dsh-plugin-admin

检测报告

能力清单

• 可执行外部程序spawns-processes高关注5 处命中
  • lib/fs-admin.js:9import { spawn } from 'node:child_process'
  • lib/mcp-probe.js:17import { spawn } from 'node:child_process'
  • lib/plugin-admin.js:13import { spawn } from 'node:child_process'
  • lib/run-command.js:16import { spawn } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 访问原生绑定native-access高关注1 处命中
  • lib/workflow-realm-shared.js:61// 绝不能直接交到脚本手上——否则 scriptP.constructor.constructor 一步就是宿主
  • 访问原生绑定或走 constructor 链，等于绕开 JS 层的一切限制。确认这是插件的核心机制，而不是顺手拿到的便利。
• 含混淆或编码代码obfuscated-code需留意557 处命中
  • lib/client.js:61"\u5DF2\u5B58\u7684 header \u53EA\u56DE\u952E\u540D\uFF08\u503C\u4E0D\u56DE\u4F20\u6D4F\u89C8\u5668\uFF09\uFF1A\u7559\u7…
  • lib/client.js:62"\u5DF2\u5B58\u7684\u73AF\u5883\u53D8\u91CF\u53EA\u56DE\u952E\u540D\uFF08\u503C\u4E0D\u56DE\u4F20\u6D4F\u89C8\u5668\uFF0…
  • lib/client.js:65"\u5F53\u524D\u73AF\u5883\u4E0D\u652F\u6301\u6587\u4EF6\u4E0B\u8F7D": "File download is not supported in this environmen…
  • lib/client.js:77"\u274C \u65E0\u6CD5\u52A0\u8F7D\u4F1A\u8BDD\u5217\u8868\uFF1A": "\u274C Failed to load the session list: ",
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 写入文件writes-files需留意36 处命中
  • lib/audit-log.js:362mkdirSync(dirname(file), { recursive: true, mode: 0o700 })
  • lib/audit-log.js:395writeFileSync(temp, kept.map(function (item) { return JSON.stringify(item) }).join('\n') + '\n', { encoding: 'utf8', mod…
  • lib/audit-log.js:398appendFileSync(file, JSON.stringify(entry) + '\n', { encoding: 'utf8', mode: 0o600 })
  • lib/command-hook-admin.js:770if (!existsSync(commandsDir)) mkdirSync(commandsDir, { recursive: true })
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 可终止进程kills-processes需留意5 处命中
  • lib/mcp-probe.js:56: (/** @type {number} */ target, /** @type {string} */ signal) => { process.kill(target, signal) }
  • lib/patch-utils.js:404* (Windows `process.kill(pid, 0)` on a system process answers EPERM: alive,
  • lib/patch-utils.js:429try { process.kill(pid, 0) } catch (error) {
  • lib/patch-utils.js:611process.kill(pid, 0)
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 发起网络请求network需留意5 处命中
  • lib/mcp-probe.js:897response = await fetch(cfg.url, { ...init, signal: controller.signal })
  • lib/mcp-probe.js:1046const ping = await fetch(cfg.url, {
  • lib/mcp-probe.js:1158const response = await fetch(url, {
  • lib/mcp-probe.js:1247const response = await fetch(url, {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 动态执行代码dynamic-code需留意3 处命中
  • lib/workflow-realm-worker.js:118const context = vm.createContext({})
  • lib/workflow-realm-worker.js:119const bindFacade = vm.runInContext(`(${REALM_FACADE_SOURCE})`, context, { filename: 'workflow-facade.js' })
  • lib/workflow-tools.js:53'Actions: create (start a new background run), amend (swap the script, keep cached steps), resume (continue a stopped/er…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 启动伪终端spawns-pty需留意3 处命中
  • lib/fs-admin.js:46const child = spawn('powershell.exe', [
  • lib/mcp-probe.js:518return spawn(process.env.comspec || 'cmd.exe', ['/d', '/s', '/c', '"' + shellCommand + '"'], {
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 接触凭据或密钥credentials一般168 处命中
  • lib/audit-log.js:13* written, so a webhook secret or an API key never reaches the file;
  • lib/audit-log.js:34* hyphen/underscore tolerant: the earlier list matched `apikey` / `api_key` but
  • lib/audit-log.js:35* not the `x-api-key` spelling an MCP server's headers actually use (that is the
  • lib/audit-log.js:41const SENSITIVE_KEY = /secret|token|api[-_]?key|passw(or)?d|pass[-_]?phrase|pwd(?![a-z0-9])|credential|authorization|bea…
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取文件reads-files一般119 处命中
  • lib/audit-log.js:341if (!existsSync(file)) return []
  • lib/audit-log.js:343var lines = readFileSync(file, 'utf8').split('\n')
  • lib/command-hook-admin.js:149if (!existsSync(path)) return null
  • lib/command-hook-admin.js:150return JSON.parse(readFileSync(path, 'utf8'))
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般11 处命中
  • lib/mcp-probe.js:476for (const [key, value] of Object.entries(process.env)) {
  • lib/mcp-probe.js:518return spawn(process.env.comspec || 'cmd.exe', ['/d', '/s', '/c', '"' + shellCommand + '"'], {
  • lib/patch-utils.js:70const fromEnv = process.env.DSH_HOME
  • lib/peer-compat.js:441const override = process.env.DSH_RUNTIME_VERSION
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般4 处命中
  • lib/client.js:581"\u5BFC\u5165\uFF08\u540C\u540D\u8DF3\u8FC7\uFF09": "Import (duplicate names skipped)",
  • lib/workflow-engine.js:60esbuild = await import('esbuild')
  • lib/workflow-engine.js:439/** @type {import('node:worker_threads').Worker|null} */
  • lib/workflow-engine.js:875/** @type {import('node:worker_threads').Worker | null} */
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 使用 vm 模块做隔离uses-vm-module一般1 处命中
  • lib/workflow-realm-worker.js:22import vm from 'node:vm'
  • lib/workflow-realm-worker.js:124* @param {import('node:vm').Script} compiled - the script to execute in the realm.
  • 用 node:vm 是在建立隔离，不是在突破它。本身不是顾虑，但值得知道这个插件会执行动态代码。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 49 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）