vivekpal1/dsh-plugins-extra

DSH Plugins Extra

dsh-plugins-extra 是一个小型 npm CLI 和精选扩展集合，用于 DeepSeek Harness。它独立安装每个扩展，验证生成的 DSH 配置文件，并让每个采用决策的安全边界保持可见。

软件包

| 安装名称 | 采用决策 | 用途 | 状态 |
| --- | --- | --- | --- |
| codex | 凭据和模型提供方 | ChatGPT/Codex 订阅认证和提供方集成 | WSL043/dsh-codex-subscription v0.3.1 的上游镜像 |
| import | 上下文来源 | 将可见的 Codex 和 Claude Code 对话导入 DSH | 在此维护 |
| wallet | 自托管和交易 | 加密的自托管 Solana 钱包和已批准的会话工具 | 实验性，未经审计 |
| themes | 可逆界面 | Catppuccin、Gruvbox、Nord、Tokyo Night 和 Dracula 调色板 | 在此维护 |
| terminal | 本地命令执行 | 位于 Trajectory 旁边的交互式 shell 标签页，在会话的项目目录中打开 | 在此维护 |
| telegram | 已认证的远程控制 | 将私有 Telegram 机器人聊天配对以提示 DSH、发送照片/PDF/文件并接收生成的文档 | 在此维护 |
| excalidraw | 实时画布 | Excalidraw 对话标签页以及紧凑的代理图表工具 | 在此维护 |

这些软件包有意不被呈现为单一的信任决策。CLI 在安装每个软件包之前会打印相关披露信息，用户可以列出、验证、安装或移除任意组合。

设置图标

DSH rc.6 没有为第三方设置部分公开图标属性；其 shell 会为每个未知的部分 ID 分配一个齿轮图标。这些软件包使用一个小型客户端兼容垫片，仅将它们自己的回退 SVG 替换为语义图标，同时保留 DSH 的类、currentColor、键盘行为和可访问文本。该垫片会观察设置对话框的重新挂载，在插件卸载时恢复原始 SVG，并且不会修改已安装的 DSH 软件包。

安装

要求：Node.js 24+、npm 以及可用的 dsh 命令。

npm install --global dsh-plugins-extra
dsh-plugins-extra list
dsh-plugins-extra install import themes

一个安装命令后面可以跟多个软件包名称，而 all 会安装完整集合：

dsh-plugins-extra install codex wallet themes telegram excalidraw
dsh-plugins-extra install all --profile web
dsh-plugins-extra update import themes
dsh-plugins-extra verify
dsh-plugins-extra doctor
dsh-plugins-extra uninstall wallet

正常安装会显示一个紧凑的计划以及每个扩展的一个已验证结果。已是最新版本的会被跳过，较新版本绝不会被降级，已知的 DSH 主机对等警告不会出现在成功路径中。在故障排除时添加 --verbose 以流式输出底层软件包管理器的输出。

通过 npm 进行一次性使用也可以：

markdown
npx dsh-plugins-extra@latest install import themes

该 npm 包包含来自此仓库的、经过审核的精确插件构建产物。CLI 会将这些构建产物在本地打包到 $DSH_HOME/packages，将参数数组直接传递给 DSH 而不进行 shell 插值，并验证每个插件恰好出现一次。它绝不会用名称相似的第三方 npm 包进行替换。默认配置文件为 web；如需使用其他配置文件，请使用 --profile name 或 DSH_PROFILE=name。

安装后重启 DSH，然后使用：

- 设置 → Codex 订阅 进行身份验证。
- 设置 → 导入 导入 Codex 或 Claude Code 会话 UUID。
- 设置 → 钱包 创建或导入加密的 Solana 钱包。
- 设置 → 主题 选择社区调色板。
- 在任意对话中，轨迹旁边的终端标签页可在会话的项目目录中打开 shell。
- 设置 → Telegram 验证 BotFather 令牌、启用长轮询、生成一次性配对码，并配置会话访问权限。
- 轨迹 / 终端旁边的 Excalidraw 标签页可查看会话画布。让智能体绘图；使用 excalidraw_apply、excalidraw_scene 和 excalidraw_export。

Telegram 远程控制安全

Telegram 访问仅限出站且默认拒绝。机器人会忽略群组、频道、机器人撰写的消息、已编辑的消息、过期更新、子智能体会话、DSH 斜杠命令、工具审批以及原始工具事件。已配对的私聊可以发送照片、PDF 和文档（上限 20 MB）；生成的文件仅从 .dsh/telegram-outbox/ 发回。授权会将一个五分钟、一次性的本地配对挑战绑定到确切的 Telegram 用户 ID 和私聊 ID。默认情况下，每个已配对身份只能访问其通过 Telegram 创建的会话；对现有根会话的访问是一项单独的高信任设置。

Telegram 提示词仍以所选 DSH 智能体预设的能力运行。请仅配对您完全信任的账户，保持启用 Telegram 双重身份验证，并对远程创建的会话使用最小权限预设。完整威胁模型请参见 packages/dsh-telegram/SECURITY.md。

Excalidraw 安全

画布 RPC 仅限回环。智能体工具会修改每个会话的场景，并在会话项目目录内写入 .excalidraw 文件；导出路径无法离开该工作区。该标签页不会从 CDN 加载 Excalidraw。图表 JSON 是数据，不是代码。

终端安全
终端以本地用户身份在会话的工作目录中运行命令——与 DSH 自身的 bash 工具处于相同的信任边界。它是一个真正的伪终端（node-pty，并回退到 DSH 的子进程 PTY 接缝），因此交互式程序、作业控制和调整大小都能正常工作。RPC 通道仅限回环，命令不进行沙箱隔离，每个会话一个 shell，在闲置 15 分钟后自动关闭。xterm.js 及其 fit 插件由插件自身的主机路由提供，绝不来自第三方 CDN。

Solana 钱包安全性

该钱包从 Solana devnet 开始，目前仅支持原生 SOL。其 BIP39 恢复短语在存储前使用 AES-256-GCM 加密，密钥由 scrypt 从密码派生，而解密后的签名材料仅保留在主机内存中，并在五分钟后自动锁定。恢复短语绝不会进入代理上下文或工具结果，会话转账会经过 DSH 原生的一次性批准提示，其中包含确切的收款人和金额。

该钱包插件为实验性，尚未接受独立的安全审计。请保留离线恢复备份，在 devnet 上测试，并在实现经过外部审查之前仅使用小额余额。

安装程序绝不会重启 DSH、删除配置文件、将用户登出或触碰已保存的凭据。--dry-run 可预览安装或移除，而不会更改 DSH 配置文件。

npm 包本身没有运行时依赖或安装脚本。CLI 仅针对安装在 tarball 中的插件源调用 npm pack，然后在不使用 shell 的情况下调用 dsh plugin add；它绝不会将插件别名解析为任意注册表包。这些预期的文件系统和子进程能力可能会出现在包扫描器中，因为它们是安装本地 DSH 捆绑包所必需的。

导入来源与重复行为

导入器将可见的用户和助手文本带入 DSH。它排除注入的系统上下文、隐藏推理、原始工具活动、Claude 侧链以及不支持的内容，因为这些特定于提供方的状态无法安全恢复。每个结果都会报告可见消息数和省略数，以及来源类型、来源会话 UUID、导入器架构版本和 SHA-256 来源指纹。

完全重复的导入会通过一个私有的本地注册表来防止，该注册表以来源和来源会话 UUID 为键。针对同一来源的并发请求共享单个操作；注册表更新被串行化、原子替换，并以仅用户权限存储。注册表绝不包含转录文本。

开发

npm install
npm test
npm run pack:check
node ./bin/dsh-plugins-extra.js doctor
Node 测试覆盖 CLI 选择与多包安装、导入来源与并发、确定性 Solana 派生、加密、签名、转账构建、Telegram 凭据隔离、Excalidraw 场景应用/导出路径安全、命令解析、速率限制、Unicode 安全输出分块以及审批强制执行。Codex 订阅包保留其上游测试和构建套件。GitHub Actions 在 Linux 和 macOS 上运行工作区检查。

来源与许可证

dsh-codex-subscription 复制自上游标签 v0.3.1，提交为 34b0fdd0783d1150351385eb727e402bcbdaf847。其 MIT 许可证、作者元数据、安全策略和第三方声明仍保留在该包内。此工作区向客户端包添加了设置图标兼容垫片；功能性提供程序更改仍应从上游同步并清晰记录。

会话导入器、Solana 钱包集成、终端、Telegram 集成、Excalidraw 画布、主题集成、仓库工具和文档均采用 MIT 许可证。主题名称和调色板属于各自的开源社区；此仓库与这些项目、DeepSeek、Anthropic、OpenAI、Telegram、Excalidraw 或 Solana Foundation 均无关联。