dsh-market

中文 · English 两种形态

DSH 生态增长极快，插件与技能散落在 GitHub 各处 —— 不知道哪个好用、怎么装、怎么组合成一套能干活的环境。DSH Market 用一个平台收齐它们，并提供两种消费入口： 两者的关系：仅共享同一份 plugins.json 数据（每日 06:00 自动刷新星星与描述），除此之外没有直接关联——Web 版是独立的浏览站，插件版是独立的 cordis 插件，可分别使用、互不依赖：用 Web 版不一定要装插件，装插件也不影响 Web 站。 演示 环境要求 DSH ≥ 0.1.5（最新发布 0.1.5-rc.1 已实测） Node.js ≥ 20

面板入口自动适配：0.1.5+ 用标准入口（图标进左侧导航栏）；更早版本回退侧栏底部按钮 + 浮层，仍可用但已进入维护模式，0.5.0 起移除。 快速开始 Web 版

无需安装，直接访问：

安装插件版

装完重启 harness，侧边栏底部出现「插件市场」入口。 v0.4.0 起：AI 代理安装升级为路由模式——先走零 LLM 直装（已装检测 → 配方缓存 → README 解析命令 + 冒烟验证），只有需要时才交给极简协议子代理；一键安装成功后自动学习配方，后续重装/换机器零 token 直装。 v0.4.5 起：确认安装时可勾选 🛡 安全模式——对于来源不明或敏感的插件，开启后跳过零 LLM 直装，强制 AI 子代理在安装前做安全扫描：检查危险命令（curl|sh 管道执行 / 下载执行 / base64 混淆）、敏感信息收集回传（读取 API Key / Token 并外发）、配置篡改（覆盖 sandbox / approval / 权限配置）、网络暴露与信任围栏（绑定 0.0.0.0、云服务器部署 / 反代隧道把本地端口暴露公网、弱化 Host 校验）、来源存疑（新建低活跃仓库）等；发现风险即中止、不执行任何安装命令。安全模式消耗 token，普通可信插件可保持关闭走快速安装。背景：DSH 曾曝极危漏洞 QVD-2026-57410（CVSS 9.8，伪造 Host 头绕过信任围栏即可无密钥控制机器）——本地端口一旦暴露公网等于交出控制权，远程访问请用隧道回连，不要把服务端口搬上公网。 DSH 插件版

装进 DSH 侧边栏的插件市场：新手 3 分钟上手，越用越懂你。

新手友好 · 零门槛 首次打开有冷启动问卷：选你常用的场景与插件类型，立即得到精选 + 猜你喜欢 不用记任何命令——卡片上一键安装（skill / cordis 自动路由，失败自动重试、可回滚） 零 token 被动运行：不打开面板不消耗任何资源，不参与日常对话

个性化推荐 · 越用越懂你 画像来自问卷 / 收藏 / GitHub 加星 / 已装插件，全部保存在本机 「猜你喜欢」随使用动态更新（EMA 衰减），每个推荐附一句「为什么推荐」

场景推荐 · 读当前会话 手动触发，读取当前会话标题与消息（零 token）→ 推荐"现在这个场景该装什么"

中文意图搜索 · 零 token 搜「记事本」也能召回简介写"笔记"的插件：内置 100+ 中文意图词典，把口语说法扩展成中英召回词参与召回，结果标注「匹配「记事本」」；搜索框下方另有「中文分类」一键浏览（记事本 / 待办 / 截图 / MCP…） 实验开关：AI 语义精排（本地召回 60 候选 → LLM 精排 20 并附理由；候选池固定不随插件量增长，默认关闭省 token）

备份与恢复 一键导出已装清单 / 收藏 / 偏好为 JSON；换机或重装后导入合并恢复——只补装缺失的，绝不动后来装的；备份不含任何凭据