dsh plugin 值不值得装？DeepSeek Harness 插件的维护状态、权限范围与依赖评估

dsh plugin 值不值得装，不用看任何榜单——看四个信号就够了：最近更新时间、权限范围、依赖数量、有没有人在它仓库里提 issue。 这四条都能在插件市场与它的 GitHub 仓库里直接查到，逐项过一遍，两三分钟就能给一个陌生插件打出一个能用的分数。这篇不给任何推荐清单，只给这张评分卡。

dsh plugin 值不值得装的四个信号

四个信号的共同点是「可自查」：它们是仓库元数据与代码事实，不需要你相信任何人的推荐（来源）。 逐项查法如下：

1. 最近更新时间：在 DSH Plugin Hub 的插件卡片上就能看到仓库的最近更新时间。判断标准：界面、会话类插件跟 DSH 版本绑得最紧，半年没动过的包在新版 dsh 上常常直接加载失败。
2. 权限范围：看它的工具会接触什么——只读文件、写文件、发网络请求，还是要求安装期放行 allowBuilds。判断标准：接触面越小越安全，要求放行的必须有源码可审。
3. 依赖数量：看它拉进来多少个包、有没有锁死某个旧版核心包。判断标准：依赖多的插件更容易在 DSH 升级后掉队，也更容易和已有插件抢同一个核心包。
4. 是否有 issue：打开仓库的 issue 列表，看性质而不是数字。判断标准：布局错位、图标不显示属于低风险；数据丢失、权限越界、会话损坏属于高风险；而零 issue 加零回复，往往只是没人用过。

插件市场里还有两项能一起看：兼容状态（verified / unconfirmed）与 DSH 目标版本（dshTarget）。把这两个与最近更新时间放在一起，就能回答「它现在还能不能跑」。

dsh plugin 权限与依赖的风险分级

权限风险按「它能接触什么」分三档，依赖风险按「它带进来多少」分三档，两套都看，才能判断一个插件会不会动你的东西（来源）。 分级如下：

依赖侧看三件事：包的数量、是否锁死旧版核心包、是否与其他插件共享同一个核心包。 前两项关系到 DSH 升级后它还能不能加载，第三项关系到插件之间会不会互相冲突。权限边界的完整拆解见 dsh plugin 的能力与权限边界，安装环节的具体做法见 dsh plugin 安全安装。

两类结论：哪些 DSH plugin 先别装，哪些可以直接试

评分卡的用途是分流，不是打分排名——四条信号看下来，插件会自然落进「先别装」或「可以直接试」两堆。 结论如下：

先别装的四类：

1. 要求放行 allowBuilds，但你没有读过它的源码；
2. 最近更新时间停在很久以前，兼容状态仍是 unconfirmed；
3. 依赖里塞进几十个包，或者把核心包锁死在旧版本上；
4. 有涉及数据丢失、权限越界、会话损坏的未解决 issue。

四条里中两条以上，换一个同类插件比自己排雷省事。

可以直接试的两类：

1. 只读型工具插件，兼容状态 verified，最近仍在更新——典型如查资料、看图、算用量这类不改你东西的插件；
2. 有未解决 issue 但作者在持续回复，且 issue 属于显示类问题——说明项目活着，出问题有人管。

想要现成的清单，可以看 热门 dsh plugin 精选 与 按场景挑 dsh plugin；但那两份是别人筛过的结果，本文这张卡是用来自己筛的。

DSH plugin 评估的注意事项

评分卡给的是判断顺序，不是保证；四条信号都过也不等于零风险。

1. 先看最近更新时间，再看别的：一个不再维护的插件，权限再小也会随 DSH 升级失效。
2. 兼容状态是社区标注，不是承诺：verified 表示有人确认过可用，不等于它在你的版本、你的平台上必然好用。
3. allowBuilds 是安装期真实执行：放行前先确认包名与来源，别对不认识的包一路回车。
4. issue 看性质不看数量：零 issue 的仓库不一定是好仓库，可能只是没人用。
5. 依赖要看 profile 层：dsh plugin list 输出的才是真正装进 profile 的那层依赖。
6. 拿不准就先在无关项目里试：插件装进哪个 profile 就只影响哪个环境，用独立 profile 试错代价最低。
7. 装完仍要复查：真正的确认方式是重启后用 dsh --profile <名字> --dump-config 看配置层有没有挂上，以及工具是否出现在工具列表里。

来源：DSH Plugin Hub、DeepSeek Harness CLI README、官方文档 - 发布插件、官方文档 - 工具编写参考。