dsh-plugin-doctor

在 DSH 生态里安装第三方插件前，你往往很难判断一段代码会不会悄悄外传数据、读取本机密钥，或在安装脚本里留下持久化后门。dsh-plugin-doctor 是面向 DSH 插件的自研静态审查方案，用来替代依赖外部的审查插件：它只对目录或单个文件做只读扫描，绝不执行被检代码，因此可以在 checkout 或已安装包路径上安全地跑一遍。

审查会按类别匹配常见红旗信号，例如对外部 host 的网络请求、对 .ssh/.aws/.env 等凭据路径的读取、base64/eval 类混淆、注册表与启动项等持久化手段，以及危险的删除或 force push 语句；npm 生命周期脚本（preinstall/install/postinstall）也会被标出，提醒人工复核。每条发现都会带上 file:line 证据，并汇总为 SAFE、LOW、MEDIUM、HIGH 等级，便于快速取舍。

适合插件维护者做发布前自检、团队内部审核候选插件，以及任何在安装前想多一层静态把关的管理员或安全敏感用户。通过 doctor_scan 默认可扫当前 profile 的 node_modules 插件包，doctor_scan_path 则用于指定路径。