🧩

deepseek-preset-github-plugin-security-review

admin-security 更新于 2026.10.13

在终端中运行以下命令：

dsh plugin install jiejiushijiehaohao-creator/deepseek-preset-github-plugin-security-review

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 的插件页选择安装，或在终端执行 dsh plugin install，安装源填写 https://github.com/jiejiushijiehaohao-creator/deepseek-preset-github-plugin-security-review。

插件介绍

从 GitHub 安装第三方 DSH 插件时，你往往要在「信与不信」之间做决定：README 写得再漂亮，真正风险藏在 package.json 脚本、依赖名、二进制与 AGENTS.md 里。本预设是一条不跑安装、不执行目标代码的静态审查流水线，让你在把插件放进日常环境之前，先拿到一份有证据链的审阅结论。

流程由队长调度两名硬隔离子代理：侦察员 recon_scout 只用受限 shell 采集树结构、脚本原文、危险模式命中与依赖清单，不做分析、不下结论；安全审计员 security_auditor 只能读文件与检索公开信息，按背景、脚本与代码、依赖三道闸门输出分级发现。队长负责原样转述侦察结果、触发合规闸门，并汇总为一行建议。路径无效或侦察被阻断时，不会强行给出安全裁决。

设计上强调「.loader 级工具白名单」与「提示词级红线」的分工：侦察与审计彼此无法越权（侦察碰不到网页，审计碰不到终端），同时通过命令日志、输出裁剪与队长合规检查，降低误装、越界读取与上下文爆炸的风险。报告会区分证据确认、可疑信号与策略性高风险项，并坦诚 node_modules 等盲区。

适合需要从 GitHub 拉取或本地解压插件、又不愿先 npm install 的维护者、安全审阅者与谨慎用户；也适合在离线或禁止 git clone 的环境里，用本地目录或 ZIP 完成一次可复核的静态体检。