dsh-plugin-audit — DSH 插件生态体检

把 GitHub 的 dsh-plugin 主题变成 DeepSeek Harness 本地、可打分的插件目录。 每个插件按四个信号获得 0–100 健康分，Web UI 里有榜单，Agent 工具能回答 "这些插件里哪些值得装？"。

| 信号 | 权重 | 衡量内容 | | --- | --- | --- | | 维护活跃度 | 30 | 最近 push 时间 + star 档位 + star 趋势（archived → 0 分并 🚨 标记） | | 文档质量 | 25 | README 有无 + 描述完整度 + 许可证 | | npm | 30 | npm 包是否存在 + 发布活跃度 | | 生态 | 15 | 是否被精选列表收录 + 收录时间 |

评级：A 🛡️（80+） · B ✅（60+） · C ⚠️（40+） · D 🚨（<40 或命中高危标记）。 评分是对普通记录对象的纯函数——完全可解释（每一项扣分都带证据说明）。

安全（v0.2）是"否决权"，不是权重： audit_scan 静态扫描插件的 package.json 安装脚本、shell 脚本与入口源码，检测远程代码执行、编码命令、 rc 持久化、混淆、向非白名单域名外传数据。高危/严重发现进入 flags 契约 → 直接封顶 D 级，无论其他信号多健康。每条发现都带证据；扫描器刻意保守。

功能

| 功能 | 状态 | | --- | --- | | audit_sync — 全量同步 topic、探测 npm、重算评分（增量、限流感知） | ✅ 稳定 | | audit_top — 按分数/star/最新/名称排行，支持分类过滤 | ✅ 稳定 | | audit_plugin — 单插件完整报告卡（含证据） | ✅ 稳定 | | audit_scan — 单插件静态安全扫描（文件 → 发现 → 否决） | ✅ 稳定（v0.2） | | star 趋势进入维护信号（基于滚动历史快照） | ✅ 稳定（v0.2） | | auditSummary 会话投影 + 输入框上方榜单面板 | 🧪 实验性 | | 定时同步（schedule 服务存在时） | 🧪 防护式启用 | | 从 awesome-dsh-plugin 生成种子目录（1018 个插件） | ✅ 稳定 |

工作原理

• 单个 Cordis 插件：主机面（lib/index.js）注册工具 + 投影 + 可选定时； 浏览器面（lib/client.js）渲染面板；cordis.patch.yml 挂载组合行。
• 同步拉取 GET /search/repositories?q=topic:dsh-plugin（每页 100 条），以有界并发探测 registry.npmjs.org/<name>，再 upsert 进 JSON 目录。限流感知：搜索预算不足时提前停止， 下次继续；失败的探测保留旧值。
• 存储：dataDir（默认 $DSH_HOME/dsh-plugin-audit 或 ~/.dsh/dsh-plugin-audit）下的 catalog.json + meta.json + history.json（star 历史快照，为趋势打分预留）。
• 所有写入原子化（临时文件 + 重命名）；文件损坏时回退为空而不是崩溃。

安装

本包声明了 "dsh": { "bundle": { "patch": "./cordis.patch.yml" } }，走 DSH 官方插件管理：

# 本地路径安装
dsh plugin --profile <profile> add /path/to/dsh-audit

# 或发布到 npm 后
dsh plugin --profile <profile> add dsh-audit

重启 DSH。audit_* 工具全局注册；Web profile 上输入框上方会出现榜单面板。

首次同步

给 Agent 一个 GitHub Token（搜索 API 30 次/分钟 vs 匿名 10 次），让它执行 audit_sync， 或配置：

• dataDir — 目录位置（空 = 默认）
• githubToken — 或环境变量 DSH_GITHUB_TOKEN / GITHUB_TOKEN
• syncIntervalHours — 定时同步间隔（0 关闭；需要 schedule 服务）
• npmProbe — 是否探测 npm（默认 true）

独立运行（不依赖 DSH，测试/CI 用）

node scripts/seed.mjs                       # 从 awesome 列表检出目录生成 data/catalog.json
node scripts/sync.mjs --token <gh-token>    # 真实同步，无需 DSH
node --test test/                           # 跑测试

开发说明

• 测试完全离线（注入假 fetch）——node --test test/ 不需要网络。
• 数据模型：每个仓库一条记录（repo、stars、pushedAt、license、 archived、npm、curated、addedAt、score、flags …）。见 lib/audit.js 的 repoToRecord 和 lib/scoring.js。
• flags 数组是安全分层（v0.2）的扩展契约。

路线图

• v0.3 — 开放数据导出（JSON），供其他市场引用评分
• v0.4 — 每个插件的申诉/评论通道
• v0.5 — 批量扫描调度（每次同步自动扫描 star 前 N）+ 传递依赖信号

License

MIT