前言¶
代码审计中常遇到一个问题：引入一段开源代码并修改后，它在法律上是否仍受上游许可证约束？经过大量修改，代码的表达形式可能完全不同，但底层逻辑和语法结构可能保留了高度相似性。DeepSeek Harness (DSH) 插件 code-ownership-audit 通过纯本地的 AST（抽象语法树）静态分析，解决这一痛点。
核心功能¶
该插件的核心能力包括：
- 纯 AST 静态分析：对比代码的 AST 节点，而非单纯的文本行匹配，能识别出深层逻辑的相似性。
- 零第三方依赖：审计引擎仅依赖 Python 标准库，不引入外部包。
- 本地执行，零隐私泄露：代码不出本机，不调用任何 LLM，不联网（免费档）。
- 双形态共享：Agent Skill 和 DSH Plugin 共享同一套
audit.py引擎，按需选用。 - 两档报告：提供免费预览与付费完整版两种输出。
- x402 协议付款：付费档支持通过支付宝 AI 钱包进行验证，仅验证资金并签发凭证，不存储代码。
- 纯净工程：DSH 插件层为纯 ESM JavaScript，零构建、零运行时依赖。
安装与启用¶
在 DSH 环境中，可以通过官方安装命令直接添加该插件：
dsh plugin --profile web add github:ffseika0304/code-ownership-audit
安装后重启 profile 使 bundle 层生效：
dsh --profile web
插件随即出现在模型可见的技能目录中。启用后，你可以直接在对话中提问，例如：
- 「帮我做个代码所有权体检」
- 「用 code-ownership-audit 检查 ./my-code 相对 ./upstream 的所有权情况」
典型用法¶
在终端中直接运行 audit.py 即可。目标和参照可以是单个 .py 文件或整个目录。
1. 免费预览（推荐用于快速筛查）：
python audit.py <你的代码> --reference <上游代码> --tier preview
该档位输出风险总数、类型分布和一句话摘要，完全离线。
2. 完整报告（用于正式交付或自查）：
python audit.py <你的代码> --reference <上游代码> --tier full
该档位输出具体行号、修复建议、可导出的 md/json 文件以及服务器签名的审计凭证。
报告与定价¶
插件提供两种报告档位，具体区别如下：
- 免费预览：免费、不限次。包含风险总数、类型分布和一句话摘要。完全离线，不构造行号与建议字段。
- 完整报告：¥0.2 / 次。包含代码位置、具体行号、逐条修复建议、md/json 导出以及服务器签名审计凭证。
完整报告的本地计算结果保持可读性，付费解锁的是带签名的认证交付物，用于存档或交付给甲方。
隐私与安全¶
- 网络访问：免费档零网络访问；仅付费档的付款步骤会联网访问支付预言机。
- 数据存储：不接收也不存储任何代码。
- 模型调用：不调用任何 LLM。
- 验签机制：回执使用内嵌公钥离线验签，任何字段篡改都会导致失败。
注意事项¶
本工具给出的是技术事实（哪些表达相同、相同到什么程度），不构成法律意见。最终的法律判断请咨询专业人士。本项目与 DeepSeek AI 无隶属关系，非官方插件。
结尾¶
code-ownership-audit 适合在引入开源代码、净室重写（clean-room rewrite）或交付前自查等场景使用。其本地化处理方式和清晰的报告分级，使其成为合规审计的有力辅助工具。
