dsh-tool-vet：DeepSeek Harness 的第三方插件静态审查工具
feely0208/dsh-tool-vet
在安装第三方插件前，用 DSH plugin 静态审查其代码能力：是否执行命令、读取凭据、外发数据或带装时钩子，逐条给出文件与行号。
dsh-tool-vet 是 DeepSeek Harness 生态里用来在安装前看清一个第三方包会动什么的静态审查插件。它针对「装之前不知道对方会干什么」的顾虑，把代码里会执行的外部命令、会读取的敏感凭据路径、会外发的数据以及安装时自动运行的脚本逐条列出来，并给出文件名、行号与原始代码作为证据。它不做沙箱拦截、不做运行时审批、也不下安全结论，只把能力清单交给你判断，适合在引入陌生插件前做一次快速体检。
如何安装
dsh plugin --profile web add @deepwhale-cn/dsh-tool-vet- 分类
- 开发与运维
- 平台
- DSH Plugin
- 作者
- feely0208
- 分发方式
- 插件
dsh-tool-vet 核心特性
dsh-tool-vet 仓库简介
它是做什么的？
工具审查（dsh-tool-vet）是 DeepSeek Harness（DSH）的第三方插件静态审查插件，由 feely0208（深鲸 DeepWhale）维护，采用 MIT 协议。它解决的是「装一个插件之前不知道它会动什么」的问题：在安装前扫描目标包的代码，枚举它会执行什么命令、读哪些敏感路径、往哪里发数据、装的时候自动跑什么。它只做静态审查，不拦截运行、不下安全结论，把判断权留给你。
核心功能
- 装时钩子检测：识别 preinstall / install / postinstall 等安装即自动执行的脚本，标为高危。
- 凭据路径扫描：发现代码中出现
/.ssh、/.aws、~/.npmrc 等敏感凭据路径。 - 混淆代码识别：捕捉拼接执行与超长编码串等混淆手法，对应 MITRE ATT&CK T1027。
- 出网与执行枚举：列出会向网络发送数据、会调用外部命令的代码位置。
- 依赖来源核查：标记来自 registry 之外（git: / http: / file:）的依赖，提示绕过包名体系的风险。
- 逐条定位证据：每条命中都给出文件名、行号、原始代码与判定依据，并支持输出 HTML 报告。
怎么使用这个插件？
在 DSH 中启用后，用命令行的方式对目标包做一次「体检」：指定要审查的本地目录即可得到能力清单，也可以先跑内置演示，看一个「描述人畜无害、实际会读私钥并外发」的假插件会被报出哪六条。需要了解判定口径时，可列出全部规则与依据；需要留档或分享时，可生成 HTML 报告。它审查的是这一个包自身的代码，不递归依赖树，代码里动态拼出的路径与从网络拉取的代码不在覆盖范围内；报出「读 .ssh」是能力提示而非定罪，是否放行仍由你确认。
报错怎么排查？
审查结果里出现凭据路径或出网行为，并不等于该包有问题——例如 SSH 类工具本就需要读 .ssh，这类命中是提示你确认用途，而不是判定违规。若某个包的能力没有被报出，先确认审查范围：它只做静态审查，动态拼接的路径和运行时从网络下载的代码看不见，依赖内部的代码也不在覆盖范围内。需要核对判定口径时，可直接列出规则与依据，逐条对照官方文档与公开威胁模型。
本页是基于该插件官方 README 独立重写的导读——权威文档和最新变更请以源头为准：feely0208/dsh-tool-vet。插件是安装时就在你机器上运行的第三方代码；收录不代表背书——安装前请自行审阅源码。