PerryLink/dsh-score

🏆 dsh-score
- 1024 商店渠道：先执行一次 npm i -g dsh1024，然后执行 dsh1024 plugin --profile web add dsh-score（计入 deepseek1024.com 安装排行榜）。
Gitee

面向 DeepSeek Harness 插件的多维度质量评分。

五个维度，真实的 gh/npm 证据，一张加权风险卡和一个排行榜。

License
DSH plugin
dsh-doctor
Node
CI
Version
npm version
npm downloads

English · 简体中文 · Español · Português · हिन्दी

兼容性

| 组件 | 版本 |
|---|---|
| DeepSeek Harness | dsh-v0.1.6-alpha.2（GitHub tag；peer 范围允许 alpha.2 系列：>=0.1.2-rc.1 =0.1.5-alpha.1 =0.1.6-0 =24.0.0 |
| 包管理器 | pnpm@11.7.0 |
| 平台 | Windows / macOS / Linux（仅宿主插件） |
| 外部工具 | PATH 上的 gh CLI（API 读取需已认证），PATH 上的 npm CLI |

你将获得

- score 工具 — 让一个目标通过五维流水线；返回结构化风险卡，或返回 { kind: 'background', jobId } 并带有 background: true。
- /score 命令 — 以空白/逗号分隔的目标列表作为 score-batch 后台任务在 ctx.jobs 上批量评分，生成排行榜快照（JSON + Markdown）。
- score_report 工具 — 获取任意已存储的评分卡（sc_...）、排行榜（lb_...），或最新排行榜。
- score_badge 工具 — 可嵌入 README 的徽章（shields.io flat SVG + endpoint URL），以及某个已评分目标的五维 JSON。
- 五个维度（权重可配置，默认合计 100）：安装成功率 25、维护 20、文档 20、安全 20、合规 15。
- 证据纪律 — 每个维度都记录其审计链接（source、经脱敏的 detail、observedAt）；没有证据的维度报告 no-evidence（得分为 0，不计入加权总分），绝不编造数字。
- 结构化结果 — 每条记录都带有 schema: "dsh-score/v1" 及一等字段；这是下游工具消费的机器可读契约。

快速开始

Git 渠道

dsh plugin --profile web add github:PerryLink/dsh-score#

首次 add 会失败，因为 pnpm 阻止了该软件包的 prepare 构建；将 pnpm 打印出的确切键复制到配置文件的 pnpm-workspace.yaml 中，然后重新运行：

allowBuilds:
'dsh-score': true

npm 渠道

dsh plugin --profile web add dsh-score

预构建的软件包无需构建许可。重启配置文件，然后在会话中使用 score / /score。

安装与卸载

dsh plugin --profile web add dsh-score     # 安装（npm）——或使用上方的 git 形式
dsh plugin --profile web remove dsh-score  # 卸载

配置

所有键均为可选（显示默认值）；无效值会在加载时明确报错。

| 键 | 默认值 | 描述 |
|---|---|---|
| probeTimeoutMs | 60000 | 单条 gh/npm 探测命令的截止时间。 |
| outputTailBytes | 8000 | 每次探测记录的经脱敏输出尾部的上限。 |
| cacheMaxAgeMs | 86400000 | 缓存的评分卡在重新评分前被复用的时长（0 表示禁用缓存）。 |
| staleCommitWarnDays | 90 | 提交/发布年龄达到该值时，维护状态降为 warn。 |
| staleCommitFailDays | 365 | 提交/发布年龄达到该值时，维护状态降为 fail。 |
| staleIssueWarnDays | 30 | 最早未关闭 issue 的年龄（响应代理指标）达到该值时，维护状态降为 warn。 |
| staleIssueFailDays | 180 | 最早未关闭 issue 的年龄达到该值时，维护状态降为 fail。 |
| maxBatchTargets | 20 | /score 批量上限。 |
| batchConcurrency | 1 | 批量并发数（串行可避免 API 速率争用）。 |
| weights | {install:25, maintenance:20, documentation:20, security:20, compliance:15} | 各维度权重（每项 0–100；至少一项必须 > 0）。 |

工具与界面

score

score(target: string, refresh?: boolean, background?: boolean)

- target — 一个 GitHub 仓库（github:owner/repo、owner/repo、git/https URL）或一个 npm 包名。
- refresh: true 绕过评分缓存并重新收集证据。
- background: true 启动一个 score-batch 作业并返回其 id。

/score

启动一个后台批处理作业；进度通过作业输出流式传输，最后一行会给出用于 score_report 的排行榜 id。

score_report(id?)

返回一张评分卡（sc_...）、一个排行榜（lb_...），或者——在没有 id 时——返回最新的排行榜。

score_badge(target? | id?, refresh?)

为一个目标生成可嵌入 README 的徽章和五维 JSON：
- target — 对 GitHub 仓库或 npm 包进行评分（通过缓存）并为其生成徽章；与 id 互斥。
- id — 为已存储的评分卡（sc_...）生成徽章，无需重新评分。
- refresh: true — 绕过评分缓存（仅适用于 target）。

返回徽章（SVG + 端点 + Markdown 嵌入代码）以及紧凑的五维 JSON —— 参见徽章与 JSON API。

结构化结果示例

{
"schema": "dsh-score/v1",
"scoreId": "sc_8f1c2e4a9b3d7f01",
"target": { "kind": "repo", "spec": "github:owner/dsh-click#abc123" },
"scoredAt": "2026-08-16T00:00:00.000Z",
"durationMs": 3210,
"pluginVersion": "0.2.11",
"dimensions": {
"install": { "dimension": "install", "status": "no-evidence", "score": 0, "weight": 25,
"summary": "no dsh-test-drive result recorded for this target (install success unmeasured)",
"evidence": [{ "source": "test-drive", "detail": "no test-drive record found in the test_drive domain", "observedAt": "2026-08-16T00:00:00.000Z" }] },
"maintenance": { "dimension": "maintenance", "status": "pass", "score": 100, "weight": 20,
"summary": "active (2026-08-10T00:00:00Z; 0 open issues)",
"evidence": [{ "source": "gh-api", "detail": "last activity 2026-08-10T00:00:00Z", "observedAt": "2026-08-16T00:00:00.000Z" }] }
},
"total": 88,
"grade": "B",
"verdict": "healthy (weighted total 88/100)"
}

评分：总分是对已收集到证据的各维度进行加权平均（无证据的维度会被排除并重新归一化）；A ≥ 90，B ≥ 75，C ≥ 60，D ≥ 40，否则为 F，当没有任何维度有证据时为 N/A。

徽章与 JSON API

score_badge 为一个已评分的目标生成可嵌入 README 的徽章以及五维 JSON。

徽章

三种形式，均源自同一份已确定的评分卡：

- 端点 — 一个文档化的 shields.io 静态 URL，可直接粘贴用于 README 图片（零自托管）。
- SVG — 一个自包含的 shields.io 扁平风格 SVG（badge.svg 字段 / renderScoreBadge），适用于离线或自托管的 README。
- Markdown — 结合上述两者的嵌入代码片段。

将总分徽章嵌入任何 README：

dsh-score: B · 84/100

五维 JSON

同一调用返回紧凑的 JSON API 信封（schema: "dsh-score/badge/v1"）：

{
"schema": "dsh-score/badge/v1",
"target": { "kind": "repo", "spec": "github:owner/dsh-click#abc123" },
"scoredAt": "2026-08-16T00:00:00.000Z",
"total": 84,
"grade": "B",
"dimensions": {
"install":      { "label": "install", "status": "no-evidence", "score": 0,  "weight": 25, "summary": "no dsh-test-drive result recorded" },
"maintenance":  { "label": "maintenance", "status": "pass", "score": 90, "weight": 20, "summary": "active (0 open issues)" },
"documentation": { "label": "docs", "status": "pass", "score": 85, "weight": 20, "summary": "README + CHANGELOG + SECURITY" },
"security":     { "label": "security", "status": "warn", "score": 60, "weight": 20, "summary": "permissive license" },
"compliance":   { "label": "compliance", "status": "pass", "score": 100, "weight": 15, "summary": "dsh.bundle.patch + dsh-plugin topic" }
}
}

no-evidence 维度保持其真实状态和分数 0 —— 徽章和 JSON 从不捏造数字。

权限与数据

- 仅消费公共服务：ctx.subprocess、ctx.jobs、ctx.storageDomain、ctx.tools、ctx.commands。
- 评分卡和排行榜存储在 score 存储域中（表 scores、leaderboards；最新排行榜指针）。当组合没有 storageDomain 时（早于基础 bundle 存储行的 profile，例如 0.1.1-rc.2 时代的 headless profile），工具仍然可用，评分持久化被禁用并记录原因。已发布的 dsh-base bundle 从 0.1.2-rc.1 起挂载 storage-domain（已对照 0.1.2-rc.1 和 0.1.5-alpha.1 tarball 验证），因此持久化在已发布线上处于激活状态。
0.1.2-rc.1（适配于 2026-09-04）和 0.1.5-rc.2：会话信封仅为存储日志读取兼容性保留其可忽略字段 —— Session.append 仍无法标记它，因此审计门行为不变。
- 子进程继承 provider 的凭据擦除环境；gh 读取自己的凭据存储。任何环境值都不会被记录。
- 所有报告/日志字符串都经过纯净化器：token 字面量、URL 凭据和 bearer 头都会被脱敏，尾部按字节截断。

安全边界

- 无代码执行。 流水线仅运行 gh api 和 npm view；它从不安装、构建或运行目标。
- 仅 argv 子进程。 每次 CLI 调用都是 argv 数组，从不经 shell 解释；仓库 owner/repo 段在使用于端点前会根据受限字符集进行验证。
- 证据纪律。 不捏造任何分数：失败或返回不可解析输出的探测产生 no-evidence，绝不产生数字。
- 检测与脱敏。 密钥泄露和恶意安装脚本检测与脱敏共享相同的纯正则表达式；两者都针对极端输入进行了单元测试。

已知限制

- 仓库探测要求 gh 已认证且能访问 GitHub 网络；npm 探测要求 npm 和注册表访问。
- 无法解析 GitHub 仓库的目标无法检查文档、安全或合规性（这些维度报告 no-evidence）。
- 安装成功取决于 dsh-test-drive 已挂载并记录了目标；否则如实为 no-evidence。
- 维护“问题响应”信号是一个代理指标（最旧未关闭 issue 的年龄），而非直接的响应时间测量。
- 评分结果按目标缓存；使用 refresh: true（或等待超过 cacheMaxAgeMs）来强制重新评分。

开发

pnpm install
pnpm run typecheck && pnpm run typecheck:ci && pnpm test
pnpm run build && pnpm run verify:self-contained && pnpm run verify:artifacts && pnpm pack

- typecheck 通过本地 harness 检出解析 @deepseek-ai/*；typecheck:ci 针对已发布的 0.1.5-rc.2 类型进行检查。
- 测试使用真实的 Context/Session/ToolRuntime/LocalJobRegistry/存储栈，并配合脚本化的子进程提供程序。
- 真实 CLI 评分（需要 PATH 中有 gh/npm，且 gh 已认证）：从挂载的 profile 中调用 score。
- 发布：node scripts/release.mjs （提升版本、写入 CHANGELOG、重新运行门禁、提交并打标签；从不推送）。

主题

dsh、dsh-plugin、deepseek-harness、deepseek、cordis、plugin-scoring、quality-score、leaderboard、supply-chain

贡献者

PerryLink — 设计与实现。

PerryLink DSH 插件家族

本项目是由 PerryLink 维护的 40 个 DeepSeek Harness 插件之一。如果这个对你有帮助，其他的很可能也会：

| 插件 | 一句话简介 |
|---|---|
| dsh-auto-review | 审批链上的第二模型自动审查，默认故障关闭 | |
| dsh-background-agents | 持久的后台子代理，带 Web UI 侧边栏、消息传递和中断 | |
| dsh-budget | DeepSeek Harness 的成本治理：预算、碳排和延迟集于一个面板。 | |
| dsh-checkpoint-rewind | 等同于 Claude Code /rewind：快照、会话分叉、一次性恢复 | |
| dsh-claude-move | 将 Claude Code 会话、记忆、技能和 CLAUDE.md 迁移到 DSH | |
| dsh-click | DeepSeek Harness 的跨平台原生桌面控制——Windows 优先。 | |
| dsh-composer-history | Web 编写器的终端风格输入历史：方向键、Ctrl+R 搜索 | |
| dsh-data-quality | 数据集质量检查和引用交叉核对（此处消费的可选数值桥接） | |
| dsh-defend | DeepSeek Harness 的提示注入、越狱和机密泄露防御。 | |
| dsh-doublecheck | 工程纪律守卫：需求拷问、测试门禁、对手审查 | |
| dsh-draw | DeepSeek Harness 的统一静态图像生成路由。 | |
| dsh-fast | DeepSeek Harness 的只读性能诊断。 | |
| dsh-fund-research | 面向中国公募基金的确定性研究报告 | |
| dsh-github | 面向 DSH 的 GitHub PR/issue 集成，每次写入均需审批 | |
| dsh-industry-research | 行业研究编排，通过本插件的 ctx.researchReport.assemble 封存其交付物 | |
| dsh-library | DeepSeek Harness 的本地文档知识库。 | |
| dsh-local-ai | DeepSeek Harness 的本地模型（Ollama）集成。 | |
| dsh-lsp-actions | 基于语言服务器的 LSP 诊断、格式化、补全、代码操作与重命名 | |
| dsh-mask | PII 脱敏中间件：在模型边界匿名化，在展示层还原 | |
| dsh-mcp-panel | 只读 MCP 运行时面板：/mcp 命令 + 设置选项卡，含状态、工具与错误 | |
| dsh-memento | 审批门控的跨会话记忆：ctx.memory 接缝 + SQLite + memory 工具 | |
| dsh-observe | DeepSeek Harness 的 OpenTelemetry 与 Langfuse 可观测性导出器。 | |
| dsh-output-styles | 等效于 Claude Code outputStyles 的运行时样式切换 | |
| dsh-permission-rules | Claude Code 风格的声明式 allow/deny/ask 权限规则，带审计 | |
| dsh-personal-directive | 带顶栏开关的个人指令注入器（框架版） | |
| dsh-plugin-guide | 作为按需智能体技能的插件开发知识库 | |
| dsh-plugin-doctor | 面向 DSH 插件的零依赖静态 + 沙箱冒烟检测器 | |
| dsh-reach | 多渠道审批/提问桥接：微信/Telegram/飞书，会话控制台 | |
| dsh-research-report | 可验证的研究报告引擎：内容寻址的证据账本与封存版本 | |
| dsh-session-pin | 在 Web 侧边栏中固定会话，并保持持久排序 | |
| dsh-session-sync | DeepSeek Harness 的跨设备会话同步——你的会话存储的专用 git 镜像。 | |
| dsh-skill-pack-security | 安全审计技能包：密钥扫描、依赖与供应链审查 | |
| dsh-talk | 面向 DeepSeek Harness 的语音优先会话循环：与它对话，听它回答。 | |
| dsh-test-drive | 面向 DeepSeek Harness 插件的隔离式安装与冒烟测试试驾。 | |
| dsh-ticktick | TickTick/滴答清单任务桥接：会话头部面板 + 11 个工具 | |
| dsh-translate | 面向 DeepSeek Harness 的供应商参数转换与确定性 JSON 修复。 | |
| dsh-wechat | 微信 ↔ DSH 桥接（腾讯 iLink 机器人）：文本/图片/文件/语音，在聊天中审批 | |
| dsh-autotier | 自动进行强/廉价模型层级路由，具备确定性风险防护和 /tier 命令 | |
| dsh-catalog | PerryLink 系列的 DSH Desktop Market 标准目录源 | |
| dsh-cert-mcp | 只读 MCP 服务器，公开认证注册表：评级、快照和五维证据 | |
| dsh-kit | 一条命令即可安装核心系列的入门包 | |
| dsh-plugin-certification | 社区认证注册表，提供可复现检查的评级和徽章 | |
| dsh-plugin-kit | 面向 PerryLink DSH 插件的共享零运行时依赖工具包 | |
| dsh-plugin-portal | 零依赖静态门户，将整个插件系列渲染为一个页面 | |
| dsh-plugin-upgrade-015 | 合并后的 0.1.3-alpha.1 → 0.1.5-rc.1 升级通道卡片，外加零依赖接缝扫描器 | |
| dsh-team-rooms | 跨会话团队房间：共享消息总线、任务板和时线 | |

从 DSH Desktop Market 安装

所有 PerryLink 插件均可在内置的 DSH Desktop Market 中浏览：Market → Sources → add source → 粘贴 https://perrylink-dsh-catalog.perrylink.workers.dev/catalog-source.json → 选择它。安装仍需经过 Market 的 npm 身份验证和你的确认。

许可证

Apache-2.0