DSH其他 · v0.1.0
dsh-unreal-mcp
用于 Unreal Engine 5.8 官方 Unreal MCP 服务器的非官方 DeepSeek Harness Bundle。
作者原文（英文）
Unofficial DeepSeek Harness Bundle for Unreal Engine 5.8's official Unreal MCP server.
简介取自插件 README 开头，由 DeepSeek 模型翻译，仅供参考。
dsh-plugindeepseek-harnessunreal-engineue5mcp
认证 L1已扫描 ✓健康 S/100周下载 122
5 项能力安装命令
dsh plugin --profile web add dsh-unreal-mcp@0.1.0
强装可用 · 需绕过门禁
当前 DSH 版本上 CLI 拒绝安装这个包。用 --accept-risk 绕过门禁之后，它能装上并挂载——限制来自版本策略，不是包坏了。要用它，得自己决定这个风险值不值得承担。
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
2需留意3一般19未命中
高关注需留意一般
能力清单
- 发起网络请求
network需留意1 处命中dist/diagnose.js:24const response = await fetch(endpoint, {- 看请求发往哪些域名。发往作者自己的后端是常见做法。
- 清单可疑
manifest-obfuscation需留意1 处命中- 安装脚本：prepare
- 清单被刻意写乱时，加载行为会难以预测。看原文而不是看渲染结果。
- 读取文件
reads-files一般5 处命中dist/project-context.js:7return statSync(path).isDirectory();dist/project-context.js:15return statSync(path).isFile();dist/project-context.js:23return readdirSync(path).sort((left, right) => left.localeCompare(right));dist/project-context.js:53if (!existsSync(absolute))- 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
- 读取环境变量
reads-env一般5 处命中dist/diagnose.js:56const endpoint = argument("endpoint") ?? process.env.DSH_UNREAL_MCP_URL ??cordis.patch.yml:7endpoint: !!js process.env.DSH_UNREAL_MCP_URL ?? 'http://127.0.0.1:8000/mcp'cordis.patch.yml:8engineRoot: !!js process.env.DSH_UNREAL_ENGINE_ROOTcordis.patch.yml:15url: !!js process.env.DSH_UNREAL_MCP_URL ?? 'http://127.0.0.1:8000/mcp'- 环境变量里常混有密钥。看它是否把整个 env 都读走。
- 接触凭据或密钥
credentials一般1 处命中dist/project-context.js:135if (url.username !== "" || url.password !== "") {- 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 发起网络请求 | network | 需留意 | 1 |
| 清单可疑 | manifest-obfuscation | 需留意 | 1 |
| 读取文件 | reads-files | 一般 | 5 |
| 读取环境变量 | reads-env | 一般 | 5 |
| 接触凭据或密钥 | credentials | 一般 | 1 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 21 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。
可信度
100
健康分 S
扣分项下方逐条附证据
- 0没有可扣分的项
认证等级 L1
- L0静态结构与契约✓sha512-u/hKWM4LHDczQZvk… 与本地 tarball 复算一致，补丁与入口齐备
- L1配置组合与依赖图✓跨包无 entry id 冲突，插入模块可解析，目录内 peer 满足
- L2隔离沙箱冒烟—试装未通过（forced-ok）
- L3运行时健康监控—未抽样（本层是抽样检测：没有会话不等于干净）
评分口径与作者信息
从 100 分开始按规则扣减：fail −20 / major −10 / warn −5 / minor −2；star 数、下载量、LLM 输出都不参与评分
- 维护者
- petertxpan
- 仓库
- https://github.com/PeterTXPan/dsh-unreal-mcp
- 许可
- MIT
- 最后发布
- 2026-08-31
- 周下载
- 122
- star
- 16
扫描状态：已扫描。能力是事实，不是缺陷； 周下载与 star 只作参考，不参与评分。
认证等级只回答四件事：包本身是否完整可解析（L0）、能不能与别的插件组合（L1）、隔离环境里装不装得上并起得来（L2）、抽样运行时有没有异常（L3）。依赖漏洞、仓库存活、下载量都不参与评级，只作为独立信号标注。可信 ≠ 无漏洞，上架 ≠ 推荐。
| DSH peer 依赖 | 3 个cordisdsh-skilldsh-system-prompt均为 @deepseek-ai/ 下的包 |
|---|---|
| Node 要求 | >=20 |
| 第三方依赖 | 1 个 |
| bundle patch | ./cordis.patch.yml |
| 依赖安全公告 | 已查询全部依赖，没有匹配到已公开的安全公告（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。） |
元数据
| 主页 | https://github.com/PeterTXPan/dsh-unreal-mcp#readme |
|---|---|
| 仓库最近提交 | 2026-08-30 |
| 仓库创建 | 2026-08-25 |