dsh-plugin

dsh-plugin · DeepSeek Harness (DSH) 插件矩阵

中文 | English

面向 DeepSeek Harness（DSH）Web GUI 的插件矩阵与生产力套件：36 个 Cordis Plugin（21 个自研 packages/ + 15 个收录增强 third-party/），覆盖安全审计与供应链防护、科研推演流水线、插件开发工程生产线、界面交互增强、跨会话记忆与推理路由。

每个插件都是以 Cordis Plugin 形态装配在 DSH 的 Cordis 内核上的独立单元：既可以运行时注入热调试，也可以作为 bundle 常驻 profile。整套矩阵由同一个 AI Agent 宿主驱动，插件之间通过 Cordis 服务总线（ctx.*）而非硬编码耦合协作。

🏛️ 历史插件归档：此前退役、卸载或由 DSH 原生功能替代的插件（如 dsh-better-sidebar、dsh-lab-kit、dsh-vision-toolkit 等）已全数迁移至 历史与退役插件归档，首页仅保留在用与最新演进成果。

---

一键安装：4 个独立可直装插件

下列插件已发布到独立只读镜像仓，一条命令装好，无需 clone、无需构建：

# 旗舰：GitHub 假星 / 供应链审计器
dsh plugin add github:Suxeca/dsh-plugin-repo-auditor

# 科研：思维演化地图编译器
dsh plugin add github:Suxeca/dsh-science-map

# 科研：文献书签与本地研究知识库
dsh plugin add github:Suxeca/dsh-literature-library

# UI：Ctrl+K 会话快速切换
dsh plugin add github:Suxeca/dsh-client-ui-session-switcher

安装审计器后，可在任意会话中直接调用原生工具：

audit_github_repos({ repos: ["owner/repo", "https://github.com/owner/repo"] })

ℹ️ 本仓库根 package.json 的 name 是 dsh-plugin（工作区根，不是可加载插件）。要安装矩阵中的其他插件，请使用下方的「方式 B / C / D」。

---

真实度与安全徽章

矩阵中每个插件都带有真实度 / 安全标记。这不是装饰 —— 判据公开、可复现。

关于 ✅ 的诚实边界：100/100 · A · 0 flags 是仓库级审计结论，不是对 36 个插件逐个跑出的独立评分。审计器对每个插件仍会在安装时刻独立复检（见下）。

为什么矩阵里要放一个审计器

近年 GitHub 上出现大规模 fake stars 现象：CMU 的研究 Six Million (Suspected) Fake Stars in GitHub（arXiv:2412.13459，即 CMU StarScout 一类的假星检测研究路线）系统刻画了点星水军、脉冲式增星与空壳仓库。与此同时，npm supply chain attack 已从投毒依赖升级为在生命周期脚本里直接外联下载并执行载荷 —— 一个星数好看、README 漂亮的仓库，可能在 postinstall 里就跑掉了你的 GITHUB_TOKEN。

因此本仓库的默认姿态是：不信任星数，先审计，再安装。

---

插件矩阵 / Plugin Catalog（36）

🛡️ 安全审计与供应链 (Security & Supply Chain)

🔬 科研学术与推演 (Science & Research)

🛠️ 插件开发与工程生产线 (Plugin Dev & Engineering)

🎨 界面与交互增强 (UI & Experience)

🧠 记忆与路由 (Memory & Routing)

---

第三方收录索引 / Vendored Third-Party

third-party/ 下的 15 个插件是上游开源项目，在本仓库内被收录、本地修复或增强。它们各自保留上游许可证；本仓库的 MIT 不覆盖它们。

---

核心插件指南

1. 仓库审计器 @suxeca/dsh-plugin-repo-auditor 0.2.0 — GitHub Fake Star Detector

本矩阵的旗舰条目，也是唯一提供一键独立安装的插件。启发式指标源自 CMU 论文 Six Million (Suspected) Fake Stars in GitHub（arXiv:2412.13459，CMU StarScout 研究路线），在 DSH 的 Cordis 架构上本地原生实现。

六层检测：

Pre-Execute Gate（安装门禁）：审计器挂在 tools/pre-execute 扩展点，实时监听 plugin_manager（install_bundle）与 bash（git clone / npm install github:...）。双轨触发 —— 轨迹一星数信度低（D/F 级或空壳告警），轨迹二供应链/敏感权限中高风险 —— 命中即弹出 DSH 原生 { kind: 'ask' } 审批卡，列明具体风险，由你决定放行与否。紧急通道：SKIP_REPO_AUDIT=1。

配额自愈设计：GitHub Raw CDN 零配额静态拉取 package.json / cordis.patch.yml，绝不消耗 REST 配额；四级凭据自动探测（config.token → DSH credentials → GITHUB_TOKEN → 本地环境文件）；健康仓库（≥85 分）严格只花 1 次 API 请求；10 分钟 TTL 缓存，forceRefresh: true 可穿透。

配置（DSH 设置面板或 cordis.patch.yml）：

- insert:
    - id: repo-auditor
      name: '@suxeca/dsh-plugin-repo-auditor'
      config:
        token: ""              # GitHub PAT（可选，会自动从环境或 ~/.bashrc 读取）
        sampleSize: 5          # 水军账号抽样数（默认 5）
        enableInstallGate: true # 是否开启安装拦截门禁（默认 true）

2. 开发期探针 @suxeca/dsh-dev-probes 0.0.1

常驻 dsh.profile.bundles。三类改动无法用常规手段自证正确，探针在重启之前给出判决：

理由不是"更方便"，而是代价不对称：dsh.profile.bundles 是启动路径，loader 对其中每一项都要求 dsh.bundle.patch，缺了就在启动时 throw —— 只是"装了个包"，却变成"关掉 DSH 之后再也起不来"。四个探针全部只读。

3. 超级模组注入器 @dsh-external/dsh-super-injector 0.3.3

运行时插件加载引擎，免重启即时调试：

• 运行时注入：dev_inject_plugin <插件绝对路径>
• 确定性热重载：dev_reload_package <包名子串>
• 安全卸载：dev_uninject_plugin <包名子串>
• 全链路自检：dev_self_test（验证注入、重载、回滚与防崩溃）

4. 会话快速切换 @suxeca/dsh-client-ui-session-switcher 0.1.0-rc.7

• 呼出面板：Ctrl+K / Alt+K，支持拼音与文本模糊搜索，按 Enter 切入。
• 对话循环：Ctrl+[ / Ctrl+] 按侧边栏顺序前后循环。
• 布局联动：Ctrl+B 左栏、Ctrl+Shift+B 官方右栏、Esc 快速收起。

---

安装与装配方式

方式 A：一键安装独立插件（推荐 —— 4 个已发布插件）

dsh plugin add github:Suxeca/dsh-plugin-repo-auditor          # 审计器
dsh plugin add github:Suxeca/dsh-science-map                  # 思维演化地图
dsh plugin add github:Suxeca/dsh-literature-library           # 文献研究库
dsh plugin add github:Suxeca/dsh-client-ui-session-switcher   # 会话快速切换

只读镜像自带编译产物（lib/），无需 clone、无需构建。真源分别是本仓库的 packages/dsh-plugin-repo-auditor、packages/dsh-science-map、packages/dsh-literature-library、packages/dsh-client-ui-session-switcher —— 开发与修复都在母仓发生，镜像随后同步。

其余插件（如 dsh-note-board、科研核心、界面增强等）尚未发布独立仓，请使用下方方式 B / C / D 装配。

方式 B：超级模组注入（推荐开发调试，即时生效）

在当前会话中即时加载本地插件，无需重启：

dev_inject_plugin /path/to/dsh-plugin/packages/xxx

方式 C：Profile 常驻安装（重启后常驻）

以 bundle 形式装配到指定 profile：

cd ~/Workspace/deepseek-harness
pnpm dsh plugin --profile web add link:/path/to/dsh-plugin/packages/xxx
# 重启 dsh web 生效

⚠️ 往 dsh.profile.bundles 加包之后、重启之前，先跑 dsh_profile_preflight。

方式 D：预设安装 (Presets)

mkdir -p ~/.dsh/.agent-presets
cp -r presets/router-standard ~/.dsh/.agent-presets/
# 重启 DSH 后在新建会话中选择 Router Standard

---

仓库结构

dsh-plugin/
├── packages/                        # 21 个自研插件（MIT，tsdown + vitest）
│   ├── dsh-plugin-repo-auditor/     #   🛡️ 假星审计 + 供应链预检 + 安装门禁
│   ├── dsh-research-core/           #   🔬 证据驱动科研研读底座
│   ├── dsh-academic-beamer/         #   🔬 学术 Beamer 流水线
│   ├── dsh-physics-derivation/      #   🔬 第一性原理推导审查
│   ├── dsh-writing-core/            #   🔬 科研写作微单元
│   ├── dsh-science-map/             #   🔬 思维演化地图编译器 (🌐 public)
│   ├── dsh-note-board/              #   🔬 会话笔记看板 (KaTeX)
│   ├── dsh-literature-library/      #   🔬 文献书签与本地研究库
│   ├── dsh-dev-pipeline/            #   🛠️ 插件开发全链路生产线
│   ├── dsh-dev-probes/              #   🛠️ 开发期验证探针
│   ├── dsh-engineering-toolkit/     #   🛠️ TDD / 根因诊断 / 交接单
│   ├── dsh-typesafe/                #   🛠️ TypeSafe 语义判断服务
│   ├── dsh-client-ui-session-switcher/ # 🎨 Ctrl+K 会话调色板 (🌐 public)
│   ├── dsh-external-dirs/           #   🎨 侧边栏「外部目录」Tab
│   ├── dsh-pdf-drop/                #   🎨 PDF 拖放直传 + @file 注入
│   ├── dsh-mobile-polish/           #   🎨 移动端全宽布局润色
│   ├── dsh-custom-thinking/         #   🎨 自定义 Provider 思考强度
│   ├── dsh-expression-mode/         #   🎨 语言与简明表达风格开关
│   ├── dsh-quota-meter/             #   🎨 🔒 多模型配额环
│   ├── dsh-search-gateway/          #   🛡️ 统一搜索凭据网关
│   └── dsh-secure-context-polyfill/ #   🛡️ 🔒 非安全上下文 crypto polyfill (🌐 public)
├── third-party/                     # 15 个收录 / 本地增强的上游插件
│   ├── dsh-super-injector/          #   [submodule] 运行时注入器
│   ├── dsh-proxy-guard/             #   代理链路自毁拦截
│   ├── dsh-visualize/               #   内联可视化卡片
│   ├── dsh-codex-bridge/            #   Codex → subagent 工具
│   ├── dsh-codex-gpt55/             #   Codex 固定模型 provider
│   ├── dsh-agy/                     #   Google Antigravity 接入
│   ├── dsh-deja/                    #   多 Agent 会话历史召回
│   ├── sage-mem/                    #   [submodule] Chinese-first 长期记忆
│   ├── dsh-memsearch/               #   跨 agent 共享 markdown 记忆
│   ├── dsh-smooth-stream/           #   丝滑流式渲染（含 CJK 修复）
│   ├── dsh-synapse/                 #   非线性画布工作区
│   ├── dsh-whale-animation/         #   鲸鱼下潜状态动画
│   ├── dsh-boot-animation/          #   启动加载动画
│   ├── dsh-gpt-compat/              #   fail-closed 沙箱提权守卫
│   └── dsh-wallpaper-engine/        #   壁纸引擎集成
├── presets/                         # 推理模式路由预设
│   └── router-standard/             #   通用任务感知路由
├── shared/                          # 构建预设：tsdown.client.ts / web-platform.ts
├── scripts/                         # 验证脚本（快捷键、会话地图、预览等）
├── docs/                            # 设计与规范文档
│   ├── HISTORICAL-PLUGINS.md        #   🏛️ 历史与退役插件归档
│   ├── DEVELOPMENT.md               #   插件开发指南
│   └── UPDATE-PLAN.md               #   演进计划
├── LICENSE                          # MIT (c) 2026 Suxeca
└── README.md

---

开发与构建

pnpm install
pnpm -r typecheck   # 全仓类型检查
pnpm -r test        # 全仓单元测试
pnpm build          # 构建全部包

开发任何插件前请先读 docs/DEVELOPMENT.md；发版前跑 pipeline_release_gate。

---

关键词 / Keywords

为了让需要它的人找到这里，本仓库明确对应以下检索意图：

内核与形态：DeepSeek Harness · DSH · Cordis · Cordis Plugin · AI Agent · dsh-plugin · deepseek-harness · DeepSeek Harness 插件 · DSH 插件开发

安装与分发：dsh plugin add · dsh plugin add github:Suxeca/dsh-plugin-repo-auditor · Cordis patch / bundle · profile bundles · 运行时插件注入

安全与真实度：GitHub Fake Star Detector · fake stars · CMU StarScout · 假星检测 · 水军识别 · 空壳仓库 · arXiv:2412.13459 · Supply Chain Security · 供应链投毒 · npm supply chain attack · 生命周期脚本投毒 · Pre-Execute Gate · 安装门禁 · 审批卡拦截 · fail-closed 沙箱守卫

科研：证据驱动文献综述 · 引文核验 · 对抗同行评议 · Beamer 生成 · 第一性原理推导审查 · 科研写作

---

历史归档与相关文档

• 🏛️ 已退役插件历史记录：参见 docs/HISTORICAL-PLUGINS.md（含 dsh-better-sidebar、dsh-lab-kit、dsh-conversation-share、dsh-agent-teams、dsh-vision-toolkit 的卸载原因、存储释放数据与源码归档路径）。
• 📘 插件开发指南：参见 docs/DEVELOPMENT.md。
• 🔧 平滑流式 CJK 修复记录：参见 third-party/dsh-smooth-stream/FIX-NOTES.md。

---

开源许可

• 本仓库自有代码（packages/、presets/、scripts/、shared/）采用 MIT License。
• third-party/ 收录的第三方插件遵循各自上游的开源许可证（详见各子目录内的 LICENSE 与 package.json）。

---

---

English

DeepSeek Harness (DSH) plugin matrix — a bilingual, production-grade collection of 36 Cordis Plugin packages for the DeepSeek Harness Web GUI: 21 first-party plugins in packages/ plus 15 vendored or locally enhanced upstream plugins in third-party/.

Every entry is a Cordis Plugin — an isolated unit mounted on DSH's Cordis kernel. Each can be injected at runtime for zero-restart debugging, or installed as a bundle into a profile for persistence. Plugins collaborate over the Cordis service bus (ctx.*) rather than through hardcoded coupling, which is what lets a single AI Agent host drive the whole matrix.

Install a standalone plugin in one command

Four plugins are published as standalone, read-only mirror repositories, so each installs without cloning or building anything:

dsh plugin add github:Suxeca/dsh-plugin-repo-auditor          # fake-star + supply-chain auditor
dsh plugin add github:Suxeca/dsh-science-map                  # research evolution-map compiler
dsh plugin add github:Suxeca/dsh-literature-library           # literature bookmarks / research library
dsh plugin add github:Suxeca/dsh-client-ui-session-switcher   # Ctrl+K session switcher

The headline capability of this repo is GitHub Fake Star Detector — an auditor for fake stars, stargazer bot farms, hollow repositories, and poisoned install scripts. Then call the native tool from any session:

audit_github_repos({ repos: ["owner/repo"] })