dsh-qc 🛡️

DSH 插件质检工具 — 静态检查 + 动态验证，双段式流水线，输出可验证的质检报告。

DeepSeek Harness 插件生态爆发式增长（3 天 4000+ 插件仓库），但没人验证插件质量：装得上吗？跑得起来吗？有没有藏密钥或恶意脚本？dsh-qc 就是来填这个空白的。

⚡ 秒级静态预检（report）+ 分钟级动态验证（check），verdict + 评分 + 证据链，可直接进 CI。

✨ 特性

• 双段式流水线
  • Phase 1 静态预检（秒级）：清单协议、patch 格式、密钥扫描、构建陷阱，18+ 项检查
  • Phase 2 动态验证（分钟级）：真实 pnpm install → pnpm build → 插件入口加载冒烟测试
• QC 评分模型：100 分制加权（清单 25 + patch 15 + 安全 25 + 构建 15 + 动态 20），每项带证据链
• 三种命令：check（完整质检）/ report（秒级静态）/ scan（批量扫描）
• CI 友好：FAIL 时 exit code 1，JSON/Markdown 双格式输出
• 只读安全：检查在临时目录进行，绝不修改被检查仓库

📦 安装

npm install -g dsh-qc
# 或
pnpm add -g dsh-qc

🚀 使用

# 快速静态质检（秒级）
dsh-qc report ./some-plugin
dsh-qc report owner/repo
dsh-qc report https://github.com/owner/repo

# 完整质检（含动态验证，分钟级）
dsh-qc check ./some-plugin

# 批量扫描一个 GitHub org 下的插件
dsh-qc scan some-org

# JSON 输出 / 写文件
dsh-qc report ./plugin --json -o report.json

📋 报告示例

# dsh-qc report: dsh-hello-world

**verdict**: PASS
**QC Score**: 80/100

## 静态预检
| 类别 | 通过 | 警告 | 失败 | 跳过 |
|------|------|------|------|------|
| 清单协议 | 8 | 0 | 0 | 0 |
| patch 格式 | 4 | 0 | 0 | 0 |
| 密钥安全 | 3 | 0 | 0 | 0 |
| 构建可复现 | 3 | 0 | 0 | 0 |

🧩 检查项（18+）

| 类别 | 检测项 | |------|--------| | 清单协议 | package.json 存在、name 前缀、dsh.bundle.patch、main/types/exports、peerDeps、files | | patch 格式 | YAML 合法、insert/replace 操作、row id、核心 row 冲突 | | 密钥安全 | API key 模式（sk-/AKIA/ghp_/AIza...）、process.env 密钥访问、危险调用（eval/exec） | | 构建可复现 | tsconfig、src/、lib/ 产物、build 脚本 | | 动态验证 | pnpm 安装、构建、插件入口加载、可疑安装脚本 |

🏗️ 架构

Phase 1 静态预检（秒级）           Phase 2 动态验证（分钟级）
┌─────────────────────┐          ┌──────────────────────┐
│ clone/读取仓库       │          │ 临时目录 pnpm install │
│ 清单协议 18+ 项检查   │ ──────► │ pnpm build           │
│ 密钥扫描/危险调用     │ 通过初筛  │ 插件入口加载冒烟测试   │
│ 输出检查项矩阵+评分   │          │ 行为监控（简化版）     │
└─────────────────────┘          └──────────────────────┘

🧪 开发

git clone https://github.com/Herdeny/dsh-qc.git
cd dsh-qc
pnpm install
pnpm build      # tsc 编译
pnpm test       # vitest
pnpm typecheck  # 类型检查

🔭 Roadmap

• [ ] Docker 沙箱隔离动态验证
• [ ] 深度密钥泄漏扫描（真实格式校验）
• [ ] 恶意行为监控（网络/文件访问追踪）
• [ ] DSH 插件质量排行榜网站
• [ ] GitHub Action 集成

📄 License

MIT

Built for the DeepSeek Harness ecosystem. DeepSeek Harness · awesome-dsh-plugin