插件能力透视 unStone/dsh-xray

dsh-xray — DeepSeek Harness 插件能力卡片

一个 dsh 插件声明了什么,它的代码实际在做什么——每条结论都附代码行号。

English · 简体中文

🔍 插件注册表 · 📊 生态报告 · 📈 能力等级图解 · 📖 插件机制说明

90% 的插件带强能力面 · 80% 能给 dsh 运行时本体打补丁 · 10,645 个插件已扫描,每日刷新

为什么做这个

dsh-plugin 生态在一个多月内从 200 个仓库涨到 10,900 以上。插件是跑在你 Agent 运行时里的任意代码:它可以改写你的系统提示词(system-prompt/assemble)、拦截每一次 API 调用(api/gate)、起子进程、读取环境变量里的 GITHUB_TOKEN,甚至给运行时本体打补丁(manifest.bundle.patch)。而今天,安装之前没有任何东西会告诉你这些。

dsh-xray 静态扫描生态里的每一个插件,为每个插件发布一张能力卡片:

| 维度 | 举例 |
| 声明面 | manifest、注入的服务、注册的工具、监听的钩子 |
| 强能力 | 注入 systemPrompt / apiProxy / subprocess、tools/pre-execute 闸门、运行时补丁 |
| 敏感行为 | 发布代码中的 exec / eval / base64 解码、安装期脚本、外联域名、凭证类环境变量读取 |
| 透明度缺口 | 代码里用到了、manifest 里却没有的能力 |

每条标志都附 file:line 证据。等级 C0–C3 衡量的是能力面大小与透明度,不是恶意判定。C3 插件完全可能是正当的——只是它碰你的 Agent 之前,你应当知情。

特性

- 全生态覆盖 —— dsh-plugin 标签下的每一个仓库(10,915),每日重扫。
- 能力卡片 —— 注入的服务、挂载的钩子、运行时补丁、外联域名、凭证类环境变量、安装期脚本,每项附 file:line 证据。
- C0–C3 等级 —— 一眼看出能力面多大,以及强能力是否与敏感行为并存。
- 区分发布代码与不发布的代码 —— 风险标志只在真正进入运行时的代码上触发:tests/ 里的夹具不会虚增评级,被 files 白名单挡在包外的构建脚本同样不会。两者都仍作为不计分证据留在卡片上。
- 确定性 manifest 选取 —— monorepo 中取插件自身的根 manifest,同一仓库两次扫描结果一致。
- 纯静态分析 —— 不执行任何代码,下载的压缩包是流式读取的,从不运行。
- 可嵌入徽章 —— 插件作者可以公开自己的能力卡片。
- 三语站点 —— 英文、简体中文、日本語,外加每个插件一个可被搜索引擎抓取的页面。

能力等级

能力等级

C0 无显著能力面 · C1 常规(注册工具/服务、外联域名) · C2 强能力:提示词面、API 拦截、子进程、exec、凭证读取或安装脚本 · C3 强能力与敏感行为并存。

等级衡量的是能力面大小与透明度,不是恶意判定。C3 插件完全可能是正当的——桌面外壳确实需要子进程。图解在这里。

在 dsh 内部直接用

dsh-xray-plugin 把查询送到你决定要不要装它的那一刻:

dsh plugin add https://github.com/unStone/dsh-xray-plugin/releases/download/v0.1.0/dsh-xray-plugin-0.1.0.tgz

tt-a1i/archify 装了安全吗?

审计一下我装的这些插件。

徽章

插件作者:把你的能力卡片亮出来。

自己跑

扫描器需要 Python 3.12+ 和 Node 24.17+（24.x）。在仓库根目录运行 fnm use，再执行 npm ci --prefix scanner --ignore-scripts。Node 依赖只用于扫描阶段，网站仍为静态产物。

python scanner/discover.py all # 按 topic:dsh-plugin 枚举全生态(需 gh 登录)
cd scanner && python pipeline.py all 24 # 下载 + 扫描,不用 git clone
python render_report.py # 把最新数字注入报告
python render_pages.py # 生成插件页、聚合页、sitemap、feed

产物:data/scans/.json(完整卡片)、docs/data.json(完整机器可读快照)、docs/badge/.json(徽章端点)、docs/p/*.html(每插件页面)。每日 GitHub Action 自动刷新全部内容。

python scanner/render_registry.py 生成 docs/stats.json、内嵌到 registry.html 的首批 50 条摘要，以及 docs/registry/ 下带内容哈希的客户端脚本、搜索索引和详情 JSON。搜索索引每片最多 500 条摘要，最多 8 个请求并发加载，重试复用已成功的分片。每页最多渲染 50 条；展开记录时加载 64 个证据分片中的一个。当前和上一代资源保留供缓存页面使用，完整 data.json 的接口保持不变。

发布文件使用 npm 官方 npm-packlist 判定，支持 files 否定规则、强制入口和嵌套忽略文件。
工具注册通过 AST 跟踪上下文注入、服务别名及本地 helper；计数表示静态注册调用点，不代表运行时实例数。卡片展示源码证据，并区分分析不完整和等待刷新，避免将未知结果显示为零工具。

方法与规则

- 只做静态分析,不执行任何代码。
- 发布代码与测试/开发/不随包发布的工具代码分开归类,风险标志只在发布代码上触发。
- 误报?提 issue——卡片附有证据,争议可核对,规则在公开处修正。

路线图

- [x] 全生态覆盖 —— 10,915 个仓库,每日重扫
- [x] 安装内可用的配套插件
- [ ] 每日差异推送:你在用的插件,能力面发生了什么变化
- [ ] cordis.patch.yml 运行时补丁审计视图
- [ ] 多 harness 支持(Abu-Cowork、Claude Code 插件格式)
- [ ] 私有注册表 / 组织策略引擎(企业版)

协议

Apache-2.0 —— 见 LICENSE。data/ 与 docs/ 下的扫描数据同样以该协议发布。

更新日志

改了什么、为什么改 —— 只记录方法与产品的变化;扫描结果每日自动刷新。