dsh-plugin-tools: DeepSeek Harness 插件开发与合规工具集

前言¶

DeepSeek Harness (DSH) 的核心理念是“一切皆插件”。在实际开发中，从专家方法的沉淀、技能包的构建，到发布前的合规检查、依赖安全扫描，往往需要开发者手动处理多个环节。dsh-plugin-tools 提供了一套工具链，旨在通过 DSH 的线级 catalog 安装，自动化处理插件/技能开发与发布流程。

是什么¶

这是一个由 wwumit 维护的插件工具提供者。它通过 ctx.skills 从线级 catalog 安装多个核心工具，覆盖了从开发辅助到合规审查的各个环节。

核心功能¶

该插件包集成了以下工具：

expert2skill（专家方法沉淀器）
引导开发者进行访谈，将专家经验转化为规则库 JSON 文件，并生成可运行的 skill 包。
skill-compliance（发布合规检查器）
检查披露完整性、免责声明/红线声明、金融敏感词以及依赖安全，确保技能包符合 STANDARD §7/§9 标准。
dependency-scan（供应链依赖扫描）
扫描宿主遮蔽、版本锁定、高危基线及 peer 完整性，与 skill-compliance 的 DEP 检查对齐。
malware-scan（恶意代码静态检测）
检测远程执行、混淆执行、数据外传、持久化、凭据读取及危险调用链。
bundle-lint（bundle 结构一致性校验）
校验 bundle 结构一致性（BND-001~007），并对齐官方 08-17~08-24 规则变更。
runtime-probe（实机 list/get 验证）
在真实 DSH 运行时验证插件注册与功能，生成包含 verifiedBy、verifiedAt 和 reportUrl 的证据契约报告。
awesome-lint（awesome-dsh-plugin 收录预检）
检查 .yml 扩展名、category 枚举（含 identity）、未知字段、locale 一致性及描述边界，用于预检是否满足 awesome-dsh-plugin 收录标准。

安装与启用¶

在使用前，请确保已安装必要的 peer dependencies：@deepseek-ai/cordis 和 @deepseek-ai/dsh-skill。

npm install @wwumit/dsh-plugin-tools

启用插件：

import { Context } from '@deepseek-ai/cordis'
import * as pluginTools from '@wwumit/dsh-plugin-tools'

export function apply(ctx: Context) {
  ctx.plugin(pluginTools, {
    catalogUrl: 'https://wwumit.github.io/skills-catalog/catalog-plugin-tools.json',
  })
}

安装后，可通过 ctx.skills.list() 获取工具列表，并使用 ctx.skills.get('tool-name') 调用具体工具。

验证与披露¶

该插件已在真实 DSH 运行时通过 verify-dsh.ts 进行验证，确认 ctx.skills.list() 返回 4 个工具，且能正常拉取 SKILL.md。

根据 Disclosure v0.3，该插件下的 3 个核心工具均设置为 cloud: false，即纯本地运行。

CI 门禁模板¶

仓库中提供了 templates/ci/plugin-gate.yml 模板。将此模板复制到目标插件仓库的 .github/workflows/ 目录下，可以在 push 或 PR 时自动执行 build、bundle-lint、skill-compliance、dependency-scan 和 malware-scan。任一步骤失败将阻断发布流程。

开发¶

项目使用 pnpm 进行依赖管理。

pnpm install
pnpm test    # 运行 vitest（模拟 fetch）
pnpm build   # 编译 TypeScript 到 lib/ 目录

总结¶

dsh-plugin-tools 提供了一套完整的插件开发与合规检查方案。开发者利用其专家沉淀、合规检查、依赖扫描及运行时验证能力，可以显著提升技能包的开发质量与安全性。

目录页: https://www.skillhub.cn/plugins/wwumit/dsh-plugin-tools
源码仓库: https://github.com/wwumit/dsh-plugin-tools