DSH插件目录
D

dsh-cost-tracker

github.com/Angelyeye/dsh-cost-tracker

v1.9.5 市场与管理 写入文件可终止进程发起网络请求

本插件已收录于 awesome-dsh-plugin 精选列表(分类 `usage`)。在 DSH 里打开 **设置 → 插件市场**,搜索 `dsh-cost-tracker` 点安装即可;市场展示的等价命令行是:

作者原文（英文）

DeepSeek Harness (DSH) plugin: LLM token usage & cost tracking with a settings dashboard, agent tools, HTTP API, persistent storage, multi-device cloud sync, session-log history import, official price sync and a multi-vendor price catalog.

中文简介由 DeepSeek 模型翻译，仅供参考。

dsh-plugindshdeepseek-harnesscordisllmtoken-usagecost-tracking
分类
market
发布
2026-10-06
版本
v1.9.5

检测报告

有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
3需留意4一般17未命中
高关注需留意一般

能力清单

  • 写入文件writes-files需留意30 处命中
    • index.js:175if (!existsSync(shellFile + '.cost-tracker-bak')) writeFileSync(shellFile + '.cost-tracker-bak', src)
    • index.js:178writeFileSync(tmp, src.slice(0, at) + NAV_ICON_BRANCH + src.slice(at))
    • index.js:179renameSync(tmp, shellFile)
    • index.js:316mkdirSync(dirname(CONFIG_FILE), { recursive: true })
    • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
  • 可终止进程kills-processes需留意2 处命中
    • store.js:135process.kill(pid, 0)
    • CHANGELOG.md:610- **现在**：启动时在记录文件旁登记一把**仅用于提示**的实例锁（`cost-tracker-records.json.lock`，内含 pid / 版本 / 时间）。若锁的持有者**仍然存活**（`process.kill(pid,…
    • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
  • 发起网络请求network需留意1 处命中
    • client.js:4// host.call → fetch('/api/cost-tracker/<method>')
    • client.js:39return fetch("/api/cost-tracker/" + method, {
    • 看请求发往哪些域名。发往作者自己的后端是常见做法。
  • 接触凭据或密钥credentials一般379 处命中
    • client.js:918? e("button", { className: "cost-btn", title: "配置火山方舟 AccessKeyID / SecretAccessKey 并查看 Coding Plan 配额", onClick: onOpen…
    • client.js:1048e("div", { className: "cost-hint", style: { marginTop: "4px" } }, "需要 Kimi Coding Plan 的 API Key（形如 sk-kimi-…，通常配置为 KIMI…
    • client.js:1098function volcCredForm(cred, hasSecret, onQuery, onSave, onClear) {
    • client.js:1108className: "cost-input", type: "password", spellCheck: false, autoComplete: "new-password",
    • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
  • 读取文件reads-files一般23 处命中
    • import.js:89const buffer = readFileSync(path)
    • import.js:124try { projects = readdirSync(root, { withFileTypes: true }) } catch (e) { return paths }
    • import.js:128try { sessions = readdirSync(join(root, project.name), { withFileTypes: true }) } catch (e) { continue }
    • import.js:134if (statSync(path).isFile()) { paths.push(path); break } // 同一会话多种编码互斥，取先命中者
    • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
  • 读取环境变量reads-env一般15 处命中
    • index.js:94const STARTUP_LOG = /^(1|true|yes|on)$/i.test(String(process.env.DSH_COST_TRACKER_LOG || ''))
    • index.js:242const STORE_FILE = process.env.DSH_COST_TRACKER_STORE || join(process.env.DSH_HOME || join(homedir(), '.dsh'), 'storages…
    • index.js:280const CONFIG_FILE = join(process.env.DSH_HOME || join(homedir(), '.dsh'), 'storages', 'cost-tracker-config.json')
    • index.js:282const PRICES_FILE = join(process.env.DSH_HOME || join(homedir(), '.dsh'), 'storages', 'cost-tracker-prices.json')
    • 环境变量里常混有密钥。看它是否把整个 env 都读走。
  • 动态加载模块dynamic-import一般8 处命中
    • client.js:646try { return require(id) } catch (e) { return fallback || {} }
    • CHANGELOG.md:96| `await import('undici')` 之后（不装 dispatcher 也一样） | 200 · `ce=null` · 1506B · **原始 gzip（`1f8b`）· FAIL** | 200 · `ce=null`…
    • CHANGELOG.md:122- 真机端到端（先 `import('undici')` 污染进程，再走 `index.js` 的真实接线）：
    • README.en.md:45| 🕰️ | **History import (v1.9.0)** | Replays host session logs to **backfill calls made before you installed the plugin*…
    • 动态导入本身无害，但会让依赖关系难以静态审阅。
逐条扫描明细
能力标识关注度命中次数
写入文件writes-files需留意30
可终止进程kills-processes需留意2
发起网络请求network需留意1
接触凭据或密钥credentials一般379
读取文件reads-files一般23
读取环境变量reads-env一般15
动态加载模块dynamic-import一般8

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 20 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）

← 返回全部插件