dsh-alert-relay：DeepSeek Harness 的告警链路审计插件

它是做什么的？

告警外发是 DeepSeek Harness（DSH）的告警链路审计插件，用来回答三个问题：链路里到底有没有告警、告警发到哪里、有没有把敏感信息一起发出去。它针对的是告警通道往往成为整个系统管控最弱出口的现实——数据库有内网、审计和权限控制，而一个 webhook URL 谁拿到谁就能发。插件通过静态检查配置与代码，把「把 err.stack、完整请求体、用户数据塞进告警」这类高风险写法提前暴露出来。由 feely0208 维护，采用 MIT 协议，最近更新于 2026-10。

核心功能

• 高危项检查：识别告警内容携带敏感信息，以及 webhook 使用明文 http:// 传输两类高风险问题。
• 中危项检查：发现把带密钥的告警 URL 直接打进日志，或整个项目找不到任何告警配置的情况。
• 规则清单输出：可列出当前生效的全部检查规则，便于对照确认审计范围。
• 报告导出：支持生成 HTML 报告，方便把审计结果交给团队或留档。
• 演示模式：提供演示运行方式，无需接入真实项目即可先看检查效果。
• 职责边界清晰：只做配置与代码层面的检查，不实际验证告警能否发出，与日志留存类插件分工互补。

怎么使用这个插件？

在 DSH 中启用后，对目标项目运行检查即可得到告警链路的风险清单；想先看效果可以走演示模式，想确认检查项可以列出规则，需要交付或留档时导出 HTML 报告。

拿到结果后按「只发摘要 + trace id」的原则整改：把 post(webhook, { text: err.stack + JSON.stringify(req.body) }) 这类写法改成只发 [ERROR] trace=xxx 的摘要，细节留在有权限控制的地方。注意「找不到告警配置」属于弱信号，可能由部署层统一处理，报出来只是提示你确认；插件也不验证告警是否真能发出。