dsh-dep-audit：DeepSeek Harness 的依赖投毒风险审计插件
feely0208/dsh-dep-audit
为 DeepSeek Harness 提供依赖投毒审计：扫描依赖树中的 install/postinstall 脚本、过宽版本与非 registry 来源，输出分级风险报告。
dsh-dep-audit 是面向 DeepSeek Harness 的供应链安全审计插件，用来在装包之前看清依赖树里藏着的风险。它针对的是近年 npm 投毒事件反复出现的那几条路径：安装瞬间就执行的 install 与 postinstall 脚本、写成 `*` 或 `latest` 的过宽版本号、以及来自 git 或 http 而非 registry 的依赖来源。启用后可以直接对项目目录做一次体检，结果在终端查看或输出成 HTML 报告留档，esbuild、sharp、puppeteer 这类确实需要安装脚本的包已在白名单内以降低误报。它只报出可疑项，带安装脚本不等于恶意，最终判断仍由你完成。
如何安装
dsh plugin --profile web add @deepwhale-cn/dsh-dep-audit- 分类
- 开发与运维
- 平台
- DSH Plugin
- 作者
- feely0208
- 分发方式
- 插件
dsh-dep-audit 核心特性
dsh-dep-audit 仓库简介
它是做什么的？
依赖审计是 DeepSeek Harness（DSH）的供应链安全插件，专门检查依赖树里的投毒与风险面。它盯的是「装包即执行」的脚本、过宽版本号和非 registry 来源这三类问题，因为近年大规模 npm 投毒事件几乎都走这条路。启用后你可以在 DSH 里直接对项目做一次依赖体检，把需要人工确认的条目挑出来。由 feely0208 维护，采用 MIT 协议，最近更新于 2026-10-13。
核心功能
- 高危脚本检出：标记依赖中带 install / postinstall 脚本的条目，这类脚本在安装瞬间就会执行，即使你从未在代码里引用过它。
- 中危来源与版本检查：识别缺少 lockfile、版本写成
*或latest、以及来自 git 或 http 而非 registry 的依赖。 - 低危版本上界提示：发现
>=x.y.z这类没有上界的版本约束。 - 白名单降噪：esbuild、sharp、puppeteer 等确实需要安装脚本的包已在白名单内，减少误报。
- 报告输出：支持终端直接查看，也可生成 HTML 报告，方便留档或分享。
怎么使用这个插件？
在 DSH 中启用后，对目标项目目录执行审计即可扫描当前目录的依赖树。想先看检出效果可以用演示模式跑一遍，需要留档时把结果输出成 HTML 报告。插件只负责报出可疑项，带安装脚本不等于恶意，最终仍需你人工确认；它不查 CVE 漏洞库，也不做包名相似度检测，因为 typosquat 误报率偏高。
本页是基于该插件官方 README 独立重写的导读——权威文档和最新变更请以源头为准：feely0208/dsh-dep-audit。插件是安装时就在你机器上运行的第三方代码；收录不代表背书——安装前请自行审阅源码。