【免费下载链接】dsh-plugin-shopThe most comprehensive DeepSeek Harness plugin market — refreshed daily, sourced across the Internet, reviewed before publishing.项目地址https://gitcode.com/gh_mirrors/ds/dsh-plugin-shop点击查看免费下载dsh-plugin-shop 是 DeepSeek Harness 的插件商店除了每天采集 npm 包它还开通了一条github: 直装通道没有发布 npm 包的插件只要把 GitHub 仓库配置好就能被收录进目录用户点击安装时由商店拼出github:owner/repo#commit这样的地址直接装好。本文用大白话讲清这条通道的收录条件、commit 钉住原理和安全设计也教你一步步让仓库插件成功上架。为什么需要 github: 直装通道很多插件作者只把代码放在 GitHub 上不会发布到 npm。对这类插件商店如果只盯着 npm 采集就永远看不见它们。于是商店在每日构建时并行跑两条采集线一条扫 npm 关键字另一条扫带dsh-plugin或deepseek-harness主题标签topic的 GitHub 仓库。但能采集不等于能安装。团队曾抽查 90 个带 topic 的仓库发现一个危险的数字42% 的仓库连dsh.bundle都没声明——pnpm 安装会成功退出但 dsh 注册不到任何插件用户重启后看到一片空白。商店的做法是把这类仓库在采集阶段就拦下来只把真正可安装的那 20% 放上货架。上架条件你的仓库要满足什么想让 GitHub 仓库插件进入目录需要满足几个硬性条件详见 docs/schema.zh.md加 topic给仓库添加dsh-plugin或deepseek-harness主题标签根目录package.json声明name和dsh.bundle缺了dsh.bundle会被判为no-bundle拒绝——这是防止静默安装失败最关键的一条规则不能需要构建脚本声明了prepare/prepack脚本的仓库会装不上因为商店绝不放开构建脚本执行有许可证且有可展示的描述仓库描述或dsh.catalog简介均可。全部检查逻辑集中在 registry/scripts/src/repo-gate.ts 这个纯函数模块里每个被拒的仓库都会记录名称和一份作者可读的具体原因写进每日构建报告方便排查。monorepo 也可以上架把dsh.bundle写在实际提供插件的子包里商店会以github:owner/repo#commitpath:子目录的形式安装。commit 钉住GitHub 插件的版本是什么npm 包用语义化版本号GitHub 条目则把默认分支的一个具体 commit40 位哈希钉住作为版本卡片上只显示前 7 位短 commit。这样做的好处是精确且永存在commit 不会因为分支重写而消失装到的内容和你看到的就是同一份每日可更新仓库有新提交后下次构建重新钉住新 commit商店里的更新按钮会驱动你装上更新的 commit。安装后宿主端Host会在本地缓存里记下这个仓库当时装了哪个 commit见 packages/dsh-plugin-shop/src/host/repo-pins.ts——这样即使仓库后续更新了商店也能如实告诉你已安装版本落后。安装流程github:地址是怎么拼出来的这是这条通道最有安全价值的设计。商店的界面端Client没有任何网络和文件系统权限它只把条目名 版本发给本地宿主端真正的安装命令永远由宿主端自己拼装npm 条目拼成nameversionGitHub 条目拼成github:owner/slug#40位commit子包再加path:dir所有字段都来自刚校验过的目录快照客户端传入的任何字符串都不会被直接拼进命令行。也就是说商店不存在从任意 URL 安装的入口你点安装时能装到的地址只有一个且经过校验。相关实现位于 packages/dsh-plugin-shop/src/host/index.ts。还有一个反直觉的细节安装不需要本机装有 git。pnpm 解析github:地址时走的是 GitHub 的 tarball 接口而不是git clone。团队曾专门测试把 git 命令故意弄坏后pnpm 9、10、11 三个版本都能顺利装好github:owner/repo#commit。这也解释了为什么仓库条目不需要git 缺失预检。安装完成后商店还会做装后确认如果仓库在快照和安装之间改掉了dsh.bundle安装会明确失败并给出证据而不是像 42% 那种仓库一样悄无声息地什么都不做。安全细节信任等级与确认弹窗信任等级不继承人工评审只绑定某个仓库 某个 commit换任何 commit 都会降级防止作者拿一次评审为后续恶意版本背书每次安装前确认所有条目默认属于社区级别安装前都会弹出权限说明弹窗见上图明确告知插件可访问文件系统、shell 和发往模型的请求——商店不提供沙箱隔离防仿冒拦截与已收录包名过于相似编辑距离过近的仓库名会被拦截等待人工裁定。如何让你的 GitHub 仓库插件上架三步操作无需向本项目提交任何申请给仓库添加dsh-plugin或deepseek-harnesstopic在根目录或 monorepo 子包的package.json中声明name和dsh.bundle例如{ patch: ./cordis.patch.yml }注意bundle 要加载的文件必须真实存在于被钉住的 commit 中——被.gitignore排除的dist/目录会直接导致拒绝。第二天早上构建跑完后插件就会出现在商店货架上如果没有出现去每日构建报告里查一下被拒的具体原因即可。完整的字段说明和常见问题可参考 docs/schema.zh.md通道的完整设计决策包括为什么选 commit 而不是 tag 钉住记录在 docs/design/2026-08-30-github-install-channel.md。 一句话总结github: 直装通道让只有仓库、没有 npm 包的插件也能被安全地发现、筛查和安装——商店替你钉住 commit、替你拼好地址你在确认弹窗前看清单即可。赞分享【免费下载链接】dsh-plugin-shopThe most comprehensive DeepSeek Harness plugin market — refreshed daily, sourced across the Internet, reviewed before publishing.项目地址https://gitcode.com/gh_mirrors/ds/dsh-plugin-shop点击查看免费下载相关推荐如何登记你的 DSH 插件DSH Plugin Radar 从提交 PR 到收录全流程教程如何登记你的 DSH 插件DSH Plugin Radar 从提交 PR 到收录全流程教程 DSH Plugin Radar 是面向 DeepSeek Hardsh-plugin开发工具AI 插件没有白板实战收藏一万遍也是纸面架构师笔记仓库的隐藏风险没有白板实战收藏一万遍也是纸面架构师笔记仓库的隐藏风险 打开任何一个系统设计笔记仓库你大概率会看到一套整齐的目录从限流器、一致性哈希到 YouTub教程后端Paseo 插件发布指南通过 npm、私有仓库与 Git 分发插件Paseo 插件发布指南通过 npm、私有仓库与 Git 分发插件 导读 Paseo 的插件系统允许你用一个 TypeScript 项目为 daemon 增加上一篇构建企业应用安全计划AppSec Program基于 OWASP Top 10 2017 的组织行动指南下一篇reactstrap错误边界防止应用崩溃创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考