前言¶
在 DeepSeek Harness（DSH）里装插件、接 Skill，常见做法是看 README 或人工翻代码，判断会不会执行 shell、发网络请求、写磁盘、读环境变量里的凭据。项目一多、目录嵌套一深，这种排查成本高，也容易漏掉高风险文件。下面介绍 @deepwhale-cn/dsh-capability-audit（社区仓库 feely0208/dsh-capability-audit，分类 admin-security）：对目标目录做静态扫描，汇总能力分布并标出高风险文件；不联网、不执行被扫描代码，适合安装前或评审时的能力面核对。
这是什么¶
深鲸能力清单由 feely0208 维护（npm 包名 @deepwhale-cn/dsh-capability-audit，当前资料版本 0.1.0，MIT 许可证）。它解决的是「一眼看清某段代码/某个插件实际用了哪些敏感能力」的问题，与单纯依赖运行时拦截不同，这里只做源码级模式识别与归类。
核心功能¶
依据 README 与包描述，扫描结果覆盖下列能力类型（资料原文列举）：
- 执行命令
- 网络请求
- 写文件
- 读凭据
- 读用户目录
- 常驻进程
输出侧重能力分布与高风险文件列表，便于对照 admin-security 类插件的管理预期。实现上依赖 @deepwhale-cn/dsh-guard-core（package.json 中 ^0.10.1），并在 DSH Web 侧注入客户端运行时；侧栏面板名称为「深鲸能力清单」。
安装与启用¶
DSH 要求：dsh 版本 >=0.1.0-rc.6 <0.3.0，Node >=18。Web 配置档安装命令如下（须与官方 README 一致）：
dsh plugin --profile web add @deepwhale-cn/dsh-capability-audit
安装前请自行查看 GitHub 源码与 LICENSE，确认与团队安全策略一致。插件随当前 DSH 进程权限运行；仅因「只读扫描」而放松对第三方包的审查并不合适。
典型用法¶
命令行对指定目录做审计（README 示例路径可按实际替换）：
dsh-capability-audit --input ./plugins/xxx
上述命令对 ./plugins/xxx 做静态分析。若已按 Web profile 安装，还可在 DSH 界面侧栏打开「深鲸能力清单」查看结果。全程不访问外网、不运行目标项目里的可执行逻辑。
适用场景与注意¶
适合：维护 DSH 插件清单的开发者、需要在接入前做能力面盘点的团队、关注 admin-security 分类的管理员。
注意：
- 静态规则无法等价于完整形式化验证，结论应作为人工复核的输入，而非唯一依据。
- 扫描对象路径由
--input或面板操作指定，误扫含敏感数据的目录时，结果本身也可能暴露结构信息，请在受控环境使用。 - 社区目录页（SkillHub）与 GitHub 为独立信息源，与 DeepSeek / 幻方无官方从属关系；版本与星标以各站点当时展示为准（资料中 GitHub 星标为 0）。
结尾¶
深鲸能力清单把「执行命令 / 网络 / 写文件 / 读凭据」等能力从代码里抽成可读的清单，配合 CLI 与 Web 侧栏，适合 DSH 生态里插件接入前的静态核对。
- 目录页：https://www.skillhub.cn/plugins/feely0208/dsh-capability-audit
- 源码与 issue：https://github.com/feely0208/dsh-capability-audit
