前言¶
DeepSeek Harness (DSH) 采用插件化架构，旨在通过模块化组件扩展智能体的能力。在构建智能体时，项目依赖的安全性和版本维护是常见问题。dsh-dependency-audit 插件旨在解决这两个痛点，提供基础的依赖审计能力。
这是什么¶
这是一个依赖安全审计工具，由开发者 uckkk 维护。它通过纯 Node.js 实现，仅需联网访问 OSV.dev 与 npm registry。其核心作用是扫描项目依赖的安全状态：一是通过 OSV.dev 查询每个依赖的已知漏洞；二是对比 npm registry 检测过期依赖。
核心功能¶
该插件提供以下两个核心工具：
- 漏洞扫描：批量查询 OSV.dev，返回受影响依赖的漏洞 ID、严重级、摘要、修复版本。
- 依赖检查：对比已安装 vs 最新版本，返回过期依赖与升级幅度（major/minor/patch）。
安装与启用¶
在终端执行以下命令安装插件：
dsh plugin add dsh-dependency-audit
安装完成后，需要在 profile 的配置文件 package.json 中启用它。找到 dsh.profile.bundles 字段，将其加入插件名称：
"dsh.profile.bundles": ["dsh-dependency-audit"]
典型用法¶
安装并在会话中加载该插件后，可以直接调用其注册的工具。
- 检查已知漏洞：输入指令或调用函数审计项目依赖。
audit_vulnerabilities(root="/workspace")
- 检查过期依赖：查看哪些依赖过期以及升级幅度。
audit_outdated(root="/workspace")
适用场景与注意¶
- 数据来源：漏洞数据来自 OSV.dev（开源漏洞数据库，覆盖 GitHub Advisory 等来源），查询免费无需 key。
- 检查范围：只检查已安装（能解析出确切版本）的依赖。
node_modules里解析不到的依赖会被跳过。 - 生态组合：该插件与
dsh-license-guard（许可证合规）、dsh-secret-scan（密钥扫描）构成安全三件套。 - 源码审查：安装即在本机运行第三方代码，请自行审阅源码。
