young-yyj/dsh-skill-browser

DSH 技能浏览器

一个面向 DeepSeek Harness 的本地只读技能浏览插件。它在 DSH Web 会话标题栏中加入“技能”入口，用搜索、分类和详情面板展示 DSH Home skills 目录中的技能。

当前版本适配 DeepSeek Harness 0.1.5-rc.1，已通过新版依赖构建、自动测试、隔离环境 HTTP 和真实会话界面验证。DSH 仍处于 Developer Preview，升级 DSH 后可能需要同步更新本插件。

功能

- 只浏览 DSH Home 的 /skills/*/SKILL.md，不读取项目目录或当前会话的技能注册表。
- 按技能名、简介、适用场景、来源和提供方搜索。
- 现有 41 个技能使用已审核的 10 类用途映射；未收录技能显示在“其他”，输入输出格式标为待确认。
- 按输出格式与输入材料筛选：输出支持任意/全部匹配，跨组条件同时满足，可排除中间/预览产物。
- 卡片展示“适用于、输入、可选、输出”，区分主要交付、按需输出与中间产物；同一行同步展开详情。
- 无结果时提供带结果数量的放宽条件建议；点击技能名可查看原始技能文件。
- 支持 YAML 多行简介、UTF-8 BOM 和 Windows 换行；缺少简介时显示占位提示，元数据解析失败时保留技能并在详情中显示原因。
- 按需以纯文本查看 SKILL.md、路径、来源、提供方和元数据。
- 通过 SSE 接收目录变化通知并自动刷新。
- 支持中文和英文、键盘操作、焦点循环、双层 Esc 和移动端布局。

安全边界

- 插件只提供目录、详情与事件流三个 GET 端点，不提供写入、安装或删除能力。
- 详情只能读取 DSH Home 目录中已经枚举的技能名，不能提交任意文件路径。
- 技能正文和元数据只作为 React 文本及  内容显示，不执行其中的 HTML 或脚本。
- 请求会校验回环连接、回环 Host、完整同源协议及浏览器来源提示。
- 响应字段、正文长度和 SSE 连接数量均有上限；断开或出现背压时会释放连接。

安全问题请不要公开披露，参见 SECURITY.md。

环境要求

- Node.js 22 或更高版本。
- DeepSeek Harness 0.1.5-rc.1（旧版 DSH 请使用对应版本的插件）。
- npm。

下载安装（推荐）

从 v0.1.6 Release 安装已构建的包，无需 Git、下载源码或自行编译。当前已在 Windows 上验证，以下命令使用 PowerShell。

先执行 dsh --version，确认是 0.1.5-rc.1。然后复制以下命令，下载到 DSH Home、校验文件并安装：

$ErrorActionPreference = 'Stop'
$version = '0.1.6'
$file = "dsh-skill-browser-$version.tgz"
$baseUrl = "https://github.com/young-yyj/dsh-skill-browser/releases/download/v$version"
$dshRoot = if ($env:DSH_HOME) { $env:DSH_HOME } else { Join-Path ([Environment]::GetFolderPath('UserProfile')) '.dsh' }
$archiveDir = Join-Path $dshRoot 'local-packages/dsh-skill-browser'
New-Item -ItemType Directory -Force -Path $archiveDir | Out-Null
$tarball = Join-Path $archiveDir $file
$checksumFile = Join-Path $archiveDir "SHA256SUMS-$version"
Invoke-WebRequest "$baseUrl/$file" -OutFile $tarball
Invoke-WebRequest "$baseUrl/SHA256SUMS" -OutFile $checksumFile
$checksums = [Text.Encoding]::UTF8.GetString([IO.File]::ReadAllBytes($checksumFile))
$match = [regex]::Match($checksums, '(?m)^([a-fA-F0-9]{64})  ' + [regex]::Escape($file) + '\r?$')
if (!$match.Success) { throw 'Checksum entry missing' }
if ((Get-FileHash -LiteralPath $tarball -Algorithm SHA256).Hash -ne $match.Groups[1].Value) { throw 'SHA256 mismatch; installation stopped' }
dsh plugin --profile web add $tarball --save-exact
if ($LASTEXITCODE -ne 0) { throw 'DSH installation failed' }

停止已运行的 DSH Web，再启动：

dsh web --no-open

选择工作区并进入会话，在标题栏点击“技能”。本插件只展示你自己 DSH Home 中的 skills//SKILL.md，不附带技能文件；空会话首页没有入口。

更新、回退与卸载

- 更新：先查看目标 Release 的 DSH 兼容版本，使用该版本的安装命令，然后重启。保留旧 .tgz。
- 回退：对已保存的旧 .tgz 重新执行 dsh plugin --profile web add  --save-exact，然后重启；旧插件也必须匹配当前 DSH 版本。
- 卸载：执行 dsh plugin --profile web remove dsh-skill-browser，然后重启。不会删除你的技能文件。

出现发布时间或完整性检查错误时，不要添加安全例外。peer 依赖告警需结合重启后的加载结果判断；反馈问题时请附 DSH 版本、插件版本和错误信息，勿附令牌或凭据。

从源码安装（开发者）
稳定版插件安装在 DSH Home 的本地包目录中，与本仓库解耦；因此可以移动、删除或重新克隆本仓库，而不影响日常使用的 web profile。

其他电脑首次安装时，先安装上述 Node.js、DSH 和 Git，然后在 PowerShell 中下载源码并构建：

git clone https://github.com/young-yyj/dsh-skill-browser.git
cd dsh-skill-browser
dsh --version
npm ci
npm run verify

确认 dsh --version 与环境要求一致后，在项目目录执行以下安装命令。首次安装无需递增插件版本：

$dshRoot = if ($env:DSH_HOME) { $env:DSH_HOME } else { Join-Path ([Environment]::GetFolderPath('UserProfile')) '.dsh' }
$archiveDir = Join-Path $dshRoot 'local-packages/dsh-skill-browser'
New-Item -ItemType Directory -Force -Path $archiveDir | Out-Null
$pack = npm pack --json --pack-destination $archiveDir | ConvertFrom-Json
$tarball = Join-Path $archiveDir $pack[0].filename
dsh plugin --profile web add $tarball --save-exact

然后重启稳定版 DSH Web：

dsh web --no-open

打开终端显示的地址，选择工作区并进入会话，在标题栏点击“技能”入口。技能文件应位于 DSH Home 的 skills//SKILL.md；空会话首页没有该入口。

后续安装仓库更新时，先执行 git pull --ff-only、npm ci、npm run verify，再重复打包、安装和重启步骤。开发者发布自己的修改时，先执行 npm version patch --no-git-tag-version，再验证、打包并提交版本变更。每次发布保留上一版本 .tgz，以便回退。

如果安装被发布时间或完整性策略阻止，应等待包满足策略或排查安装来源，不要添加安全例外。安装成功不等于运行验证通过；若有 peer 依赖告警，请在重启后检查插件加载和界面。

开发安装与即时验证

开发 profile 使用源码链接，不影响稳定 web profile。首次创建开发环境：

dsh plugin --profile web-dev add "link:$PWD" --save-exact

日常开发时，修改代码后执行：

npm run build
dsh --profile web-dev web

重新启动开发版 Web 并打开已有会话，即可在会话标题栏验证“技能”入口和浏览器功能。开发 profile 依赖当前源码目录；稳定 profile 不依赖该目录。

开发与验证

npm ci
npm run verify
npm pack --dry-run

npm run verify 会依次执行类型检查、全部测试以及 Host/Client 生产构建。

分类、输入与输出资料在 src/skill-metadata.ts 中维护，筛选逻辑在 src/client/skill-filters.ts 中维护。新增或更新技能后，应核对其说明再更新映射；不能仅凭正文出现的文件扩展名认定输出能力。技能原文件始终只读。

版本 0.1.6 将 DSH 依赖与支持声明同步至 0.1.5-rc.1，保留已验证的 UI renderer 和标题栏插槽接入方式。升级验证记录见 DSH 兼容性验证。稳定安装后仍需重启 DSH Web，完成运行环境复核。

参与开发前请阅读 CONTRIBUTING.md。

架构说明：技能目录与安全边界、稳定与开发环境分离。历史实施计划保留在本地 docs/superpowers/plans/，不纳入版本控制。

许可证

MIT