🎁 福利专区全网大模型免费应用 + 新用户福利 + 注册活动入口，低成本玩转 AI
去看看
DeepSeek Harness Hub
MCP兼容手册

插件市场 ouyangyipeng/dsh-marketplace

DeepSeek Harnessv0.1.3
ouyangyipeng53 天前有提交已提供中文文档扫描：含敏感能力
在 GitHub 查看 ↗

DeepSeek Harness 的安全实时插件市场

30.9/100
综合分
2
GitHub 星标
371
npm 周下载
—/5
用户评分

数据截至 2026/9/18 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

安装命令 · 需先装 dsh CLI 引擎
dsh plugin --profile web add dsh-marketplace
npm 源 · dsh-marketplace 的发布者账号已校验与本仓库一致

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态
信任档位：已验证
是什么
dsh 原生插件 · market
装得上吗
本站已在 dsh 0.2.1-rc.2 下真实安装成功
非静态推断
L4 · 真实安装等级说明 →
安全吗
本站尚未对该插件做风险分级
暂未覆盖，不等同于无风险
还在维护吗
更新放缓：最近一次提交在 53 天前
档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。 下方各区块是它的证据明细。

验证判据与等级说明 →
社区实装还没有人打卡 · 装过的第一个就是你
安装兼容性检查✓ 自动检查通过
展开查看检查明细 ↓

以下结论由程序自动检查 npm 包、engines 声明与入口文件得出，未做人工实机验证——能装不等于用着没问题。

✓npm 包dsh-marketplace @ 0.1.3
✓Node 引擎要求 ^22.19.0 || >=24.0.0 · 基线 Node 22.19 满足
✓dsh CLI 依赖未声明 dsh 版本约束
✓入口文件main/exports/bin 已声明

验证方式：npm registry 存在性 + package.json 静态校验 · 最后检查 2026/10/12 06:04:13

安全扫描自动 · 静态分析源码
v2.7.0
🔵 扫描：含敏感能力尚无人工评估
展开查看扫描说明与证据 ↓

静态扫描发现插件具备触达本地系统的能力：执行外部命令、读写/删除本地文件、读取剪贴板或密钥类环境变量（至少其一）。这是能力清单，不是危险判定——具体能力项与证据见下方，安装前请自行判断是否需要。

可执行外部命令读写/删除本地文件读取剪贴板或密钥环境变量发起外部网络请求
查看扫描证据（共 6 处，展示前 6 条）
  • 读取本地文件
    lib/index.js:53
    return JSON.parse(readFileSync(path, 'utf8'))
  • 发起网络请求
    lib/index.js:64
    const response = await fetch(url, { signal: controller.signal })
  • 读取密钥环境变量
    lib/index.js:125
    const token = process.env.GITHUB_TOKEN
  • 发起网络请求
    lib/index.js:133
    const response = await fetch(`${GITHUB_API}${repo}`, { signal: controller.signal, headers })
  • 写入本地文件
    lib/index.js:313
    writeFileSync(path, `${JSON.stringify(manifest, null, 2)}\n`)
  • 执行外部命令来自配置/变量
    lib/index.js:348
    const run = (command) => spawnSync(command, args, {
扫描于 2026/11/4（0 天前） · 范围 入口闭包 + 全包扫描 · 来源 npm 发布包

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

依赖的 DSH / Cordis 模块
@deepseek-ai/cordis@deepseek-ai/dsh-client-runtime@deepseek-ai/dsh-client-ui-settings@deepseek-ai/dsh-client-ui-slots@deepseek-ai/dsh-host-webserver@deepseek-ai/schemastery
给这个插件打分还没有人投票↓
用户评分
还没有人投票，来当第一个
广告精选好物
飞利浦 TAH6519 主动降噪耳机 ¥299
头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。
  • ·anc 主动降噪 · 头戴式无线
  • ·价格与库存以商品页实时为准
去淘宝看看→

功能亮点

  • 安全实时插件市场

最近更新

在 GitHub 查看全部 →
v0.1.12026-08-14
首个 Desktop bundle-ready 版本：跟随 DSH 亮暗主题、宿主内置状态保护、中文默认文档、真实运行截图与独立 Marketplace 产品站。
数据来自仓库的 GitHub Release，可能与插件实际版本不一致。

README

由 DeepSeek 最新模型翻译生成
简体中文 · English 官网 ·安装 ·安全 ·架构 · Desktop ·开发 dsh-marketplace 本身就是一个 DeepSeek Harness bundle。它把 GitHub topic:dsh-plugin 的实时社区仓库放进 设置 → 插件 → Marketplace，让插件发现、搜索、检查、安装、更新和卸载留在同一个 Harness 界面里。 [!IMPORTANT] Marketplace 能检查包格式和收紧安装过程，不能证明第三方插件可信。插件重启后会在 DSH 进程内运行；启用前仍应阅读源码。 安装 DS-Harness Desktop DS-Harness Desktop 从 desktop-v0.2.0 起离线内置固定版本的 Marketplace。打开应用后进入 设置 → 插件 → Marketplace，不需要先安装本插件。 内置版本显示“Desktop 内置”，不能在 Marketplace 里更新或卸载自己；它随经过验证的 Desktop release 更新。其他插件仍安装进 Desktop 隔离的 web profile。
展开完整文档（README 剩余 1 节）
简体中文 · English

官网 ·安装 ·安全 ·架构 · Desktop ·开发

dsh-marketplace 本身就是一个 DeepSeek Harness bundle。它把 GitHub topic:dsh-plugin 的实时社区仓库放进 设置 → 插件 → Marketplace，让插件发现、搜索、检查、安装、更新和卸载留在同一个 Harness 界面里。

[!IMPORTANT]
Marketplace 能检查包格式和收紧安装过程，不能证明第三方插件可信。插件重启后会在 DSH 进程内运行；启用前仍应阅读源码。

安装

DS-Harness Desktop

DS-Harness Desktop 从 desktop-v0.2.0 起离线内置固定版本的 Marketplace。打开应用后进入 设置 → 插件 → Marketplace，不需要先安装本插件。

内置版本显示“Desktop 内置”，不能在 Marketplace 里更新或卸载自己；它随经过验证的 Desktop release 更新。其他插件仍安装进 Desktop 隔离的 web profile。

标准 DSH Web profile

需要当前 DeepSeek Harness、Node.js ^22.19.0 || >=24.0.0 和位于 PATH 中的 pnpm：

dsh plugin --profile web add "github:ouyangyipeng/dsh-marketplace#v0.1.1"

重启 dsh web，然后打开 设置 → 插件 → Marketplace。

更新或卸载独立安装的 Marketplace 使用 DSH 原生命令：

dsh plugin --profile web update dsh-marketplace
dsh plugin --profile web remove dsh-marketplace

一条插件从发现到激活

flowchart LR
Topic["GitHub topic:dsh-plugin"] --> Cache["Catalog cache + ETag"]
Cache --> UI["Marketplace Client"]
UI --> Stage["pnpm add --ignore-scripts"]
Stage --> Inspect["Manifest + exports + path checks"]
Inspect --> Profile["Atomic profile edit"]
Profile --> Restart["Restart DSH"]

1. Host 最多读取 GitHub Search 的 10 页、每页 100 个公开仓库。
2. Client 在本地按名称、作者、简介和 topic 搜索，并按更新时间、Stars 或名称排序。
3. 点击安装时，候选包先进入独立临时项目；这一步不修改用户 profile。
4. 包通过预构建入口、bundle patch 和路径检查后，才正式写入 profile dependency。
5. dsh.profile.bundles 使用原子文件替换；安装失败时不激活，卸载失败时恢复旧 manifest。
6. 生命周期变化在重启 DSH 后生效。

安全边界

| Marketplace 会做 | Marketplace 不会承诺 |
| 用严格的 owner/repository 语法解析仓库 | 审核插件业务逻辑或作者身份 |
| 始终以 pnpm add --ignore-scripts 暂存和安装 | 把安装后的插件放进运行时沙箱 |
| 要求安全包名、预构建 Host 与标准 dsh.bundle.patch | 证明仓库没有恶意代码 |
| 声明 Web Client 时要求预构建 ./client export | 读取私有仓库或保存 GitHub token |
| 检查 patch/entry 的真实路径仍位于包目录内 | 让源码包或依赖构建脚本的仓库自动兼容 |
| 逐项传递子进程参数，不拼接 shell command | 绕过 DSH 的重启激活语义 |
| 只允许同源 loopback + 进程 nonce 调用写接口 | 把 Marketplace 变成远程管理 API |
| 把 GitHub 数据作为 React 文本渲染，不插入 HTML | 加载远端头像或仓库 HTML |

只有 TypeScript 源码、依赖 prepare/postinstall、实际是独立应用或没有标准 DSH bundle 声明的仓库仍会出现在目录中，但安装会明确失败。Marketplace 不会退回执行它们的脚本。

原生 DSH 结构

本包有两个 DSH face：

flowchart LR
Patch["cordis.patch.yml"] --> Host["Host face"]
Host --> API["/dsh-marketplace/v1"]text
Manifest["package.json#dsh.client"] --> Client["Client face"]
API --> Client
Client --> Slot["settings.plugins.tab"]
Host --> Profile["$DSH_HOME/profiles/web"]

- cordis.patch.yml 挂载 Host。
- package.json#dsh.bundle.patch 声明可安装的 profile bundle。
- package.json#dsh.client 声明 Web Client 和注入的 DSH 服务。
- Host 只注册一个 effect-scoped 路由前缀；Client 只注册一个设置页 Tab。
- Host 不根据进程名或路径猜测宿主。Desktop 等发行版通过 bundledRepositories 明确声明自己的固定内容。

HTTP API

所有响应均为 JSON，并带 Cache-Control: no-store。

| Method | Path | 用途 |
| GET | /dsh-marketplace/v1/bootstrap | nonce、写权限、profile inventory 与 host-bundled repositories |
| GET | /dsh-marketplace/v1/catalog | 缓存目录；?refresh=1 强制重验证 |
| POST | /dsh-marketplace/v1/install | 暂存、验证、安装/更新并激活仓库 |
| POST | /dsh-marketplace/v1/remove | 按 package + repository 停用并移除插件 |

写接口要求 TCP 对端、Host 和可选 Origin 均为 loopback，同时提交同源 bootstrap 返回的进程 nonce。LAN 客户端、远端 Origin、错误 nonce、非 JSON 内容、超过 16 KiB 的 body 和 host-bundled repository mutation 都会被拒绝；bundled conflict 返回 HTTP 409。

配置

独立安装使用以下保守默认值： yaml
- insert:
- id: dsh-marketplace
name: dsh-marketplace
config:
profile: web
cacheTtlMs: 600000

可选配置：

- home：覆盖 DSH Home；空值依次使用 DSH_HOME 和 ~/.dsh。
- bundledRepositories：宿主拥有的不可变 owner/repository 列表；默认 []。坐标在加载时规范化，非法值和大小写归一后的重复值会让插件启动失败。

目录与限流

- GitHub Search 对一个查询最多返回 1,000 条结果。
- 未登录 Search API 限流较低；Marketplace 不收集或持久化 GitHub token。
- Host 使用十分钟缓存、ETag 重验证、可见的 rate-limit 状态和 stale-on-error 回退。
- 兼容性只在用户点击安装或更新时验证，避免提前 clone 1,000 个未知仓库。
- GitHub 不可用不会阻止 Harness 或 Desktop 启动。

开发与验证 sh
git clone https://github.com/ouyangyipeng/dsh-marketplace.git
cd dsh-marketplace
pnpm install

pnpm test
pnpm run typecheck
pnpm run build
pnpm site:check
pnpm pack --dry-run

把本地 checkout 接入 DSH： sh
dsh plugin --profile web add "link:$(pwd)"
dsh web

测试覆盖目录分页与缓存、仓库坐标、manifest/entry/patch 验证、真实路径和符号链接逃逸、禁脚本子进程参数、profile 原子更新与回滚、Host HTTP policy、bundled mutation、远端文本渲染、Client 搜索和产品站静态约束。

License

MIT。DeepSeek Harness、DeepSeek 名称与社区插件保留各自的许可证和商标。本项目是社区维护的非官方插件。
广告精选好物
Type-c 采集卡 ¥50
佳能尼康索尼相机直连电脑，视频开发与直播向。
  • ·相机转电脑采集
  • ·价格与库存以商品页实时为准
去淘宝看看→
预览分享卡片长什么样 ↓ouyangyipeng/dsh-marketplace
分享 · DeepSeek Harness Hub
ouyangyipeng/dsh-marketplace

DeepSeek Harness 的安全实时插件市场

相关插件 · 市场 / 管理

插件精选列表awesome-dsh-plugin/awesome-dsh-plugin
DeepSeek Harness（dsh）插件精选列表
★ 22,225未汉化DSH
73.6
新词雷达zhuyansen/new-term-radar
new-term-radar新词雷达
★ 2,049已汉化MCP
72.8
插件生态导航0xsline/awesome-deepseek-harness
安装 贡献指南 DeepSeek Docs 公开插件目录 Issues
★ 1,188已汉化DSH
72.6
技能注册中心iflytek/skillhub
企业级开源智能体技能注册中心——发布、发现并管理组织内可复用的技能包。
★ 5,370已汉化DSH
71.9
插件市场目录imsai-sh/awesome-deepseek-harness-plugins
面向 DeepSeek Harnessdsh生态的社区插件目录，共收录 13941 个插件含 PR 收录与…
★ 355已汉化DSH
71.8
插件精选清单Anil-matcha/awesome-dsh-plugin
DeepSeek Harnessdsh精选指南——DeepSeek…
★ 1,013已汉化DSH
71.7

这是你的仓库？认领条目

回到顶部