	Apache-2.0
`@opentelemetry/resources`	Apache-2.0
`@opentelemetry/sdk-logs`	Apache-2.0
`@shikijs/langs`	MIT
`@standard-schema/spec`	MIT
`@testing-library/dom`	MIT
`@testing-library/react`	MIT
`anser`	MIT
`chokidar`	MIT
`clsx`	MIT
`commander`	MIT
`diff`	BSD-3-Clause
`eventsource-parser`	MIT
`execa`	MIT
`handlebars`	MIT
`immer`	MIT
`js-yaml`	MIT
`jsonc-parser`	MIT
`koffi`	MIT
`mdast-util-from-markdown`	MIT
`mdast-util-gfm`	MIT
`micromark-extension-gfm`	MIT
`node-addon-require-builtin`	MIT
`node-pty`	MIT
`picomatch`	MIT
`react`	MIT
`react-dom`	MIT
`react-markdown`	MIT
`remark-gfm`	MIT
`saxes`	ISC
`shiki`	MIT
`supports-color`	MIT
`tsx`	MIT
`turndown`	MIT
`typescript`	Apache-2.0
`use-sync-external-store`	MIT
`vitest`	MIT
`yaml`	ISC
`zod`	MIT
`zustand`	MIT

Development-only npm dependencies

Direct dependencies used for building, linting, testing, and generating the documentation site. They are not part of any shipped runtime artifact.

Package	License
`@braintree/sanitize-url`	MIT
`@modelcontextprotocol/server-everything`	MIT / Apache-2.0
`@modelcontextprotocol/server-filesystem`	MIT / Apache-2.0
`@stylistic/eslint-plugin`	MIT
`@types/*` (babel__code-frame, js-yaml, jsdom, mdast, node, picomatch, react, react-dom, turndown)	MIT
`@typescript-eslint/parser`	MIT
`@vitejs/plugin-react`	MIT
`@vitest/coverage-v8`	MIT
`@xterm/headless`	MIT
`@yarnpkg/cli-dist`	BSD-2-Clause
`cytoscape`	MIT
`cytoscape-cose-bilkent`	MIT
`dayjs`	MIT
`debug`	MIT
`esbuild`	MIT
`eslint`	MIT
`eslint-plugin-sonarjs`	LGPL-3.0-only
`fast-check`	MIT
`jscpd`	MIT
`jsdom`	MIT
`knip`	ISC
`lefthook`	MIT
`lightningcss`	MPL-2.0
`mermaid`	MIT
`oxlint`	MIT
`oxlint-tsgolint`	MIT
`playwright`	Apache-2.0
`publint`	MIT
`tsdown`	MIT
`typescript-language-server`	Apache-2.0
`vite`	MIT
`vite-tsconfig-paths`	MIT
`vitepress`	MIT
`vitepress-plugin-mermaid`	MIT

eslint-plugin-sonarjs (LGPL-3.0-only) and lightningcss (MPL-2.0) run only as development tooling; their code is not linked into or distributed with any DeepSeek Harness artifact.

Python SDK dependencies (`python/`)

Package	License	Role
`pydantic`	MIT	runtime dependency of `deepseek-harness`
`hatchling`	MIT	build backend
`pytest`	MIT	test-only
`uv`	MIT / Apache-2.0	development workflow tool

Fetched at build time

Package	License	Role
`@yao-pkg/pkg`	MIT	invoked by `scripts/build-exe-for-python-sdk.ts` to assemble the single-file SDK runtime executable

First-party sibling releases

node-addon-landlock-run (and its platform packages) is released from a DeepSeek Harness sibling repository under BSD 3-Clause. It is listed here for completeness; it is first-party, not third-party.

9.1 KiB Raw Blame History