库检索 hy-sde/dsh-tool-library-search

[!NOTE]
📦 这个插件放在 dsh-plugins 单体仓库里 —— 提 issue 和 PR 请去那里。
npm：@hy-sde-org/dsh-tool-library-search

dsh-tool-library-search —— 给 DeepSeek Harness 用的「这东西是不是已经有人做过了？」

一个独立包，装成一行插件就能用，服务于 DeepSeek Harness 命令行：

| 包 | 作用 | 用户要装吗？ |
| @hy-sde-org/dsh-tool-library-search | 插件本体：面向模型的 library_search 工具 + library:search 提示词片段（hy-sde-libsearch-tool-library-search 行） | 要 |

为什么需要它

library_search 回答的是「是不是已经有人做过了？」—— 在模型动手写新库、或者重新造轮子之前就问清楚：一次调用把查询并发扇出到几个免费、免凭据的注册表源 —— deps.dev（跨生态的存在性）、npm + crates.io（描述与下载量）、pkg.go.dev（Go 模块描述）、GitHub 仓库搜索（语义层面的「有人做过了」信号）—— 再把命中结果合并，精确同名匹配排最前（只有并列时才看热度）。可选的语义重排（semantic: true，默认随包启用）会把查询和每个候选的 README 做嵌入，再按余弦相似度重排，这样就能捞到名字里不含查询词的库（「saphyr」就是 Rust 的 YAML 解析器）。

不需要 API key，不需要 fetch 服务商，不需要服务域：它像 harness 自带的工具行一样，挂成一行普通的智能体平面行，消费现成的 tools + systemPrompt 宿主服务。

能力面

- library_search [query] [ecosystems] [language] [maxResults] —— 传一句自然语言需求，或者一个精确包名（默认生态：npm | cargo | maven | go | pypi | rubygems | nuget | github 全部）。
- 每个候选都标出所属生态，并带上 GitHub star 数或月下载量作为适配度信号，同时列出报告它的来源（多来源一致本身就是一条置信度旁证）。
- library:search 提示词片段 —— 由同一个插件注册，不需要单独一行提示词 —— 教模型什么时候该用它。
- 描述在排序前截到 300 字符；README 抓取对每个候选都是尽力而为（注册表的 readme 字段，或者 raw.githubusercontent.com/…/README.md）。

前置条件

- Node.js 22.19 或更新（包的 engines 下限），PATH 里要有 npm 和 pnpm；
- 装好 DeepSeek Harness，包含标准 dsh 命令行 —— peer 基线是 @deepseek-ai/cordis ~4.0.4 和 @deepseek-ai/dsh-tools/@deepseek-ai/dsh-system-prompt ^0.2.0-rc.2；
- 不需要 API key —— 注册表源免费且匿名。可选的语义重排 peer @huggingface/transformers（>=3.7.1 <5）会一次性下载约 25 MB 模型权重；没有它，工具就用词法排序作答，并注明重排不可用。

安装

bash
pnpm install --global @deepseek-ai/dsh

直接从 npm 安装（已发布） bash
dsh plugin --profile web add @hy-sde-org/dsh-tool-library-search

从本仓库安装（发布前） bash
pnpm install # workspace setup
pnpm -r --filter './packages/' build
pnpm -r --filter './packages/' pack # defaults to prebuilt dist/ (prepack rebuilds)
dsh plugin --profile web add "$PWD/packages/tool-library-search/hy-sde-org-….tgz"

验证 bash
dsh web --dump-config # look for the hy-sde-libsearch-tool-library-search row

卸载 bash
dsh plugin --profile web remove @hy-sde-org/dsh-tool-library-search

挂载

这个包声明了一个 DSH bundle（dsh.bundle.patch → cordis.patch.yml），所以 dsh plugin 会插入一行（id 为 hy-sde-libsearch-tool-library-search —— 行前缀 hy-sde- 可以避免和任何同名的内置行冲突）。按部署覆盖时，用 id 打补丁改这一行即可，例如： yaml
- id: hy-sde-libsearch-tool-library-search
config:
githubToken: ghp_xxx # raises GitHub search quota 10/min -> 30/min
timeoutMs: 12000
maxResults: 20
perSourceLimit: 8 # >100 walks page= links (≤5 pages) with a token
semantic: false # disable the README-similarity rerank layer

semantic: true 会在本地对查询和 README 做嵌入（通过可选的 peer 依赖 @huggingface/transformers 使用 all-MiniLM-L6-v2，一次性下载约 25 MB，不需要 key）；没有这个 peer 依赖时，工具仍会用词法排序给出结果，并提示重排不可用，所以默认开启是安全的。

数据源（2026-09-06 实测可用）

| 数据源 | 说明 |
| deps.dev /_/search | 在 npm/cargo/maven/go/pypi/rubygems/nuget 中查名字是否存在，外加 GitHub 项目；Maven/PyPI 只能在这里查（别处没有可用的免费搜索）。这是未公开的 endpoint —— 尽力而为。 |
| npm registry.npmjs.org/-/v1/search | 最好的免费描述搜索 + 月下载量 |
| crates.io /api/v1/crates | Cargo 描述 + 下载量；要求 User-Agent 像库名（裸客户端会收到 403） |
| GitHub /search/repositories | 语义搜索的领头羊；未认证时每分钟 10 次搜索，带 token 每分钟 30 次；代码搜索不在范围内 |
| pkg.go.dev /search | Go 模块，带简介和「Imported by」；只有 HTML，用正则解析 SearchSnippet 卡片 —— 结构一变就会 0 命中（但调用不会失败；Go 的名字仍由 deps.dev 覆盖） |

实测后排除：libraries.io（401）、OpenLib（403）、PyPI search（有客户端验证）、Maven solrsearch（q=yaml 查不到 snakeyaml）、api.deps.dev/v3alpha（404）。完整的排序/重排细节见包内 README。

开发 bash
pnpm install
pnpm -r --filter './packages/' check # tsc --noEmit
pnpm -r --filter './packages/' test # vitest run (fixture-based HTTP seams)
pnpm -r --filter './packages/*' build # tsc -p tsconfig.build.json
pnpm run release:check # non-publishing release gate

在 pnpm test 里，渲染器代码永远不会访问真实网络——源码调用接受注入的 fetch 接缝，解析器测试使用固定页面。

许可证

MIT —— 见 LICENSE 和 packages/tool-library-search/LICENSE。

另见：packages/tool-library-search/README.md（完整包文档）、packages/tool-library-search/README.zh.md（中文说明）、仓库的 SECURITY.md、CONTRIBUTING.md 和 THIRD-PARTY-NOTICES.md。