工具与效率 · v0.1.20

sqlx-dsh

Name: sqlx-dsh
Author: ottermind

github.com/OtterMind/sqlx

能力可执行外部程序

DeepSeek Harness 的原生 SQLX 工具。该插件注册六个 defineTool 工具，并为每个工具调用 sqlx CLI，因此加密凭据、TLS 策略、worker 下载和本地结果页面仍由 CLI 负责。

作者原文（英文）

Native SQLX tools for DeepSeek Harness. The plugin registers six defineTool tools and calls the sqlx CLI for each one, so encrypted credentials, TLS policy, worker downloads and local result pages stay CLI responsibilities.

简介取自插件 README 开头，由 DeepSeek 模型翻译，仅供参考。

认证 L3已扫描 ✓健康 S/100周下载 651

2 项能力

许可: LicenseRef-Chat2DB
发布: 2026-10-12
维护者: npm_ottermind
插件 ID: 1012

安装命令

dsh plugin --profile web add @ottermind/sqlx-dsh@0.1.20

已试装 · 层已挂载

已在一个隔离的 profile 里真装过：包能装上，并且插件层挂载成功。这一条是实测结果，不是作者的声明。

源仓库没有任何提交　仓库存在但是空的，没有源码可看。npm 上的包仍然可以安装，但作者没有公开对应源码。

检测报告

高关注。源码里出现了高关注度的能力调用。这不代表它有恶意——能执行程序、读凭据的插件做正当事情时也会命中——但装之前值得看一眼源码。

1高关注1一般22未命中

高关注需留意一般

能力清单

可执行外部程序spawns-processes高关注1 处命中
- lib/index.js:8import { execFile } from "node:child_process";
- 看它调用哪些程序。调用本机已有的工具是常见做法。
读取环境变量reads-env一般6 处命中
- lib/index.js:23const override = process.env.SQLX_INSTALL_DIR?.trim();
- lib/index.js:27? join(process.env.LOCALAPPDATA || join(homedir(), "AppData", "Local"), "Programs", "SQLX")
- lib/index.js:33await execFileAsync(candidate, ["--version"], { timeout: VERSION_TIMEOUT_MS, env: process.env });
- lib/index.js:43for (const candidate of [process.env.SQLX_BIN, "sqlx", installedPath()].filter(Boolean)) {
- 环境变量里常混有密钥。看它是否把整个 env 都读走。

逐条扫描明细

能力	标识	关注度	命中次数
可执行外部程序	`spawns-processes`	高关注	1
读取环境变量	`reads-env`	一般	6

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。本次读了 4 个文件，扫描于 2026-10-15。命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论：没扫出来的能力可能只是写法没被规则覆盖。

可信度

100 健康分 S 扣分项下方逐条附证据

0没有可扣分的项

认证等级 L3

L0静态结构与契约✓sha512-HVbIYC4JCiUvE7P6… 与本地 tarball 复算一致，补丁与入口齐备
L1配置组合与依赖图✓跨包无 entry id 冲突，插入模块可解析，目录内 peer 满足
L2隔离沙箱冒烟✓隔离 profile 安装成功，3.3s，层已挂载；宿主带它启动（booted）
L3运行时健康监控✓抽样会话内未观测到外部进程 / 越界写 / 外连（2 个事件）

评分口径与作者信息

从 100 分开始按规则扣减：fail −20 / major −10 / warn −5 / minor −2；star 数、下载量、LLM 输出都不参与评分

维护者: npm_ottermind
仓库: https://github.com/OtterMind/sqlx
许可: LicenseRef-Chat2DB
最后发布: 2026-10-12
周下载: 651
star: 2

扫描状态：已扫描。能力是事实，不是缺陷；周下载与 star 只作参考，不参与评分。

认证等级只回答四件事：包本身是否完整可解析（L0）、能不能与别的插件组合（L1）、隔离环境里装不装得上并起得来（L2）、抽样运行时有没有异常（L3）。依赖漏洞、仓库存活、下载量都不参与评级，只作为独立信号标注。可信 ≠ 无漏洞，上架 ≠ 推荐。

DSH peer 依赖	1 个`dsh-tools`均为 `@deepseek-ai/` 下的包
声明 DSH 版本	`>=0.1.5`
第三方依赖	0 个（纯自包含）
bundle patch	`./cordis.patch.yml`
依赖安全公告	已查询全部依赖，没有匹配到已公开的安全公告（含 DSH 框架包在内的 `@deepseek-ai/*` 不作查询——那是运行时自己的问题，不是插件的。）

元数据

主页	https://github.com/OtterMind/sqlx/tree/main/integrations/dsh#readme
仓库最近提交	2026-10-14
仓库创建	2026-09-10

返回首页

检测报告

能力清单

这份报告的口径

可信度

认证等级 L3

元数据

同分类其他插件