channel-web
github.com/wsz987/dsh-channels
v0.5.1
其他
含混淆或编码代码发起网络请求
DeepSeek Harness Web client: Settings > Channels (渠道) dashboard
该插件尚未翻译，显示作者原文。
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
2需留意2一般20未命中
高关注需留意一般
能力清单
- 含混淆或编码代码
obfuscated-code需留意23 处命中lib/client.js:4749setupIntro: "\u586B\u5199\u6E20\u9053\u51ED\u8BC1\uFF0C\u4FDD\u5B58\u540E\u81EA\u52A8\u8FDE\u63A5\u3002\u5DF2\u914D\u7F6…lib/client.js:4750setupIntroDingtalk: "\u586B\u5199\u5DF2\u6709\u9489\u9489\u5E94\u7528\u7684 Client ID \u548C Client Secret\uFF0C\u4FDD\u…lib/client.js:4751setupIntroLark: "\u586B\u5199 App ID \u548C App Secret \u540E\u4FDD\u5B58\u5373\u53EF\u8FDE\u63A5\uFF1B\u626B\u7801\u638…lib/client.js:4752setupIntroTelegram: "\u5728 @BotFather \u521B\u5EFA\u673A\u5668\u4EBA\u5E76\u83B7\u53D6 Bot Token\uFF0C\u586B\u5199\u540…- 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
- 发起网络请求
network需留意1 处命中lib/client.js:2147const res = await fetch(base + path, init);- 看请求发往哪些域名。发往作者自己的后端是常见做法。
- 接触凭据或密钥
credentials一般114 处命中lib/client.js:2290preferredSetupMethod: "credentials",lib/client.js:2293hybrid: ["appId", "appSecret"]lib/client.js:2320if (descriptor.fields.length > 0 && !methods.includes("credentials")) {lib/client.js:2321methods.unshift("credentials");- 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
- 动态加载模块
dynamic-import一般1 处命中README.md:60factory })` and keeps the static identities as `require()` externals- 动态导入本身无害，但会让依赖关系难以静态审阅。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 含混淆或编码代码 | obfuscated-code | 需留意 | 23 |
| 发起网络请求 | network | 需留意 | 1 |
| 接触凭据或密钥 | credentials | 一般 | 114 |
| 动态加载模块 | dynamic-import | 一般 | 1 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 13 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。