dsh-plugin-installer

检测报告

能力清单

• 以 shell 执行命令shell-exec高关注12 处命中
  • references/diagnostics.md:63**修复**：dsh-skin shim + shell:true 补丁（edge-cases 坑 10）。
  • references/edge-cases.md:963. 给已装 skin-center 打 `shell: true` 补丁（`execFile("dsh-skin", args, {..., shell:true})`），让 node 走 shell 解析 `.cmd`。
  • references/install-flow.md:1513. `dsh-skin.cmd` + `.cjs` shim 放 npm 全局 bin（修 apply）+ 给已装 skin-center 打 `shell: true` 补丁——这两个一次性，脚本会检测并提示。
  • scripts/patch-skins.sh:94# 3. shell:true 补丁检测（修 GUI apply：execFile 走 shell 解析 .cmd shim）
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• R010 向其他插件注入plugin-tree-injection高关注1 处命中
  • dsh-plugin-installer
  • 看 patch 里 insert 的包是不是本项目自己的。插入第三方代码要格外留意。
• 发起网络请求network需留意3 处命中
  • lib/client.js:66fetch("/plugin-store/catalog.json").then((r) => r.ok ? r.json() : { plugins: [] }).then((d) => {
  • lib/client.js:198const res = await fetch("/plugin-store/install", {
  • references/diagnostics.md:49**含义**：客户端 `fetch(url).json()` 拿到 SPA HTML。
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 读取文件reads-files一般9 处命中
  • lib/index.js:96return JSON.parse(readFileSync(pkgPath, 'utf8')).version || ''
  • lib/index.js:126const doc = JSON.parse(readFileSync(join(DATA_DIR, 'store.json'), 'utf8'))
  • lib/skills.js:74for (const entry of readdirSync(SKILLS_DIR, { withFileTypes: true })) {
  • lib/skills.js:77if (!existsSync(skillFile)) continue
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般3 处命中
  • references/install-flow.md:125# HTTP 模式用 url + headers；token 用 !!js '`${process.env.XXX}`' 引用
  • scripts/build.mjs:49'process.env.NODE_ENV': JSON.stringify(process.env.NODE_ENV ?? 'production'),
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 接触凭据或密钥credentials一般3 处命中
  • templates/_plugins.package.json:20"@deepseek-ai/dsh-credentials": "0.1.0-rc.6",
  • README.md:103- No other config, no environment variables, no secrets.
  • README.md:109- No telemetry, no analytics, no credential access.
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 动态加载模块dynamic-import一般1 处命中
  • package.json:22"smoke": "node -e \"import('./lib/index.js').then(m => console.log('ok:', m.name, 'inject:', m.inject.join(',')))\"",
  • 动态导入本身无害，但会让依赖关系难以静态审阅。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 18 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告