前言¶
在 DeepSeek Harness（DSH）裏裝插件、接 Skill，常見做法是看 README 或人工翻代碼，判斷會不會執行 shell、髮網絡請求、寫磁盤、讀環境變量裏的憑據。項目一多、目錄嵌套一深，這種排查成本高，也容易漏掉高風險文件。下面介紹 @deepwhale-cn/dsh-capability-audit（社區倉庫 feely0208/dsh-capability-audit，分類 admin-security）：對目標目錄做靜態掃描，彙總能力分佈並標出高風險文件；不聯網、不執行被掃描代碼，適合安裝前或評審時的能力面覈對。
這是什麼¶
深鯨能力清單由 feely0208 維護（npm 包名 @deepwhale-cn/dsh-capability-audit，當前資料版本 0.1.0，MIT 許可證）。它解決的是「一眼看清某段代碼/某個插件實際用了哪些敏感能力」的問題，與單純依賴運行時攔截不同，這裏只做源碼級模式識別與歸類。
核心功能¶
依據 README 與包描述，掃描結果覆蓋下列能力類型（資料原文列舉）：
- 執行命令
- 網絡請求
- 寫文件
- 讀憑據
- 讀用戶目錄
- 常駐進程
輸出側重能力分佈與高風險文件列表，便於對照 admin-security 類插件的管理預期。實現上依賴 @deepwhale-cn/dsh-guard-core（package.json 中 ^0.10.1），並在 DSH Web 側注入客戶端運行時；側欄面板名稱爲「深鯨能力清單」。
安裝與啓用¶
DSH 要求：dsh 版本 >=0.1.0-rc.6 <0.3.0，Node >=18。Web 配置檔安裝命令如下（須與官方 README 一致）：
dsh plugin --profile web add @deepwhale-cn/dsh-capability-audit
安裝前請自行查看 GitHub 源碼與 LICENSE，確認與團隊安全策略一致。插件隨當前 DSH 進程權限運行；僅因「只讀掃描」而放鬆對第三方包的審查並不合適。
典型用法¶
命令行對指定目錄做審計（README 示例路徑可按實際替換）：
dsh-capability-audit --input ./plugins/xxx
上述命令對 ./plugins/xxx 做靜態分析。若已按 Web profile 安裝，還可在 DSH 界面側欄打開「深鯨能力清單」查看結果。全程不訪問外網、不運行目標項目裏的可執行邏輯。
適用場景與注意¶
適合：維護 DSH 插件清單的開發者、需要在接入前做能力面盤點的團隊、關注 admin-security 分類的管理員。
注意：
- 靜態規則無法等價於完整形式化驗證，結論應作爲人工複覈的輸入，而非唯一依據。
- 掃描對象路徑由
--input或面板操作指定，誤掃含敏感數據的目錄時，結果本身也可能暴露結構信息，請在受控環境使用。 - 社區目錄頁（SkillHub）與 GitHub 爲獨立信息源，與 DeepSeek / 幻方無官方從屬關係；版本與星標以各站點當時展示爲準（資料中 GitHub 星標爲 0）。
結尾¶
深鯨能力清單把「執行命令 / 網絡 / 寫文件 / 讀憑據」等能力從代碼裏抽成可讀的清單，配合 CLI 與 Web 側欄，適合 DSH 生態裏插件接入前的靜態覈對。
- 目錄頁：https://www.skillhub.cn/plugins/feely0208/dsh-capability-audit
- 源碼與 issue：https://github.com/feely0208/dsh-capability-audit
