bobby-sheng/dshget-plugin

DSH Get 插件

CI
License: MIT

无需离开 DSH 即可搜索、查看、更新和安装 DeepSeek Harness 插件。该插件使用公开的 DSH Get 目录，内置快照以支持离线搜索，并将每个结果链接到其独立的详情页。

这是一个独立维护的社区插件。它与 DeepSeek 无关联，也未获得其认可。

安装

dsh plugin --profile web add -w github:bobby-sheng/dshget-plugin

安装后重启 DSH。显式的 -w 在受支持的 pnpm 版本中指向配置文件工作区根目录。该包直接附带 JavaScript，因此从 GitHub 安装不会运行构建或 prepare 脚本。

支持的运行时：DeepSeek Harness 0.1.0-rc.5 及更新的兼容 0.1.x 预发布版本，运行于 Node.js 22.19+ 或 24+。详情请参阅兼容性。

命令

/dshget search memory recall
/dshget info volcengine/OpenViking#examples/dsh-memory-plugin
/dshget install example/dsh-plugin
/dshget update
/dshget status

- search 搜索名称、所有者、类别、标签、描述和目录来源。
- info 接受 owner/name、唯一的插件名称、DSH Get URL 或 GitHub URL。
- install 安装确切的目录条目，生成六部分证据报告，存储私有本地审计记录，并提示你重启 DSH。
- update 从 dshget-data 获取并验证最新的公开快照。
- status 报告当前活动的快照以及缓存是否已超过配置的 TTL。

智能体工具

- dshget_search 搜索目录并返回结构化结果。
- dshget_plugin_info 返回一条结构化插件记录。

这两个工具都是只读的。安装操作有意仅通过人工执行的 /dshget install 命令提供。

为什么使用它

- 在你工作的同一个 DSH 会话中搜索目录。
- 在网络或网站不可用时，仍可使用经过验证的内置快照。
- 在安装任何内容之前，查看确切的仓库和安装命令。
- 第三方安装需要显式的人工斜杠命令。

独立运行

网站和插件在运行时互不调用：

- DSH Get 继续构建并提供自己的目录和详情页。
- 当没有可用缓存时，此插件搜索其内置的 data/catalog.json。
- /dshget update 将经过验证的快照写入 $DSH_HOME/cache/dshget/。
- 网站或数据主机中断不会移除已安装包中的离线搜索和插件详情。

配置

在你的配置文件 cordis.patch.yml 中覆盖 bundle 行：

- id: dshget-plugin
config:
profile: web
maxResults: 10
cacheTtlHours: 24
allowInstall: true

可用设置：

| 设置 | 默认值 | 用途 |
| --- | --- | --- |
| dataUrl | 公开的 dshget-data/catalog.json | update 使用的远程快照 |
| websiteUrl | https://www.dshget.com | 规范的插件详情链接 |
| profile | web | install 更改的配置文件 |
| dshCommand | dsh | DSH 可执行文件名或绝对路径 |
| cachePath | $DSH_HOME/cache/dshget/catalog.json | 经过验证的本地快照 |
| cacheTtlHours | 24 | status 使用的时效 |
| requestTimeoutMs | 15000 | 远程更新超时时间 |
| maxCatalogBytes | 20000000 | 可接受的最大远程快照大小 |
| maxResults | 10 | 默认命令和工具结果数量限制 |
| allowInstall | true | 启用人工安装命令 |

安装安全性

安装任何第三方 DSH 插件都会运行该包中的代码。请先审查其源代码、权限、许可证和维护状态。收录到目录中并不代表经过安全审查。

DSH Get Plugin 不会通过 shell 执行目录中的命令。它只接受文档中规定的 dsh plugin ... add 格式，提取允许列表中的 npm 包、github: 规范或 GitHub Release tarball，并以参数数组方式启动 DSH。Shell 操作符、本地路径、任意 URL 以及不支持的安装格式都会被拒绝。

安装成功后，命令会报告：

1. 已安装的包名/版本、可获取时的确切 Git 提交、lockfile 解析结果，以及 pnpm 记录时的 registry 完整性信息；
2. 目录仓库是否与已安装包的元数据匹配；
3. 所选包的生命周期脚本、pnpm allowBuilds 状态，以及 DSH Host 权限边界；
4. dsh.bundle.patch 声明的行，以及这些行的 id 是新增的还是已存在；
5. 安装前后的 dsh --dump-config 差异，包含路径、类型和值哈希，而非原始值；
6. 确切的卸载命令和本地恢复记录。

审计记录以原子方式写入 $DSH_HOME/cache/dshget/install-audits/ 下，文件模式为 0600。它们保留安装前后的 profile 清单，以及 lockfile、pnpm workspace 和有效配置的哈希。不会存储 --dump-config 的原始值，因为有效配置可能包含凭据。

这是安装后的证据，而非沙箱或包审查。包可能在安装期间执行生命周期脚本，已加载的 Host 插件会以 dsh 进程的权限运行。安装前请审查第三方代码。

有关信任边界和漏洞报告流程，请参阅 SECURITY.md。

中文说明

DSH Get Plugin 可以直接在 DSH 中搜索、查看和安装 DeepSeek Harness 插件。插件内置目录快照，因此网站或数据仓库暂时不可用时仍可离线搜索；执行 /dshget update 后会使用最新的公开数据缓存。

智能体工具只读，不会自动安装第三方代码。安装必须由用户明确执行 /dshget install ，并且只允许目录中的安全 npm 或 GitHub 包标识。安装成功后会显示六项审计证据，并把脱敏后的本地记录保存到 $DSH_HOME/cache/dshget/install-audits/；记录不保存 --dump-config 的明文配置值。安装完成后需要重启 DSH。
审计输出用于提高可见性，不代表安全审查或官方背书。第三方包仍可能在安装阶段运行生命周期脚本，加载后的 Host 插件仍拥有 dsh 进程权限。

插件详情和可视化浏览继续由 DSH Get 独立提供，网站不依赖本插件运行。

开发

npm install
npm test
npm run check

测试套件涵盖相关性排序、特殊字符路由、缓存回退、远程验证、字节限制、安装命令注入拒绝、包身份、注册表完整性、打包效果、脱敏配置差异以及私有审计记录。

项目文档：

- 架构
- 兼容性
- 故障排除
- 贡献指南
- 更新日志

许可证

MIT