前言¶
做数据相关功能时，个人信息保护法、数据安全法往往已有专门检查插件；但若业务实际落在上海或深圳，还有《上海市数据条例》《深圳经济特区数据条例》在国家法之外多出来的要求。这些条款分散在人脸采集标识、对外提供个人数据的去标识化、用户画像明示、敏感数据责任人、处理记录、对外接口制度、数据销毁规程等场景里，单靠通读法规很难在发版前系统对照代码库。
DeepSeek Harness（DSH）把能力拆成可安装的插件。feely0208/dsh-local-regulation（npm 包名 @deepwhale-cn/dsh-local-regulation）属于 admin-security 类，由维护者 feely0208 发布，用 7 条可静态检测的判据扫仓库，提示「地方多出来的那一层」可能漏了什么；它不替代国家法插件，也不出具法律意见。
这是什么、不是什么¶
是：把上述两市条例里能靠读代码与文档静态核对的要求，落成 7 条规则，输出文件、证据、依据条文与人工确认建议。不满足触发条件的规则会进入「因不适用本项目未运行」，避免假绿。
不是：
- 不是国家法全覆盖；PIPL、数据安全法等常规项另有专门插件。
- 不判断实际运营地；是否适用上海、深圳需法务/合规人工确认。
- 不做动态检测；线下标识、内部制度、真实审批记录扫不到。
- 命中表示「值得人工确认」，不是「违法」；不承诺保证通过或绝对合规。
一句话：国家法管全国，本插件只管上海、深圳多出来的那一层。
七条判据与触发条件¶
每条规则先用 when 限定场景，再检查项目里是否缺少对应说明或制度文本（项目级 absence 时位置可能显示为 **/*）。
| 规则 ID | 查什么 | 级别 |
|---|---|---|
LR-SH-23 |
人脸识别 / 图像采集：显著标识与非唯一验证方式说明（上海条例第二十三条） | 中 |
LR-SZ-26 |
对外提供个人数据：去标识化处理（深圳条例第二十六条） | 高 |
LR-SZ-29 |
用户画像 / 个性化推荐：用途、规则与拒绝途径（深圳第二十九条） | 中 |
LR-SZ-73 |
敏感个人数据 / 重要数据：安全管理机构与责任人（深圳第七十三条） | 高 |
LR-SZ-75 |
数据处理全流程记录与来源合法性（深圳第七十五条） | 中 |
LR-SZ-79 |
数据共享开放与对外接口：安全管理制度（深圳第七十九条） | 中 |
LR-SZ-80 |
数据销毁规程（深圳第八十条） | 中 |
触发条件摘要（不满足则不跑该条）：
LR-SH-23：依赖或代码中出现常见人脸 SDK /FaceEngine、detectFace等。LR-SZ-26：同一文件里同时有导出动作与个人字段（身份证、手机号等）。LR-SZ-29：用户画像、推荐相关依赖或关键词。LR-SZ-73：schema / 模型 / 建表 SQL 含身份证、银行卡、生物特征等敏感字段。LR-SZ-75：抓取、读库、读文件等数据处理入口（如scrapy、requests.get、pd.read_等）。LR-SZ-79：REST / GraphQL / webhook / OpenAPI 等对外接口并返回用户或业务字段。LR-SZ-80：硬删除、物理删除、DELETE FROM、purge等销毁相关代码。
判据与法规对照见仓库内 docs/规则依据.md；适用范围确认流程见 docs/适用范围.md。报告头部和页脚会重复「仅上海 / 深圳、需人工确认运营地」的提示。
安装与启用¶
插件以当前 DSH 进程权限运行，安装前请自行查看 GitHub 仓库 源码与 MIT 许可证。
在 DSH 中执行官方安装命令：
dsh plugin --profile web add @deepwhale-cn/dsh-local-regulation
package.json 要求 Node >=18，DSH 引擎 >=0.1.0-rc.6 <0.3.0。
典型用法¶
安装后使用 CLI dsh-local-regulation（与会话内 skill 调用同一套逻辑）。
检查当前项目：
dsh-local-regulation
指定目录、演示样本、列出规则：
dsh-local-regulation --root /path/to/project
dsh-local-regulation --demo
dsh-local-regulation --list-rules
导出 HTML 报告，或在 CI 中有 high 级别命中时以退出码 1 失败：
dsh-local-regulation --root /path/to/project --html local-regulation.html
dsh-local-regulation --root . --quiet
在 DSH 会话里也可以直接说：「按上海、深圳的数据条例查一下这个项目」，配套 skill 会调用同一 CLI。
内置 --demo 样本「星链会员平台」模拟上海、深圳在营却未落地地方要求的情形（人脸核验无标识说明、合作方批量导出无去标识化、画像无关闭入口等），README 中给出了与 7 条规则对应的文件示例；整改后的 clean-project fixtures 用于验证合规写法不会误报。
适用场景与边界¶
适合：交付或合规评审前，对可能适用上海、深圳地方数据条例的项目做静态自查；与等保、日志留存、用户同意等国法/专项插件配套使用（同属深鲸网安守护系列中的「地方数据条例」项）。
务必注意：
- 只覆盖上海、深圳；北京、广东全省等其他地方规则不在范围内。
- 「找到关键词」不等于制度已执行；「没找到」也可能说明在内部知识库或线下物料里。
- 默认跳过
node_modules、dist、build等目录；敏感字段若只在tests/fixtures里也可能触发，需人工判断。 - 插件不提供法律意见；运营地、线下标识与责任人履职均需人工确认。
结尾¶
dsh-local-regulation 把上海、深圳地方数据条例里可静态核对的几类缺口收成 7 条判据，在国家法插件之外补一层交付前对照，并明确不适用场景的「未运行」列表，减少误报与假绿。
