前言¶
在 DeepSeek Harness（DSH）裏，技能和插件會散落在用戶目錄、已安裝的 node_modules 包，以及當前工作區的 dsh-plugins 開發樹裏。手工逐項對照 SKILL.md、frontmatter、package.json 與 dsh.bundle 很容易漏項，也很難在發佈前做統一打分。若你還維護 WorkBuddy 的 skill package 或 expert package，門控項、質量分和定價建議又是另一套規則。
dsh-skill-audit（維護者 vamyane，分類 admin-security）在 DSH 左側欄掛載 Audit 入口，用全屏 React 面板（非 iframe）承接掃描與展示；宿主側負責掃描並通過 JSON 路由供前端讀取，最後可導出 Markdown 修復報告。
這是什麼¶
一句話：dsh-skill-audit 是 DSH 的 skill 與 plugin 審計控制台——掃描本地 DSH 資產或 WorkBuddy 包目錄/ZIP，按規則給出 pass/warn/fail、0–100 分與等級，並支持報告導出。
- 倉庫：vamyane/dsh-skill-audit
- 社區目錄頁：SkillHub 插件頁
- 許可證：MIT（見倉庫
LICENSE） - 當前包版本（
package.json）：0.1.1
SkillHub 爲社區獨立目錄站點，與 DeepSeek / 幻方無官方從屬關係；安裝方式以目錄頁說明爲準，下文不臆造 dsh plugin add 命令。
兩種工作模式¶
面板在同一套 UI 裏切換兩類審計邏輯。
DSH assets 模式¶
掃描本機 DSH 相關資產並彙總結果：
| 來源 | 納入範圍 |
|---|---|
~/.dsh/skills/* |
含 SKILL.md 的技能目錄 |
<profile>/node_modules/* |
package.json 聲明瞭 dsh.bundle 的已安裝包（含 scoped 包） |
<workspace>/dsh-plugins/* |
當前工作區下開發中的插件 |
對每項資產計算 0–100 分，映射等級 S ≥ 90、A ≥ 80、B ≥ 70、C ≥ 60、D 低於 60。每條檢查標註 pass / warn / fail，並附修復提示；可導出 Markdown 報告。
Skills（基於 SKILL.md）¶
加權檢查項包括：SKILL.md 存在且非空；frontmatter 中 description（需有實質內容）、author、name（與目錄名一致）；LICENSE 或 frontmatter 中的許可證聲明；敏感信息（密鑰/token 等，值會脫敏）；硬編碼用戶主目錄等隱私相關路徑。
Plugins（基於 package.json）¶
檢查項覆蓋：package.json 可讀且 name 與目錄一致；dsh.bundle 及 patch 文件；cordis.patch.yml 插入行 name 與包名一致；客戶端 __ModuleLoader__.load({ id }) 與宿主 export const name / exports.name；README（含雙語 README 加分項）；LICENSE；icon 爲 512×512 PNG（讀 PNG 頭校驗尺寸）；files 白名單是否覆蓋關鍵路徑；敏感信息與本地路徑等。
得分按加權通過率計算（pass=1、warn=0.5、fail=0，skip 不計分）。
WorkBuddy package 模式¶
輸入爲目錄或 .zip：
- 包根存在
SKILL.md→ 按 skill package 審計（單層 wrapper 目錄會自動解開，並由 G01 標記結構問題）。 - 存在
.codebuddy-plugin/plugin.json→ 按 expert package 審計（ZIP 須以與包名一致的頂層目錄打包）。
ZIP 在純 JS 中解析中央目錄，條目用 zlib.inflateRawSync 解壓（支持 stored 與 deflate）；除腳本語法檢查可能需要臨時落盤外，不寫持久文件，用後即刪。不支持 ZIP64 與加密壓縮包。
25 項門控（G01–G19 / E01–E06）¶
規則源自 skill-value-auditor/rubric/rubric.v1.json（rubric v1.0.1）。每項返回 pass / warn / fail / skip，帶 blocker / major / minor 嚴重度、原因、證據與 rubric 修復提示。涵蓋包結構、frontmatter 必填、命名與展示名、文檔中反引號引用文件是否存在、密鑰與破壞性命令、腳本 node --check / Python ast.parse、付費包法律文件、雙語字段、包體大小、Expert 的 plugin.json 與 agents/*.md 等（完整列表見倉庫 README）。
存在 blocker 級門控失敗時，價值分 V_final 歸零且不給出定價建議。
質量分 Q 與價值分 V¶
- Q（0–100）：五個維度、22 個子項，每項 0–4 分錨點並縮放，報告中帶證據（計數、文件、匹配詞等）。
- V（0–100）：六個維度估算需求、交付確定性、結果價值、護城河、複用頻率與付費意願等。
- 校準：
V_final = min(V_raw, Q + 15)，避免交付質量差卻給出高價值判斷。 - 建議價帶（按
V_final）：例如 S ≥ 85 對應 ¥49–79 或訂閱檔，A/B/C 遞減，更低則建議免費或不上架；特定條件下提示月訂閱區間（詳見 README）。以上僅爲插件內模型輸出，不構成商業承諾。
安裝與運行環境¶
安裝步驟請以 SkillHub 目錄頁 爲準。啓用後，DSH 左側欄會出現 Audit 按鈕，點擊打開全屏審計面板。
package.json 聲明的運行約束如下，安裝前請與當前 DSH 版本對齊：
"engines": {
"node": ">=20",
"dsh": ">=0.2.0-rc.2 <0.3.0-0"
},
"peerDependencies": {
"@deepseek-ai/cordis": ">=4.0.0 <5"
}
插件以當前 dsh 進程權限 讀取本機路徑與壓縮包內容；安裝前應自行審閱源碼與 MIT 許可證，確認可接受其掃描範圍（含 ~/.dsh/skills、profile 下 node_modules、工作區 dsh-plugins）。
典型用法¶
- 在 DSH 中打開 Audit 面板。
- 選擇 DSH assets：觸發掃描後瀏覽各 skill/plugin 的分數、等級與逐條檢查結果，按 fix hint 修改本地文件後再次掃描；需要留檔時導出 Markdown 報告。
- 選擇 WorkBuddy package：指定 skill 或 expert 的目錄路徑，或選擇符合結構約定的
.zip，查看門控結果、Q/V 分項證據與建議價帶，同樣可導出報告。
倉庫內還提供命令行掃描入口（需在克隆後的插件源碼目錄執行，供開發與 CI 自檢，非 DSH 面板必需步驟）：
node tools/scan.mjs
node tools/scan.mjs --wb
對應 package.json 中的 npm run scan 與 npm run scan:wb。
適用場景與注意¶
適合誰
- 維護多條 DSH skill 或多個
dsh-plugins插件，希望在提交或上架前做一致性檢查。 - 編寫 WorkBuddy skill/expert 包，需要對照 rubric 門控、質量維度和價值校準做自查。
- 關注 admin-security 類能力：敏感信息、硬編碼路徑、破壞性命令、數據外傳模式等會被標記。
使用注意
- DSH 模式只審計掃描規則覆蓋的路徑，不會代替人工代碼評審。
- WorkBuddy 模式對 ZIP 格式有限制；大文件或加密包需先解壓爲目錄再審計。
- 定價與等級輸出爲工具化評分，發佈決策仍需結合業務與平臺規則。
結尾¶
dsh-skill-audit 把 DSH 本地資產與 WorkBuddy 包的檢查集中到同一面板：DSH 側重 manifest 與工程約定，WorkBuddy 側重 25 項門控加 Q/V 與價帶建議，並統一導出 Markdown 修復報告。進一步細節以倉庫 README（含 README.zh.md）爲準。
- 目錄頁：https://www.skillhub.cn/plugins/vamyane/dsh-skill-audit
- GitHub：https://github.com/vamyane/dsh-skill-audit
