扫描 GitHub Actions 配置，揪出可被利用的供应链风险
30/100
综合分
0
GitHub 星标
—
npm 周下载
—/5
用户评分
数据截至 2026/10/14 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。
安装命令 · 需先装 dsh CLI 引擎
dsh plugin --profile web add feely0208/dsh-ci-guard该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）
状态速览
判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态信任档位：已验证
图例：✓ 通过! 需注意— 未判定 / 无数据· 「未判定」= 本站尚无数据，不代表插件有问题
档位由哪些信号合成
本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。 下方各区块是它的证据明细。
依赖的 DSH / Cordis 模块
@deepseek-ai/dsh-skill给这个插件打分还没有人投票↓
用户评分
还没有人投票，来当第一个
扫 GitHub Actions 工作流，找出可被利用的配置 —— 供应链攻击的主要入口
README
由 DeepSeek 最新模型翻译生成@deepwhale-cn/dsh-ci-guard
Listed on dsh-plugin.org
关键词：CI 安全 · GitHub Actions 安全 · 工作流安全 · 脚本注入 · 权限过宽 · 供应链风险 · 流水线安全 Keywords: CI security · GitHub Actions security · script injection · workflow security · pull_request_target CI 工作流安全 —— 扫 GitHub Actions，找出可被外部利用的配置。
不装它会怎样
你的 workflow 里写着 uses: some-action@main。
某天那个 action 的作者账号被盗，攻击者推了一行代码 —— 下一次 CI 运行就是在他的控制下执行的，而你有 secrets。
锁成完整 commit SHA 就能防住这一类。这个检查跑一次几秒钟。
展开完整文档（README 剩余 1 节）
@deepwhale-cn/dsh-ci-guard Listed on dsh-plugin.org 关键词：CI 安全 · GitHub Actions 安全 · 工作流安全 · 脚本注入 · 权限过宽 · 供应链风险 · 流水线安全 Keywords: CI security · GitHub Actions security · script injection · workflow security · pull_request_target CI 工作流安全 —— 扫 GitHub Actions，找出可被外部利用的配置。 不装它会怎样 你的 workflow 里写着 uses: some-action@main。 某天那个 action 的作者账号被盗，攻击者推了一行代码 —— 下一次 CI 运行就是在他的控制下执行的，而你有 secrets。 锁成完整 commit SHA 就能防住这一类。这个检查跑一次几秒钟。 它查什么 | 级别 | 内容 | | 🔴 高 | Action 未锁版本 · permissions: write-all · echo secrets · 脚本注入 | | 🟡 中 | pull_request_target（需人工判断）| | 🟢 低 | 未声明 permissions | 安装 dsh plugin --profile web add @deepwhale-cn/dsh-ci-guard 或纯 CLI npx @deepwhale-cn/dsh-ci-guard 用法 dsh-ci-guard # 扫当前目录 dsh-ci-guard --demo # 看检出效果 dsh-ci-guard --list-rules # 列出规则和依据 dsh-ci-guard --html r.html # HTML 报告 报告示例 判据来源 每条规则都指向具体文档： GitHub Docs《Security hardening for GitHub Actions》· GitHub Security Lab 《Preventing pwn requests》《Script injections in GitHub Actions》。 边界 - 正则匹配 YAML，不是真解析 —— 写法奇特（锚点、多文档）可能漏。 - 只覆盖 GitHub Actions；GitLab CI / Jenkins 不在范围内。 - pull_request_target 单独出现不一定危险，需要人工判断。 本插件是一个工具。使用者必须遵守所在地区法律法规，对使用本项目造成的任何后果自行承担责任。 License MIT © 深鲸 DeepWhale
预览分享卡片长什么样 ↓
分享 · DeepSeek Harness Hub
feely0208/dsh-ci-guard
扫描 GitHub Actions 配置，揪出可被利用的供应链风险
相关插件 · 市场 / 管理
插件精选列表awesome-dsh-plugin/awesome-dsh-plugin
DeepSeek Harness（dsh）插件精选列表
★ 22,399未汉化DSH
73.6
新词雷达zhuyansen/new-term-radar
new-term-radar新词雷达
★ 2,049已汉化MCP
72.8
插件生态导航0xsline/awesome-deepseek-harness
安装 贡献指南 DeepSeek Docs 公开插件目录 Issues
★ 1,188已汉化DSH
72.6
技能注册中心iflytek/skillhub
企业级开源智能体技能注册中心——发布、发现并管理组织内可复用的技能包。
★ 5,384已汉化DSH
71.9
插件市场目录imsai-sh/awesome-deepseek-harness-plugins
面向 DeepSeek Harnessdsh生态的社区插件目录，共收录 13950 个插件含 PR 收录与…
★ 360已汉化DSH
71.9
插件精选清单Anil-matcha/awesome-dsh-plugin
DeepSeek Harnessdsh精选指南——DeepSeek…
★ 1,013已汉化DSH
71.7
这个插件是你维护的吗？
作者本人可认领并核对本条目；认领通过后，详情页会显示「作者已认领」标记。