dsh-key-rotate：DeepSeek Harness 的密钥轮换合规检查插件

它是做什么的？

密钥轮换是 DeepSeek Harness（DSH）的合规检查插件，用来核查密钥与证书多久没换过、有没有轮换制度、有没有跨环境复用。它解决的是「制度文档写了每年轮换、但文件时间戳证明根本没换」这类拿不出证据的尴尬，把密钥文件的修改时间换算成天数并与阈值比对，让轮换情况变成可判定、可举证的结果。插件由 feely0208 维护，采用 MIT 协议，以 Shell 实现，最近更新于 2026-10-13。

核心功能

• 密钥与证书年龄检查：按文件 mtime 计算距今多少天，超过默认 365 天阈值即判为高风险。
• 轮换制度缺失检查：在文档中检索不到轮换策略时给出中风险提示。
• 跨环境复用检查：发现同一密钥在多个环境配置中被引用时标记为中风险。
• 规则可查：支持列出全部检查规则及其判定依据，便于对照等保测评与客户尽调的问题。
• 报告输出：可生成 HTML 报告，把检出结果整理成可直接交付的文档。

怎么使用这个插件？

在 DSH 中启用后，用演示模式先看一遍检出效果，再对真实项目目录执行检查，即可得到按高、中两级归类的密钥轮换问题清单。需要交付材料时，让它输出 HTML 报告；需要说明判定逻辑时，列出规则与依据即可。插件只做静态判定，年龄不等于未轮换——密钥可能托管在 KMS 中、本地只是副本，报出的条目需要你自行确认；它也不解析证书内容，不校验有效期、签发者与密钥长度，跨环境复用只覆盖 .env 类文件，KMS 与 CI secrets 看不到。它与 dsh-secret-scan 分工明确：后者查密钥有没有被提交，本插件查多久没换。

报错怎么排查？

插件在 README 中明确列出了边界情况，遇到误报可按此判断：密钥年龄超阈值但实际已在 KMS 中轮换，属于本地副本导致的误报，需人工确认后再处理；证书有效期、签发者、密钥长度相关问题不会被检出，因为插件不解析证书内容；跨环境复用未报出时，先确认密钥是否只存在于 KMS 或 CI secrets 中，这两类位置不在检查范围内。