前言¶
在 DeepSeek Harness（DSH）裏寫 prompt、看日誌、對比 diff 或整理待分享文件時，很容易把 GitHub Token、雲廠商密鑰或私鑰塊一併貼進上下文。常見做法是人工掃一眼再刪，既慢也容易漏；把整段內容丟到在線檢測服務，又涉及外傳與合規風險。下面介紹社區插件 dsh-secret-guard（維護者 lengrufeng2008，分類 admin-security）：在本地用規則匹配做憑證掃描與脫敏，命中內容以脫敏形式返回，完整密鑰不會從工具結果裏回傳。
這是什麼¶
dsh-secret-guard 的定位是：面向 DSH 的 純本地 憑證掃描與 redaction，覆蓋 prompt、日誌、diff 與文件等文本場景。項目自述爲獨立實現的小型掃描器，受常見 secret-scanning 思路啓發，未複製特定上游源碼；許可證 MIT（見 GitHub README）。當前 package.json 中版本爲 0.1.0，運行環境要求 Node.js >= 20。
社區目錄頁：https://www.skillhub.cn/plugins/lengrufeng2008/dsh-secret-guard（SkillHub 爲中國用戶整理的 DSH 插件索引，與 DeepSeek / 幻方無官方從屬關係）。源碼：https://github.com/lengrufeng2008/dsh-secret-guard。
核心功能¶
README 與 package.json 中可覈對的能力如下。
- 掃描（scan）：在本地文本中按規則查找疑似憑證；發現項以脫敏形式呈現，不返回完整祕密。
- 脫敏（redact）：對已有文本做替換處理，便於分享前處理日誌或 diff。
- 規則覆蓋範圍：GitHub tokens、AWS keys、OpenAI 風格 key、PEM 私鑰塊、JWT 類 token，以及「已賦值」的憑證樣式字段（pattern-based，見 README Rules 節）。
- DSH 集成：通過插件導出與 bundle patch（
plugin/cordis.patch.yml）接入 Harness；可在對話中用自然語言觸發技能（見下文典型用法）。 - CLI：倉庫提供
bin/dsh-secret-guard.mjs，可在不經過 DSH 的情況下對文件或 stdin 做同樣處理。
邊界與限制¶
使用前宜先看清 README 的 Limits，避免誤用：
- 基於 模式匹配，不做熵分析、AST 解析，也不對接 secret manager。
- 掃描無命中不能證明文檔裏一定沒有祕密。
- 脫敏可能破壞語法（例如 JSON、代碼），輸出需人工複覈。
- 無網絡、無遙測、默認不寫盤（redact 管道場景下由你在終端側決定如何保存）。
安裝與啓用¶
DSH 生態強調「一切皆插件」。目錄頁給出的安裝方式是向 Harness 說明要安裝的插件標識 lengrufeng2008/dsh-secret-guard（頁面文案爲「請安裝 DSH 插件 lengrufeng2008/dsh-secret-guard」）。具體命令以你當前 DSH 版本與目錄頁完整說明爲準；不要在未覈對文檔的情況下自行拼接未在資料中出現的安裝命令。
安裝前建議：
- 在 GitHub 閱讀
README.md、LICENSE與NOTICE.md，確認源碼與許可證可接受。 - 確認本機 Node >= 20（見 package.json
engines）。 - 記住插件以 當前 dsh 進程權限 運行，能讀到的文件與上下文都會進入掃描邏輯；僅應在可信環境啓用。
典型用法¶
命令行¶
對單個文件掃描：
node bin/dsh-secret-guard.mjs --file notes.txt
從標準輸入讀入並脫敏（示例爲管道）：
cat notes.txt | node bin/dsh-secret-guard.mjs --redact
上述命令需在克隆或解壓後的插件倉庫根目錄執行，或保證 node 能解析到 bin/dsh-secret-guard.mjs 路徑。
在 DSH 對話中¶
README 給出的提示示例：
Use secret_scan on this text.
Use secret_redact before sharing this file.
實際措辭可按你的 Harness 語言習慣調整，核心是調用插件提供的 secret_scan / secret_redact 能力，在分享或提交前處理文本。
自測¶
維護者在倉庫內提供測試，測試用 token 在運行時構造，倉庫不提交真實憑證：
npm test
適用場景與注意¶
適合：在本地整理要貼進 issue、文檔或羣裏的日誌片段；提交 diff 前快速掃常見 token 樣式；在 DSH 會話裏對一段 prompt 做分享前檢查。
不適合：作爲唯一的安全門禁或合規審計工具；替代專業 SAST/密鑰管理平臺；在未經複覈的情況下直接發佈脫敏後的生產配置。
再次強調：pattern 掃描會有漏報與誤報；脫敏後務必打開結果確認結構與語義仍可用。
結尾¶
dsh-secret-guard 把「找密鑰」和「打碼」收在本地進程裏，與 DSH 的 prompt、日誌、diff、文件工作流對齊，並明確不聯網、不上報。需要安裝與更新信息時查 SkillHub 目錄頁；需要規則細節、CLI 與 Limits 時查 GitHub 倉庫 README。
- 目錄頁：https://www.skillhub.cn/plugins/lengrufeng2008/dsh-secret-guard
- GitHub：https://github.com/lengrufeng2008/dsh-secret-guard
