中文合规工具箱 feely0208/dsh-bundle-cn-skills

DSH 中文合规与工程技能集

dshfind 收录

给 DeepSeek Harness（DSH）用的中文场景插件集。
面向中国大陆市场的合规审核、公文排版，以及通用但容易踩坑的发布自检。

为什么有这个仓库

DSH 的插件生态里绝大多数内容是英文的，而面向中国大陆市场的合规要求（广告法极限词、网络工具用语红线、公文格式国家标准、备案与隐私表述）没有现成的成套工具。

结果就是：每一个在中国做产品的团队，都要自己重新踩一遍同样的坑 ——被广告法极限词卡住、备案信息写错、公文排版不符合 GB/T 9704、发布流程里"没有报错但事情没做成"的事故反复发生。

这个仓库把这些经验固化成 DSH 技能（skill），装上就能用，也可以按自己的情况改。

包含哪些技能

| 包 | 管什么 | 什么时候用 |
| @deepwhale-cn/dsh-cn-compliance | 话能不能说 —— 对外内容合规红线审核：网络工具用语、广告法极限词、绝对化承诺、内部文件公网暴露 | 改官网、写公开文档、发公众号、写 App 内文案时 |
| @deepwhale-cn/dsh-cn-doc-formatter | 公文怎么排 —— 按 GB/T 9704-2012 生成 .docx / .pdf / .txt，附输出自检 | 写公文、通知、报告时 |
| @deepwhale-cn/dsh-release-selfcheck | 东西对不对 —— 发布前自检：产物清单比对、版本一致性、架构正确性、上线前逐链接检查、发布纪律 | 发版、上传安装包、切换下载链接、创建 Release 时 |
| @deepwhale-cn/dsh-cn-ai-labeling | AI 标识做没做 —— 对照《人工智能生成合成内容标识办法》与强制性国标 GB 45438—2025，核对显式/隐式标识、导出链路与上架材料 | 做 AI 产品、设计导出功能、准备上架应用市场时 |
| @deepwhale-cn/dsh-cn-pipl-check | 说的和做的是否一致 —— 个人信息保护：权限最小必要、第三方 SDK 清单、用户权利入口（查阅/删除/注销/撤回）、敏感信息单独同意、数据出境 | 准备上架、改隐私政策、新增权限或 SDK 时 |
| @deepwhale-cn/dsh-cn-appstore-preflight | 上架能不能过 —— 应用市场预检：App 备案、隐私政策可达性、权限使用场景说明、账号注销入口、未成年人保护、上架材料骨架 | 提交应用市场之前、被驳回后定位原因时 |
| @deepwhale-cn/dsh-secret-scan | 有没有把密钥交出去 —— 密钥与敏感信息扫描：云厂商 AK、令牌、私钥、凭据文件是否被 git 跟踪、内网 IP 与内部域名。通用，不限中国 | 提交前、开源前、发布前、交接时 |

这些包的边界是刻意分开的：合规管「话」，标识管「AI 链路」，隐私对照管「说的和做的是否一致」，上架预检管「材料与流程」，密钥扫描管「有没有把凭据交出去」，自检管「东西」，不能互相替代。

安装

一条命令装全套（7 个技能）：

dsh plugin --profile web add @deepwhale-cn/dsh-bundle-cn-skills

dsh-bundle-cn-skills 是组合包，本身不含逻辑，只声明依赖并把 7 个技能一次性挂进 profile。

只装需要的：

dsh plugin add @deepwhale-cn/dsh-cn-compliance

装完重启 DSH，Agent 在相关对话里会自动带上这些技能。

手动安装（等价方式，适合要钉版本号的场景）

npm install @deepwhale-cn/dsh-cn-compliance \
@deepwhale-cn/dsh-cn-doc-formatter \
@deepwhale-cn/dsh-release-selfcheck \
@deepwhale-cn/dsh-cn-ai-labeling \
@deepwhale-cn/dsh-cn-pipl-check \
@deepwhale-cn/dsh-cn-appstore-preflight \
@deepwhale-cn/dsh-secret-scan

然后在 DSH profile 的 package.json 里把它们列为 bundle：

{
"dependencies": {
"@deepwhale-cn/dsh-cn-compliance": "^0.1.1",
"@deepwhale-cn/dsh-cn-doc-formatter": "^0.1.1",
"@deepwhale-cn/dsh-release-selfcheck": "^0.1.0",
"@deepwhale-cn/dsh-cn-ai-labeling": "^0.1.0"
},
"dsh": {
"profile": {
"bundles": [
"@deepseek-ai/dsh-base",
"@deepseek-ai/dsh-web-app",
"@deepwhale-cn/dsh-cn-compliance",
"@deepwhale-cn/dsh-cn-doc-formatter",
"@deepwhale-cn/dsh-release-selfcheck",
"@deepwhale-cn/dsh-cn-ai-labeling"
]
}
}
}

重启 DSH，智能体在相关对话里就会自动带上这些技能。

兼容与运行要求

| 项 | 值 |
| DSH 版本 | 任意支持插件系统的版本 |
| 平台 | 不绑定桌面端，任意支持 DSH 的载体（桌面端 / Web / 命令行） |
| 运行环境 | Node.js（随 DSH 提供，无需额外安装） |
| 网络 | 不需要网络，全部离线可用 |

权限与外部服务

这 7 个技能全部只读本机文件做静态检查，不联网、不上传、不写入你的项目。

| 技能 | 读取 | 外发 |
| 合规审核 / AI 标识 / 隐私对照 / 上架预检 / 发布自检 / 密钥扫描 | 工作区内的文件 | ❌ 无 |
| 公文排版 | 本机文本 | ❌ 无（生成的文件写在本机） |

不内置敏感词表——原因见下方「设计原则 4」。这一点很重要：它保证本工具不会变成「绕过合规检查」的工具，只做机械可查的部分。

设计原则

1. 误报比漏报更致命

合规扫描最容易犯的错不是"漏掉敏感词"，而是误报太多：锁文件里的 base64 哈希恰好含 VPN、CSS 里的 绝对定位 是布局术语、代码注释里的"永远不执行"是技术描述 —— 这些都被报出来的话， 人读几次就不再看报告了，真正的风险反而被淹没。

所以这些工具都花了大量精力在误报规避上，并在技能正文里明确列出「已知假阳性」，告诉大家哪些命中是正常的、不要去改。

2. 断言「结果」，不断言「过程」

release-selfcheck 整条思路来自一个反复出现的现象：最常见的发布事故，都发生在所有 CI 都是绿的、日志里没有任何异常的时候。

- 临时目录名撞上仓库已有目录 → 无关文件被一起上传，而工作流报"成功"
- 两个构建任务的产物同名 → 一个平台整个丢失，而所有任务全绿
- 用某条命令的输出做断言 → 完好的包被判成坏包，排查方向被带偏

对策只有一句：断言可核对的最终结果（文件里到底有没有那段内容、产物清单里每个平台在不在、HTTP 状态码是不是 200），而不是"函数返回成功""命令 exit 0"。

3. 本仓库自身会命中合规扫描 —— 这是设计使然

拿合规扫描去扫本仓库，一定会报出大量命中：合规插件必须包含它要检测的那些词（否则无法检测），技能正文也必须逐字引用它们才能说清"哪些该报、哪些不该报"。

这不代表内容违规，也不要去改。 判断标准很简单：看命中的上下文是在「列词表 / 解释规则」，还是在「对用户做宣称」。
前者是工具的实现，后者才是风险。

4. 插件不内置敏感词表

合规插件不携带政治敏感词表 —— 避免插件自身成为敏感内容的载体。
这部分需要人工审核或使用专门的第三方工具。工具能做的是把机械可查的部分查干净。

每个包的详情

- dsh-cn-compliance —— 对外内容合规红线审核
- dsh-cn-doc-formatter —— 中文公文排版（GB/T 9704-2012）
- dsh-release-selfcheck —— 发布前自检
- dsh-cn-ai-labeling —— AI 生成合成内容标识合规自检
- dsh-cn-pipl-check —— 个人信息保护：说的和做的是否一致
- dsh-cn-appstore-preflight —— 应用市场上架预检
- dsh-secret-scan —— 密钥与敏感信息扫描

贡献

欢迎提 Issue 补充真实踩过的坑 —— 尤其是"误报"和"漏报"两类：

- 你遇到了规则误报（把正常内容判成风险）？告诉我们上下文，这类反馈最有价值
- 你踩到了规则没覆盖的合规问题？欢迎补充

比"多加几个词"更有价值的，是把规则变得更准。

A collection of Chinese-market skills for DeepSeek Harness:

- dsh-cn-compliance — content compliance review for the China market (advertising-law superlatives, network-tool terminology, internal-file exposure)
- dsh-cn-doc-formatter — Chinese official document typesetting per GB/T 9704-2012
- dsh-release-selfcheck — release preflight: artifact manifest diffing, version consistency, architecture verification, link checks, release discipline
- dsh-cn-ai-labeling — AI-generated content labeling self-check against China's mandatory national standard GB 45438—2025 (explicit/implicit labels, 文件元数据格式、导出路径、应用商店提交）
- dsh-cn-pipl-check — PIPL 合规检查：隐私政策是否与代码实际行为一致（权限、第三方 SDK、用户权利入口、单独同意、数据出境）
- dsh-cn-appstore-preflight — 中国应用商店提交前检查：应用备案、隐私政策可达性、权限用途说明、账号注销入口、未成年人保护、提交材料骨架
- dsh-secret-scan — 密钥与敏感数据扫描：云 AK、token、私钥、git 跟踪的凭据文件、内网 IP 与主机名（不限领域）

安装（七个一起装）：

dsh plugin --profile web add @deepwhale-cn/dsh-bundle-cn-skills

或单独安装某个技能：

dsh plugin add @deepwhale-cn/dsh-cn-compliance

七个技能全是离线静态检查——不联网，不上传。

发布前检查不限领域，任何要把构建产物发到多个渠道的项目都用得上——它的核心价值就是抓出那些让每个 CI 任务都显示绿色的故障。

License

MIT

由 深鲸 DeepWhale 维护。