前言¶
在 DeepSeek Harness（DSH）里写 prompt、看日志、对比 diff 或整理待分享文件时，很容易把 GitHub Token、云厂商密钥或私钥块一并贴进上下文。常见做法是人工扫一眼再删，既慢也容易漏；把整段内容丢到在线检测服务，又涉及外传与合规风险。下面介绍社区插件 dsh-secret-guard（维护者 lengrufeng2008，分类 admin-security）：在本地用规则匹配做凭证扫描与脱敏，命中内容以脱敏形式返回，完整密钥不会从工具结果里回传。
这是什么¶
dsh-secret-guard 的定位是：面向 DSH 的 纯本地 凭证扫描与 redaction，覆盖 prompt、日志、diff 与文件等文本场景。项目自述为独立实现的小型扫描器，受常见 secret-scanning 思路启发，未复制特定上游源码；许可证 MIT（见 GitHub README）。当前 package.json 中版本为 0.1.0，运行环境要求 Node.js >= 20。
社区目录页：https://www.skillhub.cn/plugins/lengrufeng2008/dsh-secret-guard（SkillHub 为中国用户整理的 DSH 插件索引，与 DeepSeek / 幻方无官方从属关系）。源码：https://github.com/lengrufeng2008/dsh-secret-guard。
核心功能¶
README 与 package.json 中可核对的能力如下。
- 扫描（scan）：在本地文本中按规则查找疑似凭证；发现项以脱敏形式呈现，不返回完整秘密。
- 脱敏（redact）：对已有文本做替换处理，便于分享前处理日志或 diff。
- 规则覆盖范围：GitHub tokens、AWS keys、OpenAI 风格 key、PEM 私钥块、JWT 类 token，以及「已赋值」的凭证样式字段（pattern-based，见 README Rules 节）。
- DSH 集成：通过插件导出与 bundle patch（
plugin/cordis.patch.yml）接入 Harness；可在对话中用自然语言触发技能（见下文典型用法）。 - CLI：仓库提供
bin/dsh-secret-guard.mjs，可在不经过 DSH 的情况下对文件或 stdin 做同样处理。
边界与限制¶
使用前宜先看清 README 的 Limits，避免误用：
- 基于 模式匹配，不做熵分析、AST 解析，也不对接 secret manager。
- 扫描无命中不能证明文档里一定没有秘密。
- 脱敏可能破坏语法（例如 JSON、代码），输出需人工复核。
- 无网络、无遥测、默认不写盘（redact 管道场景下由你在终端侧决定如何保存）。
安装与启用¶
DSH 生态强调「一切皆插件」。目录页给出的安装方式是向 Harness 说明要安装的插件标识 lengrufeng2008/dsh-secret-guard（页面文案为「请安装 DSH 插件 lengrufeng2008/dsh-secret-guard」）。具体命令以你当前 DSH 版本与目录页完整说明为准；不要在未核对文档的情况下自行拼接未在资料中出现的安装命令。
安装前建议：
- 在 GitHub 阅读
README.md、LICENSE与NOTICE.md，确认源码与许可证可接受。 - 确认本机 Node >= 20（见 package.json
engines）。 - 记住插件以 当前 dsh 进程权限 运行，能读到的文件与上下文都会进入扫描逻辑；仅应在可信环境启用。
典型用法¶
命令行¶
对单个文件扫描：
node bin/dsh-secret-guard.mjs --file notes.txt
从标准输入读入并脱敏（示例为管道）：
cat notes.txt | node bin/dsh-secret-guard.mjs --redact
上述命令需在克隆或解压后的插件仓库根目录执行，或保证 node 能解析到 bin/dsh-secret-guard.mjs 路径。
在 DSH 对话中¶
README 给出的提示示例：
Use secret_scan on this text.
Use secret_redact before sharing this file.
实际措辞可按你的 Harness 语言习惯调整，核心是调用插件提供的 secret_scan / secret_redact 能力，在分享或提交前处理文本。
自测¶
维护者在仓库内提供测试，测试用 token 在运行时构造，仓库不提交真实凭证：
npm test
适用场景与注意¶
适合：在本地整理要贴进 issue、文档或群里的日志片段；提交 diff 前快速扫常见 token 样式；在 DSH 会话里对一段 prompt 做分享前检查。
不适合：作为唯一的安全门禁或合规审计工具；替代专业 SAST/密钥管理平台；在未经复核的情况下直接发布脱敏后的生产配置。
再次强调：pattern 扫描会有漏报与误报；脱敏后务必打开结果确认结构与语义仍可用。
结尾¶
dsh-secret-guard 把「找密钥」和「打码」收在本地进程里，与 DSH 的 prompt、日志、diff、文件工作流对齐，并明确不联网、不上报。需要安装与更新信息时查 SkillHub 目录页；需要规则细节、CLI 与 Limits 时查 GitHub 仓库 README。
- 目录页：https://www.skillhub.cn/plugins/lengrufeng2008/dsh-secret-guard
- GitHub：https://github.com/lengrufeng2008/dsh-secret-guard
