前言¶
在维护 DeepSeek Harness (DSH) Profile 时，直接依赖项（如 npm 包、GitHub 仓库或本地 tarball）的版本状态往往需要人工核对。手动检查效率低且容易遗漏，dsh-plugin-update-audit 插件提供了一种只读的审计方案，用于盘点 Profile 并检查各依赖项的状态。
插件简介¶
该插件用于 Profile 插件的只读更新审计，隶属于 admin-security 分类。插件由用户 wcnm8888 维护，采用 MIT 许可证。它通过对比官方数据源，报告插件是否需要更新或存在变更。
核心功能¶
插件主要提供以下能力：
- Profile 盘点：对选定的 Profile 进行完整资产盘点。
- npm 依赖检查：对照官方 npm Registry 的
latest版本，检查 npm 依赖项。 - GitHub 依赖检查：通过 GitHub API 对比仓库当前
HEAD与版本控制中锁定的提交，检查上游变更。 - 本地源报告：报告本地 tarball 和目录，并提供 SHA-256 校验值以便人工审核。
- 异常源报告：列出不支持的、缺失的或不可达的源，且不会中断整个审计流程。
安装与启用¶
使用官方安装命令添加插件：
dsh plugin --profile <profile> add dsh-plugin-update-audit@0.1.0
安装完成后，需重启 DSH Desktop 以使插件生效。
使用方法¶
在 DSH 上下文中调用 plugin_update_audit 工具，传入目标 Profile 和配置参数：
{
"profile": "dev-lab",
"offline": false,
"timeout_ms": 10000
}
审计状态¶
审计结果会返回特定的状态码，用于指导后续操作：
update_available：npm Registry 存在更新。upstream_changed：GitHub 仓库的 HEAD 与锁定提交不一致。local_review_required：本地或 workspace 源需要显式重建和审核。current、ahead、offline、unpinned、not_installed、unavailable：未做出自动更新结论。
安全与限制¶
- 只读操作：插件绝不安装、更新、移除或重写任何插件。它仅进行信息读取和报告。
- 网络限制：插件仅访问
registry.npmjs.org和api.github.com。如需仅盘点本地文件，需设置offline: true。 - 路径脱敏：输出中会屏蔽本地依赖路径，避免敏感信息泄露。
- 操作建议：在进行任何更新前，请务必查阅发布说明和源码变更，创建安全快照，并逐个更新插件。更新后需重启 DSH 并运行该插件的验收测试。
总结¶
该工具是 DSH Profile 管理中依赖治理的辅助手段，专注于信息的透明化和可追溯性。更多细节可访问GitHub。
