安装前静态扫描插件，揪出外传凭据与混淆代码
30/100
综合分
0
GitHub 星标
—
npm 周下载
—/5
用户评分
数据截至 2026/10/20 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。
安装命令 · 需先装 dsh CLI 引擎
dsh plugin --profile web add snow-The/dsh-plugin-doctor该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）
状态速览
判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态信任档位：已验证
图例：✓ 通过! 需注意— 未判定 / 无数据· 「未判定」= 本站尚无数据，不代表插件有问题
档位由哪些信号合成
本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。 下方各区块是它的证据明细。
依赖的 DSH / Cordis 模块
@deepseek-ai/dsh给这个插件打分还没有人投票↓
用户评分
还没有人投票，来当第一个
DSH 插件的静态安装前审查：扫描目录或已安装包，排查外传数据、访问凭据、混淆、持久化和生命周期脚本等风险点（自研，替代第三方审查插件）。
README
由 DeepSeek 最新模型翻译生成dsh-plugin-doctor
给 DSH 插件做静态审查——自己写的替代品，用来换掉第三方审查插件。扫描插件目录（一份 checkout，或 ~/.dsh/profiles/*/node_modules 下已安装的包），找出危险信号，给出 SAFE / LOW / MEDIUM / HIGH 评分，并附上 file:line 证据。它从不执行被扫描的代码——纯只读静态分析。
检查的模式
- 外传：向非 localhost 主机发起 fetch/http(s) 请求，子进程里跑 curl/wget/nc，socket 连接
- 凭据访问：读取 .ssh、.aws、.env、凭据文件，整体收割 process.env
- 混淆：超长 base64/hex 数据块，eval/Function/vm，隐藏 Unicode（零宽字符 / 双向控制符）
- 持久化：注册表 Run 键、启动文件夹、计划任务、追加 shell-rc
- 破坏性操作：rm -rf / 式删除、强制推送
- 生命周期钩子：preinstall / install / postinstall 脚本（永远值得人工看一眼——它们以安装者的权限运行）
工具
- doctor_scan — 扫描一个路径（目录或单个文件），默认扫描当前配置档 node_modules 下的插件包
- doctor_scan_path — 别名，带显式 path 参数
许可证
MIT
预览分享卡片长什么样 ↓
分享 · DeepSeek Harness Hub
snow-The/dsh-plugin-doctor
安装前静态扫描插件，揪出外传凭据与混淆代码
相关插件 · 市场 / 管理
插件精选列表awesome-dsh-plugin/awesome-dsh-plugin
DeepSeek Harness（dsh）插件精选列表
★ 22,399未汉化DSH
73.6
新词雷达zhuyansen/new-term-radar
new-term-radar新词雷达
★ 2,049已汉化MCP
72.8
插件生态导航0xsline/awesome-deepseek-harness
安装 贡献指南 DeepSeek Docs 公开插件目录 Issues
★ 1,188已汉化DSH
72.6
技能注册中心iflytek/skillhub
企业级开源智能体技能注册中心——发布、发现并管理组织内可复用的技能包。
★ 5,384已汉化DSH
71.9
插件市场目录imsai-sh/awesome-deepseek-harness-plugins
面向 DeepSeek Harnessdsh生态的社区插件目录，共收录 13950 个插件含 PR 收录与…
★ 360已汉化DSH
71.9
插件精选清单Anil-matcha/awesome-dsh-plugin
DeepSeek Harnessdsh精选指南——DeepSeek…
★ 1,013已汉化DSH
71.7
这个插件是你维护的吗？
作者本人可认领并核对本条目；认领通过后，详情页会显示「作者已认领」标记。