dsh-security-assurance：DeepSeek Harness 策略驱动的仓库安全评估插件

前言¶

DeepSeek Harness 允许通过插件扩展能力。在仓库安全领域，常见的静态扫描工具往往只给出结果，难以追溯来源或证明结果未被篡改。dsh-security-assurance 旨在解决这一信任链问题，通过策略驱动的方式提供证据驱动的安全评估。

这是什么¶

dsh-security-assurance 是 DeepSeek Harness 的策略驱动仓库安全评估插件。它由 bailong-Hakuryu 维护，通过公开的 Harness/Cordis 接口接入，不修改 Harness Core，并将评估过程封装为可查询、可恢复、可审计的版本化结果。

这是一个安全保障插件，不是通用漏洞扫描器。当前内建能力包括 Node 项目的 package.json 安装生命周期检查、npm 发布面、pnpm 锁文件完整性、GitHub Actions 权限与不可变依赖检查，以及对冻结 npm-audit.json 和 Gitleaks v8 JSON 报告的纯归一化与独立验证。

核心功能¶

插件主要提供以下能力：

评估模式与 Subject：
- 支持 REPOSITORY（仓库）、CHANGE（Mission 产出工作区）和 TARGETED 模式。
- 支持的 Subject 包括 git_revision、workspace_snapshot 和 change。
具体检查策略：
- Node 项目：package.json 安装生命周期检查、npm 发布面检查。
- 依赖管理：pnpm 锁文件完整性检查。
- CI/CD：GitHub Actions 权限与不可变依赖检查。
- 报告归一化：对冻结的 npm-audit.json 和 Gitleaks v8 JSON 报告进行归一化与独立验证。
评估档案：
- 当前 v0.1 Analyzer 资格仅证明 security/standard 路径。
- 若 Repository 绑定 security/deep 或 Host 自定义档案，Catalog 会明确报告不支持。

安装与启用¶

该插件通过目录安装。由于官方未提供直接的命令行安装指令，建议通过目录链接将其注册到 Harness 环境中。

插件运行时需要 Node.js 环境，版本要求为 ^22.19.0 || >=24.0.0。

典型用法¶

模式选择：使用 REPOSITORY、CHANGE 或 TARGETED 模式进行评估。
指定 Subject：通过 git_revision、workspace_snapshot 或 change 指定评估对象。
策略配置：使用默认策略 security/node-package-lifecycle，或根据需要选择 security/npm-dependency-audit、security/secret-leak-audit、security/github-actions-supply-chain、security/npm-publish-surface 或 security/pnpm-lockfile-integrity 等策略。
发布文件处理：通过 dsh-security-assurance-release-* 系列 CLI 工具处理发布文件。

适用场景与注意¶

定位：主要用于安全保障，而非通用漏洞扫描。一次扫描发现不等于可审计的安全结论，因为输入可能被篡改、截断，或与冻结仓库不一致。
权限与资格：Security Assurance 只接收冻结 Subject 上的已验证 slice。所有角色均为 PROPOSAL_ONLY，不能审批、接受风险或决定 Verdict。
档案限制：Security Assurance 仅支持 security/standard 路径的 v0.1 Analyzer 资格。
许可：使用 MIT 许可证。

结语¶

该插件为 DeepSeek Harness 提供了从证据采集到独立验证的安全评估闭环。若需要在插件生态中实施可审计的安全策略，可参考其文档与目录页。