前言¶

當 DSH 插件生態出現更多社區倉庫和 npm 包時，智能體開發者在安裝前通常會遇到幾個具體判斷問題：這個倉庫是不是 DSH 插件、最近是否維護、npm 包是否存在、文檔和許可證是否清楚、安裝腳本是否存在風險。

dsh-plugin-audit 把這些判斷落到一個本地目錄裏：先同步 GitHub dsh-plugin topic，再探測 npm、做靜態安全掃描，併爲每個插件生成評分、榜單和 Agent 工具。

這裏把它當作 DSH 社區生態工具介紹，不把它描述爲 DSH 官方應用商店。

這是什麼¶

dsh-plugin-audit 是面向 DeepSeek Harness（DSH）的插件生態體檢工具。它把 GitHub dsh-plugin topic 同步爲本地評分目錄，探測 npm，對插件文件做靜態安全掃描，併爲每個插件評分，提供 Web 榜單和 Agent 工具。

已覈實信息：

• 倉庫：863683348/dsh-plugin-audit
• 維護用戶：863683348
• package 名：dsh-audit
• 版本：0.4.0
• 許可證：MIT
• 名稱差異：倉庫路徑、README 標題和 package.json name 不完全一致，引用時建議同時保留倉庫路徑和 package 名。

核心能力¶

同步與評分¶

audit_sync 負責掃描 dsh-plugin topic、探測 npm，並做增量重評分。它會感知 GitHub 搜索 rate limit：預算不足時提前停止，並在下一次繼續。

評分信號覆蓋四類：

• 維護信號：last push recency、star tier、star trend
• 文檔信號：README 是否存在、description depth、license
• npm 信號：npm 包是否存在、publish recency、weekly downloads
• 生態信號：curated awesome list 是否存在、listing recency

dsh-plugin-audit 可以從 awesome-dsh-plugin list 生成 seed catalog，已覈實規模爲 1018 plugins。

榜單與報告¶

audit_top 提供 leaderboard，可按分數、星標、最新、名稱排序，並支持 category filter。

audit_plugin 生成完整 report card，並附帶證據說明，適合在決定是否安裝前查看具體證據說明或標記。

靜態安全掃描¶

audit_scan 對 package.json install scripts、shell scripts 和入口源碼做靜態安全掃描。高/危發現會進入 flags，並導致 grade D，不再隨其他信號“抵消”。

v0.4 真插件校驗¶

v0.4 會檢查倉庫是否像 DSH 插件：缺少 cordis.patch.yml、package.json 中的 dsh.bundle 或插件入口文件的倉庫會被標記 not-plugin，並 capped at grade C。

安裝與啓用¶

安裝命令¶

README 同時給出本地 checkout 安裝和 npm 安裝命令；下面分別列出。

本地 checkout 安裝：

dsh plugin --profile <profile> add /path/to/dsh-audit

npm 包名安裝：

dsh plugin --profile <profile> add dsh-audit

安裝後重啓 DSH。在 web profile 的 Web UI 中會顯示 leaderboard dock。

配置項¶

給 Agent 提供 GitHub token 後執行 audit_sync，或配置以下項：

• dataDir：目錄位置；默認可爲 $DSH_HOME/dsh-plugin-audit 或 ~/.dsh/dsh-plugin-audit
• githubToken：GitHub token
• syncIntervalHours：週期同步間隔
• npmProbe：是否探測 npm registry

GitHub 搜索匿名爲 10 req/min，使用 token 可提升至 30 req/min。同步會因 rate limit 提前停止，並在下次恢復。

數據文件¶

默認數據位於 $DSH_HOME/dsh-plugin-audit 或 ~/.dsh/dsh-plugin-audit，包含：

• catalog.json
• meta.json
• history.json

所有寫入爲 atomic（temp + rename）；損壞文件回退爲空，而不是 crash。

典型用法¶

下面按本地安裝、首次同步、獨立運行三種路徑說明。

1. 本地安裝並重啓：

dsh plugin --profile <profile> add /path/to/dsh-audit

安裝後重啓 DSH，再進入 web profile 的 Web UI 查看 leaderboard dock。

2. 首次同步：

給 Agent 提供 GitHub token 後執行 audit_sync。也可以配置 githubToken、dataDir、syncIntervalHours、npmProbe。

3. 獨立運行，用於測試或 CI：

node scripts/seed.mjs
node scripts/sync.mjs --token <gh-token>
node --test test/

第一條從 awesome-dsh-plugin list 生成 seed catalog；第二條執行同步；第三條運行離線測試。

適用場景與注意¶

適合以下場景：

• 想批量查看 DSH 社區插件的維護、文檔、npm 和生態信號
• 想給 Agent 提供“哪些插件值得安裝”的本地依據
• 想安裝前檢查 install scripts、shell scripts 和入口源碼的靜態風險

使用前注意：

• 插件以當前 DSH 進程權限運行。安裝前應檢查源碼、依賴與許可證。
• auditSummary session projection 與 composer-dock leaderboard 標記爲 experimental；可選 periodic sync 標記爲 guarded。
• package.json 的 peerDependencies 在當前資料中被截斷，完整依賴未確認。
• 倉庫路徑、README 標題和 package name 存在差異，安裝與引用時應以倉庫實際命令和文件爲準。
• 社區目錄不是 DSH 官方應用商店；榜單是本地評分目錄，不是官方質量認證。

結尾¶

dsh-plugin-audit 的價值在於把 DSH 插件安裝前的判斷從“看 README + 猜 npm 包”變成可重複的同步、掃描和評分流程。它不是替代人工審查，而是把可機器化檢查的部分提前暴露出來。

已覈實鏈接：

• GitHub：https://github.com/863683348/dsh-plugin-audit
• 目錄頁：當前已覈實資料未提供固定 URL