前言¶
DeepSeek Harness (DSH) 採用「一切皆插件」的理念，Agent 在擴展能力時，面臨社區插件來源複雜、版本浮動、潛在風險難以把控的問題。dsh-agent-plugin-research 是一個面向 Agent 的專用工具，用於在安裝 DSH 社區插件前完成搜索、版本固定、風險檢查和用戶確認，並提供安裝後的驗證與激活方案。
基本定位¶
這是一個 Agent 專用的 DSH 插件檢索、審計、安裝與驗證工具橋。由 Asteroid0449 維護，採用 MIT 許可證。它不提供設置頁、可視化市場、客戶端 bundle 或 Web 路由，而是作爲 Agent 的後端能力，協助其進行插件的檢索、審計、安裝與驗證。
核心功能¶
該插件提供七項固定工具，始終以固定順序註冊：
- 檢索與檢查：搜索 GitHub、npm、私有索引或離線精選表；檢查 manifest、安裝腳本和
cordis.patch.yml風險。 - 安裝與卸載：使用 pnpm 永久安裝或移除依賴，並協調 bundle 清單。
- 驗證與規劃：驗證包身份、鎖文件、patch 和 profile 層；檢測當前 Agent 可見能力並生成激活步驟。
- 清單管理：列出 profile 依賴、運行入口和有序 bundle 層。
安裝與啓用¶
安裝前需確保環境滿足要求：Node.js >= 22.19.0，DSH >= 0.1.0-rc.8。
在下載目錄執行以下命令進行安裝：
dsh plugin --profile web add .\dsh-agent-plugin-research-0.5.1.tgz
如果倉庫源碼已在本機，可先運行驗證腳本：
.\verify-and-install.cmd
安裝完成後，插件不會自行調用激活或重啓工具，需由 Agent 根據生成的方案進行後續操作。
典型用法¶
插件的使用分爲“審查”和“安裝”兩個階段。
-
審查階段：在正式寫入前，先讓 Agent 搜索並審查一個適合 DSH 的插件。示例提示詞如下：
> 搜索並審查一個適合 DSH 的插件，先不要安裝。列出版本身份、安裝腳本、bundle patch 風險和建議的激活方式。 -
安裝與確認階段：確認報告內容無誤後，執行安裝並請求驗證。示例提示詞如下：
> 安裝剛纔固定的版本；在任何永久寫入前向我確認，安裝後驗證 profile 登記並給出激活方案。
安全邊界與注意事項¶
- 權限與確認：安裝和卸載必須顯式確認；審批通道存在時，審批失敗或不可用會拒絕寫入。
- 安裝限制：安裝僅接受精確 npm 版本、固定 GitHub commit，或位於
allowedFileRoots內的本地file:路徑。 - 驗證範圍：
verify只證明安裝元數據一致，不證明運行時服務、Web 客戶端或原生產物已經工作。 - 運行環境：插件以當前 DSH 進程權限運行，需審查源碼與許可證後再決定是否安裝。
激活路徑¶
根據環境不同，激活方案包含三種路徑：
* dsh-super-injector 的 dev_* 工具（開發態）。
* 用戶 cordis.patch.yml（配置態）。
* dsh-restart-resume（正式態）。
插件只給出方案，不包裝或偷偷調用其他工具。
總結¶
dsh-agent-plugin-research 是一個專注於安全與可控的 Agent 工具橋。它幫助 Agent 在擴展 DeepSeek Harness 能力時，通過強制審查、版本固定和顯式確認機制，降低引入第三方插件的風險。
