在 DSH（DeepSeek Harness）生態中，Agent 在交付代碼前往往需要一道安全關卡。dsh-code-security 插件通過確定性規則引擎和 git diff 增量審查，解決代碼安全掃描與策略門禁的需求。
插件簡介¶
DeepSeek Harness AI 代碼安全審查插件，由 STARDUSTLC666 維護，採用 MIT 許可證。該插件借鑑 Codex 安全技能的方法論（漏洞分級、證據優先、供應鏈分層），實現爲可復現工具。它具備零運行時依賴的特點，核心價值在於確定性規則引擎、git diff 增量審查、修復閉環以及策略門禁。
核心功能¶
插件提供以下核心工具與能力：
- 掃描與審查：
secure_scan用於掃描文件/目錄，輸出 CWE/嚴重度/行號/代碼片段證據；secure_diff僅審查 git diff 新增行，適合增量審查。 - 修復閉環：
secure_fix_verify用於修復後復掃，判斷漏洞是否關閉或是否引入新問題；secure_baseline用於接受當前已知問題爲基線，之後只按新增判定。 - 報告與導出：
secure_report按規則/文件聚合並給出門禁結論；secure_export支持 SARIF 2.1.0 和 Markdown 格式導出。 - 策略與依賴：
secure_policy_show與secure_policy_set用於管理.code-security.json策略（如排除路徑、忽略規則、閾值）；secure_deps提供 SBOM-lite 功能，解析依賴清單與版本約束風險。 - 技術細節：支持密鑰熵檢測，覆蓋 40+ 規則，涵蓋注入、反序列化、弱加密、硬編碼憑據、敏感配置泄露等場景。
安裝與啓用¶
安裝該插件需要使用官方安裝命令。安裝完成後需重啓 Web 服務。
dsh plugin --profile web add dsh-code-security
典型用法¶
安裝後，可在 Harness 中調用以下工具：
secure_scan { target: src }
secure_diff { base: HEAD }
secure_fix_verify { target: src }
secure_baseline { reason: 歷史遺留 }
secure_deps { target: . }
適用場景與注意¶
該插件適用於需要在 Agent 交付代碼前進行安全檢查的場景，特別是需要基於 git diff 進行增量審查或驗證修復效果的項目。
注意事項：
1. 環境兼容性：插件已在官方 @deepseek-ai/dsh@0.1.5-rc.1 和 Node 24.16.0 上驗證（2026-09-11）。Node 版本要求與該版本 Harness 一致，即 22.19 及以上的 22.x，或 24 及以上。
2. 運行權限：插件以當前 DSH 進程的權限運行，需確保配置正確。
3. 源碼審查：在安裝前，建議檢查源碼與許可證。
4. 技術模型：插件採用 cordis.patch.yml + dsh.bundle.patch 組合包模型。
總結¶
dsh-code-security 爲 DeepSeek Harness 提供了一套完整的代碼安全審查方案，從增量掃描到修復驗證，再到策略門禁，覆蓋了代碼安全的主要環節。
