awesome-dsh-theme

检测报告

能力清单

• 可执行外部程序spawns-processes高关注6 处命中
  • lib/host/launch.js:1import { execFile as nodeExecFile } from 'node:child_process'
  • lib/host/media-scan.js:3import { execFile as nodeExecFile } from 'node:child_process'
  • lib/host/picker.js:1import { execFile as nodeExecFile } from 'node:child_process'
  • lib/host/we-native.js:1import { execFile as nodeExecFile, spawn as nodeSpawn } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意7 处命中
  • scripts/build-client.mjs:42await mkdir(path.dirname(output),{recursive:true});await writeFile(output,body)
  • scripts/build-native.mjs:23mkdirSync(directory, { recursive: true });
  • scripts/check-page-surfaces.mjs:10await mkdir('artifacts/page-browser',{recursive:true})
  • scripts/check-page-surfaces.mjs:12await writeFile(entry,`import * as pages from '../../src/client/render/page-surfaces.js'
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意3 处命中
  • client.js:1335const response=await fetch(asset.url,{signal:linked,credentials:'same-origin',cache:'no-store',redirect:'error'})
  • src/client/intro.js:36const rpcId=globalThis.crypto.randomUUID(),response=await fetch('/awesome-dsh-theme/'+method,{method:'POST',credentials:…
  • src/client/native-frames.js:7const response=await fetch(asset.url,{signal:linked,credentials:'same-origin',cache:'no-store',redirect:'error'})
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 启动伪终端spawns-pty需留意2 处命中
  • lib/host/launch.js:10stdout = await new Promise((resolve, reject) => execFile('powershell.exe', ['-NoProfile', '-NonInteractive', '-WindowSty…
  • lib/host/picker.js:21child = execFile('powershell.exe', ['-NoProfile', '-Sta', '-WindowStyle', 'Hidden', '-EncodedCommand', encoded], { windo…
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 动态执行代码dynamic-code需留意1 处命中
  • scripts/check.mjs:21vm.runInNewContext(await readFile('client.js','utf8'),{window:{__ModuleLoader__:{load:value=>registration=value}}},{time…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 读取文件reads-files一般13 处命中
  • lib/host/media-route.js:53stream = file.createReadStream({ ...(range ?? {}), autoClose: false })
  • lib/host/sdk.js:40stream = opened.file.createReadStream({ autoClose: false })
  • lib/host/we-properties.js:48signal?.throwIfAborted();const bytes=await readFile(path,{signal,maxBytes:limit});signal?.throwIfAborted()
  • scripts/audit-package.mjs:7const compressed=await readFile(target),tar=gunzipSync(compressed,{maxOutputLength:4*1024*1024})
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般9 处命中
  • lib/host/media-scan.js:40export async function discoverLibraries({ steamRoots = [], localSteamInstall, libraryRoot, platform = process.platform, …
  • lib/host/we-properties.js:52function currentUsername(){try{return process.env.USERNAME??userInfo().username}catch{return ''}}
  • scripts/build-native.mjs:13const compiler = cli[1] || process.env.DSH_NATIVE_CXX || 'g++';
  • scripts/check-page-surfaces.mjs:9const {chromium}=await import(process.env.DSH_PLAYWRIGHT_MODULE?pathToFileURL(process.env.DSH_PLAYWRIGHT_MODULE).href:'p…
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般5 处命中
  • lib/host/sdk.js:21const [{ defineDomain }, { z }] = await Promise.all([import('@deepseek-ai/dsh-storage-domain'), import('zod')])
  • lib/host/sdk.js:24const defineTool = tools ? (await import('@deepseek-ai/dsh-tools')).defineTool : undefined
  • scripts/check-page-surfaces.mjs:9const {chromium}=await import(process.env.DSH_PLAYWRIGHT_MODULE?pathToFileURL(process.env.DSH_PLAYWRIGHT_MODULE).href:'p…
  • scripts/check-readability.mjs:10const {chromium}=await import(process.env.DSH_PLAYWRIGHT_MODULE?pathToFileURL(process.env.DSH_PLAYWRIGHT_MODULE).href:'p…
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 使用 vm 模块做隔离uses-vm-module一般2 处命中
  • scripts/build-client.mjs:4import vm from 'node:vm'
  • scripts/check.mjs:5import vm from 'node:vm'
  • 用 node:vm 是在建立隔离，不是在突破它。本身不是顾虑，但值得知道这个插件会执行动态代码。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 49 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

可信度

• -5没有仓库或主页地址warn