meme-dog/dsh-plugin-finder

在代理中查找并审计 DeepSeek Harness (DSH) 插件——实时 `dsh-plugin` 主题搜索与源审计,附带从试用至生产的安装计划。

Project Overview项目介绍

Searches GitHub for community DSH plugins within a session, sorted by stars, with one-click install commands. Includes pre-install auditing that scans for dangerous patterns and generates rollback plans. Use it to discover and evaluate plugins. Note: the tool is read-only; install commands require explicit execution.

在会话内搜索GitHub上社区DSH插件,按star排序并附一键安装命令。支持安装前审查,扫描危险模式并生成回滚计划。适合发现和评估插件时使用。注意:工具只读,安装命令需显式执行。

Pre-install check安装前体检Compatibility · Security兼容性 · 安全性 1 warning1 项注意
  • Only 2 stars - very few users, little community feedback星标只有 2,几乎没人在用,遇到问题缺少社区反馈
DSH walks through these 9 checksDSH 会逐条核对这 9 项

Compatibility兼容性

  • DSH, Node, OS and profile requirementsDSH 版本 / Node 版本 / 操作系统 / profile 是否满足要求
  • External dependencies and runtimes (Electron / Python / Docker, ...)外部依赖与运行时(Electron / Python / Docker 等)是否齐备
  • Conflicts with installed plugins: command names, skill / tool names, ports, duplicate MCP registration与已装插件是否冲突:命令名、skill / tool 重名、端口占用、重复 MCP 注册

Security安全性

  • Repo matches the facts registered here; archived or abandoned?仓库是否与页面登记一致,是否归档或长期停更
  • Safety of preinstall / install / postinstall and install.sh / setup.ps1preinstall / install / postinstall 与 install.sh、setup.ps1 是否安全
  • curl|bash, download-then-execute, obfuscation, unrelated domains → stop immediatelycurl|bash、下载即执行、混淆代码、无关域名 → 立刻停止
  • Typosquatting or unmaintained packages among the new dependencies新增依赖里有没有 typosquatting 或无人维护的包
  • Requested permissions vs. what the feature actually needs申请了哪些权限、是否超出功能所需(filesystem / network / shell / clipboard)
  • Any sudo / admin requirement, plus uninstall and rollback是否要求 sudo / 管理员权限,以及卸载与回滚方式

Anything uncertain must be marked unknown with a note on how to confirm it. This site's signal screen is a static snapshot, not a security audit.拿不准的必须标「未知」并说明要我怎么确认。本站的信号筛查是静态快照,不能替代安全审计。

Or use CLI install (for developers)或使用命令行安装(适合开发者)

CLI Install命令行安装

dsh plugin --profile web add github:meme-dog/dsh-plugin-finder

把 meme-dog/dsh-plugin-finder 加入你的 DSH 配置(web profile)即可启用。

READMEREADME

dsh-plugin-finder

在会话内搜索 GitHub 上的社区 DeepSeek Harness (DSH) 插件,按 star 排序,每个结果带一键安装命令。

灵感来自 OpenClaw / Claude Code 时代的 skills.sh 与 npx skill:让 agent 自己发现生态插件,而不是靠人肉翻列表。

功能

  • search_dsh_plugins:实时搜索 GitHub 公开 dsh-plugin topic(约 1000+ 仓库),排除官方 deepseek-ai 组织
    • 按 star 排序,返回:插件名、star 数、最近更新时间、简介、issue 数
    • 每个结果附带可直接执行的安装命令:dsh plugin --profile web add github:<owner>/<repo>
  • audit_dsh_plugin:安装前审查仓库
    • 下载源码到工作区沙盒 <workspace>/.dsh-plugin-cache/<owner>__<name>/(限 50MB;缓存 24h,可传 refresh: true 强制重下)
    • 解压后体积守卫:超过 200MB 自动清理并报错(防压缩炸弹)
    • 检测 dsh.bundle 安装清单与 cordis.patch.yml
    • 扫描 7 类危险模式:进程执行 / 动态执行 / 密钥与环境变量 / 文件写入删除 / 网络访问 / 危险命令 / 动态导入
    • 输出入口源码摘录 + "试用 → 转正式" 安装计划(含回滚步骤)
  • 结果内存缓存 5 分钟,减少匿名 GitHub API 限流压力
  • 纯只读:不安装、不修改任何插件或配置

安装

dsh plugin --profile web add github:meme-dog/dsh-plugin-finder

安装后重启 dsh web 生效。重启后直接对 agent 说:

  • "找找有没有微信通知插件"
  • "有什么 TUI 插件?"
  • "审查一下 / 这个插件再装"

agent 会自动调用 search_dsh_plugins / audit_dsh_plugin 工具。

用法(作为动态插件试跑)

在会话内通过 cordis_define / cordis_run 注册,重启后失效;适合先体验。

工作原理

层 说明
数据源 GitHub Search API q=topic:dsh-plugin -org:deepseek-ai <keywords>&sort=stars
传输 ctx.shell + curl(本部署禁用 fetch provider 以防御 SSRF;curl 走与 bash 工具相同的沙箱/审批链路)
缓存 按 (query, limit) 内存缓存 5 分钟
插件形态 标准 out-of-tree bundle:package.json 声明 dsh.bundle.patch,cordis.patch.yml 插入一行

安全

  • 工具只做只读 GET 请求,不执行任何安装动作
  • 返回的安装命令需要你/agent 显式执行;安装第三方插件前请审阅源码
  • 沙箱拒绝网络请求时会明确报错,不会静默降级

后续可扩展

  • 合并 awesome-dsh-plugin 精选列表的中文简介(数据文件就绪后)
  • --verify 冒烟测试:检查目标仓库是否声明 dsh.bundle manifest
  • 按类别过滤(TUI / 记忆 / 通知 / 整活…)
  • 检查插件 npm 是否已发布,优先给 npm 安装命令

License

MIT

← 上一个 Prev dsh-paddle-ocr 下一个 Next dsh-shutdown-after-task →