dsh-russian-lang

检测报告

能力清单

• 可执行外部程序spawns-processes高关注2 处命中
  • lib/plugin-updater.js:1import { spawn } from 'node:child_process'
  • lib/translator.js:1import { execFile } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 发起网络请求network需留意13 处命中
  • lib/client.js:540const res = await fetch(url, { headers })
  • lib/client.js:602fetch('/api/dsh-russian-lang/dict/all', { headers: { 'Accept': 'application/json' } }).then((res) => {if (disposed) retu…
  • lib/client.js:1588try {const res = await fetch('/api/dsh-russian-lang/translate', {method: 'POST',headers: { 'content-type': 'application/…
  • lib/client.js:1687fetch('/api/dsh-russian-lang/update', {headers: { 'x-dsh-plugin-update': '1' }}).then((r) => r.json()).then((data) => {s…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 写入文件writes-files需留意4 处命中
  • bin/dsh-i18n.mjs:438fs.mkdirSync(dir, { recursive: true })
  • bin/dsh-i18n.mjs:441fs.writeFileSync(targetFile, JSON.stringify(template, null, 2) + '\n', 'utf8')
  • bin/dsh-i18n.mjs:479fs.mkdirSync(path.dirname(path.resolve(out)), { recursive: true })
  • bin/dsh-i18n.mjs:480fs.writeFileSync(path.resolve(out), jsonStr + '\n', 'utf8')
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 启动伪终端spawns-pty需留意2 处命中
  • …s/plugins/07-better-sidebar.json:1{"betterSidebar":{"addPluginsBrowseMore":"Ещё плагины на GitHub (тема: dsh-better-sidebar)","addPluginsEmpty":"Подборки …
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 动态执行代码dynamic-code需留意1 处命中
  • …s/plugins/39-shadow-auditor.json:1{"@goodandready/dsh-shadow-auditor":{"action.export_bill":"Экспорт отчёта (MD)","action.export_json":"Экспорт в JSON","a…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 接触凭据或密钥credentials一般302 处命中
  • lib/client.js:793const DOM_EN_TEXT = {'Scheduled tasks': 'Задачи по расписанию','Files': 'Файлы','Back': 'Назад','Hosts': 'Хосты','Contai…
  • …ocales/plugins/03-dshmarket.json:1{"dsh-market":{"actWhy":"Почему не активен?","agentBusyInstall":"Агент в настоящее время работает — дождитесь завершения…
  • lib/locales/plugins/06-im-hub.json:1{"im-hub":{"f.agentCwd":"Рабочая папка","f.agentCwdHint":"Папка для сессий агента; пусто — папка процесса dsh.","f.agent…
  • lib/locales/plugins/10-kanban.json:1{"dsh-kanban":{"DEFAULT_BOARDS.main.title":"Проектная доска","DEFAULT_BOARDS.simple.title":"Простая доска","acceptance.a…
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取文件reads-files一般30 处命中
  • lib/locales.js:18if (existsSync(PLUGINS_DIR)) {
  • lib/locales.js:19for (const file of readdirSync(PLUGINS_DIR).sort()) {
  • lib/locales.js:22const data = JSON.parse(readFileSync(join(PLUGINS_DIR, file), "utf8"))
  • lib/locales.js:35if (existsSync(CORE_FILE)) {
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般3 处命中
  • lib/locales.js:114const webPkgPath = join(process.env.HOME || "/home/vadim", ".dsh", "profiles", "web", "package.json")
  • lib/plugin-updater.js:169process.env.DSH_PROFILE_DIR ?? resolve(homedir(), '.dsh', 'profiles', 'web')
  • lib/plugin-updater.js:297...process.env,
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 106 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）