dsh-plugins-extra 怎么安装？

在已安装 dsh CLI 引擎的环境中，进入插件页复制安装命令一键执行即可；暂不能直接安装（需源码编译或环境不满足）：engines.node 要求 >=24，不满足 Node 22.19.0。

dsh-plugins-extra 兼容性怎么样？

暂不能直接安装（需源码编译或环境不满足）：engines.node 要求 >=24，不满足 Node 22.19.0。

dsh-plugins-extra 有中文文档吗？

已提供中文翻译 README（由 DeepSeek 最新模型翻译生成），本站可切换中英文对照阅读。

dsh-plugins-extra 还在维护吗？

GitHub 2 星。最近一次上游提交在 2026/10/18。

扩展精选集 vivekpal1/dsh-plugins-extra

DeepSeek Harnessv0.3.1

vivekpal117 天前有提交已提供中文文档扫描：含敏感能力

在 GitHub 查看 ↗

| 安装名 | 采用决策 | 用途 | 状态 |

31.5/100

综合分

GitHub 星标

—

npm 周下载

—/5

用户评分

数据截至 2026/10/18 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

自动兼容检查未通过：engines.node 要求 >=24，不满足 Node 22.19.0。以下命令仍可尝试，但可能失败。

安装命令 · 需先装 dsh CLI 引擎

dsh plugin --profile web add vivekpal1/dsh-plugins-extra

该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态

信任档位：已验证

是什么

dsh 原生插件 · ui

装得上吗

本站已在 dsh 0.2.1-rc.5 下真实安装成功

非静态推断

L5 · 运行时冒烟等级说明 →

安全吗

本站尚未对该插件做风险分级

暂未覆盖，不等同于无风险

还在维护吗

活跃：最近一次提交在 17 天前

档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。下方各区块是它的证据明细。

验证判据与等级说明 →

社区实装还没有人打卡 · 装过的第一个就是你

安装兼容性检查需源码安装

engines.node 要求 >=24，不满足 Node 22.19.0

展开查看检查明细 ↓

以下结论由程序自动检查 npm 包、engines 声明与入口文件得出，未做人工实机验证——能装不等于用着没问题。

✓npm 包dsh-plugins-extra @ 0.3.1

✗Node 引擎要求 >=24 · 基线 Node 22.19 不满足

✓dsh CLI 依赖未声明 dsh 版本约束

✓入口文件main/exports/bin 已声明

源码安装时若 pnpm 拦截 prepare 脚本，按其提示在 pnpm-workspace.yaml 的 allowBuilds 中放行后重跑。

验证方式：npm registry 存在性 + package.json 静态校验 · 最后检查 2026/10/13 15:40:52

安全扫描自动 · 静态分析源码

v2.7.0

🔵 扫描：含敏感能力尚无人工评估

展开查看扫描说明与证据 ↓

静态扫描发现插件具备触达本地系统的能力：执行外部命令、读写/删除本地文件、读取剪贴板或密钥类环境变量（至少其一）。这是能力清单，不是危险判定——具体能力项与证据见下方，安装前请自行判断是否需要。

可执行外部命令读写/删除本地文件写入剪贴板(不计风险)发起外部网络请求

查看扫描证据（共 34 处，展示前 34 条）

写入本地文件
lib/cli/main.js:102
if (!options.dryRun) await mkdir(archiveDirectory, { recursive: true, mode: 0o700 });
读取本地文件
lib/cli/catalog.js:8
return JSON.parse(readFileSync(resolve(packageRoot, directory, "package.json"), "utf8")).version;
执行外部命令来自配置/变量
lib/cli/system.js:10
const result = spawnSync(executable(name), args, {
读取本地文件
dsh-themes/lib/index.js:13
const value = JSON.parse(await readFile(settingsPath(), "utf8"));
写入本地文件
dsh-themes/lib/index.js:23
await mkdir(join(homedir(), ".dsh"), { recursive: true });
写入本地文件
dsh-themes/lib/index.js:25
await writeFile(temporary, `${JSON.stringify({ preference }, null, 2)}\n`, { mode: 0o600 });
写入本地文件
dsh-themes/lib/index.js:26
await rename(temporary, path);
读取本地文件
packages/dsh-excalidraw/lib/index.js:50
const body = await readFile(join(ASSET_DIR, asset.file));
写入本地文件
packages/dsh-excalidraw/lib/scene.js:415
await mkdir(dirname(path), { recursive: true, mode: 0o700 });
写入本地文件
packages/dsh-excalidraw/lib/scene.js:416
await writeFile(path, `${JSON.stringify(serializeDocument(scene), null, 2)}\n`, { encoding: "utf8", mode: 0o600 });
读取本地文件
packages/dsh-excalidraw/lib/store.js:35
const document = JSON.parse(await readFile(path, "utf8"));
读取本地文件
packages/dsh-session-import/lib/index.js:23
entries = await readdir(current, { withFileTypes: true });
读取本地文件
packages/dsh-session-import/lib/index.js:38
const lines = (await readFile(join(home, ".codex", "session_index.jsonl"), "utf8")).split("\n");
读取本地文件
packages/dsh-session-import/lib/index.js:50
const value = JSON.parse(await readFile(path, "utf8"));
写入本地文件
packages/dsh-session-import/lib/index.js:59
await mkdir(dirname(path), { recursive: true });
写入本地文件
packages/dsh-session-import/lib/index.js:61
await writeFile(temporary, `${JSON.stringify({ version: 2, imports: registry }, null, 2)}\n`, { mode: 0o600 });
写入本地文件
packages/dsh-session-import/lib/index.js:62
await rename(temporary, path);
读取本地文件
packages/dsh-session-import/lib/index.js:68
const input = createReadStream(path);
读取本地文件
packages/dsh-session-import/lib/index.js:141
const sourceBefore = await stat(path);
读取本地文件
packages/dsh-session-import/lib/index.js:144
const sourceAfter = await stat(path);
读取本地文件
packages/dsh-session-import/lib/parser.js:55
input: createReadStream(path, { encoding: "utf8" }),
写入剪贴板
packages/dsh-solana-wallet/lib/client.js:188
try { await navigator.clipboard.writeText(status.address); setCopied(true); }
写入剪贴板
packages/dsh-telegram/lib/client.js:146
h(Button, { type: "button", variant: "outline", onClick: () => { void navigator.clipboard.writeText(`/pair ${pairing.code}`); setNotice("Pairing comma
读取本地文件
packages/dsh-telegram/lib/lease.js:24
return JSON.parse(await readFile(join(lockPath, "owner.json"), "utf8"));
写入本地文件
packages/dsh-telegram/lib/lease.js:32
await writeFile(temporary, `${JSON.stringify(owner)}\n`, { mode: 0o600 });
写入本地文件
packages/dsh-telegram/lib/lease.js:33
await rename(temporary, join(lockPath, "owner.json"));
写入本地文件
packages/dsh-telegram/lib/lease.js:43
await mkdir(root, { recursive: true, mode: 0o700 });
写入本地文件
packages/dsh-telegram/lib/lease.js:47
await mkdir(lockPath, { mode: 0o700 });
读取本地文件
packages/dsh-telegram/lib/lease.js:55
try { modifiedAt = (await stat(lockPath)).mtimeMs; } catch {}
删除本地文件递归
packages/dsh-telegram/lib/lease.js:58
await rm(lockPath, { recursive: true, force: true });
删除本地文件递归
packages/dsh-telegram/lib/lease.js:95
if (owner?.nonce === this.nonce) await rm(this.lockPath, { recursive: true, force: true });
发起网络请求
packages/dsh-telegram/lib/telegram.js:110
response = await this.fetch(`${this.baseUrl}/${method}`, {
启用终端会话（PTY）
packages/dsh-terminal/lib/index.js:71
const pty = nodePty.spawn(record.shell, [], {
读取本地文件
packages/dsh-terminal/lib/index.js:316
const body = await readFile(file);

扫描于 2026/11/4（0 天前） · 范围入口闭包 + 发布文件清单 · 来源 GitHub 仓库

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

给这个插件打分还没有人投票↓

用户评分

还没有人投票，来当第一个

广告精选好物

飞利浦 TAH6519 主动降噪耳机 ¥299

头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。

·anc 主动降噪 · 头戴式无线
·价格与库存以商品页实时为准

去淘宝看看→

广告MCP 兼容手册

装完插件，给 AI 接上 MCP

Cursor、Claude Code、VS Code 逐个核对：能不能装、配置怎么写、装不上是什么原因。

·按客户端逐格核对
·结论标注依据与风险等级

查 MCP 兼容性→

功能亮点

按需安装社区插件
校验插件配置
随时移除插件

DeepSeek Harness 的社区插件、会话导入器和舒适主题

README

由 DeepSeek 最新模型翻译生成

展开完整文档（README 剩余 1 节）

DSH Plugins Extra

dsh-plugins-extra 是一个小型 npm 命令行工具，也是 DeepSeek Harness 的精选扩展合集。它逐个独立安装扩展，校验安装后的 DSH 配置档，并让每次采用决策的安全边界都清晰可见。

包

| 安装名 | 采用决策 | 用途 | 状态 |
| codex | 凭据与模型服务商 | ChatGPT/Codex 订阅认证与服务商集成 | WSL043/dsh-codex-subscription v0.3.1 的上游镜像 |
| import | 上下文来源 | 把可见的 Codex 和 Claude Code 对话导入 DSH | 在此维护 |
| wallet | 自托管与交易 | 加密的自托管 Solana 钱包，以及经批准的会话工具 | 实验性，未经审计 |
| themes | 可逆界面 | Catppuccin、Gruvbox、Nord、Tokyo Night 和 Dracula 配色 | 在此维护 |
| terminal | 本地命令执行 | 在 Trajectory 旁的交互式 shell 标签页，在会话的项目目录中打开 | 在此维护 |
| telegram | 经认证的远程控制 | 把私有 Telegram 机器人聊天配对到 DSH，用来发送提示词、发送照片/PDF/文件，并接收生成的文档 | 在此维护 |
| excalidraw | 实时画布 | Excalidraw 对话标签页，外加紧凑的智能体图表工具 | 在此维护 |

这些包刻意不作为一个统一的信任决策呈现。命令行工具在安装每个包之前会打印相关披露信息，你可以列出、校验、安装或移除任意组合。

设置图标

DSH rc.6 没有为第三方设置分区提供图标属性；它的外壳会给每个未知分区 ID 分配一个齿轮图标。这些包使用一个小型客户端兼容垫片，只把自己回退的 SVG 替换为语义图标，同时保留 DSH 的类名、currentColor、键盘行为和可访问文本。该垫片会监听设置对话框的重新挂载，在插件卸载时恢复原始 SVG，并且不修改已安装的 DSH 包。

安装

要求：Node.js 24+、npm，以及可用的 dsh 命令。

npm install --global dsh-plugins-extra
dsh-plugins-extra list
dsh-plugins-extra install import themes

一个安装命令后面可以跟多个包名，all 会安装完整合集：

dsh-plugins-extra install codex wallet themes telegram excalidraw
dsh-plugins-extra install all --profile web
dsh-plugins-extra update import themes
dsh-plugins-extra verify
dsh-plugins-extra doctor
dsh-plugins-extra uninstall wallet

正常安装会显示一份紧凑的计划，以及每个扩展一条校验结果。已是最新版本的会跳过，更新的版本绝不会降级，已知的 DSH 宿主对等依赖警告不会进入成功路径。排查问题时加上 --verbose，即可流式输出底层包管理器的输出。

通过 npm 一次性使用也可以：

npx dsh-plugins-extra@latest install import themes

npm 包里是仓库中经过审核的插件构建产物，版本完全一致。命令行把这些构建产物在本地打包进 $DSH_HOME/packages，参数数组直接传给 DSH，不经过 shell 插值，并校验每个插件只出现一次。它绝不会用名字相似的第三方 npm 包顶替。默认配置档是 web；要换其他配置档，用 --profile name 或 DSH_PROFILE=name。

安装完成后重启 DSH，然后：

- Settings → Codex Subscription：完成认证。
- Settings → Import：导入 Codex 或 Claude Code 的会话 UUID。
- Settings → Wallets：创建或导入加密的 Solana 钱包。
- Settings → Themes：选择社区配色。
- 任意会话中 Trajectory 旁边的 Terminal 标签页：在会话的项目目录里打开 shell。
- Settings → Telegram：校验 BotFather token、开启长轮询、生成一次性配对码、配置会话访问权限。
- Trajectory / Terminal 旁边的 Excalidraw 标签页：查看会话画布。让智能体去画；用 excalidraw_apply、excalidraw_scene 和 excalidraw_export。

Telegram 远程控制安全

Telegram 访问只出不进，默认拒绝。机器人会忽略群组、频道、机器人发的消息、编辑过的消息、过期更新、子代理会话、DSH 斜杠命令、工具审批和原始工具事件。已配对的私聊可以发照片、PDF 和文档（上限 20 MB）；生成的文件只从 .dsh/telegram-outbox/ 发回。授权时，把五分钟内有效、仅可使用一次的本地配对挑战绑定到确切的 Telegram 用户 ID 和私聊 ID。默认情况下，每个已配对身份只能访问自己通过 Telegram 创建的会话；访问已有的根会话是另一项高信任设置。

Telegram 提示词仍按所选 DSH 智能体预设的能力运行。只配对完全信任的账号，保持 Telegram 两步验证开启，远程创建的会话使用最小权限预设。完整威胁模型见 packages/dsh-telegram/SECURITY.md。

Excalidraw 安全

画布 RPC 只走回环地址。智能体工具改动每个会话各自的场景，并在会话项目目录内写入 .excalidraw 文件；导出路径不能离开该工作区。标签页不从 CDN 加载 Excalidraw。图表 JSON 是数据，不是代码。

Terminal 安全终端以本地用户身份、在会话的工作目录中运行命令，信任边界与 DSH 自带的 bash 工具相同。它是真正的伪终端（node-pty，回退到 DSH 的子进程 PTY 接缝），所以交互式程序、作业控制和调整窗口大小都能正常工作。RPC 通道仅限回环地址，命令不做沙箱隔离，每个会话一个 shell，空闲 15 分钟后自动关闭。xterm.js 及其 fit 插件由插件自己的 host 路由提供，绝不从第三方 CDN 加载。

Solana 钱包安全

钱包默认运行在 Solana devnet，目前只支持原生 SOL。BIP39 助记词在存储前会用 AES-256-GCM 加密，密钥由 scrypt 从密码派生；解密后的签名材料只留在宿主内存中，五分钟后自动锁定。助记词绝不会进入智能体上下文或工具结果，会话转账会走 DSH 原生的一次性审批提示词，并显示确切的收款地址和金额。

这个钱包插件是实验性的，尚未经过独立安全审计。请保留离线助记词备份，在 devnet 上测试，并且在实现经过外部审查之前只使用小额余额。

安装器绝不会重启 DSH、删除配置档、登出用户，也不会改动已保存的凭据。--dry-run 只预览安装或卸载，不修改 DSH 配置档。

npm 包本身没有运行时依赖，也没有安装脚本。命令行只对安装包 tarball 中自带的插件源码调用 npm pack，然后在不经过 shell 的情况下调用 dsh plugin add；它绝不会把插件别名解析成任意 registry 包。这些预期的文件系统和子进程能力可能会出现在包扫描器的报告里，因为安装本地 DSH 包需要它们。

导入来源与重复行为

导入器会把用户和助手的可见文本带入 DSH。它会排除注入的系统上下文、隐藏推理、原始工具活动、Claude sidechain 以及不支持的内容，因为这些服务商特有的状态无法安全恢复。每个结果都会报告可见消息数和省略数，以及来源类型、来源会话 UUID、导入器 schema 版本和源文件的 SHA-256 指纹。

完全重复的导入会被阻止，靠的是一个私有本地注册表，以来源和来源会话 UUID 为键。针对同一来源的并发请求共享同一个操作；注册表更新串行执行，原子替换，并以仅用户可访问的权限存储。注册表绝不包含对话文本。

开发 sh
npm install
npm test
npm run pack:check
node ./bin/dsh-plugins-extra.js doctor

Node 测试覆盖命令行选择与多包安装、导入来源与并发、确定性 Solana 派生、加密、签名、转账构造、Telegram 凭据隔离、Excalidraw 场景应用与导出路径安全、命令解析、速率限制、Unicode 安全输出分块，以及审批强制执行。Codex 订阅包保留上游的测试与构建套件。GitHub Actions 在 Linux 和 macOS 上运行工作区检查。

来源与许可证

dsh-codex-subscription 复制自上游标签 v0.3.1，对应提交 34b0fdd0783d1150351385eb727e402bcbdaf847。它的 MIT 许可证、作者元数据、安全策略和第三方声明都保留在该包内。本工作区给客户端 bundle 加了设置图标兼容垫片；功能层面的服务商改动仍应从上游同步，并清楚记录。

会话导入器、Solana 钱包集成、终端、Telegram 集成、Excalidraw 画布、主题集成、仓库工具和文档均采用 MIT 许可证。主题名称与配色归各自的开源社区所有；本仓库与这些项目、DeepSeek、Anthropic、OpenAI、Telegram、Excalidraw 以及 Solana Foundation 均无隶属关系。