dsh-cn-pipl-check：DeepSeek Harness 里比对隐私声明与代码实现的 DSH plugin

它是做什么的？

它是 DeepSeek Harness（DSH）的个人信息保护对照插件，把隐私政策里的承诺与代码里的真实实现摆在一起逐条比对。它解决的是应用市场上架被驳回的高频问题：政策说不收集位置、代码里却有定位权限，政策承诺可随时注销、App 里却找不到入口。插件以技能形式接入，先跑取证脚本扫权限、第三方 SDK、用户权利入口与出站域名，再按六个必查项产出对照表，定性判断留给人和审核方。由 feely0208 维护，采用 MIT 协议，用 Shell 编写。

核心功能

• 权限最小必要核查：逐个权限追问有没有非它不可的功能、申请时机是否合理、是否说明用途。
• 第三方 SDK 清单比对：把打包里真实存在的统计、推送、地图、支付、广告等 SDK 与政策里写的清单对齐。
• 用户权利入口检查：查阅、复制、更正、删除、注销账号、撤回同意是否都有可操作入口。
• 敏感信息单独同意识别：人脸、指纹、行踪、医疗、金融、十四周岁以下是否单独弹窗而非混在总协议。
• 数据出境与承诺落地：出站域名和服务商在境内还是境外，政策里每条具体承诺能否在实现里找到对应。
• 取证式输出：扫描结果带文件名与行号，只给事实不给结论，并附需人工判断清单。

怎么使用这个插件？

在 DSH 中启用并重启后，技能会在需要时自动可用，直接让 agent「做一次个人信息保护对照」即可。它会先跑取证脚本，扫描权限、SDK、权利入口、出站域名与隐私政策定位，再按六个必查项逐条对照，最后产出对照表加需人工判断清单。也可以自己跑脚本，指定应用目录与隐私政策文件路径，脚本路径由插件注册时注入技能正文，或到安装目录的 skill 目录下查找。技能正文反复强调「找不到 ≠ 没有」和「❌ 只代表没匹配上」，任何结论都必须人工逐条确认。它与文案红线、AI 标识、发布自检等相邻技能刻意分开，管的是说的和做的是否一致。

报错怎么排查？

扫描结果里出现 ❌ 并不等于真的缺失，它只代表脚本没匹配上，可能换了别的名字或在服务端实现，需要人工逐条确认真实情况。找不到某项权限或 SDK 时同理，不能直接判定为没有，应结合业务场景与实现方式复核。定性结论不要依赖脚本输出，合规定性要看业务场景、是否真的取得同意以及监管口径，一份看起来权威却在瞎定性的报告比没有报告更危险。