在 DSH（DeepSeek Harness）生态中，Agent 在交付代码前往往需要一道安全关卡。dsh-code-security 插件通过确定性规则引擎和 git diff 增量审查，解决代码安全扫描与策略门禁的需求。
插件简介¶
DeepSeek Harness AI 代码安全审查插件，由 STARDUSTLC666 维护，采用 MIT 许可证。该插件借鉴 Codex 安全技能的方法论（漏洞分级、证据优先、供应链分层），实现为可复现工具。它具备零运行时依赖的特点，核心价值在于确定性规则引擎、git diff 增量审查、修复闭环以及策略门禁。
核心功能¶
插件提供以下核心工具与能力：
- 扫描与审查：
secure_scan用于扫描文件/目录，输出 CWE/严重度/行号/代码片段证据；secure_diff仅审查 git diff 新增行，适合增量审查。 - 修复闭环：
secure_fix_verify用于修复后复扫，判断漏洞是否关闭或是否引入新问题；secure_baseline用于接受当前已知问题为基线，之后只按新增判定。 - 报告与导出：
secure_report按规则/文件聚合并给出门禁结论；secure_export支持 SARIF 2.1.0 和 Markdown 格式导出。 - 策略与依赖：
secure_policy_show与secure_policy_set用于管理.code-security.json策略（如排除路径、忽略规则、阈值）；secure_deps提供 SBOM-lite 功能，解析依赖清单与版本约束风险。 - 技术细节：支持密钥熵检测，覆盖 40+ 规则，涵盖注入、反序列化、弱加密、硬编码凭据、敏感配置泄露等场景。
安装与启用¶
安装该插件需要使用官方安装命令。安装完成后需重启 Web 服务。
dsh plugin --profile web add dsh-code-security
典型用法¶
安装后，可在 Harness 中调用以下工具：
secure_scan { target: src }
secure_diff { base: HEAD }
secure_fix_verify { target: src }
secure_baseline { reason: 历史遗留 }
secure_deps { target: . }
适用场景与注意¶
该插件适用于需要在 Agent 交付代码前进行安全检查的场景，特别是需要基于 git diff 进行增量审查或验证修复效果的项目。
注意事项：
1. 环境兼容性：插件已在官方 @deepseek-ai/dsh@0.1.5-rc.1 和 Node 24.16.0 上验证（2026-09-11）。Node 版本要求与该版本 Harness 一致，即 22.19 及以上的 22.x，或 24 及以上。
2. 运行权限：插件以当前 DSH 进程的权限运行，需确保配置正确。
3. 源码审查：在安装前，建议检查源码与许可证。
4. 技术模型：插件采用 cordis.patch.yml + dsh.bundle.patch 组合包模型。
总结¶
dsh-code-security 为 DeepSeek Harness 提供了一套完整的代码安全审查方案，从增量扫描到修复验证，再到策略门禁，覆盖了代码安全的主要环节。
