dsh-least-privilege

admin-security 更新于 2026.10.16

在终端中运行以下命令：

dsh plugin install feely0208/dsh-least-privilege

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中执行 dsh plugin install feely0208/dsh-least-privilege，即可从 https://github.com/feely0208/dsh-least-privilege 安装本插件。

插件介绍

权限过宽往往没有告警、也没有报错：系统照常运行，直到某次漏洞让攻击者借容器 root、privileged 或一把 IAM 通配符，把入侵从「进了一个服务」放大成「几乎摸到宿主机或整片云」。很多配置是历史遗留——当初为了访问某个设备加了一行，需求没了，行还在。dsh-least-privilege 帮你在代码库里盯住这类「明显过宽」的写法，把无声的风险提前摆到评审桌上。

插件按严重程度做静态检查：高风险包括容器以 root 运行、使用 --privileged，以及 IAM 策略里 Action 为 *；中风险包括 CORS 允许所有来源、令牌申请 admin 或全量 scope。它只读仓库里的字面配置，不替云厂商解析继承、条件与边界策略；Dockerfile 多阶段里 builder 阶段的 USER root 通常需结合上下文判断。与 dsh-data-scan 的分工是：那边看敏感数据暴露，这边看「谁有资格访问数据」。

适合在合并前做安全门禁的 DevOps/SRE、负责等保与访问控制的研发负责人，以及正在梳理容器与 API 权限的中小团队。若你只想确认「有没有一眼就能否掉的特权容器和通配 IAM」，这个插件正好对位；边界内的灰色权限仍建议人工评审。