dsh-skills-hub
github.com/lcthe/dsh-skills-hub
v0.3.0
技能包
写入文件发起网络请求
一个用于 DeepSeek Harness（DSH）浏览器客户端的 Skill 浏览与管理插件，用于管理 DSH 全局目录和已注册工作区中的 Skills。
作者原文（英文）
DSH plugin for browsing, searching, inspecting, importing, uploading, and safely deleting skills across global and registered workspace directories.
中文简介由 DeepSeek 模型翻译，仅供参考。
deepseekdeepseek-harnessdshcordispluginskillmanager
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
2需留意1一般21未命中
高关注需留意一般
能力清单
- 写入文件
writes-files需留意10 处命中lib/index.js:142mkdirSync(destinationRoot, { recursive: true });lib/index.js:227mkdirSync(destinationRoot, { recursive: true });lib/index.js:238mkdirSync(tempDirectory, { recursive: true });lib/index.js:279mkdirSync(dirname(target), { recursive: true });- 看写入位置。写自己的配置目录是正常的，写系统目录不是。
- 发起网络请求
network需留意1 处命中lib/client.js:1574const res = await fetch(`/dsh-skills-hub-api/${endpoint}`, {- 看请求发往哪些域名。发往作者自己的后端是常见做法。
- 读取文件
reads-files一般12 处命中lib/client.js:1003function readFile(entry) {lib/client.js:1023const file = await readFile(child);lib/index.js:31return statSync(path).isDirectory();lib/index.js:37const content = readFileSync(join(dir, firstMd), "utf-8");- 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 写入文件 | writes-files | 需留意 | 10 |
| 发起网络请求 | network | 需留意 | 1 |
| 读取文件 | reads-files | 一般 | 12 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 7 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。
依赖安全公告
已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）