安全检测报告
@wingsky-1/dsh-opencode-usage未知
@wingsky-1 · packages/dsh-opencode-usage
用量与计费npm 预构建包
OpenCode Go 套餐用量悬浮框：三窗口（rolling/weekly/monthly）消耗百分比常驻展示，展开为迷你面积图；后台采样官方 /v1/usage 接口，零本地计算。
Star3GitHub · 仅用于排序
npm 周下载870@wingsky-1/dsh-opencode-usage
固定 commit——
扫描时间2026-08-22 08:27 UTCHT-DSH-0.2.2
检测结论
UNKNOWN · HT-DSH-0.2.2 · —仓库中不存在收录条目指向的子目录，暂时无法完成安全检测。
未运行任何检测层，没有可统计的发现
安装
没有检测结果时不提供安装命令。未知不等于安全。
检测明细
每层做了什么、跑没跑、有效发现数L0来源身份npm 元数据 ↔ 仓库未检查—
L1供应链安装脚本 · 未固定依赖 · 锁文件未执行—
L1已知漏洞OSV.dev · 仅生产依赖闭包未执行—
L2静态分析0 个文件 · 原始命中 0失败—
L2.5模型研判只对有效高/严重命中执行未执行—
L3权限清单覆盖宿主行 0 · 安全关键 0 · 敏感 0未执行—
L4隔离动态运行容器 · 假凭据金丝雀 · 出站记录未执行—
L5人工复核申诉 72 小时内复核未执行—
未执行的层不构成通过；只有“已完成”的层提供了证据。分数 = 100 − 去重规则罚分（严重 35 / 高 16 / 中 5 / 低 1），只用于同策略版本内排序。
权限清单 · cordis patch 解析
插件安装后会改变宿主的哪些行源码未获取，无法解析 cordis.patch.yml。
证据
没有可展示的证据：检测未完成。
依赖漏洞 · L1
未执行：未执行
身份与来源
GitHubwingsky-1/dsh-plugin-hub/packages/dsh-opencode-usage固定 commit—内容摘要—npm未检查repository 字段未检查发布来源证明未检查发布包 ↔ 源码未比对收录日期2026-08-18
宿主能力
范围，不是结论能力标签来自源码中的 API 使用模式：插件读文件、访问网络、创建子进程、读取凭据都会被标出。很多能力是功能所需；有没有问题看上面的证据。
检测覆盖
源码获取失败
manifest 解析未执行
bundle 配置未执行
依赖锁定未执行
已知漏洞查询未执行
来源身份未检查
发布包 ↔ 源码比对未比对
模型研判未执行
隔离动态运行未执行
人工复核未执行
时间线
全站变化 →2026-08-22 08:27 UTC未知
HT-DSH-0.2.2 · —
判定从 CAUTION 变为 UNKNOWN
2026-08-21 11:29 UTC存在风险
HT-DSH-0.2.1 · fcb88c6
策略升级到 HT-DSH-0.2.1
2026-08-21 10:58 UTC存在风险
HT-DSH-0.2.0 · 4b81a6a
首次扫描
徽章
贴进 README，点击回到本页
[](https://dshmod.com/plugins/wingsky-1-dsh-plugin-hub-packages-dsh-opencode-usage)
徽章文案只有风险状态与策略版本，状态变化时自动更新。
已知限制与申诉
- 源码获取或扫描失败，不能据此判断插件安全性。
- 结论只对上述 commit 与策略版本有效，新版本需要重扫。