dsh 插件安全实用指南
2026-08-14
插件就是代码
一个 dsh 插件可以声明工具、钩子与 UI——和任何 npm 包一样，它能在安装时与运行时执行任意代码。请像对待自己项目里新增的依赖一样对待每个插件。
安装前检查什么
查看仓库的许可证、活跃度与文档质量，并优先选择安装过程不索取凭据的来源。我们的健康评分综合了许可证、社区采用、文档完整度与分发量等真实信号——但它不能替代你亲自审阅源码。
限制权限
在独立 profile 中运行不受信任的插件，首次运行前审阅 manifest，GitHub 安装固定 commit。定期用插件健康检查审计已安装的插件。