🧩

dsh-security-guard

admin-security 更新于 2026.08.16

在终端中运行以下命令：

dsh plugin install bigclawd/dsh-security-guard

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 终端中执行 dsh plugin install bigclawd/dsh-security-guard 即可安装，插件源码位于 https://github.com/bigclawd/dsh-security-guard 。

插件介绍

dsh 插件生态中，第三方代码可能携带 eval 调用、postinstall 生命周期脚本或提示注入话术，安装后即刻窃取凭据或执行破坏性命令。dsh-security-guard 为此提供一层轻量安全守卫：在插件安装前后进行静态扫描，并在运行时拦截危险的工具调用与文件操作，把风险挡在执行之前。

核心检测完全基于纯静态 AST 解析（仅使用 ts.createSourceFile），被扫描的源码从不会被 import、eval 或执行。规则以可审计的 JSON 文件组织，覆盖恶意代码、上下文注入、token 浪费和敏感路径四类威胁模型。运行时 watch 监听 pre-step、tools/*、fs/* 和 session 事件，拒绝危险 shell 管道、阻止工作区外的写入、追踪可疑 token 消耗。安装钩子自动对新装插件执行扫描并记录报告，配合 Web 面板、/scan 命令和用户自管的 allowlist，形成完整的检测-决策-放行闭环。

适合管理 dsh 插件生态的运维人员、需要在团队中统一供应链安全策略的管理者，以及任何希望在不引入不可审计签名机制的前提下降低第三方插件风险的 DeepSeek Harness 用户。