隐私脱敏中间件 PerryLink/dsh-mask

dsh-mask

- 1024 store channel：先执行一次 npm i -g dsh1024，再执行 dsh1024 plugin --profile web add dsh-mask（会计入 deepseek1024.com 的安装排行）。

dshfind

DeepSeek Harness 的 PII 脱敏中间件——个人数据在到达模型之前先做匿名化，同时在宿主侧保持可还原。

手机号、邮箱、身份证、银行卡、密钥等，在模型边界处变成占位符；明文永远不会进入你的会话日志。

dsh-doctor
DSH Market

English · 简体中文 · Español · Português · हिन्दी

dsh plugin --profile <name> add dsh-mask

📖 生态知识库——实测数据，不是营销话术：插件开发指南 · 插件选型数据 · 维护标准。

安装与卸载

- git 渠道（最新 main）：dsh plugin --profile web add github:PerryLink/dsh-mask（等同于从 git+https://github.com/PerryLink/dsh-mask.git 安装）。无需构建步骤——index.mjs 和 lib/ 就是发布产物。
- npm 渠道（已发布版本）：dsh plugin --profile web add dsh-mask。
- tarball 渠道：在本仓库执行 pnpm pack，然后执行 dsh plugin --profile web add ./dsh-mask-<version>.tgz。
- 卸载：dsh plugin --profile web remove dsh-mask（或从配置档补丁中删掉对应行）。
dsh-mask 不再内置存储栈。已经组合了它的配置档（web 配置档就是如此，经由 @deepseek-ai/dsh-web-app）会提供 storageDomain，所以持久化开箱即用。在未接入存储的裸配置档上，插件仍会挂载并执行脱敏，但还原表只存在内存里（重启即丢失）—— 请在你的配置档补丁里组合存储栈，或设置 persistRestoreTable: false。

⭐ 如果它帮到了你

这个插件是 DSH 插件家族的一员（95 个，全部 Apache-2.0）。如果你在用，给个 star —— 它不会解锁任何功能，但会让下一个人在搜索里更容易找到它。

English: part of a 95 plugin family for DeepSeek Harness. If it is useful, a star helps the next person find it — nothing is gated behind it.

dsh-mask 是什么？

DeepSeek Harness 的 PII 脱敏中间件 —— 在个人数据到达模型之前先做匿名化，并在宿主侧保持可还原。

手机号、邮箱、身份证、银行卡、密钥等，在模型边界处变成占位符；明文永远不会进入你的会话日志。

dsh-mask 的工作流示意图：调用 → 插件 → 结果。

工作流概览：调用 → 插件 → 结果。下面的示例使用真实的命令接口。

对比

dsh-mask 的实测对比图

108 个合成样本（60 个正例，48 个负例）· 来自 benchmark/RESULTS.md

兼容性

| 层面 | 状态 |
| Harness | DeepSeek Harness dsh-v0.2.1-alpha.1（适配于 2026-09-18）：会话信封保留其可忽略字段，仅用于存储日志的读取兼容 —— Session.append 仍然无法写入该字段，因此审计门控行为不变。已于 2026-09-18 针对 dsh-v0.1.7-alpha.1 master 检出验证（完整门控链 + 配置档安装冒烟测试）。 |
| Node | ^22.19.0 \|\| >=24.0.0 |
| 平台 | 任何能运行 DSH 的地方（纯宿主，零依赖正则；无浏览器端） |
| 模型 | 完整支持文本模型；不需要额外的模型能力 |

你能得到什么

dsh-mask 在模型边界处对个人数据做匿名化 —— 在消息到达模型之前 —— 并在宿主侧保留一张还原表，让占位符始终可还原：

- 请求时脱敏 —— agent/pre-step 消息会被改写，手机号、邮箱、身份证、银行卡和密钥（默认开启）以及 IP（需主动开启）变成 <PHONE_1> 风格的占位符。被记录并发送给模型的就是脱敏后的文本。
- 还原表 —— placeholder → original 映射只存在内存和一个受控存储域（dsh_mask）里；明文永远不会进入会话日志。
- 只审计，不记明文 —— mask/applied 会话事件只记录「替换了 N 个值 + 类型分布」，绝不记录原文或映射关系。
- /mask 命令 —— status（计数 + 分布）、on/off（运行时开关）、restore <text>（还原占位符，并把明文以文件形式交付，绝不以日志文本形式交付）、help。
- mask_test 工具 —— 把一段文本交给检测器，查看占位符结果；它绝不暴露原始值。

user message ──agent/pre-step──▶ placeholders ──model──▶ placeholders ──restore──▶ controlled file
▲ │
└──────── restore table (memory + dsh_mask) ───────────┘

快速开始

dsh plugin --profile web add github:PerryLink/dsh-mask

1. install the bundle into your profile
dsh plugin --profile web add github:PerryLink/dsh-mask

or from npm (published releases)
dsh plugin --profile web add dsh-mask

2. verify the row mounts
dsh --profile web --dump-config | grep -A2 'id: mask'

然后在你的配置档补丁里调整实体列表：

- insert:
- id: mask
name: dsh-mask
config:
entities: [phone, email, id-card, bank-card, key]

/mask status
/mask restore <PHONE_1>
mask: restored 1 placeholder(s): <PHONE_1>
file: /tmp/dsh-mask-restore/restore-1f0c….txt (mode 0600, one file per session)

示例

下面是插件的真实入口；安装一次，然后调用其中一个。

详细示例

命令

~~~sh
mask_test

输入

~~~json
{"text":"电话 13812345678"}

输出

~~~text
mask_test: replaced 1 PII value(s) (PHONE=1)
masked:
电话 <PHONE_1>

摘自 plugins/dsh-mask/index.mjs:243-250; test/index.test.mjs:306-315

失败分支

输入

~~~text
/mask restore <PHONE_1> with restoreDir=/tmp/dsh-mask-probe-not-a-dir (a regular file)

输出

~~~text
mask: restore failed: EEXIST: file already exists, mkdir '/tmp/dsh-mask-probe-not-a-dir'

摘自 plugins/dsh-mask/index.mjs:501-506; plugins/dsh-mask/lib/deliver.mjs:89-97; plugins/dsh-mask/test/index.test.mjs:278-290

简短示例

- mask_test
- /mask restore <text>

配置

所有可调项都是 Schemastery Config 字段（可在 cordis.yml 中修改）。按 id 定向覆盖会替换整行 —— 你需要把用到的每个键都重新写一遍。cordis.patch.yml 在每个键旁都有行内说明。

| 键 | 默认值 | 含义 |
| enabled | true | 总开关；设为 false 会注销监听器、/mask 命令和 mask_test 工具 |
| mode | regex | 检测模式；目前只实现了 regex（用于识别姓名/地址的 regex+ner 已预留，调用会直接报错） |
| entities | [phone, email, id-card, bank-card, key] | 要脱敏的 PII 类型；ip 也支持正则（需手动开启），person/address 需要 NER |
| scope | [messages] | 脱敏范围；messages 脱敏 agent/pre-step 消息，tools 脱敏 tools/post-execute 上的工具结果文本。可传字符串或数组，例如 [messages, tools] |
| registerCommand | true | 注册 /mask 命令 |
| registerTools | true | 当 tools 服务存在时注册 mask_test 工具 |
| persistRestoreTable | true | 把还原表持久化到受控的 dsh_mask 存储域（false = 仅存内存） |
| maxRestoreEntriesPerSession | 500 | 每个会话的还原条目上限（超出时先淘汰最旧的） |
| maxSessions | 1000 | 内存中的会话上限（按最近最少使用淘汰，映射按需重新加载） |
| maskClientEnabled | false | 浏览器端「显示原文」气泡的功能开关（防御性设计；默认关闭，等线上槽位目录校验目标槽位后再开）。该键已在 schema 中声明并通过校验，但目前没有运行时代码读取它，所以在浏览器端上线之前它不会带来任何变化 |
| restoreDir | '' | /mask restore 把还原后的明文投递到哪里。空值 = os.tmpdir()/dsh-mask-restore；相对路径按宿主进程的工作目录解析。目录以 0700 创建，文件以 0600 写入，每个会话一个文件 |

在配置档补丁里覆盖配置的示例：

- insert:
- id: mask
name: dsh-mask
config:
entities: [phone, email, id-card, bank-card, key, ip]
persistRestoreTable: false
registerCommand: true

工具与入口

| 入口 | 是否暴露明文 | 说明 |
| agent/pre-step 脱敏 | 从不 | 在消息写入日志或发给模型之前，把消息改写成占位符 |
| tools/post-execute 脱敏 | 从不 | 在工具结果的文本块写入日志或回传给模型之前，改写成占位符（作用域：tools） |
| /mask status | 从不 | 启用状态、替换总数、类型分布 |
| /mask on / /mask off | 从不 | 运行时开关（重启后重置为 config.enabled） |
| /mask restore <text> | 是（显式） | 把占位符还原成本会话存下的值，写入受控文件（每个会话一个，模式 0600）；结果文本和会话日志只带该路径和占位符名称 |
| mask_test | 从不 | 对一段文本做脱敏，返回占位符结果和计数 |

权限与数据

- 权限：dsh-mask 不发网络请求，也不存凭据；它在 agent/pre-step 边界读取会话，写入自己的 dsh_mask 存储域，并写入 /mask restore 的投递文件（manifest 正是为此声明了 filesystem:write）。dshWorkshop manifest 还声明了 network:none 和 credentials:none。
- 数据：占位符 → 原文 还原表放在内存里；当 persistRestoreTable: true 时，也放在受控的 dsh_mask 存储域——它从不写入会话日志。唯一的另一份明文副本，是显式执行 /mask restore 时写到 restoreDir 下的投递文件（模式 0600，每个会话一个，下次还原时覆盖）；没有任何代码会隐式把明文写到磁盘。
- 会话日志：mask/applied 在 types.d.ts 中声明，只有宿主记录该类型时才会追加（见「已知限制」）。它的载荷只有计数和类型分布。

安全边界

- 明文绝不进入会话日志。 写进日志、发给模型的是脱敏后的占位符形式，所以模型能看到的内容都能从日志里以占位符形式还原；原文留在还原表里。反向还原也遵守同一条规则：命令的结果文本由宿主原样记入日志，渲染也来自同一个事件，因此 /mask restore 把明文写进受控文件，只返回文件路径。
- 先清洗，再展示或记日志。 lib/sanitize.mjs 在任何文本到达模型或日志之前，先抹掉 PII、密钥和 URL 里的凭据；mask_test、/mask status 以及所有 /mask 错误路径都不会回显原文。
- 受控还原。 /mask restore 是唯一显式暴露原文的入口，而且只读取当前会话的映射。失败时按关闭处理：如果投递文件写不出来，命令直接报错，绝不退回去回显明文。
- 失败即关闭。 未实现的 mode（regex+ner）、未知的 scope 取值、仅靠 NER 识别的实体、越界的数字，都会在加载时大声报错。
- 注册即副作用。 监听器、命令、工具和存储域的关闭都是 Cordis 副作用——停止或热重载会把它们移除。

已知限制

- 只支持正则。 姓名（person）和地址（address）识别需要外部 NER 识别器，纯宿主、零依赖的形态不带这个能力；mode: regex+ner 和这两类实体都会在加载时大声报错。开箱即用的 PII 类型有手机号、邮箱、身份证、银行卡、密钥，以及（需手动开启的）IP。
- 区域相关的模式。 phone 和 id-card 检测器只匹配中国大陆格式：phone 是 1[3-9] 后跟九位数字，id-card 是 18 位中国居民身份证（17 位数字加一位数字或 X）。其他国家的电话号码和国民标识不会被检测到。email、ip、key 与区域无关；bank-card 接受任意 16-19 位连续数字，置信度分数较低。
- 展示层还原需要客户端那一半。 脱敏完全在宿主侧完成，但在客户端 UI 里透明地还原助手气泡，是浏览器那一半的功能，这个纯宿主形态不带。宿主侧保留还原表和导出的 RestoreStore 接缝（它的方法接收会话 id），将来客户端那一半会通过宿主 remote 访问它们，而不是直接访问；目前还原入口是 /mask restore <text> 命令，它把明文作为文件投递，因为命令结果会被原样记入日志（见「安全边界」）；maskClientEnabled 这个键会被校验，但还没有任何运行时代码读取它。
- 不提供无参数的 /mask restore。 不支持恢复最近一条助手消息里的全部占位符；不带文本调用该命令时，命令会明确说明这一点。有两个宿主侧事实挡住了这条路：恢复表是一张扁平的按会话 {placeholder: original} 映射，没有按消息的索引，所以要定位那条消息，只能去会话事件日志里找；而宿主已弃用 Session.snapshotEvents() / eventAt() / ownEvents()，并明确写着「new calls are prohibited」，只剩增量投影这一条被认可的路径——本插件声明的宿主走廊（>=0.1.2-rc.1）又依赖不了它。占位符改为逐个恢复：/mask restore <PHONE_1>。
- 0.1.7-rc.2 上的会话事件。 harness 记录了 59 种会话事件类型，其中没有 mask/*；它的 Session.append 也无法打上 ignorable 信封，因此会话日志审计的追加会被跳过，会话照常加载。这道闸门不会闷声不响：每个会话的首次拒绝会记一条可见警告，写明被跳过的类型和这条已记录的局限。等宿主记录了该类型、或支持 ignorable 信封，插件就会自动启用追加。

开发

pnpm install # node ^22.19 || >=24
pnpm run typecheck && pnpm run typecheck:ci # two rulers: checkout face (guarded; unverifiable without the checkout) + published-line face
pnpm test # node --test
pnpm run verify:self-contained # dependency specs resolve from the registry
pnpm run verify:artifacts # shipped files present + index.mjs importable
pnpm run check:readmes # five-language README consistency
pnpm pack # the published tarball

没有构建步骤：纯 ESM，index.mjs 和 lib/ 就是发布产物。

基准测试

PII 基准（108 条合成样本，按类型统计 P/R/F1）发布在 benchmark/RESULTS.md；用 node benchmark/run.mjs 重新生成（无构建步骤，零新增依赖）。

与其他 DSH 插件的互操作性

已针对 DSH 0.2.0-rc.2（本 README 对应的运行时）以及 2026-10-05 调研的高星插件集做过验证。

本插件不干扰其他插件，包括广泛安装的高星插件：

- 无工具名冲突。 每个工具都带命名空间；不注册任何已发布工具或其他插件占用的裸名。
- 无服务键冲突。 它根本不提供服务键，所以不可能在服务键上冲突。
- 无槽位冲突。 它不注册客户端槽位键，所以不会去争 shadows-shipped-ui 的席位。
- 无 HTTP 路由冲突。 它不注册 webServer 前缀。
- 无补丁层冲突。 打包补丁只 insert 自己那一行；从不覆盖内置行的 config。
- 不改全局。 它不补丁原型，不重写 process.env，也不替换全局 fetch 调度器。

共享事件监听器在设计上互不干扰。 它用 ctx.on() 观察对顺序敏感的事件 agent/pre-step、tools/post-execute —— 这是 Cordis 的广播注册方式，每个监听器都会执行，谁也无法饿死别人。这里的每个监听器都通过 next() 委托，所以调用链永远不会被短路，改动施加在 next() 产出的值上，而不是顶替它返回：
- agent/pre-step —— 也被 dsh-routing-suite（7000★，7 个监听器）、modlens（4122★）、dsh-purge（3317★）、dsh-agent-teams（1923★）、dsh-context（1849★）使用。
- tools/post-execute —— 也被 cc-safety-net（1576★）使用。

静态证据：dsh-plugin-doctor 的 K10–K13 对本仓库的每项检查都报告 pass。

Topics

dsh, dsh-plugin, deepseek-harness, deepseek, cordis, pii, mask, privacy, anonymization, security

贡献者

- @PerryLink —— 创建者与维护者：从 Pii-Stripper-Middleware 移植的正则 PII 检测器、agent/pre-step 脱敏接缝、还原表、/mask 命令与 mask_test 工具，以及五种语言的文档。

PerryLink DSH 插件家族

本项目属于 PerryLink 的 DeepSeek Harness 插件家族。下方名册默认折叠，让每个 README 的首屏都保持简短；展开即可看到每一行及其状态。

展开全部插件

| 插件 | 状态 |
| dsh-aqua-input-check | |
| dsh-archive-check | |
| dsh-auto-review | |
| dsh-autotier | 🧊 FROZEN —— 见仓库 README |
| dsh-bid-ca-precheck | |
| dsh-bid-qual-check | |
| dsh-cert-mcp | 🧊 FROZEN —— 见仓库 README |
| dsh-checkpoint-rewind | |
| dsh-click | |
| dsh-composer-history | |
| dsh-contract-stance | |
| dsh-customs-doc-check | |
| dsh-data-quality | |
| dsh-demurrage-ledger | |
| dsh-doublecheck | |
| dsh-drill-script-check | |
| dsh-eia-guide-check | |
| dsh-emergency-plan | |
| dsh-essay-rubric-check | |
| dsh-evidence-check | |
| dsh-export-ctl-check | |
| dsh-fast | |
| dsh-fmea-table-check | |
| dsh-forecast-penalty | |
| dsh-fund-research | |
| dsh-github | |
| dsh-gongwen-flow-check | |
| dsh-gongwen-word-check | |
| dsh-guard-plan-qc | |
| dsh-hazchem-check | |
| dsh-hazplan-check | |
| dsh-hidden-risk-map | |
| dsh-hs-classify | |
| dsh-icd-rule-check | |
| dsh-industry-research | |
| dsh-lawcite-adapter | |
| dsh-laya | |
| dsh-lc-doc-check | |
| dsh-learning-gap-check | |
| dsh-library | |
| dsh-local-ai | |
| dsh-lsp-actions | |
| dsh-mask | |
| dsh-mcp-panel | |
| dsh-medrec-qc | |
| dsh-memento | |
| dsh-nsfc-form-check | |
| dsh-nurse-record-check | |
| dsh-observe | |
| dsh-origin-rvc-check | |
| dsh-ota-review-check | |
| dsh-output-styles | |
| dsh-paper-doc-adapter | |
| dsh-permission-rules | |
| dsh-permit-report-check | |
| dsh-pipeline-check | |
| dsh-pleading-draft | |
| dsh-plugin-doctor | |
| dsh-plugin-guide | |
| dsh-plugin-kit | |
| dsh-plugin-upgrade | |
| dsh-policy-brief-draft | |
| dsh-power-loss-split | |
| dsh-power-ticket-check | |
| dsh-ppap-check | |
| dsh-protest-deadline | |
| dsh-railway-window | |
| dsh-repair-order-qc | |
| dsh-research-report | |
| dsh-review-reply-check | |
| dsh-rulefile-check | |
| dsh-safety-brief-check | |
| dsh-score | |
| dsh-session-sync | |
| dsh-site-log-check | |
| dsh-skill-pack-security | |
| dsh-soe-decision-check | |
| dsh-soilwater-check | |
| dsh-sop-sync-check | |
| dsh-spc-gbt-adapter | |
| dsh-talk | |
| dsh-tender-extract | |
| dsh-tender-matrix | |
| dsh-test-drive | |
| dsh-ticktick | |
| dsh-translate | |
| dsh-warranty-calc | |
| dsh-budget | 🧊 已冻结 — 见仓库 README |
| dsh-claude-move | 🧊 已冻结 — 见仓库 README |
| dsh-defend | 🧊 已冻结 — 见仓库 README |
| dsh-draw | 🧊 已冻结 —— 见仓库 README |
| dsh-reach | 🧊 已冻结 —— 见仓库 README |
| dsh-background-agents | 🚫 已退役 —— 见仓库 README |
| dsh-session-pin | 🚫 已退役 —— 见仓库 README |
| dsh-team-rooms | 🚫 已退役 —— 见仓库 README |

许可证

LICENSE（Apache License 2.0）© 2026 dsh-mask contributors