dsh-auto-approve

检测报告

能力清单

• 写入文件writes-files需留意7 处命中
  • src/util.mjs:75try { mkdirSync(dir, { recursive: true }) } catch { /* ignore */ }
  • src/util.mjs:119if (mode != null) writeFileSync(tmp, text, { encoding: 'utf8', mode })
  • src/util.mjs:120else writeFileSync(tmp, text, 'utf8')
  • src/util.mjs:121renameSync(tmp, path)
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意3 处命中
  • AGENTS.md:87Host `inject`：`approval`、`permissionPresets`、`llm`、`timer`。**不要放 `webServer`**：它是 fiber 的必需服务，`webserver` 行只在 web-app bu…
  • src/index.mjs:114* RPC 侧自己用 `ctx.inject(['connection'], …)`，`connection.fetch.register` 不需要 webServer。
  • src/index.mjs:2048if (!connection || !connection.fetch || typeof connection.fetch.register !== 'function') {
  • src/index.mjs:2395() => connection.fetch.register({
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 接触凭据或密钥credentials一般36 处命中
  • AGENTS.md:17- **出厂关键词表只保留三类「零上下文就确定灾难、不该让模型有发言权」的红线**：① 清根 `rm -rf /`（写法同时覆盖 `rm -rf /*` 与 `sudo rm -rf /`，因为 `/` 后跟非字母数字就算词尾）；② 裸设备…
  • CHANGELOG.md:288- **P2：复核框只印命令，静默丢掉其余参数**（对抗切片）：`{command:'echo ok', file_path:'/etc/shadow', content:'SECRET-CONTENT'}` 的人在框里只看到「操作：ech…
  • CHANGELOG.md:351- **出厂三格**（`DEFAULT_ROW_ACTIONS` / `defaultRowActions()`）：中英两套**各 8 行**（deletion / credential / remote / system / bulk /…
  • CHANGELOG.md:352- **allowlist v22 迁移**：只把**仍是该行旧出厂形状**的行改成新刻度（`LEGACY_SHIPPED_SHAPES`：deletion/credential/remote/system/bulk/approval-co…
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取文件reads-files一般13 处命中
  • src/preset-patch.mjs:356const manifest = JSON.parse(readFileSync(join(pkgDir, 'package.json'), 'utf8'))
  • src/preset-patch.mjs:360const keys = extractPresetKeysFromPatchText(readFileSync(patchPath, 'utf8'))
  • src/preset-patch.mjs:494const text = stripBom(readFileSync(patchPath, 'utf8'))
  • src/preset-patch.mjs:515return readAutoApproveSandboxFromText(stripBom(readFileSync(patchPath, 'utf8')))
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般7 处命中
  • AGENTS.md:29- 关键词匹配工具名 + command + 路径 + workdir（workdir 含 `session.header.cwd`；相对 `file_path`/`path` 会拼到 cwd/workdir 上）**与自定义工具的未知参数…
  • CHANGELOG.md:144- **清根红线的 shell 拼写**端到端 `keyword-reject` ✓（四种 `--no-preserve-root` 摆放 + ANSI-C `$'\x2f'` + `${IFS}`/`$IFS` + 单双引号 + `--`…
  • CHANGELOG.md:472- **凭据关键词边界**：`.env` / `.netrc` 增加「路径干草」放宽匹配（`prod.env`、`x.env` 命中；命令里的 `process.env` 仍不误伤）；`id_rsa.pub` / `id_ed25519` …
  • README.md:50**Everything else goes to the judge and is decided by the row descriptions**: recursive deletes (`rm -rf` and friends, `…
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 13 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）