dsh-hardening 怎么安装？

在已安装 dsh CLI 引擎的环境中，进入插件页复制安装命令一键执行即可；尚未跑自动兼容性验证，可查看页面内的依赖与入口分析。

dsh-hardening 兼容性怎么样？

尚未跑自动兼容性验证，可查看页面内的依赖与入口分析。

dsh-hardening 有中文文档吗？

已提供中文翻译 README（由 DeepSeek 最新模型翻译生成），本站可切换中英文对照阅读。

dsh-hardening 还在维护吗？

GitHub 0 星。最近一次上游提交在 2026/10/22。

安全加固补丁 WASD258-jpg/dsh-hardening

DeepSeek Harness

WASD258-jpg10 天前有提交已提供中文文档扫描：未发现敏感能力

在 GitHub 查看 ↗

修补 DSH 证书信任并升级 Node 运行时，抵御已知漏洞

29.9/100

综合分

GitHub 星标

—

npm 周下载

—/5

用户评分

数据截至 2026/10/22 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

安装命令 · 需先装 dsh CLI 引擎

dsh plugin --profile web add WASD258-jpg/dsh-hardening

该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态

信任档位：仅索引

是什么

dsh 原生插件 · security

装得上吗

本站尚未做安装检查

安全吗

本站尚未对该插件做风险分级

暂未覆盖，不等同于无风险

还在维护吗

活跃：最近一次提交在 10 天前

档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。下方各区块是它的证据明细。

验证判据与等级说明 →

社区实装还没有人打卡 · 装过的第一个就是你

安全扫描自动 · 静态分析源码

v2.7.0

🟢 扫描：未发现敏感能力尚无人工评估

展开查看扫描说明与证据 ↓

静态扫描未发现敏感能力：最多只发网络请求、读取自身元数据或只读文件，未发现执行命令、文件写入或敏感信息读取。

发起外部网络请求

查看扫描证据（共 1 处，展示前 1 条）

发起网络请求
trust-patch/probe-url.js:7
const req = https.get(url, res => {

扫描于 2026/10/31（1 天前） · 范围全包扫描 · 来源 GitHub 仓库

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

给这个插件打分还没有人投票↓

用户评分

还没有人投票，来当第一个

广告精选好物

飞利浦 TAH6519 主动降噪耳机 ¥299

头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。

·anc 主动降噪 · 头戴式无线
·价格与库存以商品页实时为准

去淘宝看看→

广告MCP 兼容手册

装完插件，给 AI 接上 MCP

Cursor、Claude Code、VS Code 逐个核对：能不能装、配置怎么写、装不上是什么原因。

·按客户端逐格核对
·结论标注依据与风险等级

查 MCP 兼容性→

针对 2026 年 10 月 Node.js / eMudhra CA 事件的缓解措施（Windows、DeepSeek Harness）：仅 DSH 信任补丁 + Node 运行时更新器。

README

由 DeepSeek 最新模型翻译生成

dsh-hardening 针对 2026 年 10 月 Node.js / CA 系列安全事件的缓解工具，面向 Windows 上的 DeepSeek Harness（dsh）。这里的所有内容都是本地、可逆、可选的：不修改系统证书库，也不会自动生效。背景一周之内发生了三件事： | 公告 | 内容 | | CVE-2026-105483 | Node.js 在 IP 用全角数字书写时绕过 TLS 主机名校验（24.x / 26.x） | | CVE-2026-111497 | Node.js Brotli 解码器越界写，可导致远程代码执行（22.x / 24.x / 26.x） | | eMudhra 中间 CA 被攻破 | 8 张中间证书（含 Sectigo 交叉签名共 16 张）的私钥可被还原，仍信任它们的客户端可被中间人攻击 | 修复版本： - Node.js：22.23.4 / 24.22.1 / 26.12.1 - Electron：44.9.1 / 43.8.1 / 42.11.16 关键在于：浏览器和 Windows 自身在几天内就通过吊销列表 / CTL 更新完成了拦截，但自带 CA 包的运行时（Node、Electron 内置 Node、Python certifi、Java、Go、Rust）不会自动获得保护。

展开完整文档（README 剩余 1 节）

dsh-hardening

针对 2026 年 10 月 Node.js / CA 系列安全事件的缓解工具，面向 Windows 上的 DeepSeek Harness（dsh）。

这里的所有内容都是本地、可逆、可选的：不修改系统证书库，也不会自动生效。

背景

一周之内发生了三件事：

| 公告 | 内容 |
| CVE-2026-105483 | Node.js 在 IP 用全角数字书写时绕过 TLS 主机名校验（24.x / 26.x） |
| CVE-2026-111497 | Node.js Brotli 解码器越界写，可导致远程代码执行（22.x / 24.x / 26.x） |
| eMudhra 中间 CA 被攻破 | 8 张中间证书（含 Sectigo 交叉签名共 16 张）的私钥可被还原，仍信任它们的客户端可被中间人攻击 |

修复版本：

- Node.js：22.23.4 / 24.22.1 / 26.12.1
- Electron：44.9.1 / 43.8.1 / 42.11.16

关键在于：浏览器和 Windows 自身在几天内就通过吊销列表 / CTL 更新完成了拦截，但 自带 CA 包的运行时（Node、Electron 内置 Node、Python certifi、Java、Go、Rust）不会自动获得保护。DSH 0.2.1-rc.1 内置 Electron 44.7.0 / Node 24.21.0，实测其 Node 侧仍然信任那条通往被攻破中间证书的链。

目录

trust-patch/ —— 只影响 DSH 的证书信任补丁（不动系统）

让 DSH 桌面端不再信任三个受影响的根证书，其余环境完全不受影响。已在公开探测站点（dv-g3b-emudhra.we-have-a-problem.com）上做过前后对比验证。

详见 trust-patch/README.zh-CN.md。

node-runtime/ —— 升级独立 Node 运行时

扫描本机的 node.exe，升级到 22.23.4 / 24.22.1 / 26.12.1，带官方 SHA-256 校验和逐文件备份。

详见 node-runtime/README.zh-CN.md。

issues/ —— 上游缺陷报告

- issues/workspace-collapse/ —— dsh web：点击工作区行会折叠其会话列表，且没有任何视觉提示；折叠状态跨刷新持久化，导致工作区看起来是空的，用户会以为数据被删了。

快速开始

1. DSH 信任补丁：先完全退出 DSH，然后 trust-patch\launch-dsh.cmd 验证 powershell -ExecutionPolicy Bypass -File trust-patch\verify.ps1

2. Node 运行时：先列清单，再升级你要动的那些 powershell -ExecutionPolicy Bypass -File node-runtime\update-node-runtimes.ps1 -Scan powershell -ExecutionPolicy Bypass -File node-runtime\update-node-runtimes.ps1 -Path "<node-dir>\node.exe"

范围与限制

- 仅限 Windows。 路径、证书库和脚本行为都基于 Windows。
- 信任补丁只覆盖 DSH 的 Node 侧。Chromium 侧本来就走 Windows 证书库 + 吊销检查，在已打补丁的系统上早已受保护。
- 信任补丁不能修复 Electron 内置 Node 24.21.0 里的 CVE-2026-111497，那需要 Electron 升级到 44.9.1+（即等 DSH 发新版本）。用这条命令确认： Get-Content "$env:LOCALAPPDATA\Programs\DeepSeek Harness\version"。
- Python（certifi）、Java（cacerts）、Go、Rust 各有自己的信任库，不在本仓库范围内，请分别更新。
- DSH 以外的 Electron 应用各自内置 Node，同样不在此覆盖范围内。

安全性

- 不设置任何系统级环境变量。
- 不从 LocalMachine\Root 增加或删除任何证书。
- 信任补丁由 launch-dsh.cmd 按进程注入；正常方式启动 DSH 即恢复原状。
- Node 升级会在原文件旁保留 node.exe.bak-<版本>。

脱敏说明

本仓库整理自一次真实事件。所有用户名、主机名、绝对路径、工作区名、会话标题/ID、IP 地址和凭据均已替换为占位符或直接移除，不含任何截图。

许可证

MIT，见 LICENSE。