🧩

dsh-plugin-repo-auditor

admin-security 更新于 2026.10.14

在终端中运行以下命令：

dsh plugin install Suxeca/dsh-plugin-repo-auditor

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中执行 dsh plugin install Suxeca/dsh-plugin-repo-auditor，即可从 https://github.com/Suxeca/dsh-plugin-repo-auditor 安装该预编译插件。

插件介绍

在 GitHub 上挑插件或依赖时，星标数往往被当成「靠谱」的信号，但假星、水军刷量和空壳仓库并不少见；一旦把这类仓库装进 DSH 或日常工具链，供应链投毒和过度权限带来的风险会直接落到你的环境里。

dsh-plugin-repo-auditor 是 DSH 原生插件，借鉴 CMU StarScout 论文中的启发式指标，从 Fork/Star、Watcher/Star 等比率、代码体量与活跃跨度、最新点星用户画像等多维信号判断仓库信度是否可疑。它还会通过静态拉取 package.json 与 cordis.patch.yml，识别高危安装钩子与 DSH 敏感权限（如密钥服务、插件管理、宿主进程 API、工具执行前置钩子等），在风险偏高时通过安装门禁弹出原生审批卡片，而不是默默放行。

适合经常从 GitHub 安装 DSH 插件、习惯用 git clone 或 npm 从仓库直装的开发者，以及希望在「装之前」多一道星标与供应链自检的管理员与安全意识较强的个人用户。GitHub Token 可选配置，未鉴权时受 API 配额限制；需要时可关闭安装门禁或使用文档中的紧急跳过方式。