前言¶
DSH 生態強調“一切皆插件”，社區目錄是獨立站點，不是官方應用商店。dsh-omv 是一個面向 DeepSeek Harness 的漏洞審計工作臺，基於公開的 oh-my-vul API，圍繞證據成熟度、Finding 狀態、復現、去重、報告和披露提供同一工作臺。
這是什麼¶
dsh-omv 由 bx33661 維護，許可證爲 MIT。它安裝到 DSH Web profile，圍繞漏洞審計工作流提供證據成熟度、Finding 賬本、證據鏈、Agent 工作流、Campaign Runner、PoC 實驗室和 workspace 導出能力。
核心能力¶
下面介紹幾組已列出的能力。
- 證據成熟度看板：使用五個上下文維度，而不是單一完成百分比。
- Finding 賬本：支持 Candidate、confirmed、blocked、archived 四類 Finding 狀態。
- 證據鏈檢查：按
source → sink → guard查看證據路徑。 - 一鍵 Agent 工作流：覆蓋 audit、reproduction、deduplication、adversarial review、reporting 和 disclosure。
- Campaign Runner：支持 bounded concurrency，每條 lane 對應一個 native DSH forked session，並提供 pause/resume/cancel/retry 與 restart recovery。
- 證據與報告：提供 Provenance-aware Evidence Graph、stage-aware report conditions 和 structured reproduction runs。
- PoC 實驗室：支持 editable drafts、explicit approval、Docker isolation、
/output/result.json、artifact hashes、provenance 和 manual Evidence adoption。 - 工具與命令：提供 29 個 model tools，覆蓋 workspace quality、DSH lifecycle diagnostics、Finding、workflow、Campaign Runtime、evidence provenance、reproduction、PoC isolation、dedup 和 search；還提供 19 個 durable
/omv*commands，包括omv-dedup和 Campaign Runtime 命令集。 - 同步與導出：支持 SSE workspace synchronization，並帶 polling fallback；支持 Protocol v2 payloads、additive
?protocol=1compatibility 和完整 workspace export。
安裝與啓用¶
先確認 Node.js 滿足 node >=22。下面給出三種安裝方式，選擇一種執行即可。
Stable local install¶
先準備依賴和構建產物，再把本地安裝到 DSH Web profile：
cd /path/to/dsh-omv
npm install
npm run build
dsh plugin --profile web add .
dsh --profile web
Source development¶
需要本地開發時，使用 link 安裝，並保持 npm run dev 運行：
cd /path/to/dsh-omv
npm install
dsh plugin --profile web add link:.
npm run dev
dsh --profile web
如果之前使用普通本地安裝，先移除再切換到 link 安裝：
dsh plugin --profile web remove dsh-omv
dsh plugin --profile web add link:.
Packed install¶
使用 tarball 安裝某個構建。npm pack 會打印文件名，使用實際打印的文件名：
cd /path/to/dsh-omv
npm install
npm pack --silent
dsh plugin --profile web add ./dsh-omv-<version>.tgz
dsh --profile web
經過上面的步驟，用下面命令驗證 profile：
dsh --profile web --dump-config
輸出應包含 dsh-omv configuration layer。
更新和移除：
dsh plugin --profile web update dsh-omv
dsh plugin --profile web remove dsh-omv
配置¶
在 $DSH_HOME/profiles/web/cordis.patch.yml 中覆蓋 - id: dsh-omv。示例如下：
- id: dsh-omv
config:
projectRoot: '/absolute/path/to/repository'
apiPrefix: '/api/dsh-omv'
allowMutations: true
allowRemoteAccess: false
activityLimit: 60
refreshIntervalMs: 15000
campaignConcurrency: 3
watchDebounceMs: 90
eventHeartbeatMs: 20000
httpBodyLimitBytes: 262144
patch 會替換完整配置值，因此需要保留仍要使用的字段。
用戶偏好持久化會使用 native dsh-omv settings namespace，如果 Host 暴露它；在 DSH rc.6 上回退到 browser-local。部署相關配置仍放在 Cordis Config。
適用場景與注意¶
dsh-omv 適合需要把漏洞審計證據、Finding、復現、PoC、報告和披露流程放進 DSH Web profile 的團隊。
默認 API 是 loopback-only：客戶端地址必須是 127.0.0.1 或 ::1，Host header 必須是 localhost、127.0.0.1 或 [::1]。
如果配置：
allowRemoteAccess: true
會同時關閉 loopback 和 Host 守衛，並且整個 API（包括所有 mutation action）都沒有認證。
插件以當前 dsh 進程權限運行。安裝前，請檢查源碼和 MIT 許可證。
結尾¶
dsh-omv 把證據成熟度、Finding 賬本、證據鏈、Agent 工作流、Campaign Runner、PoC 實驗室和 workspace export 放進同一個 DSH 審計工作臺。
