DeepSeek Harness 密鑰保險庫插件

在 DeepSeek Harness（DSH）的插件化生態中，API 密鑰的管理與安全暴露是智能體開發中的高頻痛點。手動管理或硬編碼在配置文件中不僅效率低下，還容易在對話上下文或工具輸出中無意泄露敏感信息。dsh-keyring 插件通過自動脫敏與全局收納機制，解決了這一問題，爲 DSH 提供了一個跨重啓持久的密鑰管理方案。

插件定位¶

dsh-keyring 是 DeepSeek Harness（DSH）的密鑰保險庫插件，由開發者 re-ITRT 維護。它屬於 admin-security 類別，採用 MIT 許可證。該插件以官方 profile bundle（npm 包）形態存在，支持密鑰自動脫敏、自動收納進全局密碼本、設置頁 UI 管理以及跨重啓持久化。

核心功能¶

1. 密鑰自動脫敏與收納¶

插件內置脫敏引擎，覆蓋常見的敏感前綴與格式，參照 Hermes 規則實現。當密鑰出現在用戶消息（agent/pre-step）或工具輸出（tools/post-execute）中時，會自動進行遮罩處理，同時將原文收納進全局密碼本。

支持的敏感項包括：
* 廠商前綴：ghp_ / github_pat_ / gho_、sk- / sk-ant-、AIza、AKIA、xox* / xapp-、hf_、glpat- 等。
* 賦值形態：環境變量（KEY=value）、YAML/JSON 字段（password、apiKey）、請求頭（Authorization:、x-api-key:）。
* 其他：數據庫連接串密碼、URL 裸 token。

遮罩規則：
* 短 token（<18 字符）：整段顯示爲 ***。
* 長 token：保留前 6 位和後 4 位，中間用 **** 替代。

2. 雙層存儲¶

插件支持兩種作用域的存儲，滿足不同場景需求：
* 全局存儲（scope=global）： 跨會話、跨重啓持久。數據存儲於 dsh 憑據文件（.credentials.yaml），文件權限設爲 0600。
* 會話級存儲（scope=session）： 僅存在於當前會話內，不寫入全局文件。當會話結束或清理時，條目自動消失。

3. 模型工具¶

插件提供四個模型工具，供 Agent 調用：
* keyring_store：保存或更新密鑰。
* keyring_get：獲取密鑰原文，供當前操作使用。
* keyring_list：列出鍵名及元數據，不返回值。
* keyring_unset：刪除指定密鑰。

4. 設置頁「密碼本」¶

在 DSH 的 Web 界面中，可通過「設置 → 密碼本」訪問該功能。
* 管理： 支持新增、編輯、刪除全局條目。
* 交互： 支持顯示/隱藏原文、一鍵複製、生成隨機強密碼。
* 樣式： 跟隨 DSH 主題，支持深淺色模式適配，且提供中英雙語文案。

安裝與啓用¶

以官方 profile bundle 形態安裝，重啓 dsh web 後自動加載。

dsh plugin --profile web add dsh-keyring

安裝完成後，插件會自動加入 dsh.profile.bundles，重啓 dsh web 即可生效。

典型用法¶

使用工具管理密鑰¶

Agent 可以直接調用模型工具進行操作。

# 保存密鑰
keyring_store(scope="global", key="GITHUB_TOKEN", value="ghp_xxxxx")

# 獲取密鑰
token = keyring_get(scope="global", key="GITHUB_TOKEN")

# 列出所有鍵
keys = keyring_list(scope="global")

# 刪除密鑰
keyring_unset(scope="global", key="GITHUB_TOKEN")

通過 UI 管理憑據¶

打開 DSH Web 界面。
進入「設置」菜單。
點擊「密碼本」選項卡。
在列表中查看全局條目，點擊「複製」或「顯示/隱藏」進行操作。

注意事項¶

存儲安全性： 插件不做真加密存儲，僅通過文件系統權限保護（0600）來防止未授權訪問。請確保系統用戶權限安全。
密鑰輪換： 不提供密鑰的自動失效或輪換機制，需要手動管理。
URL Token： Web URL 查詢參數裏的 token 默認不脫敏，以支持合法的 OAuth 回調場景（與 Hermes 行爲一致）。
會話清理： 不自動清理會話級條目，條目隨會話生命週期自然消失。

總結¶

dsh-keyring 是 DSH 生態中處理敏感信息的實用工具。它通過自動脫敏和雙層存儲機制，在保障開發便利性的同時，降低了密鑰泄露的風險。開發者可以通過 CLI 工具或 Web UI 統一管理憑據，適合需要在智能體開發中頻繁切換或處理多種 API 密鑰的場景。

相關鏈接：
* 插件目錄：https://www.skillhub.cn/plugins/re-ITRT/dsh-keyring
* GitHub 倉庫：https://github.com/re-ITRT/dsh-keyring