前言¶
在維護 DeepSeek Harness (DSH) Profile 時，直接依賴項（如 npm 包、GitHub 倉庫或本地 tarball）的版本狀態往往需要人工覈對。手動檢查效率低且容易遺漏，dsh-plugin-update-audit 插件提供了一種只讀的審計方案，用於盤點 Profile 並檢查各依賴項的狀態。
插件簡介¶
該插件用於 Profile 插件的只讀更新審計，隸屬於 admin-security 分類。插件由用戶 wcnm8888 維護，採用 MIT 許可證。它通過對比官方數據源，報告插件是否需要更新或存在變更。
核心功能¶
插件主要提供以下能力：
- Profile 盤點：對選定的 Profile 進行完整資產盤點。
- npm 依賴檢查：對照官方 npm Registry 的
latest版本，檢查 npm 依賴項。 - GitHub 依賴檢查：通過 GitHub API 對比倉庫當前
HEAD與版本控制中鎖定的提交，檢查上游變更。 - 本地源報告：報告本地 tarball 和目錄，並提供 SHA-256 校驗值以便人工審覈。
- 異常源報告：列出不支持的、缺失的或不可達的源，且不會中斷整個審計流程。
安裝與啓用¶
使用官方安裝命令添加插件：
dsh plugin --profile <profile> add dsh-plugin-update-audit@0.1.0
安裝完成後，需重啓 DSH Desktop 以使插件生效。
使用方法¶
在 DSH 上下文中調用 plugin_update_audit 工具，傳入目標 Profile 和配置參數：
{
"profile": "dev-lab",
"offline": false,
"timeout_ms": 10000
}
審計狀態¶
審計結果會返回特定的狀態碼，用於指導後續操作：
update_available：npm Registry 存在更新。upstream_changed：GitHub 倉庫的 HEAD 與鎖定提交不一致。local_review_required：本地或 workspace 源需要顯式重建和審覈。current、ahead、offline、unpinned、not_installed、unavailable：未做出自動更新結論。
安全與限制¶
- 只讀操作：插件絕不安裝、更新、移除或重寫任何插件。它僅進行信息讀取和報告。
- 網絡限制：插件僅訪問
registry.npmjs.org和api.github.com。如需僅盤點本地文件，需設置offline: true。 - 路徑脫敏：輸出中會屏蔽本地依賴路徑，避免敏感信息泄露。
- 操作建議：在進行任何更新前，請務必查閱發佈說明和源碼變更，創建安全快照，並逐個更新插件。更新後需重啓 DSH 並運行該插件的驗收測試。
總結¶
該工具是 DSH Profile 管理中依賴治理的輔助手段，專注於信息的透明化和可追溯性。更多細節可訪問GitHub。
