dsh-wewrite
github.com/jerryjiao/dsh-wewrite
v0.5.3
模型与账号
含混淆或编码代码发起网络请求
一个 DeepSeek Harness（DSH） 插件：把一整套微信公众号 AI 写作管线（选题 → 大纲 → 成稿 → 质量门禁 → 排版渲染 → 配图 → 草稿箱）产品化。任何 DSH 用户一条命令安装，在本地 Web UI 里完成从选题到草稿箱的全流程。模型与凭据全部走你自己的账号，数据只落本地。
作者原文（英文）
WeChat official account AI writing pipeline as a DeepSeek Harness (DSH) plugin
中文简介由 DeepSeek 模型翻译，仅供参考。
检测报告
有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
2需留意2一般20未命中
高关注需留意一般
能力清单
- 含混淆或编码代码
obfuscated-code需留意173 处命中lib/index.js:201ctx.addIssue({ code: "custom", message: "\u70ED\u699C\u6A21\u5F0F\u4E0D\u652F\u6301\u643A\u5E26 brief\uFF08\u9009\u9898\…lib/index.js:486if (!hit) return "\u95E8\u7981\u7ED3\u8BBA\u8BF7\u4EE5\u5199\u4F5C\u53F0\u62A5\u544A\u4E3A\u51C6";lib/index.js:487if (hit.status === "rendered" || hit.status === "pushed") return "\u8BE5\u6587\u5DF2\u901A\u8FC7\u8D28\u91CF\u95E8\u7981…lib/index.js:488if (hit.status === "failed") return "\u8BE5\u6587\u672A\u901A\u8FC7\u8D28\u91CF\u95E8\u7981\uFF08\u63A8\u9001\u524D\u8BF…- 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
- 发起网络请求
network需留意6 处命中lib/index.js:2503const items = await deps.topicSource.fetch(20);lib/index.js:2720const settled = await Promise.allSettled(sources.map((source) => source.fetch()));lib/index.js:2741async fetch() {lib/index.js:2761async fetch() {- 看请求发往哪些域名。发往作者自己的后端是常见做法。
- 接触凭据或密钥
credentials一般182 处命中lib/index.js:26var CREDENTIAL_REFS = {lib/index.js:27wechatSecret: "WEWRITE_WECHAT_SECRET",lib/index.js:42var CredentialRefSchema = z.string().regex(/^[A-Z][A-Z0-9_]*$/, { message: "\u51ED\u636E\u5F15\u7528\u5FC5\u987B\u662F P…lib/index.js:48credentialRef: z.string()- 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
- 动态加载模块
dynamic-import一般15 处命中…host/providers/azure-openai.d.ts:5export declare function createAzureOpenAiProvider(fetchImpl?: typeof fetch): import("./types").ImageProvider;…es/host/providers/dashscope.d.ts:5export declare function createDashscopeProvider(fetchImpl?: typeof fetch): import("./types").ImageProvider;…types/host/providers/doubao.d.ts:5export declare function createDoubaoProvider(fetchImpl?: typeof fetch): import("./types").ImageProvider;…types/host/providers/gemini.d.ts:4export declare function createGeminiProvider(fetchImpl?: typeof fetch): import("./types").ImageProvider;- 动态导入本身无害，但会让依赖关系难以静态审阅。
逐条扫描明细
| 能力 | 标识 | 关注度 | 命中次数 |
|---|---|---|---|
| 含混淆或编码代码 | obfuscated-code | 需留意 | 173 |
| 发起网络请求 | network | 需留意 | 6 |
| 接触凭据或密钥 | credentials | 一般 | 182 |
| 动态加载模块 | dynamic-import | 一般 | 15 |
这份报告的口径
扫描读的是包里的源码，全程不执行第三方代码。 本次读了 64 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。