dsh-super-code

检测报告

能力清单

• 改写用户 profileprofile-tamper高关注1 处命中
  • preset-declaration.js
  • 看它改的是自己那一段还是别人的。改用户 profile 通常应由用户手动做。
• 写入文件writes-files需留意16 处命中
  • lib/dsh/preset-declaration.js:67await writeFile(file, JSON.stringify({ plugin: 'dsh-super-code', format: 1, ...value }), { mode: 0o600 });
  • lib/dsh/preset-declaration.js:68await rename(file, this.path);
  • lib/dsh/preset-declaration.js:259await writeFile(join(backup, 'cordis.patch.yml'), original, { flag: 'wx', mode: 0o600 });
  • lib/dsh/preset-declaration.js:261await writeFile(join(backup, 'preset.yml'), dump(entry.options.config), { flag: 'wx', mode: 0o600 });
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 运行时改写自身配置modifies-own-manifest需留意1 处命中
  • lib/dsh/preset-declaration.js:259await writeFile(join(backup, 'cordis.patch.yml'), original, { flag: 'wx', mode: 0o600 });
  • 运行时改写自身配置会让下次启动的行为和你看过的源码不一致。
• 读取文件reads-files一般15 处命中
  • lib/evaluate.js:11const manifest = JSON.parse(await readFile(manifestPath, 'utf8'));
  • lib/evaluate.js:14const input = createReadStream(measurementsPath, { encoding: 'utf8' });
  • lib/dsh/preset-declaration.js:32const record = JSON.parse(await readFile(path, 'utf8'));
  • lib/dsh/preset-declaration.js:179const rows = yaml.load(await readFile(this.bundlePath, 'utf8'), { schema: declarationSchema });
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般2 处命中
  • lib/index.js:5const adapter = await import('./dsh/index.js');
  • lib/dsh/preset-installation.js:321const boot = await import(pathToFileURL(require.resolve('@deepseek-ai/dsh-app-boot')).href);
  • 动态导入本身无害，但会让依赖关系难以静态审阅。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 69 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

可信度

• -10声明与实物不符：patch-dup-idmajor：['super-code (./cordis.patch.yml)']