插件权限透视 lencedinn/dsh-plugin-permissions

dsh-plugin-permissions

你的每个 DSH 插件到底能碰到什么？

DSH 配置档就是一堆第三方代码，跑在你的用户权限下。这个插件读取每个已安装的包，把它变成一张权限卡片：对外访问的主机、它点名的本地敏感存储、它开放的 HTTP 路由、它启动的进程，以及它在运行时执行的安装。

纯静态、只读——从不导入或运行插件代码。

报告内容

| 类别 | 卡片显示什么 |
| 主机 | 代码里出现的每个外部域名，分组并计数 |
| 敏感读取 | 凭据存储、会话日志、浏览器 cookie 文件、SSH 密钥、API token |
| 路由 | webServer.register() 的路径，prefix 路由单独标出 |
| 执行 | 子进程、shell、PowerShell、Python 子进程 |
| 运行时安装 | 包记录里看不到的下载 |
| 安装脚本 | preinstall / postinstall / prepare 钩子 |

每条发现都带上它来自哪个文件、哪一行，所以卡片只是读代码的起点，不是判决书。发现描述的是能力，不是意图：一个跟 GitHub 通信的插件本身并不可疑。关键在于，「我的哪些插件能读我的 token」这个问题，现在几秒钟就能回答，而不是花一下午。

面板

左侧栏 → 插件透视 / Plugin Permissions。每个包一张卡片，已启用的排在前面：

┌───────────────────────────────────────────────────────────────┐
│ plugin-name 1.2.3 已启用 [高] │ │ 3 域名 · 1 路由 · 1 敏感读取 │ │ │ │ 域名 api.example.net cdn.example.net … │ │ 路由 prefix /api/plugin-name │ │ 发现 [敏感读取] index.js:42 读取了凭据文件 … │ └───────────────────────────────────────────────────────────────┘

- 顶部 —— 扫描了多少个包、多少个高风险，外加一个 Rescan 按钮。
- 筛选标签 —— 全部 / 高风险 / 有网络 / 有路由。
- 搜索 —— 匹配包名、主机、路由和发现文本。
- 展开 —— 前几条发现始终可见；展开后显示全部发现及其 file:line。
- 空包和干净的包会明说：没有主机、没有路由、没有发现。

工具

智能体通过一个工具看到同一份扫描结果，所以聊天里的回答和屏幕上的卡片永远一致：

plugin_permissions({ plugin: "some-plugin" })
plugin_permissions({ category: "sensitive" })

安装

dsh plugin --profile web add github:lencedinn/dsh-plugin-permissions

桌面应用请用 --profile desktop。新安装的包会在下次页面加载时被识别；如果面板图标没出现，刷新一次。

范围与限制

- 扫描配置档已安装的依赖。随 harness 一起发布的 @deepseek-ai/ 包会跳过；@local/ 包会包含，并标记为 local。
- 跳过 node_modules、dist、dev、test、docs，以及超过 1.5 MB 的文件。
- 基于正则、静态分析：只报告代码命名了什么，不报告运行时实际做了什么。压缩后的 bundle 或动态拼接的 URL 都可能藏住目标地址。
- 扫描路由拒绝跨域请求，因为扫描结果会暴露本地路径和源码片段。

配置

| 字段 | 默认值 | 含义 |
| profileDir | 自动检测 | 要扫描其 node_modules 的配置档。 |
| includeOurs | true | 是否包含 @local/* 包。 |
| exclude | [] | 要跳过的包名，精确匹配。 |

开发

node dev/smoke.mjs # fixture profile: scanner, risk verdict, route guards
node dev/scan.mjs [profile] # print the scan for a real profile

许可证

MIT