dsh-sync

检测报告

能力清单

• 可执行外部程序spawns-processes高关注1 处命中
  • src/index.js:37const { execFile } = require('node:child_process')
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意36 处命中
  • src/backup.js:77await fsP.mkdir(destDir, { recursive: true })
  • src/backup.js:84else if (ent.isFile()) { await fsP.copyFile(from, to); count++ }
  • src/backup.js:96await fsP.mkdir(join(destDir, '..'), { recursive: true })
  • src/backup.js:101await fsP.rename(tmp, destDir)
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意30 处命中
  • client/bundle.js:444const r = await fetch(url)
  • client/bundle.js:513const r = await fetch(endpoint, {
  • client/bundle.js:614const r = await fetch(API + '/remote/pull', { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSO…
  • client/bundle.js:626const r = await fetch(API + '/remote/pull', { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSO…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 可终止进程kills-processes需留意1 处命中
  • src/index.js:501try { process.kill(pid, 0); return null } catch { /* pid dead → steal */ }
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 启动伪终端spawns-pty需留意1 处命中
  • README.md:219- `test/sync.test.mjs`：askpass 用例硬编码 `execFile('/bin/sh', ...)`，Windows 上没有 `/bin/sh`（Git for Windows 自带 `usr/bin/sh.exe…
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 读取文件reads-files一般21 处命中
  • src/backup.js:23try { entries = await fsP.readdir(dir, { withFileTypes: true }) } catch { return out }
  • src/backup.js:40const stream = require('node:fs').createReadStream(abs)
  • src/backup.js:80try { entries = await fsP.readdir(srcDir, { withFileTypes: true }) } catch { return 0 }
  • src/index.js:286try { return require('node:fs').readFileSync(legacySettingsPath(), 'utf8') } catch { return null }
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 接触凭据或密钥credentials一般11 处命中
  • client/bundle.js:944if (wdv.password !== '') patch.webdavPassword = wdv.password
  • client/bundle.js:987? { protocol: 'webdav', url: wdv.url, username: wdv.username, password: wdv.password || undefined, dir: wdv.dir }
  • client/bundle.js:1170h('input', { className: 'sk-input', type: 'password', value: wdv.password, onChange: e => setWdv(p => ({ ...p, password:…
  • client/index.js:934if (wdv.password !== '') patch.webdavPassword = wdv.password
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般8 处命中
  • src/index.js:64for (const prefix of [process.env.DSH_GLOBAL_PREFIX, join(homedir(), '.local')].filter(Boolean)) {
  • src/index.js:273if (process.env.DSHSYNC_FORCE_FALLBACK_SCHEMA) {
  • src/index.js:280return process.env.DSH_HOME ? join(resolve(process.env.DSH_HOME), 'settings.yaml.imported') : join(homedir(), '.dsh', 's…
  • src/index.js:313function dshHome() { return process.env.DSH_HOME ? resolve(process.env.DSH_HOME) : join(homedir(), '.dsh') }
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 8 个文件，扫描于 2026-10-21。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• -5cordis entry id「dsh-sync」被 2 个包共用，同时安装会互相替换warn：dsh-sync