dsh-web-artifact-designer

Name: dsh-web-artifact-designer
Author: xulelenlp

github.com/xulelenlp/dsh-web-artifact-designer

v1.0.0 技能包

认证 L2已扫描 ✓健康 S/100周下载 541

DSH 前端设计生成 Skill：把设计需求做成可直接打开的自包含 HTML/SVG 设计稿（海报/信息图/落地页/图表/组件稿）。Adapted from Anthropic canvas-design / web-artifacts-builder; zero runtime beyond markdown.

该插件尚未翻译，显示作者原文。

dshdsh-plugindsh-skilldeepseek-harnessweb-designagent-skillartifactcanvas-design

发布: 2026-08-17

检测报告

能力很少。几乎没有命中能力模式，源码里很少出现敏感调用。

1一般23未命中

高关注需留意一般

能力清单

读取文件reads-files一般4 处命中
- index.js:65const entries = await readdir(SKILLS_ROOT, { withFileTypes: true })
- index.js:72skills.push(parseSkill(await readFile(skillFile, 'utf8'), directory, skillFile))
- index.js:78const entries = readdirSync(SKILLS_ROOT, { withFileTypes: true })
- index.js:84skills.push(parseSkill(readFileSync(skillFile, 'utf8'), directory, skillFile))
- 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。

逐条扫描明细

能力	标识	关注度	命中次数
读取文件	`reads-files`	一般	4

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。本次读了 7 个文件，扫描于 2026-10-16。命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论：没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

这个插件声明的依赖中，有 2 条已公开的安全公告（最高等级：中）：

等级	依赖包	编号	摘要
中	`yaml`	CVE-2023-2251	Uncaught Exception in yaml 修复版本：2.2.2 详情 →
低	`yaml`	CVE-2026-33532	yaml is vulnerable to Stack Overflow via deeply nested YAML collections 修复版本：1.10.3, 2.8.3 详情 →

查询的是依赖声明范围的下界（如 ^4.2.0 查 4.2.0），不是实际安装到的版本。真正装的时候如果解析到了修复版本，就不受影响—— 所以这是「可能受影响」，不是「这个插件有漏洞」。数据来自 OSV.dev。

可信度

100 健康分 S 扣分项下方逐条附证据

0没有可扣分的项

认证等级 L2

L0内容完整性✓sha512-Hl9nm5j0jASllSh0… 与本地 tarball 复算一致
L1来源✓维护者 xulele_npm，仓库 xulelenlp/dsh-web-artifact-designer（未做仓库审计）
L2发行✓隔离 profile 安装成功，3.5s，层已挂载
L3生态—还没有契约/启动记录
L4多方独立验证—本站不做第三方独立背书

评分口径与作者信息

从 100 分开始按规则扣减：fail −20 / major −10 / warn −5 / minor −2；star 数、下载量、LLM 输出都不参与评分

维护者: xulele_npm
仓库: https://github.com/xulelenlp/dsh-web-artifact-designer
许可: MIT
最后发布: 2026-08-17
周下载: 541
star: 3

扫描状态：已扫描。能力是事实，不是缺陷；周下载与 star 只作参考，不参与评分。

认证等级核验的是这个包本身（内容指纹、来源、能否安装、声明是否属实）；依赖漏洞是独立标注的，两者正交、不互相掩盖。可信 ≠ 无漏洞，上架 ≠ 推荐。

← 返回全部插件