dsh-plugin-tools: DeepSeek Harness 插件開發與合規工具集

前言¶

DeepSeek Harness (DSH) 的核心理念是“一切皆插件”。在實際開發中，從專家方法的沉澱、技能包的構建，到發佈前的合規檢查、依賴安全掃描，往往需要開發者手動處理多個環節。dsh-plugin-tools 提供了一套工具鏈，旨在通過 DSH 的線級 catalog 安裝，自動化處理插件/技能開發與發佈流程。

是什麼¶

這是一個由 wwumit 維護的插件工具提供者。它通過 ctx.skills 從線級 catalog 安裝多個核心工具，覆蓋了從開發輔助到合規審查的各個環節。

核心功能¶

該插件包集成了以下工具：

expert2skill（專家方法沉澱器）
引導開發者進行訪談，將專家經驗轉化爲規則庫 JSON 文件，並生成可運行的 skill 包。
skill-compliance（發佈合規檢查器）
檢查披露完整性、免責聲明/紅線聲明、金融敏感詞以及依賴安全，確保技能包符合 STANDARD §7/§9 標準。
dependency-scan（供應鏈依賴掃描）
掃描宿主遮蔽、版本鎖定、高危基線及 peer 完整性，與 skill-compliance 的 DEP 檢查對齊。
malware-scan（惡意代碼靜態檢測）
檢測遠程執行、混淆執行、數據外傳、持久化、憑據讀取及危險調用鏈。
bundle-lint（bundle 結構一致性校驗）
校驗 bundle 結構一致性（BND-001~007），並對齊官方 08-17~08-24 規則變更。
runtime-probe（實機 list/get 驗證）
在真實 DSH 運行時驗證插件註冊與功能，生成包含 verifiedBy、verifiedAt 和 reportUrl 的證據契約報告。
awesome-lint（awesome-dsh-plugin 收錄預檢）
檢查 .yml 擴展名、category 枚舉（含 identity）、未知字段、locale 一致性及描述邊界，用於預檢是否滿足 awesome-dsh-plugin 收錄標準。

安裝與啓用¶

在使用前，請確保已安裝必要的 peer dependencies：@deepseek-ai/cordis 和 @deepseek-ai/dsh-skill。

npm install @wwumit/dsh-plugin-tools

啓用插件：

import { Context } from '@deepseek-ai/cordis'
import * as pluginTools from '@wwumit/dsh-plugin-tools'

export function apply(ctx: Context) {
  ctx.plugin(pluginTools, {
    catalogUrl: 'https://wwumit.github.io/skills-catalog/catalog-plugin-tools.json',
  })
}

安裝後，可通過 ctx.skills.list() 獲取工具列表，並使用 ctx.skills.get('tool-name') 調用具體工具。

驗證與披露¶

該插件已在真實 DSH 運行時通過 verify-dsh.ts 進行驗證，確認 ctx.skills.list() 返回 4 個工具，且能正常拉取 SKILL.md。

根據 Disclosure v0.3，該插件下的 3 個核心工具均設置爲 cloud: false，即純本地運行。

CI 門禁模板¶

倉庫中提供了 templates/ci/plugin-gate.yml 模板。將此模板複製到目標插件倉庫的 .github/workflows/ 目錄下，可以在 push 或 PR 時自動執行 build、bundle-lint、skill-compliance、dependency-scan 和 malware-scan。任一步驟失敗將阻斷髮布流程。

開發¶

項目使用 pnpm 進行依賴管理。

pnpm install
pnpm test    # 運行 vitest（模擬 fetch）
pnpm build   # 編譯 TypeScript 到 lib/ 目錄

總結¶

dsh-plugin-tools 提供了一套完整的插件開發與合規檢查方案。開發者利用其專家沉澱、合規檢查、依賴掃描及運行時驗證能力，可以顯著提升技能包的開發質量與安全性。

目錄頁: https://www.skillhub.cn/plugins/wwumit/dsh-plugin-tools
源碼倉庫: https://github.com/wwumit/dsh-plugin-tools