自动审查 Fleey/dsh-plugin-autoreview

智能命令审查 · dsh-plugin-autoreview

给 DeepSeek Harness 的智能体加一道风险审查：普通操作直接执行，只有高风险或涉及敏感信息的操作才请你确认。

这是一个 DeepSeek Harness（DSH）插件，适用于 DSH Desktop 和普通 dsh web。

它在权限选择器中提供 「自动审查」 模式。在这个模式下，智能体的每次工具调用在执行前都会经过风险审查：

| 结果 | 典型操作 | 处理 |
| 低风险 | 读写项目文件、构建、测试、git status、git commit | 直接执行 |
| 中风险 | 删除项目中已有目录、git reset --hard、修改项目外的配置 | 直接执行（可改为需要确认） |
| 高风险 | 删除主目录、sudo、curl … \| sh、格式化磁盘、强制推送、删除生产资源 | 请你确认 |
| 敏感信息 | 读取 .env、~/.ssh、云凭据、钥匙串、浏览器 Cookie，导出环境变量，把密钥发往外部 | 请你确认 |
| 审查失败 | 模型报错、超时、输出无法解析 | 请你确认（可改为直接拒绝） |

审查用的 模型 和 思考程度 可以在插件页单独设置，例如用一个便宜、快速的模型专门做审查。

效果预览

在输入框下方的权限选择器中选择「自动审查」：

审查模型判定为高风险时，弹出标准审批卡片，并附上理由：

明显危险的命令由本地规则直接拦下，不需要等待模型：

安装后，插件出现在侧栏「插件」页的「已安装插件」中：

截图来自隔离测试环境（DSH 0.2.1-rc.2）。环境中接入的是一个本地测试网关，所以模型名显示为 agent-model 和 reviewer-mini。实际使用时显示你自己配置的模型。

安装

要求 DSH 0.2.1-rc.2 或更新版本。DSH Desktop 当前固定的上游版本就是 0.2.1-rc.2。插件是纯 JavaScript，不需要构建。

方式一：插件页（推荐）

1. 在 DSH Desktop 侧栏打开 插件，点击 添加插件。
2. 输入下面的 Git 地址，点击 安装：

https://github.com/Fleey/dsh-plugin-autoreview.git

3. 安装完成后点击 立即启用。如果页面提示需要重启，就重启 DSH Desktop。

也可以先把仓库克隆到本地，在第 2 步输入本地目录的绝对路径。本地目录以链接方式安装，修改代码后重启 DSH 即可生效，适合二次开发。

方式二：Desktop 终端

从托盘或 Desktop 设置打开 Open DSH Terminal，然后运行：

dsh plugin --profile desktop add https://github.com/Fleey/dsh-plugin-autoreview.git

然后重启 DSH Desktop。使用普通 dsh web 时，把 desktop 换成 web。

卸载

在插件页的插件详情中点击 卸载，或者运行：

dsh plugin --profile desktop remove dsh-plugin-autoreview

使用

1. 在对话输入框下方的权限选择器中选择 自动审查（带 EXP 标记），勾选风险提示并确认。
2. 之后这个会话中的工具调用都会按上表审查。放行时没有任何提示，只会比平时稍慢；需要确认时弹出审批卡片。
3. 切换回其他权限模式后，审查立即停止。

注意：「自动审查」模式下智能体 不使用沙箱（与「完全权限」相同），安全性完全依赖审查结果。请在理解这一点之后再启用。

设置

打开侧栏 插件，进入 智能命令审查 的详情页即可看到设置。修改后点击 保存，新设置对下一次工具调用生效，不需要重启。

| 设置 | 默认值 | 说明 |
| 模型 | 跟随当前会话模型 | 用来判断风险的模型。列表与输入框的模型选择器相同。 |
| 思考程度 | 模型默认 | 审查请求的推理强度，选项来自所选模型。所选模型不支持时自动改用默认值。 |
| 需要确认的风险 | 仅高风险 | 可改为「中风险及以上」。涉及敏感信息的调用始终需要确认。 |
| 审查范围 | 均衡 | 均衡：只读工具（read、grep、glob 等）和项目目录内的文件编辑，在没有命中本地规则时直接执行，节省 token。全部：每次工具调用都交给模型审查。 |
| 审查失败时 | 请我确认 | 可改为「直接拒绝」。 |
| 超时（秒） | 90 | 单次审查的最长等待时间，5–600 秒。 |
| 信任的工具 | 空 | 这些工具名不再审查，例如 todo_write, web_search。 |
| 自定义规则 | 空 | 追加给审查模型的自然语言规则，例如“对 production 目录的任何写入都视为高风险”。 |

这些设置保存在当前配置档的 cordis.patch.yml 中，也可以手动编辑：

- id: dsh-autoreview
config:
provider: deepseek # 留空则跟随会话模型 model: deepseek-chat reasoningEffort: '' # 留空则使用模型默认值 threshold: high # high | medium scope: balanced # balanced | all onError: ask # ask | deny timeoutSeconds: 90
trustedTools: []
customRules: ''

工作原理

Agent 发起工具调用 │ ├─ 不是「自动审查」模式 / run_code 外层 / 内部工具 / 信任的工具 ─▶ 交给后续流程 │ ├─ 本地规则：危险命令（rm -rf ~、sudo、curl | sh、mkfs、git push --force …）─▶ 请你确认 ├─ 本地规则：只读工具读取敏感路径（.env、~/.ssh、.pem、credentials.json …）─▶ 请你确认 ├─ 「均衡」范围下的普通只读调用、项目内文件编辑 ─▶ 直接执行 │ └─ 其他调用 ─▶ 审查模型返回 {risk, sensitive, reason} ├─ high、sensitive，或达到你设置的阈值 ─▶ 请你确认（卡片显示 reason） └─ 其他 ─▶ 直接执行

- 插件注册 DSH 的 auto 权限预设（无沙箱 + ask 审批策略），并在 tools/pre-execute 流水线最前面检查每个调用。
- 审查模型只收到这次调用本身：工具名、参数（过长的文件内容会截断）、工作目录、操作系统，以及本地规则命中的提示。它不会收到对话历史。审查请求不写入会话记录。
- 模型回复不是 JSON 时，插件会把这次回复发回去要求更正，最多重试一次。仍然失败时按「审查失败时」的设置处理，卡片中会附上模型回复的开头部分，便于排查。
- 相同的调用在 15 分钟内复用上一次的审查结果。修改模型、阈值或自定义规则后会重新审查。
- 如果后续的其他插件拒绝、取消或要求确认这次调用，它们的决定优先。

注意事项与限制

- 不要和官方实验插件「自动授权审查」（@deepseek-ai/dsh-experimental-auto-review）同时启用。 两者都提供「自动审查」权限模式，后加载的一方会启动失败，日志中会说明原因。
- 选择「自动审查」时弹出的确认框由 DSH 提供，其中写的是“由与当前智能体相同的模型进行审查”。使用本插件时，实际模型以设置页为准。
- 进程内子代理的审批策略固定为 never，无法弹出确认，所以子代理中需要确认的调用会被直接拒绝。
- 模型可能误判。本地规则只覆盖常见的危险模式，不是完整的安全沙箱。run_code 程序内部直接执行的代码不经过审查，只有它调用的工具会被审查。
- 每次送审都会产生一次额外的模型请求，会消耗 token 并增加延迟。可以用「均衡」范围、更快的模型或「信任的工具」来减少开销。
- 禁用或卸载插件时，正在运行的「自动审查」会话会切换到「完全权限」。已保存为「自动审查」的旧会话在插件缺失时无法重新打开（这是 DSH 的限制），重新启用插件即可恢复。

开发

git clone https://github.com/Fleey/dsh-plugin-autoreview.git
cd dsh-plugin-autoreview
npm test

npm run check 会先检查三个入口文件的语法，再运行单元测试。测试只依赖 Node.js 22 内置的 node:test。

| 文件 | 作用 |
| index.js | Host 插件：注册「自动审查」预设和 tools/pre-execute 审查逻辑，声明可在线编辑的 Config。 |
| policy.js | 纯函数：工具分流、本地规则、审查提示词、模型输出解析。 |
| client.js | Web 客户端：插件详情页里的设置界面。 |
| cordis.patch.yml | 把插件行 dsh-autoreview 插入配置档。 |
| locale/.json、icon.svg | 插件页显示的标题、描述和图标。 |
| test/ | policy.js 的单元测试。 |
| assets/ | README 截图。 |

许可证

MIT