dsh-odoo-sdd

检测报告

能力清单

• 可执行外部程序spawns-processes高关注2 处命中
  • lib/index.js:61import { spawnSync } from "node:child_process";
  • src/index.ts:156import { spawnSync } from "node:child_process";
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意130 处命中
  • lib/atomic.js:53renameSync(from, to);
  • lib/atomic.js:74mkdirSync(dirname(file), { recursive: true, mode: 0o700 });
  • lib/atomic.js:77writeFileSync(tmp, data, { mode });
  • lib/atomic.js:82rmSync(tmp, { force: true });
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意8 处命中
  • lib/odoo-client.js:126const response = await fetch(this.#credentials.url + path, {
  • lib/odoo-client.js:286const response = await fetch(this.#credentials.url + path, {
  • lib/odoo-import.js:256const response = await fetch(`${input.session.url}${input.capabilities.upload.path}`, {
  • lib/odoo-import.js:673const response = await fetch(`${session.url}/web`, {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 动态执行代码dynamic-code需留意2 处命中
  • lib/manual-capture.js:341// the DOM lib: build the annotator with new Function (its body is
  • lib/manual-capture.js:345const annotate = new Function("label", "const d = document.createElement('div'); d.setAttribute('data-dsh-step', label |…
  • src/manual-capture.ts:466// the DOM lib: build the annotator with new Function (its body is
  • src/manual-capture.ts:470const annotate = new Function(
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 清单可疑manifest-obfuscation需留意1 处命中
  • 安装脚本：prepare
  • 清单被刻意写乱时，加载行为会难以预测。看原文而不是看渲染结果。
• 读取文件reads-files一般422 处命中
  • lib/ambiguity-lint.js:89return lintAmbiguity(readFileSync(join(specDir, "spec.md"), "utf8"));
  • lib/atomic.js:102if (!existsSync(file))
  • lib/atomic.js:106text = readFileSync(file, "utf8");
  • lib/atomic.js:138return readdirSync(dir)
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 接触凭据或密钥credentials一般60 处命中
  • lib/index.js:270const creds = loaded.credentials;
  • lib/index.js:321const others = listInstances(projectRoot).filter((entry) => entry.name !== loaded.credentials.instance);
  • lib/index.js:324detail: `Credentials OK (${loaded.credentials.source}): ${describeCredentials(loaded.credentials)}` +
  • lib/index.js:669const credentials = loaded.ok ? loaded.credentials : null;
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般8 处命中
  • lib/credentials.js:167const xdg = process.env["XDG_CONFIG_HOME"];
  • lib/credentials.js:174const override = process.env["ODOO_SDD_ENV_FILE"];
  • lib/sdd-state.js:124maxIterations: Number(process.env["ODOO_SDD_MAX_ITERATIONS"] ?? 5),
  • lib/sdd-state.js:125maxFailuresBeforeDiagnosis: Number(process.env["ODOO_SDD_MAX_FAILURES"] ?? 3),
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般4 处命中
  • lib/manual-capture.js:43const pw = (await import("playwright-core"));
  • src/manual-capture.ts:89const pw = (await import("playwright-core")) as unknown as { chromium: PwChromium };
  • lib/types/manual-tool.d.ts:31value: import("./manual-capture.js").CaptureSession;
  • src/manual-tool.ts:59export type WebSessionResult = { ok: true; value: import("./manual-capture.js").CaptureSession } | { ok: false; error: s…
  • 动态导入本身无害，但会让依赖关系难以静态审阅。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 138 个文件，扫描于 2026-10-20。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• 0没有可扣分的项