插件栈编排器 Tim-ReJet/dsh-stack-composer

dsh-stack-composer

按用途组合出一套可用的 DeepSeek Harness 插件栈。你说一句「来一套装备齐全的 DevOps 栈」或者「给单打独斗的 YouTube 频道来一套内容创作栈」，它就会理清这个用途需要哪些角色，拿精选的 dsh-plugin 注册表里的每个插件去逐个角色打分，依据是注册表公布的分类、描述、能力标记和红线，最后返回选中的插件，连同选中它们的信号、风险、填不上的角色，以及每个插件一条安装命令。

它不安装任何东西，也不改动它报告的任何东西。它写入的只有自己的注册表缓存——按注册表 URL 各存一个文件，放在 DSH home 下——以及你要求的任何 --out 文件；除非需要注册表，否则它不发网络请求。

它依据什么来推理

精选注册表有 4,412 条插件条目（2026-10-04），每条包含：一个分类、一句描述、一条 install 命令、star 数和下载量、检查其源码时对照的十个能力标记（fs-read、fs-write、env、network、llm、shell、dynamic-code、host-runtime、credentials、subagent），以及该检查提出的任何红线。

不抓取任何插件源码。能力标记是注册表记录下来的结果，标记缺失只说明检查没观察到该行为——并不代表插件安全。

一套栈是怎么组合出来的

1. 用途 → 角色。 23 个角色描述一套栈承担的工作（版本控制、容器、密钥、可观测性、告警、采集、发布、记忆、编排……）。用途命中 8 个预设之一，就采用该预设的角色；否则按用途用到了角色关键词中的多少个来选角色，再用通用角色补齐，这样模糊的用途也能给出可用的结果。
2. 每个插件都对着每个角色打分。 打分是累加的，每一项贡献都留成一条打印出来的理由：

| 信号 | 权重 |
| 分类是角色点名的分类之一 | +6 |
| 名称中命中角色关键词，最多 2 个，每个 | +5 |
| 描述中再命中角色关键词，最多 3 个，每个 | +2 |
| 角色需要的能力，已声明 | +2 |
| 角色需要的能力，未声明 | −1 |
| 命中「这是在说另一件事」的片段，最多 2 个，每个 | −4 |
| 热度 | min(2, log₁₀(stars+1) + log₁₀(downloads+1)/2) |

3. 阈值。 角色得分 6 及以上算填上；3 到 6 之间显示为松散匹配；低于 3 就报成缺口，并列出最接近的候选。热度上限 +2，低于松散匹配的阈值，所以 star 数永远没法单靠自己填上一个角色；一套栈绝不会为了显得完整而注水。
4. 组装。 一个插件即使被多个角色看中，也只选一次；风险提示来自注册表记录的红线；报告列出能力并集、安装前值得复查的标记，以及每个插件一条安装命令。

$ dsh-stack-composer "a fully equipped DevOps stack" --per-role 1
stack: a fully equipped DevOps stack
preset: DevOps / platform (devops) · 9 roles · 9 plugins · registry: 4412 entries, updated 2026-10-01

1. Version control and review — Track changes, inspect diffs, and review work before it lands [ok]
• HaoyueQin/dsh-git-review — git — score 24.11 Review tab for DeepSeek Harness sessions: workspace changes versus HEAD or any two refs as a filterable file tree with side-by-side diffs, …
why: category git; name contains "git"; name contains "review"; description mentions "commit"
capabilities: runs shell commands, writes files, reads files, makes network requests, reads environment variables
install: dsh plugin --profile web add dsh-git-review
…
risk notes
! Ox0400/dsh-vault: reads credentials or secrets and has network access

从实时 registry 组合出的两个 stack 已作为证据提交： DevOps ·内容创作。用 npm run check:live 重新生成。

安装

dsh plugin --profile web add dsh-stack-composer
from this repository, before any npm release:
dsh plugin --profile web add github:Tim-ReJet/dsh-stack-composer

确认这一层已组合：

dsh --profile web --dump-config | grep -A 5 stack-composer

针对源码 checkout 做本地开发：

composer.overlay.yml
- insert:
- id: stack-composer
name: '/absolute/path/to/dsh-stack-composer/src/index.js'
config:
perRole: 2

使用

两个工具，在任何组合了该插件的会话里都能用：

- stack_compose —— purpose（必填）、perRole、refresh。返回 stack、它的角色与数量，以及完整报告。
- plugin_capabilities —— query（必填）、limit、category、capability。报告匹配的插件能做什么、它们的能力标志、红线、安装命令和页面。在挑选之前，用它来推理单个插件。

在会话里试试：「组合一个安全审查 stack，并告诉我哪些选择会读取凭证。」

命令行跑的是同一个引擎：

dsh-stack-composer "a fully equipped DevOps stack" --per-role 2
dsh-stack-composer "a content creation stack" --json > stack.json
dsh-stack-composer --capabilities "browser automation" --limit 5
dsh-stack-composer --capabilities "secrets" --capability credentials
dsh-stack-composer --presets # list the 8 presets
dsh-stack-composer --roles # list the 23 roles

| 参数 | 作用 |
| --per-role <n> | 每个角色提供的插件数（默认 2，范围 1–8） |
| --refresh | 重新拉取 registry，而不是用缓存了一天的版本 |
| --offline | 从不拉取；只用缓存，没有缓存就失败 |
| --registry <path\|url> | 改从这里读取 registry（本地文件从不缓存） |
| --json | 把组合出的 stack 以 JSON 打印 |
| --capabilities <query> | 报告插件能力，而不是组装 |
| --category、--capability、--limit | 过滤 --capabilities |
| --out <file> | 把报告写入文件 |

成功时退出状态为 0，用法错误或注册表读不出来时为 2。

配置

dsh.bundle.patch 指向这里：cordis.patch.yml 插入一行 stack-composer，带 perRole、registryUrl、registryPath（本地快照，供测试或离线机器使用）和 offline。

值得了解的局限

- 词表是最弱的一环，而它是数据。 src/roles.js 存放角色、各自的关键词、它们刻意不想要的东西，以及预设。关键词匹配会认错朋友——某个语言专用的写作插件可能排在通用插件前面，而注册表的 usage 分类主要讲的是 harness 自己的 token，不是受众。报告会打印每次挑选的理由，所以挑错了是词表 bug，改一个文件就行，而不是黑箱。
- 这里不读插件源码。 能力标记来自注册表自己的观察，注册表没检查过的条目写的是「not checked by the registry」，而不是「none declared」——2026-10-04 那天，4,412 个条目里有 394 个没带能力数据。
- 这不是质量排名。 stars 和 downloads 只用来打破平局，而「在注册表里」是组装器继承的唯一质量信号。
- 它不安装任何东西，也不检查两个挑选结果是否冲突。

验证

- npm test 在 node:test 上跑 45 个测试，不用网络：打分、去重、缺口、风险提示、monorepo slug、能力搜索、注册表缓存与离线行为，以及从本地快照接入宿主工具的那条缝。
- npm run check:live 从实时注册表组装两个示例 stack，写入 samples/。
- npm run verify:install 把 github:Tim-ReJet/dsh-stack-composer 装进一个用完就扔的 DSH home，断言 bundle 层组装成功（需要网络）。
- 在真实 harness 里端到端跑过，由模型调用工具，harness 版本为 0.1.1-rc.2 和 0.2.0-rc.2。

如何被收录

目录是 awesome-dsh-plugin/awesome-dsh-plugin。本仓库带有 dsh-plugin topic；收录只需在 pull request 里加一个条目文件（data/plugins/Tim-ReJet__dsh-stack-composer.yml）。

许可证

MIT