dsh-security-assurance：DeepSeek Harness 策略驅動的倉庫安全評估插件

前言¶

DeepSeek Harness 允許通過插件擴展能力。在倉庫安全領域，常見的靜態掃描工具往往只給出結果，難以追溯來源或證明結果未被篡改。dsh-security-assurance 旨在解決這一信任鏈問題，通過策略驅動的方式提供證據驅動的安全評估。

這是什麼¶

dsh-security-assurance 是 DeepSeek Harness 的策略驅動倉庫安全評估插件。它由 bailong-Hakuryu 維護，通過公開的 Harness/Cordis 接口接入，不修改 Harness Core，並將評估過程封裝爲可查詢、可恢復、可審計的版本化結果。

這是一個安全保障插件，不是通用漏洞掃描器。當前內建能力包括 Node 項目的 package.json 安裝生命週期檢查、npm 發佈面、pnpm 鎖文件完整性、GitHub Actions 權限與不可變依賴檢查，以及對凍結 npm-audit.json 和 Gitleaks v8 JSON 報告的純歸一化與獨立驗證。

核心功能¶

插件主要提供以下能力：

評估模式與 Subject：
- 支持 REPOSITORY（倉庫）、CHANGE（Mission 產出工作區）和 TARGETED 模式。
- 支持的 Subject 包括 git_revision、workspace_snapshot 和 change。
具體檢查策略：
- Node 項目：package.json 安裝生命週期檢查、npm 發佈面檢查。
- 依賴管理：pnpm 鎖文件完整性檢查。
- CI/CD：GitHub Actions 權限與不可變依賴檢查。
- 報告歸一化：對凍結的 npm-audit.json 和 Gitleaks v8 JSON 報告進行歸一化與獨立驗證。
評估檔案：
- 當前 v0.1 Analyzer 資格僅證明 security/standard 路徑。
- 若 Repository 綁定 security/deep 或 Host 自定義檔案，Catalog 會明確報告不支持。

安裝與啓用¶

該插件通過目錄安裝。由於官方未提供直接的命令行安裝指令，建議通過目錄鏈接將其註冊到 Harness 環境中。

插件運行時需要 Node.js 環境，版本要求爲 ^22.19.0 || >=24.0.0。

典型用法¶

模式選擇：使用 REPOSITORY、CHANGE 或 TARGETED 模式進行評估。
指定 Subject：通過 git_revision、workspace_snapshot 或 change 指定評估對象。
策略配置：使用默認策略 security/node-package-lifecycle，或根據需要選擇 security/npm-dependency-audit、security/secret-leak-audit、security/github-actions-supply-chain、security/npm-publish-surface 或 security/pnpm-lockfile-integrity 等策略。
發佈文件處理：通過 dsh-security-assurance-release-* 系列 CLI 工具處理發佈文件。

適用場景與注意¶

定位：主要用於安全保障，而非通用漏洞掃描。一次掃描發現不等於可審計的安全結論，因爲輸入可能被篡改、截斷，或與凍結倉庫不一致。
權限與資格：Security Assurance 只接收凍結 Subject 上的已驗證 slice。所有角色均爲 PROPOSAL_ONLY，不能審批、接受風險或決定 Verdict。
檔案限制：Security Assurance 僅支持 security/standard 路徑的 v0.1 Analyzer 資格。
許可：使用 MIT 許可證。

結語¶

該插件爲 DeepSeek Harness 提供了從證據採集到獨立驗證的安全評估閉環。若需要在插件生態中實施可審計的安全策略，可參考其文檔與目錄頁。