@shaoshi/dshscan

主要功能

• 离线静态规则扫描，覆盖远程代码执行、凭据窃取、混淆代码等通用风险类别
• 针对 DSH 特有攻击面的专项规则：cordis.patch.yml 插件树注入、client.mjs 浏览器侧恶意代码、profile 篡改等
• 可选 LLM 语义扫描（需配置 API Key），与静态规则结果互补
• 集成 npm audit 依赖漏洞检查，并检测未锁定版本、依赖仿冒等供应链风险
• 支持批量扫描 dshbase 插件目录并生成汇总 JSON/HTML 报告，可配合 GitHub Actions 定时巡检
• 输出带严重等级、证据与修复建议的 JSON/HTML 报告，并可启动本地 Web 面板查看风险趋势

适合什么时候用

• 安装第三方 DSH 插件前，先扫描其源码评估安全风险
• 插件市场维护者需要对目录中大量插件做批量安全巡检
• 通过 CI 定时任务持续监控已收录插件是否出现新的高危改动

安装后会多出什么

使用前需要

• 运行需要 Node.js/npm 环境，通过 npm install + npm run build 构建
• 依赖 @deepseek-ai/dsh-tools 作为 peerDependency
• 启用语义扫描需设置 DSCAN_LLM_API_KEY 或 OPENAI_API_KEY（可选功能）
• 批量/自动扫描依赖 dshbase 插件索引 JSON（DSCAN_INDEX）