包管理器守卫 acus9345/dsh-enforce-package-manager

dsh-enforce-package-manager

你的仓库用 pnpm，智能体却敲下 npm install zod。结果 pnpm-lock.yaml 旁边多出一个 package-lock.json，还多了一个 pnpm 不认识的依赖。Python 这边也一样：uv 项目里跑 pip install requests，包装进了 venv，却永远进不了 pyproject.toml，下次 uv sync 就没了。

这个 DeepSeek Harness 插件会判断项目用的是哪个包管理器。如果智能体伸手去用别的，命令会被拦下，模型拿到正确的命令，而且已经翻译好了：

dsh-enforce-package-manager blocked npm install zod --save-dev: this project uses pnpm,
not npm ("packageManager": "pnpm@…" in /work/app/package.json). Mixing package managers creates a second lockfile, ignores the existing one, and can install different versions. Run this instead:
pnpm add -D zod

模型接下来通常就直接跑建议的那一行。

安装

dsh plugin --profile web add dsh-enforce-package-manager

这里用的是 web 配置档，也就是你用 dsh web 启动的浏览器界面。如果你用别的方式跑 DSH，就换成 headless（脚本和 CI）或 acp（编辑器集成）。每个配置档各管各的插件列表，所以你用到的每个配置档都要加一遍。没有别的要设置。卸载用 dsh plugin --profile web remove dsh-enforce-package-manager。

从克隆的仓库安装

想试本地改动，就打个 tarball 再装：

git clone https://github.com/acus9345/dsh-enforce-package-manager
cd dsh-enforce-package-manager
npm install
npm pack
dsh plugin --profile web add ./dsh-enforce-package-manager-0.2.0.tgz

它怎么判断项目的包管理器

起点是命令将要运行的那个目录，同一命令行里前面的 cd 也会跟着走。从那里往上找，遇到第一个能给出答案的目录就停。它不会越过 git 根目录；没有 git 仓库时，不会越过你启动 DSH 的那个文件夹，所以你家目录里一个乱放的 lockfile 不算数。

JavaScript 这边，package.json 里的 packageManager 字段优先。其次找唯一的 lockfile：pnpm-lock.yaml、yarn.lock、bun.lock / bun.lockb 或 package-lock.json。如果发现两个不同管理器留下的 lockfile，它不猜，直接让开。

Python 这边，它找 uv.lock、poetry.lock、pdm.lock、Pipfile，或者 pyproject.toml 里的 [tool.poetry] / [tool.uv] / [tool.pdm] 段。只有 requirements.txt 的项目没有可强制的管理器，所以那里 pip 不管。

哪些命令会被翻译

| 智能体运行 | 在 pnpm 项目里 | 在 uv 项目里 |
| npm install | pnpm install | |
| npm ci | pnpm install --frozen-lockfile | |
| npm i -D vitest | pnpm add -D vitest | |
| yarn add zod | pnpm add zod | |
| npm uninstall left-pad | pnpm remove left-pad | |
| pip install httpx | | uv add httpx |
| python -m pip install -e . | | uv sync |
| pip uninstall httpx | | uv remove httpx |

yarn、bun、npm 项目也一样，poetry（poetry add）、pipenv（pipenv install）、pdm（pdm add）同样适用。

文件夹与工作区选项也一并沿用。npm i -w web react 换成 pnpm --filter web add react（或 yarn workspace web add react），npm install --prefix api 换成 pnpm -C api install。

在 Windows 上，DSH 通过 PowerShell 执行命令，同样的检查也适用于 npm.cmd、pip.exe、完整程序路径和 Set-Location。

它只关心会改动项目依赖的命令。npm run build、npm test、npx vitest 和全局安装（npm i -g ...）都能通过，因为它们不动项目的 lockfile。Python 这边，pip install --user ... 和升级安装器自身（pip install -U pip、pip install uv）同样不管，原因一样。

配置

最简单的办法：打开 DSH 侧边栏里的 Plugins，点 dsh-enforce-package-manager，改你要改的，然后按 Save。下一次工具调用就生效，不用重启。

或者往 ~/.dsh/profiles/<profile>/cordis.patch.yml 加一行，想对所有配置档生效就加到 ~/.dsh/cordis.patch.yml。没写的键保持默认值。

- id: enforce-package-manager
config:
mode: deny # or ask to approve mismatches yourself
javascript: true # false: don't police npm/pnpm/yarn/bun
python: true # false: don't police pip
shellTools: [bash, pwsh] # pwsh is the shell DSH uses on Windows

开发

npm install
npm test # detection and translation unit tests
npm run test:e2e # real dsh runs against a scripted local model, no API key needed

安装测试会跑 dsh plugin add，这需要 PATH 里有 pnpm。

MIT 协议。作者 acus9345。欢迎在 issues 里提 bug 和想法。