前言¶
代碼審計中常遇到一個問題：引入一段開源代碼並修改後，它在法律上是否仍受上游許可證約束？經過大量修改，代碼的表達形式可能完全不同，但底層邏輯和語法結構可能保留了高度相似性。DeepSeek Harness (DSH) 插件 code-ownership-audit 通過純本地的 AST（抽象語法樹）靜態分析，解決這一痛點。
核心功能¶
該插件的核心能力包括：
- 純 AST 靜態分析：對比代碼的 AST 節點，而非單純的文本行匹配，能識別出深層邏輯的相似性。
- 零第三方依賴：審計引擎僅依賴 Python 標準庫，不引入外部包。
- 本地執行，零隱私泄露：代碼不出本機，不調用任何 LLM，不聯網（免費檔）。
- 雙形態共享：Agent Skill 和 DSH Plugin 共享同一套
audit.py引擎，按需選用。 - 兩檔報告：提供免費預覽與付費完整版兩種輸出。
- x402 協議付款：付費檔支持通過支付寶 AI 錢包進行驗證，僅驗證資金並簽發憑證，不存儲代碼。
- 純淨工程：DSH 插件層爲純 ESM JavaScript，零構建、零運行時依賴。
安裝與啓用¶
在 DSH 環境中，可以通過官方安裝命令直接添加該插件：
dsh plugin --profile web add github:ffseika0304/code-ownership-audit
安裝後重啓 profile 使 bundle 層生效：
dsh --profile web
插件隨即出現在模型可見的技能目錄中。啓用後，你可以直接在對話中提問，例如：
- 「幫我做個代碼所有權體檢」
- 「用 code-ownership-audit 檢查 ./my-code 相對 ./upstream 的所有權情況」
典型用法¶
在終端中直接運行 audit.py 即可。目標和參照可以是單個 .py 文件或整個目錄。
1. 免費預覽（推薦用於快速篩查）：
python audit.py <你的代碼> --reference <上游代碼> --tier preview
該檔位輸出風險總數、類型分佈和一句話摘要，完全離線。
2. 完整報告（用於正式交付或自查）：
python audit.py <你的代碼> --reference <上游代碼> --tier full
該檔位輸出具體行號、修復建議、可導出的 md/json 文件以及服務器簽名的審計憑證。
報告與定價¶
插件提供兩種報告檔位，具體區別如下：
- 免費預覽：免費、不限次。包含風險總數、類型分佈和一句話摘要。完全離線，不構造行號與建議字段。
- 完整報告：¥0.2 / 次。包含代碼位置、具體行號、逐條修復建議、md/json 導出以及服務器簽名審計憑證。
完整報告的本地計算結果保持可讀性，付費解鎖的是帶簽名的認證交付物，用於存檔或交付給甲方。
隱私與安全¶
- 網絡訪問：免費檔零網絡訪問；僅付費檔的付款步驟會聯網訪問支付預言機。
- 數據存儲：不接收也不存儲任何代碼。
- 模型調用：不調用任何 LLM。
- 驗籤機制：回執使用內嵌公鑰離線驗籤，任何字段篡改都會導致失敗。
注意事項¶
本工具給出的是技術事實（哪些表達相同、相同到什麼程度），不構成法律意見。最終的法律判斷請諮詢專業人士。本項目與 DeepSeek AI 無隸屬關係，非官方插件。
結尾¶
code-ownership-audit 適合在引入開源代碼、淨室重寫（clean-room rewrite）或交付前自查等場景使用。其本地化處理方式和清晰的報告分級，使其成爲合規審計的有力輔助工具。
