dsh-russian-lang

检测报告

能力清单

• 可执行外部程序spawns-processes高关注2 处命中
  • lib/plugin-updater.js:1import { spawn } from 'node:child_process'
  • lib/translator.js:1import { execFile } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 发起网络请求network需留意13 处命中
  • lib/client.js:540const res = await fetch(url, { headers })
  • lib/client.js:602fetch('/api/dsh-russian-lang/dict/all', { headers: { 'Accept': 'application/json' } }).then((res) => {if (disposed) retu…
  • lib/client.js:1588try {const res = await fetch('/api/dsh-russian-lang/translate', {method: 'POST',headers: { 'content-type': 'application/…
  • lib/client.js:1687fetch('/api/dsh-russian-lang/update', {headers: { 'x-dsh-plugin-update': '1' }}).then((r) => r.json()).then((data) => {s…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 写入文件writes-files需留意4 处命中
  • bin/dsh-i18n.mjs:438fs.mkdirSync(dir, { recursive: true })
  • bin/dsh-i18n.mjs:441fs.writeFileSync(targetFile, JSON.stringify(template, null, 2) + '\n', 'utf8')
  • bin/dsh-i18n.mjs:479fs.mkdirSync(path.dirname(path.resolve(out)), { recursive: true })
  • bin/dsh-i18n.mjs:480fs.writeFileSync(path.resolve(out), jsonStr + '\n', 'utf8')
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 启动伪终端spawns-pty需留意2 处命中
  • …s/plugins/07-better-sidebar.json:1{"betterSidebar":{"addPluginsBrowseMore":"Ещё плагины на GitHub (тема: dsh-better-sidebar)","addPluginsEmpty":"Подборки …
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 动态执行代码dynamic-code需留意1 处命中
  • …s/plugins/39-shadow-auditor.json:1{"@goodandready/dsh-shadow-auditor":{"action.export_bill":"Экспорт отчёта (MD)","action.export_json":"Экспорт в JSON","a…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 读取文件reads-files一般30 处命中
  • lib/locales.js:18if (existsSync(PLUGINS_DIR)) {
  • lib/locales.js:19for (const file of readdirSync(PLUGINS_DIR).sort()) {
  • lib/locales.js:22const data = JSON.parse(readFileSync(join(PLUGINS_DIR, file), "utf8"))
  • lib/locales.js:35if (existsSync(CORE_FILE)) {
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 接触凭据或密钥credentials一般21 处命中
  • lib/client.js:793const DOM_EN_TEXT = {'Scheduled tasks': 'Задачи по расписанию','Files': 'Файлы','Back': 'Назад','Hosts': 'Хосты','Contai…
  • …les/plugins/14-ollama-cloud.json:1{"settings.ollama-cloud":{"addModel":"Добавить модель вручную","apiKey":"API-ключ","apiKeyConfigured":"Настроено — введи…
  • …ales/plugins/15-commandcode.json:1{"commandcode":{"accountSeparator":"────────────────────","accountTitle":"📊 {label}{badges}","activeBadge":" ✅ активен",…
  • …ales/plugins/16-usage-stats.json:1{"@xfqz86/dsh-usage-stats":{"dates.tipFull":"{date} · {total} токенов · вызовов: {calls}","deepseek.balancesEmpty":"Нет …
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般3 处命中
  • lib/locales.js:114const webPkgPath = join(process.env.HOME || "/home/vadim", ".dsh", "profiles", "web", "package.json")
  • lib/plugin-updater.js:169process.env.DSH_PROFILE_DIR ?? resolve(homedir(), '.dsh', 'profiles', 'web')
  • lib/plugin-updater.js:297...process.env,
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 106 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• 0没有可扣分的项