dsh-plugin-update-audit

在 DeepSeek Harness 里维护一个 Profile 时，插件依赖往往来自 npm、GitHub 或本地包，版本是否落后、上游是否已变，很难一眼看清。若贸然批量升级，又容易引入行为变化或安全风险。dsh-plugin-update-audit 提供只读审计：清点当前 Profile 中的直接依赖，并按声明来源逐项对照官方信息，帮你先看清再动手。

插件通过单一工具 plugin_update_audit 完成盘点与比对。npm 依赖会与 registry.npmjs.org 上的最新稳定清单对照；GitHub 依赖会通过 API 与仓库当前 HEAD 比较；本地 tarball 与目录会标记为需人工复核，并对可读文件给出 SHA-256。个别插件来源不支持、缺失或无法访问时，会单独报告而不会中断整次审计。工具不会安装、更新、删除或改写任何插件；联网范围限于 npm 与 GitHub 官方接口，也可使用 offline 模式仅做本地清点，且输出中会脱敏本地路径。

各状态均为建议性结论：例如 update_available 表示 npm 有更新的稳定版，upstream_changed 表示 GitHub HEAD 与固定提交不一致，local_review_required 表示本地或工作区来源需要显式重建与审查。无论显示 current、ahead 还是 unavailable，仍应阅读发行说明与源码变更，先做安全快照，再逐个更新并重启 DSH、跑验收测试。

适合负责 Profile 治理、合规与安全复核的管理员，以及希望在升级插件前建立可审计依据的开发者。若你需要的是自动拉包或一键升级，本插件并不承担这类操作；它的价值在于把「该不该更新」变成有据可查的判断起点。