dsh-plugin-hub

dsh-plugin-hub

简体中文 | English 维护状态：有限维护

我目前已暂时停止使用 DeepSeek Harness，本项目转入有限维护阶段。后续优先评估用户反馈的可复现缺陷，尤其是安全、数据完整性与核心功能问题；上游 rc 版本适配按实际需求、改动成本和个人精力评估，不保证逐版跟进，也不承诺固定的响应、修复或发布时间。

新功能、全面重构与 1.0.0 重写计划暂时搁置。仓库与已发布包继续保留，欢迎社区修复、fork 或讨论接手维护；PR 按精力评审，不保证及时合并。兼容范围以本 README 和对应发布说明为准，不承诺 alpha 兼容。

完整说明与交接讨论见维护状态公告。

DSH（DeepSeek Harness）Web GUI 插件集，npm 分发：一键装全家桶，或按需单装。 聚合包：@wingsky-1/dsh-plugins-all（一键装齐全部插件） 单插件：@wingsky-1/dsh-*（按需安装） 当前源码树维护 5 个包：1 个聚合包与 4 个功能包；聚合包包含这 4 个功能包 快速导航

使用前须知 · 最短上手 · 插件列表 · 常用配置与维护 · 验证与排障 · 详细参考 · 开发与架构

使用前须知 版本适配（只适配 rc）

本插件集当前只适配 DeepSeek Harness 0.2.2-rc.1（Cordis 4.1.0）。 0.2.11 对应以下 rc.1 基线，0.2.10 对应旧 rc.2 基线。安装前请确认目标插件版本已在 registry 发布，并与使用的 DSH 版本匹配。 pnpm-workspace.yaml 的官方类型层 catalog 是权威版本事实源；本分支各包 peerDependencies 是维护流程生成的精确版本投影，锁定 dsh 0.2.2-rc.1 与 Cordis 4.1.0；其他 DSH 版本不在本轮支持范围 运行 DSH 0.2.2-rc.1 要求 Node >=24.9；本仓本地测试直接用原生 type stripping 跑 TS 的 Node >=23.6 是开发工具门槛，两者不可混用 升级顺序：先停止正在运行的旧 dsh web 并备份插件配置与会话数据，再把 DSH CLI 升级到 0.2.2-rc.1，然后通过 dsh plugin ... update 将插件更新到 0.2.11，最后启动并验收。发布或安装制品可以先于使用端升级，但旧 CLI 不能正常安装或加载新插件；不要用 allow-version 绕过 peer 校验 每版的具体适配基线、破坏性变更与升级指南见 Release Notes catalog 更新前，不对 alpha、旧 runtime 或其他版本作兼容承诺 独立安装与全家桶：二选一

独立包与聚合包的 patch id 相同（dsh-*）。请只选一种安装方式—— 同时装 dsh-plugins-all 与任一 @wingsky-1/dsh-notifier 等独立包会导致同名 entry 重复，dsh web 启动时报 duplicate 错误（可发现，不代表损坏）。需要调整时： 卸载聚合包，或卸载对应独立包，重启即可。 逐插件安全说明 DSH 原生 LAN 入口只应显式绑定一个具体的本机 IPv4/IPv6 地址；--public-url 只用于对外公布 URL，不授予信任，--trusted-host 只扩展接受的 Host/Origin authority 原生 TLS 保护传输，但不单独认证请求者。插件 API 保留 loopback 快路径；非回环短请求只有在官方 ctx.connection.requestRejection(req) 返回 undefined 时才可准入。该校验覆盖 Host/Origin、跨站、cookie 与 API peer，异常必须 fail-closed。非回环 SSE 等长流还必须经 ctx.connection.admit 取得并保留 PeerScope，将关闭绑定到 Peer 生命周期；Peer 释放后必须立即停止广播并关闭流。新部署启用 LAN 前，应按插件完成认证、SSE/WebSocket 与真实设备验收；HTTPS 握手成功本身不能证明插件可用 TLS 证书链、私钥配对应由使用者管理，客户端需信任对应 CA，证书 SAN 必须覆盖实际访问 authority；不要把私钥、启动令牌或会话凭据写入仓库、日志或公开报告 dsh-mcp-manager 的 stdio 子进程继承宿主权限，只配置可信的 MCP 服务器 插件管理路由使用 loopback 快路径与官方身份准入；错误 Host/Origin、跨站、缺失凭据、401/403、admission 异常及长流生命周期绑定失败都保持 fail-closed，错误方法仍返回 405。 dsh-notifier 自持配置文件；设置响应掩码频道凭据，但通知正文与出口错误详情不打码，可能进入日志、历史与推送服务。 dsh-provider-usage 的 API 密钥留在宿主端，不进浏览器。 dsh-verify-isolated 使用临时 DSH_HOME、独立 profile、端口与浏览器实例；这是验证隔离边界，不是全局安全承诺。

各插件的威胁模型与加固细节见其 README 安全章节。

最短上手