dsh-tool-vet

在插件市场里，一个描述人畜无害的第三方包，装上去却可能在 postinstall 里跑命令、读取 SSH 或云凭据目录，或悄悄往外发数据。真正难受的不是有没有漏洞库条目，而是装之前根本不知道它会动什么。dsh-tool-vet 面向装之前先查：对单个插件或包做静态审查，把值得警惕的能力摊开给你看，而不是替你下安全或不安全的结论。

它按六类规则扫描：安装生命周期脚本、代码中的凭据相关路径、混淆与拼接执行、外联网络、执行外部命令，以及来自 git、http、file 等非 registry 的依赖来源。命中时会给到具体文件、行号、该行代码片段和规则依据，方便你对照文档与威胁模型自己判断。读凭据路径对 SSH 类工具可能是正当能力，关键是装之前知情。

需要说清楚边界：这是体检不是门卫，不拦截运行、不做运行时权限审批，也不递归审计整个依赖树，那是 dsh-dep-audit 的方向。动态拼出来的路径、运行时才拉下来的代码，静态手段看不见。它审查的是这一个包自己的源码，判据是值得警惕的能力，不是法条意义上的违规。

适合在 DSH 或日常开发里准备安装陌生第三方插件、CLI 扩展或 npm 包的管理员、安全工程师和负责供应链的同学；想和依赖漏洞审计、CI 检查配套使用时，把它当作安装前的一道能力枚举步骤即可。