🎁 福利专区全网大模型免费应用 + 新用户福利 + 注册活动入口，低成本玩转 AI
去看看
DeepSeek Harness Hub
MCP兼容手册

仓库信誉审计 Suxeca/dsh-plugin-repo-auditor

DeepSeek Harness
Suxeca18 天前有提交已提供中文文档扫描：含敏感能力
在 GitHub 查看 ↗

识别假星水军与空壳仓库，预检插件供应链风险

29.9/100
综合分
0
GitHub 星标
—
npm 周下载
—/5
用户评分

数据截至 2026/10/15 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

安装命令 · 需先装 dsh CLI 引擎
dsh plugin --profile web add Suxeca/dsh-plugin-repo-auditor
该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态
信任档位：待复验
是什么
dsh 原生插件 · market
装得上吗
曾在 dsh 0.2.0-rc.2 下真实安装成功，但当前 dsh 已更新至 0.2.1-rc.5，本站尚未在新版下复验
L4 · 真实安装等级说明 →
安全吗
本站尚未对该插件做风险分级
暂未覆盖，不等同于无风险
还在维护吗
活跃：最近一次提交在 18 天前
档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。 下方各区块是它的证据明细。

验证判据与等级说明 →
社区实装还没有人打卡 · 装过的第一个就是你
安全扫描自动 · 静态分析源码
v2.7.0
🔵 扫描：含敏感能力尚无人工评估
展开查看扫描说明与证据 ↓

静态扫描发现插件具备触达本地系统的能力：执行外部命令、读写/删除本地文件、读取剪贴板或密钥类环境变量（至少其一）。这是能力清单，不是危险判定——具体能力项与证据见下方，安装前请自行判断是否需要。

读取剪贴板或密钥环境变量发起外部网络请求
查看扫描证据（共 8 处，展示前 8 条）
  • 读取密钥环境变量
    lib/github-client.js:41
    if (process.env.GITHUB_TOKEN && process.env.GITHUB_TOKEN.trim().length > 0) {
  • 读取密钥环境变量
    lib/github-client.js:42
    this.token = process.env.GITHUB_TOKEN.trim();
  • 发起网络请求
    lib/github-client.js:105
    const response = await fetch(url, { headers, signal });
  • 发起网络请求
    lib/github-client.js:128
    return await this.request(url, signal);
  • 发起网络请求
    lib/github-client.js:149
    const res = await fetch(rawUrl, { headers, signal: timeoutController.signal });
  • 发起网络请求
    lib/github-client.js:169
    const json = await this.request(apiUrl, signal);
  • 发起网络请求
    lib/github-client.js:189
    stargazers = await this.request(url, signal);
  • 发起网络请求
    lib/github-client.js:204
    const profile = await this.request(userUrl, signal);
扫描于 2026/11/2（0 天前） · 范围 入口闭包 + 发布文件清单 · 来源 GitHub 仓库

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

依赖的 DSH / Cordis 模块
@deepseek-ai/dsh-llm@deepseek-ai/dsh-tools
给这个插件打分还没有人投票↓
用户评分
还没有人投票，来当第一个
广告精选好物
飞利浦 TAH6519 主动降噪耳机 ¥299
头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。
  • ·anc 主动降噪 · 头戴式无线
  • ·价格与库存以商品页实时为准
去淘宝看看→

DSH 原生插件：用 CMU StarScout 启发式审计 GitHub 仓库的假星、刷星机器人和空壳代码库，外加静态供应链与敏感权限检查。

README

由 DeepSeek 最新模型翻译生成
@suxeca/dsh-plugin-repo-auditor ⚠️ 本仓库是自动生成的发布镜像，每次发布都会整体覆盖 main。 唯一事实来源 / single source of truth: Suxeca/dsh-plugin → packages/dsh-plugin-repo-auditor 请勿在本仓库提交代码或 PR —— 改为修改源仓库中的 packages/dsh-plugin-repo-auditor，本仓库的内容会被下一次发布覆盖。 本仓库只发布可安装产物（lib/、cordis.patch.yml、locale/、package.json），不含 src/ 与 tests/：审计器要检测的那些标记（安装钩子名、宿主进程 API、越狱口令等）在本仓库的产物中一律由运行时拼装生成（源仓库 src/tokens.ts），所以任何静态扫描都不会在本仓库里读到它自己的检测表 —— 否则它会扫到自己、把自己判成 CRITICAL（F 级），并让安装门禁对使用者误报。源码与唯一事实来源仍在源仓库。 DSH (DeepSeek Harness) 原生插件：基于 CMU StarScout 启发式指标审计 GitHub 假星 / 水军 / 空壳仓库，并对 DSH 插件做供应链投毒与敏感权限静态预检。
展开完整文档（README 剩余 1 节）
@suxeca/dsh-plugin-repo-auditor

⚠️ 本仓库是自动生成的发布镜像，每次发布都会整体覆盖 main。
唯一事实来源 / single source of truth: Suxeca/dsh-plugin → packages/dsh-plugin-repo-auditor 请勿在本仓库提交代码或 PR —— 改为修改源仓库中的 packages/dsh-plugin-repo-auditor，本仓库的内容会被下一次发布覆盖。

本仓库只发布可安装产物（lib/、cordis.patch.yml、locale/、package.json），不含 src/ 与 tests/：审计器要检测的那些标记（安装钩子名、宿主进程 API、越狱口令等）在本仓库的产物中一律由运行时拼装生成（源仓库 src/tokens.ts），所以任何静态扫描都不会在本仓库里读到它自己的检测表 —— 否则它会扫到自己、把自己判成 CRITICAL（F 级），并让安装门禁对使用者误报。源码与唯一事实来源仍在源仓库。

DSH (DeepSeek Harness) 原生插件：基于 CMU StarScout 启发式指标审计 GitHub 假星 / 水军 / 空壳仓库，并对 DSH 插件做供应链投毒与敏感权限静态预检。

安装 / Install

dsh plugin add github:Suxeca/dsh-plugin-repo-auditor

无需构建：lib/ 已预编译随仓库发布（prebuilt）。包名 @suxeca/dsh-plugin-repo-auditor，由 cordis.patch.yml 的 dsh.bundle.patch 声明装配。

功能 / What it does

- 假星与互动比率审计 — Fork/Star、Watcher/Star 比率异常检测，含大仓（>50k stars）通知疲劳校准与豁免模型。
- 空壳与脉冲刷量 — 高星但代码体积 < 30 KB 的空壳仓库、活跃跨度不足 2 天的增星脉冲、0-Issue 异常增星（维护者关闭 Issues 时豁免）。
- 点星水军抽样 — 并发抽检最新 Stargazers 的 Profile，识别「三无空白号」与「新注册闪电水军」。
- 供应链投毒预检 — 经 GitHub Raw CDN 零配额静态拉取 package.json / cordis.patch.yml，识别高危安装钩子（远程下载、eval、混淆、凭据窃取）与 DSH 敏感权限（密钥服务注入、插件管理服务、宿主进程 API、工具执行前置钩子）。
- 安装拦截门禁 — 通过工具执行前置钩子（pre-execution hook）监听插件安装动作与 bash 中的 git clone / npm install github:...，命中风险时弹出 DSH 原生审批卡片。

配置项 / Configuration

- insert:
- id: repo-auditor
name: '@suxeca/dsh-plugin-repo-auditor'
config:
token: "" # GitHub PAT（可选） sampleSize: 5 # 水军账号抽样数量 enableInstallGate: true # 安装拦截门禁开关

| 配置项 | 类型 | 默认值 | 说明 |
| token | string | "" | GitHub Personal Access Token（可选）。留空时按四级顺序自动探测：config.token → DSH 凭据服务 → 环境变量 GITHUB_TOKEN → 本地 ~/.bashrc / ~/.env / .env。未鉴权时受 60 次/小时配额限制，鉴权后为 5000 次/小时。 |
| sampleSize | number | 5 | 水军账号抽样数量；仅在仓库一阶指标可疑（评分 < 85）时才触发抽样，用于保护 API 配额。 |
| enableInstallGate | boolean | true | 是否启用工具执行前置钩子（双轨安全拦截门禁：星标信度低 或 供应链/敏感权限中高风险 → 弹卡审批）。 |

紧急逃生通道 / escape hatch：在命令前加环境变量 SKIP_REPO_＋AUDIT=1（拼接后即为跳过标记）可跳过安装门禁。

出处与致谢 / Attribution

启发式指标来自 CMU 论文 "Six Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contagion, Suspicious Promotion, and Unwanted Projects"（StarScout）— arXiv:2412.13459。本插件是 DSH / Cordis 架构下的原生重实现，与论文作者无隶属关系。

构建与来源 / Build & source

本仓库为预编译产物，安装无需构建。源码与开发文档位于 Suxeca/dsh-plugin 的 packages/dsh-plugin-repo-auditor；发布流程见该仓库的 scripts/release-auditor.sh。

许可 / License

MIT License — 见 LICENSE。该文件由发布脚本从源仓库根目录自动复制，与 package.json 的 license 字段保持一致。
广告精选好物
Type-c 采集卡 ¥50
佳能尼康索尼相机直连电脑，视频开发与直播向。
  • ·相机转电脑采集
  • ·价格与库存以商品页实时为准
去淘宝看看→
预览分享卡片长什么样 ↓Suxeca/dsh-plugin-repo-auditor
分享 · DeepSeek Harness Hub
Suxeca/dsh-plugin-repo-auditor

识别假星水军与空壳仓库，预检插件供应链风险

相关插件 · 市场 / 管理

插件精选列表awesome-dsh-plugin/awesome-dsh-plugin
DeepSeek Harness（dsh）插件精选列表
★ 21,780未汉化DSH
73.5
新词雷达zhuyansen/new-term-radar
new-term-radar新词雷达
★ 1,947已汉化MCP
72.7
插件生态导航0xsline/awesome-deepseek-harness
安装 贡献指南 DeepSeek Docs 公开插件目录 Issues
★ 1,188已汉化DSH
72.6
技能注册中心iflytek/skillhub
企业级开源智能体技能注册中心——发布、发现并管理组织内可复用的技能包。
★ 5,347已汉化DSH
71.9
插件精选清单Anil-matcha/awesome-dsh-plugin
DeepSeek Harnessdsh精选指南——DeepSeek…
★ 1,013已汉化DSH
71.7
插件市场目录imsai-sh/awesome-deepseek-harness-plugins
面向 DeepSeek Harnessdsh生态的社区插件目录，共收录 13917 个插件含 PR 收录与…
★ 343已汉化DSH
71.6
回到顶部