D
dsh-skill-collections
0.1.5认证 L1已扫描 ✓健康 A/90周下载 —与当前版本不兼容依赖有已知漏洞
为 DeepSeek Harness 提供 Skill 库、收藏夹和工作区管理，在对话输入框中快速选择当前会话可用的 Skill。
作者原文（英文）
DSH Skill 收藏夹管理器：集中管理 Skill、收藏夹与工作区显式绑定，并同步到原生 .dsh/skills。
简介取自插件自己的 README 原文。
源仓库无法访问 多次尝试都没连上，可能是网络问题，也可能是仓库不可达。
检测报告
技能包有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
写入文件writes-files需留意17 处命中
lib/index.js:49await mkdir(dirname(path), { recursive: true });发起网络请求network需留意1 处命中
lib/client.js:1493const response = await fetch(`/dsh-skill-collections-api/${endpoint}`, {读取文件reads-files一般8 处命中
lib/index.js:86content = await readFile(entry, "utf8");读取环境变量reads-env一般1 处命中
lib/index.js:109const home = resolve(dshHome ?? process.env.DSH_HOME ?? join(homedir(), ".dsh"));命中次数只说明源码里出现过这类调用，不说明行为好坏。命中了若干能力模式，大多是插件正常工作时会用到的。
可信度
扣分项逐条附证据90
健康分 · 等级 A
扣分项 1 · 合计 -10
L0静态结构与契约sha512-1EHtBGig/nYVNtZX… 与本地 tarball 复算一致，补丁与入口齐备✓
L1配置组合与依赖图跨包无 entry id 冲突，插入模块可解析，目录内 peer 满足✓
L2隔离沙箱冒烟被版本门禁拦下（与本站基线 dsh 版本不兼容）—
L3运行时健康监控抽样时没装上（install:blocked-by-version-gate），本层没有观测—
- -10被版本门禁拦下：与当前 dsh 基线不兼容major
兼容性
| DSH peer 依赖 | 11 个cordisdsh-api-remotesdsh-api-session-controllerdsh-client-ui-conversationdsh-client-ui-primitivesdsh-client-ui-settingsdsh-client-ui-slotsdsh-client-ui-workspacedsh-host-webserverdsh-toolsdsh-workspace均为 @deepseek-ai/ 下的包 |
|---|---|
| 声明 DSH 版本 | >=0.2.1-rc.2 <0.3.0 |
| Node 要求 | ^22.19.0 || >=24.0.0 |
| 第三方依赖 | 1 个 |
| bundle patch | ./cordis.patch.yml |
| 依赖安全公告 | 2 条，见下方 |
这个插件声明的依赖中，有 2 条已公开的安全公告 （最高等级：中）：
| 等级 | 依赖包 | 编号 | 摘要 |
|---|---|---|---|
| 中 | yaml | CVE-2023-2251 | Uncaught Exception in yaml 修复版本：2.2.2 详情 |
| 低 | yaml | CVE-2026-33532 | yaml is vulnerable to Stack Overflow via deeply nested YAML collections 修复版本：1.10.3, 2.8.3 详情 |
查询的是依赖声明范围的下界（如 ^4.2.0 查 4.2.0），
不是实际安装到的版本。真正装的时候如果解析到了修复版本，就不受影响——
所以这是「可能受影响」，不是「这个插件有漏洞」。数据来自
OSV.dev。
元数据
| 主页 | https://github.com/caicongmin/dsh-skill-collections#readme |
|---|---|
| 仓库最近提交 | 2026-10-26 |
| 仓库创建 | 2026-10-22 |