dsh-least-privilege：为 DeepSeek Harness 把关最小权限的权限审计插件

它是做什么的？

最小权限检查是 DeepSeek Harness（DSH）的权限审计插件，专门扫描部署配置里「明显过宽」的授权写法。它解决的是权限过宽没有任何症状、系统照常运行直到被入侵才暴露的问题，把容器 root、IAM 通配、CORS 全开、令牌申请 admin 这类隐患提前翻出来。插件由 feely0208 维护，采用 MIT 协议，用 Shell 编写，最近更新于 2026-10-13。

核心功能

• 高危项检查：识别容器以 root 运行、--privileged 启动，以及 IAM 策略里 Action: * 这类通配授权。
• 中危项检查：识别 CORS 允许所有来源、令牌申请 admin 或全量 scope 的写法。
• 规则清单：支持列出全部内置检查规则，方便对照当前配置逐条核对。
• 报告输出：可生成 HTML 报告，把扫描结果整理成可直接传阅的文档。
• 演示模式：提供演示运行方式，不接真实仓库也能先看一遍检查效果。

怎么使用这个插件？

在 DSH 里启用后，用演示模式跑一遍即可看到检查流程与输出样式，再用规则清单确认它覆盖了哪些权限项，最后对目标仓库执行扫描并输出 HTML 报告。它只查字面写出的「明显过宽」写法，权限偏大但没用通配符的仍需人工评审；也不解析云厂商实际生效策略，因为 IAM 存在继承、条件与边界。Dockerfile 多阶段构建时 builder 阶段的 USER root 通常无害，需要你自行判断。它与数据扫描类插件分工明确：那个查数据，这个查访问数据的权限。

报错怎么排查？

扫描结果里出现多阶段 Dockerfile 的 USER root 告警时，先确认该指令位于 builder 阶段还是最终运行阶段，builder 阶段通常无害，可判定为误报。若 IAM 相关告警与线上实际权限不符，属于插件只看仓库字面写法的边界，需结合云厂商的继承、条件与边界策略人工复核。权限偏大但未使用通配符的配置不会被告警，需另行安排人工评审。