dsh-client-ui-task-board-github
github.com/zhu1090093659/dsh-web
v0.4.6
界面与主题
含混淆或编码代码
dsh-web 是面向 DeepSeek Harness（DSH）Web GUI 与官方桌面客户端的模块化插件生态与 AI 智能体开发工作台。它为深度用户与开发者提供任务自动化看板（Cron 定时调度）、手机与跨设备远程控制、SSH 远程终端与集群运维、Git 提交历史图谱与多 Agent Worktree 隔离、全量会话归档管理、Token 用量与成本统计，以及一站式主题皮肤与桌面宠物工坊。用户既可以通过官方 profile 机制将插
作者原文（英文）
External provider extension for the dsh Web GUI task board that synchronizes GitHub Issues into the board; shipped as a dsh profile bundle with no DSH source changes.
中文简介由 DeepSeek 模型翻译，仅供参考。
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
1需留意3一般20未命中
高关注需留意一般
能力清单
- 含混淆或编码代码
obfuscated-code需留意8 处命中lib/types/index.d.ts:35export declare const GITHUB_GUIDANCE = "\u672C\u673A\u5DF2\u5B89\u88C5 dsh-task-board-github \u6269\u5C55\uFF08DSH Web G…- 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
- 接触凭据或密钥
credentials一般365 处命中lib/client.js:698if (this.specOf(field).secret) return true;lib/client.js:1165* is the repository/credential summary shown by the settings seat and the card,lib/client.js:1198"setup.credentialConfigured": "Host 凭据：已配置（{name}，来源 {source}）",lib/client.js:1199"setup.credentialMissing": "Host 凭据：未配置（可直接在下方粘贴 GitHub Token，存到本机凭据库 {name}）",- 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
- 动态加载模块
dynamic-import一般19 处命中lib/client.js:437engine = require(platform);lib/client.js:439engine = require(legacy);…s/client/GithubSettingsCard.d.ts:75export declare function GitHubSettingsSection(props: GitHubSettingsSectionProps): import("react").JSX.Element;lib/types/client/index.d.ts:42owner: import('../core/contract.ts').TaskBoardDetailSectionProps;- 动态导入本身无害，但会让依赖关系难以静态审阅。
- 读取环境变量
reads-env一般8 处命中lib/index.js:555this.env = options.env ?? process.env;lib/index.js:2334async function describeGitHubCredential(ctx, envName, env = process.env) {lib/index.js:2370async function resolveGitHubToken(ctx, envName, env = process.env) {lib/index.js:2505const env = options.env ?? process.env;- 环境变量里常混有密钥。看它是否把整个 env 都读走。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 含混淆或编码代码 | obfuscated-code | 需留意 | 8 |
| 接触凭据或密钥 | credentials | 一般 | 365 |
| 动态加载模块 | dynamic-import | 一般 | 19 |
| 读取环境变量 | reads-env | 一般 | 8 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 77 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。
依赖安全公告
已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）