dsh-industry-finance：面向 DeepSeek Harness 的金融支付合规线索扫描

它是做什么的？

它是 DeepSeek Harness（DSH）的金融行业专项检查插件，用静态线索扫描把支付敏感信息、口令明文、卡号裸展示、留存不足十年、客户端乱存卡、明文传输、测试环境连生产这七类问题在代码里先筛一遍。它解决的是支付项目里「一个小配置事后要用很高代价解释」的麻烦，让你在写代码阶段就能看到可疑字段名、DDL、日志、模板插值、留存与传输配置，并附上条款出处去确认。由 feely0208 维护，采用 MIT 协议，属于深鲸网安守护系列，定位是静态线索检查器而非合规审计。

核心功能

• 支付敏感信息留存检查：字段、模型或配置里出现 cvv、cvn、track1/2、magnetic_stripe、card_pwd、pay_pwd 时标为高风险，提示这类信息不应留存。
• 口令明文检查：口令、PIN、短信验证码明文落库（如 password varchar）、写日志或用 System.out 打印都会被挑出。
• 卡号裸展示检查：模板与日志里 ${cardNo}、{{cardNo}} 直接插值且未走 mask、substring 或脱敏工具时报中风险。
• 反洗钱十年留存检查：交易记录留存配置不足十年时给出提示，补上金融专线的留存判据。
• 误报抑制：高风险规则带适用条件，项目里没有支付、卡或客户端代码时规则不跑并计入「不适用」；card_mask、card_token、passwordEncoder、bcrypt、已打码值、已脱敏卡号、短留存缓存与内网地址等边界写法不报。
• 报告输出：支持 HTML 报告便于截图存档，并可列出判据与依据，方便对照官方原文确认。

怎么使用这个插件？

在 DSH 中启用后，用 --demo 先看检出效果，用 --list-rules 列出判据和依据，再用 --root 指向要检查的项目目录跑一遍。需要留档时用 --html 输出 HTML 报告。它只报位置不改代码，也不做数据流分析、运行时抓包或数据库实际数据核查；0 命中只说明没扫到静态线索，条款以官方原文为准。密钥管理与算法强度、通用敏感数据扫描、通用留存策略分别交给配套插件，本插件聚焦支付敏感信息与金融条款这条线。

报错怎么排查？

报告里出现「N 条因不适用未运行」不是故障，说明项目里没有支付、卡或客户端相关代码，高风险规则按设计跳过。若某条线索被误报，先确认写法是否属于边界情形（如已调用 mask、substring、DesensitizedUtil，或配置里带 desensitize、脱敏开关），再按官方说明核对判据原文。