前言¶
DeepSeek Harness (DSH) 採用插件化架構，旨在通過模塊化組件擴展智能體的能力。在構建智能體時，項目依賴的安全性和版本維護是常見問題。dsh-dependency-audit 插件旨在解決這兩個痛點，提供基礎的依賴審計能力。
這是什麼¶
這是一個依賴安全審計工具，由開發者 uckkk 維護。它通過純 Node.js 實現，僅需聯網訪問 OSV.dev 與 npm registry。其核心作用是掃描項目依賴的安全狀態：一是通過 OSV.dev 查詢每個依賴的已知漏洞；二是對比 npm registry 檢測過期依賴。
核心功能¶
該插件提供以下兩個核心工具：
- 漏洞掃描：批量查詢 OSV.dev，返回受影響依賴的漏洞 ID、嚴重級、摘要、修復版本。
- 依賴檢查：對比已安裝 vs 最新版本，返回過期依賴與升級幅度（major/minor/patch）。
安裝與啓用¶
在終端執行以下命令安裝插件：
dsh plugin add dsh-dependency-audit
安裝完成後，需要在 profile 的配置文件 package.json 中啓用它。找到 dsh.profile.bundles 字段，將其加入插件名稱：
"dsh.profile.bundles": ["dsh-dependency-audit"]
典型用法¶
安裝並在會話中加載該插件後，可以直接調用其註冊的工具。
- 檢查已知漏洞：輸入指令或調用函數審計項目依賴。
audit_vulnerabilities(root="/workspace")
- 檢查過期依賴：查看哪些依賴過期以及升級幅度。
audit_outdated(root="/workspace")
適用場景與注意¶
- 數據來源：漏洞數據來自 OSV.dev（開源漏洞數據庫，覆蓋 GitHub Advisory 等來源），查詢免費無需 key。
- 檢查範圍：只檢查已安裝（能解析出確切版本）的依賴。
node_modules裏解析不到的依賴會被跳過。 - 生態組合：該插件與
dsh-license-guard（許可證合規）、dsh-secret-scan（密鑰掃描）構成安全三件套。 - 源碼審查：安裝即在本機運行第三方代碼，請自行審閱源碼。
