dsh-plugin-model-capability
github.com/yuioi666/dsh-plugin-model-capability
v1.4.0
界面与主题
含混淆或编码代码
Model Capability Manager for DSH Web: per-model thinking levels, context window, output caps, input modalities, gateway compat, route defaults, one-click presets, EN/中文 UI.
该插件尚未翻译，显示作者原文。
deepseek-harnessdshdsh-pluginmodel-capabilityreasoning-effortsthinking-levelscontext-windowmax-tokens
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
1需留意1一般22未命中
高关注需留意一般
能力清单
- 含混淆或编码代码
obfuscated-code需留意43 处命中lib/client.js:237pageIntro: "\u7BA1\u7406 llm-pi-ai \u63D0\u4F9B\u5546\u8DEF\u7531:\u6BCF\u4E2A\u6A21\u578B\u7684\u601D\u8003\u7B49\u7EA7…lib/client.js:238writableHost: "\u4FEE\u6539\u4F1A\u6301\u4E45\u5316\u5230\u5F53\u524D DSH profile\u3002",lib/client.js:239notWritable: "\u6B64\u6D4F\u89C8\u5668\u4E2D\u8BBE\u7F6E\u4E3A\u53EA\u8BFB(\u8FDC\u7A0B\u8BBF\u95EE)\u3002",lib/client.js:240memoryMode: "\u6B64\u6D4F\u89C8\u5668\u65E0\u6CD5\u6301\u4E45\u5316\u8BBE\u7F6E(\u9700\u8981\u672C\u673A\u56DE\u73AF\u8B…- 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
- 接触凭据或密钥
credentials一般35 处命中lib/client.js:105apiKeyEnv: "API key environment variable",lib/client.js:212// Credential-header warningslib/client.js:213credentialHeaderWarning: "Credential-like header names detected: {names}. These are NOT redacted by the Settings service…lib/client.js:217diagPresetCreds: 'Preset "{preset}": route "{route}" contains credential headers ({names}) in its payload. The preset wa…- 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 含混淆或编码代码 | obfuscated-code | 需留意 | 43 |
| 接触凭据或密钥 | credentials | 一般 | 35 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 5 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。
依赖安全公告
已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）