rea-dsh-plugin 怎么安装？

在已安装 dsh CLI 引擎的环境中，进入插件页复制安装命令一键执行即可；尚未跑自动兼容性验证，可查看页面内的依赖与入口分析。

rea-dsh-plugin 兼容性怎么样？

尚未跑自动兼容性验证，可查看页面内的依赖与入口分析。

rea-dsh-plugin 有中文文档吗？

已提供中文翻译 README（由 DeepSeek 最新模型翻译生成），本站可切换中英文对照阅读。

rea-dsh-plugin 还在维护吗？

GitHub 2 星。最近一次上游提交在 2026/10/15。

逆向工程助手 ya123-4/rea-dsh-plugin

DeepSeek Harness

ya123-417 天前有提交已提供中文文档扫描：含敏感能力

在 GitHub 查看 ↗

一次装好 REA 逆向工具与技能，直接分析二进制和 JS 应用

31.2/100

综合分

GitHub 星标

—

npm 周下载

—/5

用户评分

数据截至 2026/10/18 · 周下载取自 npm 全网（含 CI / 镜像），非本站安装数；综合分由星标、活跃度与兼容性检查合成。

安装命令 · 需先装 dsh CLI 引擎

dsh plugin --profile web add ya123-4/rea-dsh-plugin

该包不可直接 npm 安装，改从 GitHub 源安装（明细见下方安装检查）

状态速览

判定依据：实装验证 · 静态安装检查 · 自动扫描 · 仓库维护状态

信任档位：已验证

是什么

dsh 原生插件 · market

装得上吗

本站已在 dsh 0.2.1-rc.5 下真实安装成功

非静态推断

L4 · 真实安装等级说明 →

安全吗

本站尚未对该插件做风险分级

暂未覆盖，不等同于无风险

还在维护吗

活跃：最近一次提交在 17 天前

档位由哪些信号合成

本站实装验证（真实安装 L4 覆盖全站；L5 为运行时冒烟或实机截图，覆盖范围小于 L4） · 验证所用 dsh 版本 · 静态安装检查 · 风险分级 · 仓库维护状态。下方各区块是它的证据明细。

验证判据与等级说明 →

社区实装还没有人打卡 · 装过的第一个就是你

安全扫描自动 · 静态分析源码

v2.7.0

🔵 扫描：含敏感能力尚无人工评估

展开查看扫描说明与证据 ↓

静态扫描发现插件具备触达本地系统的能力：执行外部命令、读写/删除本地文件、读取剪贴板或密钥类环境变量（至少其一）。这是能力清单，不是危险判定——具体能力项与证据见下方，安装前请自行判断是否需要。

可执行外部命令读写/删除本地文件

查看扫描证据（共 9 处，展示前 9 条）

读取本地文件
lib/launcher.mjs:46
if (statSync(tracePath, { throwIfNoEntry: false })?.size > 131_072) writeFileSync(tracePath, "");
写入本地文件
lib/launcher.mjs:46
if (statSync(tracePath, { throwIfNoEntry: false })?.size > 131_072) writeFileSync(tracePath, "");
写入本地文件
lib/launcher.mjs:47
appendFileSync(tracePath, `${new Date().toISOString()} ${event} ${detail ?? ""}\n`);
读取本地文件
lib/launcher.mjs:56
const manifest = JSON.parse(readFileSync(join(pluginRoot, "package.json"), "utf8"));
读取本地文件
lib/launcher.mjs:77
accessSync(path, constants.F_OK);
执行外部命令来自配置/变量
lib/launcher.mjs:145
return execFileSync(command, ["-p", "process.versions.node"], {
执行外部命令来自配置/变量
lib/launcher.mjs:203
child: spawn(node.command, [plan.entry, ...args], options),
执行外部命令来自配置/变量
lib/launcher.mjs:214
child: spawn(process.env.ComSpec ?? "cmd.exe", ["/d", "/s", "/c", line], {
执行外部命令来自配置/变量
lib/launcher.mjs:221
return { child: spawn(plan.command, argv, options), description: [plan.command, ...argv].join(" ") };

扫描于 2026/10/31（1 天前） · 范围入口闭包 + 发布文件清单 · 来源 GitHub 仓库

静态扫描只反映源码中出现的调用，不构成安全背书；人工评估与自动扫描相互独立、互不覆盖。

给这个插件打分还没有人投票↓

用户评分

还没有人投票，来当第一个

广告精选好物

飞利浦 TAH6519 主动降噪耳机 ¥299

头戴式无线 anc 主动降噪，蓝牙连接，久戴舒适向。

·anc 主动降噪 · 头戴式无线
·价格与库存以商品页实时为准

去淘宝看看→

广告MCP 兼容手册

装完插件，给 AI 接上 MCP

Cursor、Claude Code、VS Code 逐个核对：能不能装、配置怎么写、装不上是什么原因。

·按客户端逐格核对
·结论标注依据与风险等级

查 MCP 兼容性→

README

由 DeepSeek 最新模型翻译生成

rea-dsh-plugin 把 REA（用 agent 做逆向工程）装进 DeepSeek Harness 的插件：一次安装同时注册 REA MCP 服务器（模型侧看到 mcp__rea__ 工具）与 REA 的 agent skill。 REA 本身是「CLI + MCP 服务器 + skill」。上游要求使用者手工接线：rea setup --client … 会改写客户端配置文件并往 agent 目录里拷贝 skill。本插件免去这一步——Harness 的插件机制同时声明这两半，运行时由插件自己定位 REA。一次安装得到什么 | 组成 | 结果 | | @deepseek-ai/dsh-mcp-client 条目 | REA 的 207 个 MCP 工具，形如 mcp__rea__open_binary、mcp__rea__analyze_javascript_application | | @deepseek-ai/dsh-skill-filesystem 条目 | reverse-engineer-anything（上游方法论）与 rea-dsh（Harness 侧用法）两个 skill | | lib/launcher.mjs | 定位 REA CLI、挑选满足版本要求的 Node、转发 stdio |

展开完整文档（README 剩余 1 节）

rea-dsh-plugin

把 REA（用 agent 做逆向工程）装进 DeepSeek Harness 的插件：一次安装同时注册 REA MCP 服务器（模型侧看到 mcp__rea__ 工具）与 REA 的 agent skill。

REA 本身是「CLI + MCP 服务器 + skill」。上游要求使用者手工接线：rea setup --client … 会改写客户端配置文件并往 agent 目录里拷贝 skill。本插件免去这一步——Harness 的插件机制同时声明这两半，运行时由插件自己定位 REA。

一次安装得到什么

| 组成 | 结果 |
| @deepseek-ai/dsh-mcp-client 条目 | REA 的 207 个 MCP 工具，形如 mcp__rea__open_binary、mcp__rea__analyze_javascript_application |
| @deepseek-ai/dsh-skill-filesystem 条目 | reverse-engineer-anything（上游方法论）与 rea-dsh（Harness 侧用法）两个 skill |
| lib/launcher.mjs | 定位 REA CLI、挑选满足版本要求的 Node、转发 stdio |

不改动任何全局安装、不改写客户端配置文件、不要求全局 npm 包：rea-agents 是本插件的 optionalDependency；若它没装上，launcher 会依次回退到全局安装或 npx。

安装

npm pack # 生成 rea-dsh-plugin-0.1.0.tgz

再通过 Harness 安装该 .tgz（plugin_manager install_bundle，传 tarball 的绝对路径），或把它加入 profile 的 dependencies 与 dsh.profile.bundles。

插件管理器若未热应用该 bundle，重载 Harness 即可。首次激活会连接 REA MCP 服务器；连接失败不会阻塞 Harness 启动，只是这轮会话里没有 mcp__rea__ 工具（failOnStartupError: false）。

前置条件

- DeepSeek Harness，内置 @deepseek-ai/dsh-mcp-client 与 @deepseek-ai/dsh-skill-filesystem（当前桌面版或 CLI 版均可）。
- 运行 REA 需要 Node ^22.19.0 || ^24.11.0 || >=26.0.0。Harness 自带的
Node 运行时满足要求；否则 launcher 会在 PATH 上挑一个满足版本的。
- 分析引擎自备：静态 JavaScript/ASAR/产物分析不需要任何引擎；原生分析需要 Hopper、Ghidra 或 IDA；Android 分析需要 JADX/Java。

环境变量

| 变量 | 用途 |
| REA_AGENTS_ENTRY | 显式指定 rea-agents 包根、scripts/rea.mjs 或可执行文件，优先级最高。 |
| REA_AGENTS_NODE | 当 Harness 自带的 Node 不适用时，指定运行 REA 的 Node。 |
| REA_DSH_TRACE | launcher 把解析与执行事件追加写入的文件。本 bundle 默认指向 <插件目录>/launcher.log，这是 stdio 握手失败时唯一的现场证据。 |
| REA_DSH_DEBUG=1 | 把最终执行的命令行打到 stderr。 |

刻意避开 DSH_ 前缀：MCP 桥会从 stdio 子进程环境里剔除环境中的 DSH_ 变量。请把变量设在 Harness 宿主能继承的位置，或写进插件的 MCP env 块。

自检

node scripts/verify.mjs # 契约检查 + 真实 MCP 握手
node scripts/verify.mjs --offline # 不需要 REA 或网络
node lib/launcher.mjs --plan # 查看 launcher 最终选中了哪个运行时

verify.mjs 会校验 bundle 契约、skill frontmatter（kebab-case 的 name、非空 description、不含会让 provider 静默跳过该 skill 的旧驼峰键）、引用文件是否齐全、launcher 解析计划，最后通过 launcher 真正启动 REA 并完成 MCP initialize / tools/list 交互，要求返回完整工具目录且包含 analyze_javascript_application。它同时重申 Windows 回归防线——每处子进程 spawn 必须带 windowsHide、加载原生 addon 的子进程必须排除 Electron 运行时——避免后续改动无声地重新引入 0.1.0 的缺陷。

在禁止创建管道的沙箱里，交互式握手会报 SKIP 而不是 FAIL；要拿真实结果请在普通 shell 中运行。

故障排查

| 现象 | 原因与处理 |
| 没有 mcp__rea__* 工具 | 没找到 REA，或装完没有重载 Harness。先跑 node lib/launcher.mjs --plan；再装 rea-agents 或设 REA_AGENTS_ENTRY；然后重载。 |
| 工具有，但某个 provider 不可用 | 属正常：静态 JavaScript/ASAR 分析不需要反汇编引擎。用 npx -y rea-agents@6.5.0 doctor --json 查看。 |
| 大结果返回 resource_constraint | 不是失败。改用 mcp__rea__inspect_analysis_view、请求分页，或导出 evidence bundle，不要重复分析。 |
| 首次走 npx 回退很慢 | 说明 optionalDependency 没装上；重装插件让 rea-agents 落到本地。 |
| launcher 日志以 exit 0xFFFF0003 结束 | REA 被跑在 Harness 的 Electron 运行时上，其原生模块 ABI 会让 REA 的 addon 直接中止。把 REA_AGENTS_NODE 指向真正的 Node，或在 PATH 上装 Node；launcher 找到真 Node 时会优先用它。 |
| 不断弹出控制台窗口 | 0.1.1 已修：子进程现在带 windowsHide 启动，node.exe 不再获得自己的控制台。0.1.0 上同一缺陷还会引发重连循环——直接升级，不要靠调超时绕过。 |

目录结构

cordis.patch.yml bundle 补丁：skill provider + MCP 客户端 lib/launcher.mjs REA 定位、Node 选择、stdio 转发 lib/index.js 空的 bundle 入口（没有需要释放的宿主状态） skills/ reverse-engineer-anything（已适配）+ rea-dsh scripts/ verify.mjs、verify-mcp-handshake.mjs

与上游 REA 的关系

这是独立集成，不是 REA 官方发行物。skills/reverse-engineer-anything/ 取自 REA，仅改写了「Connect only when needed」一节（见 LICENSE），其余为上游原文。rea-agents 在安装时作为可选依赖解析，本仓库不再分发它。
REA 自身分析行为的问题请反馈给上游。

许可

MIT，见 LICENSE。