dsh-install-review

每装一个 DSH 插件，就等于把会话、模型调用和配置改写权交给陌生人——而生态里常见的节奏是「先装上再说」，出了问题往往只能整份 profile 回滚。dsh-install-review 只做一件事：在你点安装之前，逼这份包把脸露出来——它是什么、能碰什么、会改什么，再由你逐项点头。

装前会跑十几项只读检查：官方 inspect、peer 与 engines 兼容性、目录条目、是否已装、loader-id 冲突、patch 覆盖行、插槽对照本地目录、安装脚本、能力标签与红线译文等。上游没标注能力，面板会直说「上游未标注」，不会替你画绿勾；红灯里有 block 时，正确动作往往是关掉页面。

通过审查后进入变更计划：只有可执行的变更种类会被列出，默认什么都不跑，除非你勾选。可固定或更新版本、在知情前提下申请精确版本豁免、换下载源、开启已声明但未运行的 loader、批准构建脚本、经官方通道写 profile 配置、或从 git 切到 npm。执行前会先备份 package.json、cordis.patch.yml 等关键文件，再安装并用「行是否激活、bundle 是否选中、浏览器半是否进图」等结论做装后核对。

适合经常试新插件、维护多包工作流，或希望在「能不能装、会动我哪几块配置」上有据可依的用户。它不审第三方源码、不改宿主、也不替上游背书——装前体检，不是代码审计。