🎁 福利专区全网大模型免费应用 + 新用户福利 + 注册活动入口，低成本玩转 AI
去看看
DeepSeek Harness Hub
MCP兼容手册

河洛研发平台 hrygo/heluo-forge

DeepSeek Harness
hrygo1 天前有提交已提供中文文档扫描：含敏感能力
在 GitHub 查看 ↗

河洛 Heluo Forge 企业级智能研发平台方案与扩展工程

33.5/100
综合分
5
GitHub 星标
—
npm 周下载
—/5
用户评分

数据截至 2026/11/3 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

自动兼容检查未通过：缺少 main/exports/bin 入口声明；engines.node 要求 >=24.0.0 <25，不满足 Node 22.19.0；仓库 package.json 标记 private，未发布到 npm，需从源码安装。以下命令仍可尝试，但可能失败。
安装命令 · 需先装 dsh CLI 引擎
dsh plugin --profile web add hrygo/heluo-forge
该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态
信任档位：已验证
是什么
dsh 原生插件 · other
装得上吗
本站已在 dsh 0.2.1-rc.2 下真实安装成功
非静态推断
L4 · 真实安装等级说明 →
安全吗
本站尚未对该插件做风险分级
暂未覆盖，不等同于无风险
还在维护吗
活跃：最近一次提交在 1 天前
档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。 下方各区块是它的证据明细。

验证判据与等级说明 →
社区实装还没有人打卡 · 装过的第一个就是你
安装兼容性检查需源码安装

缺少 main/exports/bin 入口声明；engines.node 要求 >=24.0.0 <25，不满足 Node 22.19.0；仓库 package.json 标记 private，未发布到 npm，需从源码安装

展开查看检查明细 ↓

以下结论由程序自动检查 npm 包、engines 声明与入口文件得出，未做人工实机验证——能装不等于用着没问题。

✗npm 包heluo-forge（未发布到 npm，仅可源码安装）
✗Node 引擎要求 >=24.0.0 <25 · 基线 Node 22.19 不满足
✓dsh CLI 依赖未声明 dsh 版本约束
✗入口文件缺少入口声明

源码安装时若 pnpm 拦截 prepare 脚本，按其提示在 pnpm-workspace.yaml 的 allowBuilds 中放行后重跑。

验证方式：npm registry 存在性 + package.json 静态校验 · 最后检查 2026/10/29 08:43:20

安全扫描自动 · 静态分析源码
v2.7.0
🔵 扫描：含敏感能力尚无人工评估
展开查看扫描说明与证据 ↓

静态扫描发现插件具备触达本地系统的能力：执行外部命令、读写/删除本地文件、读取剪贴板或密钥类环境变量（至少其一）。这是能力清单，不是危险判定——具体能力项与证据见下方，安装前请自行判断是否需要。

可执行外部命令读写/删除本地文件读取剪贴板或密钥环境变量发起外部网络请求
查看扫描证据（共 36 处，展示前 35 条）
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:100
    await mkdir(dirname(path), { recursive: true, mode: 0o700 });
  • 读取本地文件
    packages/forge-credentials-keychain/src/backend.mjs:124
    const current = await readFile(lockPath, 'utf8').catch(() => null);
  • 删除本地文件
    packages/forge-credentials-keychain/src/backend.mjs:125
    if (current === token) await unlink(lockPath).catch(() => {});
  • 读取本地文件
    packages/forge-credentials-keychain/src/backend.mjs:143
    const raw = await readFile(path, 'utf8');
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:144
    await chmod(path, mode).catch(() => {});
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:164
    await mkdir(dirname(path), { recursive: true, mode: 0o700 });
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:167
    await writeFile(temporary, payload, { mode });
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:168
    await chmod(temporary, mode);
  • 写入本地文件
    packages/forge-credentials-keychain/src/backend.mjs:169
    await rename(temporary, path);
  • 执行外部命令来自配置/变量
    packages/forge-credentials-keychain/src/security-cli.mjs:26
    const result = spawnSync(securityPath, args, {
  • 读取本地文件
    packages/forge-enterprise/src/skills.mjs:24
    return readFileSync(path, 'utf8');
  • 发起网络请求
    packages/forge-iam/client.js:28
    const response = await fetch('/api/forge-iam/view');
  • 发起网络请求
    packages/forge-iam/client.js:35
    const response = await fetch(path, { method: 'POST', headers: REQUEST_HEADERS, body: '{}' });
  • 发起网络请求
    packages/forge-iam/client.js:40
    const response = await fetch(path, { method: 'PUT', headers: REQUEST_HEADERS, body: JSON.stringify(payload) });
  • 发起网络请求
    packages/forge-iam/client.js:45
    const response = await fetch(path, { method: 'DELETE', headers: REQUEST_HEADERS });
  • 发起网络请求
    packages/forge-market/client.js:13
    fetch('/api/forge-market/catalog')
  • 读取本地文件
    packages/forge-market/src/cache.mjs:9
    const parsed = JSON.parse(await readFile(path, 'utf8'));
  • 写入本地文件
    packages/forge-market/src/cache.mjs:23
    await mkdir(dirname(path), { recursive: true });
  • 写入本地文件
    packages/forge-market/src/cache.mjs:24
    await writeFile(path, JSON.stringify({ savedAt: now, entries }, null, 2));
  • 读取密钥环境变量
    packages/forge-market/src/index.mjs:25
    token: process.env.HELUO_MARKET_TOKEN ?? '',
  • 读取本地文件
    packages/forge-market/src/local-catalog.mjs:7
    const parsed = JSON.parse(await readFile(path, 'utf8'));
  • 读取本地文件
    packages/forge-market/src/market-tools.mjs:255
    const manifest = JSON.parse(await readFile(`${packageDirFor(options.targetDir, name)}/package.json`, 'utf8'));
  • 读取本地文件
    packages/forge-market/src/market-tools.mjs:291
    found = JSON.parse(await readFile(`${packageDirFor(options.targetDir, name)}/package.json`, 'utf8')).version;
  • 写入本地文件
    packages/forge-market/src/persist.mjs:20
    await mkdir(dirname(destination), { recursive: true });
  • 写入本地文件
    packages/forge-market/src/persist.mjs:21
    await writeFile(destination, file.bytes);
  • 发起网络请求
    packages/forge-policy/src/gate.mjs:110
    outcome = await approval.request({ agent: exec.agent, toolName: exec.name, callId: exec.callId, reason: decision.reason, signal: exec.signal });
  • 读取本地文件
    packages/forge-sdd/src/freeze.mjs:13
    return readFileSync(path, encoding);
  • 写入本地文件
    packages/forge-sdd/src/freeze.mjs:47
    mkdirSync(dirname(freezePath), { recursive: true });
  • 写入本地文件
    packages/forge-sdd/src/freeze.mjs:63
    writeFileSync(lockFd, `${process.pid}\n`);
  • 写入本地文件
    packages/forge-sdd/src/freeze.mjs:99
    writeFileSync(temporary, `${JSON.stringify(manifest, null, 2)}\n`);
  • 写入本地文件
    packages/forge-sdd/src/freeze.mjs:100
    renameSync(temporary, freezePath);
  • 删除本地文件
    packages/forge-sdd/src/freeze.mjs:103
    rmSync(temporary, { force: true });
  • 删除本地文件
    packages/forge-sdd/src/freeze.mjs:105
    rmSync(lockPath, { force: true });
  • 发起网络请求
    services/market-index/validate-index.mjs:30
    response = await fetch(source, {
  • 读取本地文件
    services/market-index/validate-index.mjs:44
    const bytes = await readFile(source);
扫描于 2026/11/3（0 天前） · 范围 全包扫描 · 来源 GitHub 仓库

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

给这个插件打分还没有人投票↓
用户评分
还没有人投票，来当第一个
广告精选好物
飞利浦 TAH6519 主动降噪耳机 ¥299
头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。
  • ·anc 主动降噪 · 头戴式无线
  • ·价格与库存以商品页实时为准
去淘宝看看→

README

由 DeepSeek 最新模型翻译生成
河洛 · Heluo Forge 企业级智能研发平台 · ENTERPRISE AI PLATFORM 基于 DeepSeek Harness（DSH）的企业方案与扩展工程 · 官方视觉系统：河洛苍螭 (Cyber Long) 河洛企业级智能研发平台（Heluo Forge）基于 DeepSeek Harness（DSH），通过插件、配置组合、企业现有命令行与技能包，连接企业身份、模型网关和研发系统；Model Context Protocol（MCP，模型上下文协议）按集成需要另行评估。 当前处于方案评审与开发骨架阶段，尚无完整河洛产品发行版。 企业插件市场改用 DSH 原生「索引源」：AI 开发者平台（AIHUB）维护并托管 format-1 索引，原生市场负责浏览，官方 manager 从企业 npm 安装；services/market-index 只保留只读索引校验器。
展开完整文档（README 剩余 1 节）
河洛 · Heluo Forge

企业级智能研发平台 · ENTERPRISE AI PLATFORM

基于 DeepSeek Harness（DSH）的企业方案与扩展工程 · 官方视觉系统：河洛苍螭 (Cyber Long)

河洛企业级智能研发平台（Heluo Forge）基于 DeepSeek Harness（DSH），通过插件、配置组合、企业现有命令行与技能包，连接企业身份、模型网关和研发系统；Model Context Protocol（MCP，模型上下文协议）按集成需要另行评估。

当前处于方案评审与开发骨架阶段，尚无完整河洛产品发行版。 企业插件市场改用 DSH 原生「索引源」：AI 开发者平台（AIHUB）维护并托管 format-1 索引，原生市场负责浏览，官方 manager 从企业 npm 安装；services/market-index 只保留只读索引校验器。@heluo/forge-market 与旧 HTTP 服务为历史参考，不属目标；@heluo/forge-iam 与 @heluo/forge-credentials-keychain 为开发骨架（本地 mock OIDC 端到端测试与 keychain fallback 已建立，真实 IAM 与 OS keychain 未联调），品牌视觉套件已全面切换并锁定为「河洛苍螭」（方案 B），各扩展包与 DevOps MCP 的成熟度、已实测项与未验项以实现与验证入口为准，不在此处计数。企业联调、三目标安装与发行版尚未完成。

现状核对日期：2026-10-23。以下区分仓库实现、历史实机记录与待验证目标，不以目录或设计草案证明上线能力。

| 项 | 内容 |
| 工程标识 | heluo-forge |
| 文档编号前缀 | CORP-DSH-，保留历史编号；DSH 指上游运行时 |
| 仓库边界 | 企业方案与扩展工程仓库，不包含或分发 DSH 本体 |
| 使用与分发 | 公开（public）仓库；根工程 private: true 禁止 npm 发布，UNLICENSED 表示未授予开源许可 |

1. 项目解决什么问题

项目目标是在企业现有系统上提供统一身份、模型访问与额度治理、受控研发工具、研发流程及内部能力分发。企业能力优先通过 DSH 扩展体系承载，客户端控制与服务端授权各负其责。

一期面向 Windows 桌面端和银河麒麟 aarch64 本机 Web，每人独立实例。完整范围、非目标与核心补丁例外以需求基线 §2为准；系统责任与技术取舍见总体架构。这些是方案基线，企业接口、双端隔离与部署效果仍须验证。

DevOps 与 Gitee 的当前接入基线是复用现有命令行，通过只读命令白名单接入；双端产物、凭据注入、结构化输出和权限仍待提供方核验。命令行不满足前提时，先关闭相关能力并提交替代形态评审；MCP 服务与核心补丁不自动恢复为实施项。

2. 从哪里开始

按任务选择入口；各文档的版本、状态、责任团队与门禁统一查文档清单。

| 你要做什么 | 从这里开始 |
| 理解需求、一期边界与成功指标 | 需求与场景基线 |
| 评审架构、信任边界与技术取舍 | 总体架构设计 |
| 评估排期、依赖、门禁与验收 | 推广实施方案 |
| 查找契约、团队交付物或待确认问题 | 文档总览 |
| 查阅品牌标识、矢量切图与视觉规范 | 品牌资产全景系统 → 生图提示词与规范 |
| 开始模块设计或开发 | 逐模块设计索引 → 工程开发与发布约定 |
| 了解市场目标、索引契约与 AIHUB 交付 | 轻量市场设计 → 索引契约 → issue #12 |
| 修改仓库、提交变更或发起评审 | 贡献指南；智能体同时遵循 AGENTS.md |
| 报告安全问题或疑似泄露 | 安全策略 |

市场方案见轻量市场设计、索引契约和ADR-11/13：AIHUB 维护并托管 format-1 索引，用户添加只读 URL，原生市场负责浏览，官方 manager 安装精确版本；不建生成器、市场服务、写前授权或 CI 发布链路。旧 @heluo/forge-market 与 market-index HTTP 服务仅作历史参考。企业审核/批准、AIHUB 索引与三目标安装仍待完成。

3. 本地检查

先安装或切换到仓库声明的工具链：Node.js 精确版本见 .node-version，pnpm 版本见 package.json 的 packageManager；不要直接拿本机默认版本顶替项目约束。

在仓库根目录执行：

node --version
pnpm --version
pnpm check

当前检查器、包与索引校验器只用 Node 标准库，跑检查无需安装依赖；历史市场包的客户端面板由 DSH 提供 React。需要安装工作区依赖时用 pnpm install --frozen-lockfile，安装过程可能访问包源。pnpm check 本身离线运行，测试只启动本机临时 HTTP 服务（归档安装用例），不访问企业系统。

| 命令 | 验证范围 |
| pnpm check | 依次执行文档检查、仓库检查与 Node 自动发现的全部测试 |
| pnpm check:docs | 文档元数据、登记一致性、本地链接与锚点、表格及询问问题序列 |
| pnpm check:repo | 工程结构、工作区、模块状态、工作流权限、敏感信息与包体闭包（清单/入口/依赖/补丁层/locale） |
| pnpm check:tarballs | 每个包的 npm pack --dry-run 实际内容与模式位对照声明（#37 AC4） |
| pnpm test:unit | 当前实际执行 node --test，包含检查器、IAM 与 keychain 骨架、历史市场包契约、索引校验与归档安装用例 |
| node --test packages/forge-iam/test packages/forge-credentials-keychain/test | 单独验证 IAM 与凭据 keychain 骨架 |
| node --test packages/forge-market/test/.test.mjs | 单独验证市场插件的逻辑、契约及本地安装链路 |
| node --test services/market-index/test/*.test.mjs | 单独验证索引校验器 |
| node scripts/sensitive-scan/verify.mjs --base <rev> --head <rev> | 用基线团队公钥验证敏感扫描 attestation；Git 仓库内容仍正常推送，私钥、真实规则和扫描结果不上远端 |

CI 工作流通过 node --run check 执行相同定义，以只读权限运行，外部动作固定到提交 SHA。本地检查通过只证明对应规则和离线用例通过；远端 CI、分支保护、企业联调与 Windows / 麒麟实机效果需分别取证。 本地敏感扫描的共享 Git common dir 安装、团队单公钥与 pull_request_target 的窄例外见敏感扫描说明；合入和远端 required 配置须分别完成，签名不能防止恶意持钥人。

4. 仓库如何组织

| 路径 | 维护内容 | 当前边界 |
| docs/ | 需求、架构、计划、契约、设计、运维、协作与工程文档 | 导航见文档总览，登记见文档清单 |
| docs/assets/branding/ | 河洛苍螭视觉套件：主标、11 组件标识、全尺寸切图、manifest 清单与交互全景控制台 | 方案 B 正式归档；各包内置图标与 manifest.json 保持校验一致 |
| packages/ | 安装进 DSH 的九个产品扩展入口与一个凭据支撑包 | forge-market 为历史参考；其余各包的成熟度以实现与验证入口（设计索引 §2.2）为准，不在此处逐一计数 |
| services/ | 索引校验工具、条件建设的 DevOps MCP | market-index 只保留只读校验器；无服务、无生产部署；DevOps MCP 暂不建设 |
| deploy/ | 私有制品仓库接入与双端分发资产 | 仅规划说明，没有可执行部署配置或制品 |
| scripts/、tests/ | 工程检查器、检查器测试与历史归档安装用例 | 已建立离线检查与本地 HTTP 归档安装用例 |
| .github/ | Issue/PR 模板与检查工作流 | 仓库文件不证明服务端保护或审批已启用 |

市场采用轻量原生索引模式。ADR-11/13已确认企业私有 npm 为唯一制品源；AIHUB 维护并托管 format-1 索引，用户通过 DSH 原生「索引源」添加只读 URL，官方 manager 按精确版本安装。本项目不生成索引、不写前授权、不承诺全通道覆盖；索引 URL、JSON、Artifactory 终端认证与三目标安装仍待 AIHUB 与实机取证（issue #12、P0 取证单）。旧插件与 HTTP 服务仅作历史参考，不属目标链路。

当前市场能力与验证边界：

| 对象 | 现状 | 缺口 |
| DSH 原生市场 | 0.2.1-rc.2 支持索引源添加与浏览 | AIHUB URL、三目标安装未验 |
| AIHUB 索引 | issue #12 已建，内容未交付 | format-1、更新/撤回 SLA |
| 企业 Artifactory | 唯一制品源、同版不可变已确认 | 终端 .npmrc 与内网 HTTP 拉包未验 |
| 历史参考 | packages/forge-market、旧 HTTP 服务 | 不属目标，仅追溯 |

索引契约与只读校验器见services/market-index；目标是“能加、能看、能装、能撤”，不以本地测试替代三目标实机。

5. 如何参与

按贡献指南准备变更。文档内容在对应职责文件维护，README 保留概览和入口；新增、升版、改名或废止文档时按文档治理规则同步登记与引用。智能体的任务路由、授权和交付要求见 AGENTS.md。

支持与报告范围以安全策略及运维索引为准；尚未指定的联系人、支持时限与发布责任方保持待确认。
广告精选好物
Type-c 采集卡 ¥50
佳能尼康索尼相机直连电脑，视频开发与直播向。
  • ·相机转电脑采集
  • ·价格与库存以商品页实时为准
去淘宝看看→
预览分享卡片长什么样 ↓hrygo/heluo-forge
分享 · DeepSeek Harness Hub
hrygo/heluo-forge

河洛 Heluo Forge 企业级智能研发平台方案与扩展工程

相关插件 · 其他

模型破甲清洗YuJunZhiXue/dsh-purge
⚔️ DeepSeek Harness 网络安全红队工具dsh-purge
★ 16,148已汉化DeepSeek 客户端
73
女娲蒸馏alchaincyf/nuwa-skill
输入名人名字，提炼其思维模型与决策方式供你调用
★ 37,308已汉化DSH
72
逆向分析桥接Fanqi89/dsh-rea
REA（Reverse Engineer Anything）MCP 桥接，用来把 REA 逆向工具接入 DSH 插件
★ 51已汉化DSH
72
语音女友beiyege-01/dsh-voice-ai-girlfriend
语音 AI 女友Voice AI girlfriend for DeepSeek Harness：Whisper…
★ 888已汉化DSH
71.6
红队越狱测试套件Minglink/dsh-infinite-gen-5
DeepSeek v4.1 flash 逆向工具无限五代 求 Star 收藏 ⭐欢迎大家提交项目的改进
★ 3,759已汉化DSH
71.4
协同办公空间dream-num/univer-workspace
一个让人类与 AI Agent 共同创作、协作和审阅的开源 Office 工作空间。
★ 2,266已汉化DSH
70.7

这是你的仓库？认领条目

回到顶部