dsh-plugin-lessons

DSH PLUGIN工具与能力

仓库 oxmumu3/dsh-plugin-lessons

工具与能力 L4 · 沙盒安装通过 安全审查:低风险 可信度:青铜 可安装插件
安装这个插件

做 DeepSeek Harness(DSH)插件的经验:踩过的坑和好做法,每条带版本和证据。社区项目,非官方。

一句话选型结论

按资料字段整理

dsh-plugin-lessons 是工具与能力类的 DSH 可安装插件,验证等级 L4 · 沙盒安装通过,安全审查为低风险,有可直接复制的安装命令。验证通过不等于安全:插件会读写文件、执行命令或联网,装前先到仓库确认它做了什么;涉及密钥或系统权限的,建议先在隔离环境试装。

分类工具与能力 收录类型可安装插件 验证等级L4 · 沙盒安装通过 安全审查低风险
验证等级 L4 L4 · 沙盒安装通过
GitHub 星标 0 复刻 未标注 · 未关闭 issue 未标注
最近更新 2026-11-10 创建于 未标注
README 10.5 KB 正文体量,越大说明说明书写得越细

安装

可安装插件
在 DSH 里执行,装完用 dsh plugin list 确认已挂上;标了 L4 / L5 的命令已在沙盒里真实跑通
dsh plugin --profile web add github:oxmumu3/dsh-plugin-lessons
  1. 1
    确认版本与运行环境

    仓库没有标注兼容版本与 Node.js 要求,先确认你的 DSH 版本能装,再继续。

  2. 2
    执行安装命令

    在 DSH 里执行上面的命令;多包仓库要注意区分具体子包名,别装错包。

  3. 3
    确认已挂载

    用 dsh plugin list 查看列表里是否出现这个插件,出现即挂载成功。

  4. 4
    试跑并检查权限

    加载后跑一个最小用例,确认它能正常工作;同时看它申请了哪些文件、命令或网络权限。

兼容 DSH 版本未标注版本不匹配时安装会报错
Node.js 要求未标注来自仓库 package.json 的 engines 字段
前置依赖无需要同时安装的同级依赖
npm 包名未发布到 npm可用 npm view 查看包信息

验证等级与安全审查

L4 · 沙盒安装通过
自动化流程结论,不是人工审核
验证等级L4 · 沙盒安装通过安装命令在隔离沙盒内真实执行成功,无依赖错误
安全审查低风险静态分析结论,未标注不代表已通过审查
仓库健康度活跃按仓库活跃度与最近更新时间给出
可信度青铜综合仓库活跃度与验证结果

上面的结论来自上游最近一次自动化验证(2026-11-12): 同一套检查会在插件发新版后重跑,页面显示的是最新一次的逐项结果。

逐项检查结果

L1 · 已找到 – 未测
L2 · 结构化 – 未测
L3 · 安装规范 ? 未知
  • L3.1_INSTALL_COMMAND_PARSED 安装命令已解析 方式:安装规范解析
  • L3.2_DSH_VERSION_DECLARED DSH 版本已声明 方式:DSH 版本声明
L4 · 安装已测 ✓ 通过
  • L4.1_INSTALL_EXECUTED_CONFINED 受限沙盒内执行安装 方式:沙盒安装执行
  • L4.2_INSTALL_SUCCESS 沙盒安装成功 方式:沙盒安装执行
  • L4.3_ARTIFACT_CONFIRMED 安装产物已确认 方式:沙盒安装执行
L5 · 运行已测 ? 未知
  • L5.1_INSTALL_PASSED_SANDBOXED 沙盒安装通过 方式:沙盒安装执行
  • L5.2_WEB_BOOT_READY Web 启动就绪 方式:Web 启动
  • L5.3_HTTP_SERVED HTTP 服务响应 方式:HTTP 请求
  • L5.4_PLUGIN_INVENTORY_ACTIVE 插件清单中已激活 方式:插件清单查询

风险详情

  • 结论说明 静态扫描 低;动态审计无结论(以下以静态为准)→ 总评级 低。
  • 风险计数 严重 0 / 高 0 / 扫描文件数 0

选择建议

装之前先看这几条
按条目字段给出的判断,不替你决定用不用

值得选的地方

  • 验证等级 L4:在沙盒里真实装过,依赖能装上,不是纸面声明。
  • 静态安全审查为低风险,没有发现明显可疑行为。
  • 有可直接复制的安装命令,不用自己翻文档找入口。

先想清楚的地方

  • 没有声明 Node.js 版本要求,版本不匹配可能装不上。
  • 验证通过不等于安全:插件会读写文件、执行命令或联网,装前先到仓库确认它做了什么。

更适合

  • 需要在工具与能力场景里给 DSH 补能力的人。
  • 想装完就能用、不想自己排依赖的人。
  • 能接受在本地装依赖、愿意自己确认权限的人。

不太适合

  • 只使用 DSH 官方内置能力、不接受第三方插件的人。

同类对比

6 个同类
同分类里挑最接近的几条,字段以各自详情页为准
插件验证等级安全审查星标兼容版本安装命令
dsh-plugin-lessons当前 L4 · 沙盒安装通过 低风险 0 未标注 有
huashu-design 未做沙盒验证 未标注 3.0 万 未标注 有
loopx 未做沙盒验证 未标注 6,233 未标注 无
agy-staff 未做沙盒验证 未标注 870 未标注 有
dsh-startup-screen 未做沙盒验证 未标注 633 未标注 有
minara-skills L4 · 沙盒安装通过 中风险 360 未标注 有

仓库档案

工具与能力
字段来自项目仓库与公开索引,中文说明由本站标注
作者 / 维护方oxmumu3仓库 dsh-plugin-lessons · 默认分支 未标注
分类工具与能力本站分类
收录类型可安装插件声明了 dsh.bundle、可用 dsh plugin add 安装的条目
开发语言未标注仓库主语言
许可证MIT商用或二次分发前请确认条款原文
星标 / 复刻 / issue0 / 未标注 / 未标注收录时的数值,非实时
创建 / 更新未标注 · 2026-11-10最后推送 未标注
本站收录2026-11-15首次进入本站目录的时间

README 全文

10.5 KB
作者原文,中文版优先;只做安全转义,不改内容

DSH 插件经验库

这里收的是做 DeepSeek Harness(DSH)插件的经验:前人踩过的坑,和公开的好插件里值得照着做的做法。每条都写明什么情况下会遇到、该怎么做、在哪个版本上核对的、凭什么这么说。

给两种人用:在创造模式里让模型帮你做插件的人,和自己动手写插件的人。

一句话用上

在创造模式里,说需求之前先贴这一句:

> 做之前先读一下 https://raw.githubusercontent.com/oxmumu3/dsh-plugin-lessons/main/QUICK.md

QUICK.md 是速查版,一行一条,约 9KB。模型扫一眼就知道有哪些坑;遇到具体问题,再按行尾的文件名去读那一条的做法和证据。

做完之后,如果这次踩到了新坑,贴这一句:

> 把这次踩的坑按 https://raw.githubusercontent.com/oxmumu3/dsh-plugin-lessons/main/FORMAT.md 的格式写成一条,去掉路径和隐私,我来提交。

模型会按格式写好一条。你自己看一遍,确认里面没有不该公开的东西,再提一个 issue 贴进去。有人审过之后会收进来,署你的名字。

模型读不了这个网址的话(网络连不上,或者当前模式不让它上网),把 QUICK.md 的内容直接贴进对话,效果一样。

这套东西有没有用,我自己按道理觉得有用,但没有做过贴与不贴的对比。你试了觉得没用,也欢迎告诉我。

为什么要有这个库

DSH 的创造模式本身带了一份官方的开发说明,写得不差。但有些坑它没写,有些坑写了大家还是会踩,还有些坑是某个版本特有的,过两个版本就没了。这些东西现在散在每个人自己的对话记录里,下一个人照样踩一遍。

好的一面也一样。社区里已经有做得很顺手的插件,它们的代码是公开的,里面有不少一看就能照着做的写法,只是没人把它们一条一条拎出来。

所以把这两样都记成一条一条的,带上版本和证据,放在一个谁都能看、谁都能改的地方。

这是个人发起的社区项目,不是 DeepSeek 官方的。

怎么用

做插件的人

  • 读全文:LESSONS.md 是带做法和证据的完整合集,按「动手之前、接口与注册、工具与提示词、客户端加载、界面与体验、发版与兼容、看效果与排错」分了七节。要做带界面的插件,就看「客户端加载」和「界面与体验」;要给模型加工具,就看「工具与提示词」;要发版,就看「发版与兼容」。也可以把某一节整段贴进对话。
  • 遇到报错来搜:很多条目里有报错原文,直接搜关键词。

做工具的人(想把这些经验带进自己的插件或脚本)

  • 用 lessons.json,里面是全部条目,字段说明见 FORMAT.md。
  • 请带一份你读过的快照,并记下是哪一次提交。不要让插件在运行时直接拉这个仓库的最新内容,原因见下面的「安全说明」。

一条经验长什么样

---
标题: 工具的可选参数直接不写 required,写 required: false 会注册失败
类型: 踩过的坑
分类: 接口与注册
状态: 有效
宿主版本: 0.2.2-rc.1
最近核对: 2026-11-10
来源: 「发现好插件」内置避坑清单
---

## 什么情况下会遇到
用 defineTool 给插件注册工具,想标明某个参数是可选的,顺手写了 required: false。

## 该怎么做
必填的参数写 required: true,可选的参数不写这个字段。

## 证据
- 报错原文:harness.defineTool <参数路径>.required must be true when present
- 宿主代码:0.2.2-rc.1 规范化工具参数时,值不是 true 就抛上面这个错。

全部条目在 entries/ 里,一条一个文件。每条有一个「类型」:

  • 踩过的坑:这么做会出问题。证据通常是报错原文、一次真实的事故,或者宿主里的硬限制。
  • 好做法:这么做更好。证据通常是某个公开插件某个版本的某个文件,或者官方说明。

贡献一条

  1. 复制 entries/_template.md,改个英文文件名(小写加连字符,比如 tool-param-required.md)。
  2. 照着模板里的提示填。填不出证据的,先别提交。
  3. 在仓库根目录跑一下 node scripts/build.mjs。它会检查格式,并重新生成 QUICK.md、LESSONS.md 和 lessons.json。
  4. 提合并请求。会有人把你写的每一句读一遍再合并。

嫌麻烦的话,直接提一个 issue 把经验贴上来也行,有现成的填写模板。

发现哪条错了、过期了,也按同样的方式改,见下面「条目会过期」。

收什么

三个条件都满足才收:

  • 通用:换一个人、做另一个插件,也会遇到。
  • 可核对:有报错原文、宿主里的接口名、公开仓库里的文件,或者写明哪天怎么试的。别人能顺着证据自己验证。
  • 带版本:写明是在哪个 DSH 版本上遇到或核对的。真不知道就写「未记录」,并把状态标成「待复核」。

好做法另有两条要求:

  • 能落成一条具体做法,并且指得到出处:哪个公开插件、哪个版本、哪个文件。只引用公开仓库,用自己的话描述,不搬别人的代码。
  • 只写事实,不写因果。「这个插件这么做」可以写;「它因此好用」是推测,不写。

纯经验性的做法(比如「先做空架子」)没法在宿主或仓库里核对,也收,但证据里要写明它是做法建议,以及是谁在什么情况下总结的。

不收什么

  • 只对某一个插件成立的事:它自己的样式类名、产品决定、测试约束。
  • 整篇的案例拆解和产品观点:「这个插件为什么好用」「边界要窄」这类。它们值得写成文章,但没法核对,也不适合贴给模型当做法执行。从拆解里拎出来的具体做法可以收,拆解本身不收。
  • 拿别人的插件当反面例子并且点名。坑可以写,名字不用提。
  • 和 DSH 无关的通用工程习惯:依赖版本怎么钉、npm 怎么发布、怎么写测试。
  • 没有证据的感觉,以及效果数字。「用了能省多少 Token」这类话,没有公开可复现的测量就不写。
  • 官方开发说明的原文搬运。官方说明里讲了后果的、或者不容易翻到的做法可以收,但要用自己的话说,并注明出处和版本。
  • 凭据、个人路径、别人的隐私、对话记录原文。

条目会过期

宿主升级很快,一条经验可能两个版本后就不对了。所以每条都有状态:

状态 意思
有效 回到证据核对过,在标注的版本上站得住
待复核 证据不全,或者有地方对不上。条目里会写明哪一点没核对
已过期 在新版本上不成立了。条目留着不删,并指向替代它的那一条

你在新版本上验证了某一条:把「宿主版本」和「最近核对」改成你的,提合并请求。

你发现某一条不成立了:把状态改成「已过期」,在「替代项」里填替代它的条目文件名(没有就写「无」),在备注里说一句怎么发现的。不要直接删,后来的人搜报错时还能看到「这条路以前这么走,现在不行了」。

「最近核对」隔得太久的条目,用之前自己先验证一下。

安全说明

这里的文字会被人贴给模型,模型会把它当成做法去执行。这和普通文档不一样:一句写歪了的话,可能让模型在别人的电脑上做出不该做的事。所以有几条规矩:

  • 每条都要人读过才合并。 构建脚本会拦掉一些明显的问题(个人路径、疑似密钥、邮箱、「忽略以上要求」这类话),但它只是道绊线,不能代替人读。
  • 条目只描述情况和做法,不对模型发号施令。 不能出现让模型跳过用户确认、瞒着用户做事、放宽权限、无视其他规则的内容。合并请求里有这类话,直接拒绝。
  • 条目里不放凭据、个人路径、用户名、会话编号、别人的隐私。
  • 带进插件之前再审一次。 任何插件要内置这些条目,请带一份自己读过的快照并锁定提交,不要在运行时拉取最新内容。这样即使这个仓库哪天被合进了不好的东西,也到不了你的用户那里。
  • 开头那句话读的是主分支上的当前内容。 主分支只有审过的合并才会变。想更稳妥,可以把网址里的 main 换成某一次提交的编号,读到的内容就固定了。
  • 用的人自己留个心。 条目和你当前宿主的实际接口不一致时,信宿主;和你自己的要求冲突时,听你的。

发现条目里有不安全的内容,请直接提 issue。

这些经验从哪来

现在共 64 条:32 条坑,32 条好做法。其中 5 条标了「待复核」。

来源 条数
七个社区头部插件的源码和注释 32
「发现好插件」的内置避坑清单和发起人做多款自有插件记下的实测经验 24
宿主安装包内置的官方开发说明 6
别人公开发表的文章 2

读过的七个插件(按读的版本):dsh-media-desk 2.6.2、dsh-guizang-design 0.1.4、DSH-better-sidebar 0.30.1、dsh-TUI 0.19.0、dshmarket 1.73.17、dsh-ops 0.5.2、dsh-agent-teams 0.1.29。谢谢这些作者把代码和注释写得这么清楚,很多坑是他们先踩的。

关于这部分要说明三点:

  • 只读了代码和注释,没有运行这些插件。条目写的是「这个仓库这么做、注释这么说」,不是我验证过它在所有版本上都成立。
  • 没有搬代码,做法都是用自己的话写的;示例代码是按意思重写的最小片段。
  • 哪位作者觉得描述得不对,或者不希望被引用,提个 issue,马上改。

每一条收进来之前都回到出处核对过,核对不了的标了「待复核」。

和「发现好插件」的关系

这个库是独立项目,不是「发现好插件」(@oxmumu3/dsh-plugin-finder)的一部分。「发现好插件」打算做它的第一个读者,定期带一份人审过的快照,这一步还没接上。别的插件、别的工具也可以用同样的方式读它。

许可

MIT。条目经常要被整段带进别的插件里,而社区里的 DSH 插件多数也是 MIT,用同一个许可最省事:保留许可声明就可以用。

发起人:牛村木木山(oxmumu3)。

常见问题

5 问
答案由本站依据条目字段整理,不引用上游原文
dsh-plugin-lessons 怎么安装?

在 DSH 里执行 `dsh plugin --profile web add github:oxmumu3/dsh-plugin-lessons` 即可。

dsh-plugin-lessons 的验证等级是什么意思?

L4 · 沙盒安装通过。安装命令在隔离沙盒内真实执行成功,无依赖错误

dsh-plugin-lessons 安全吗?

低风险。静态扫描 低;动态审计无结论(以下以静态为准)→ 总评级 低。

dsh-plugin-lessons 装之前要先确认什么?

先看它会读写哪些文件、执行哪些命令、连接哪些网络地址;验证等级只说明装得上、跑得起来,不等于安全。涉及密钥或系统权限的,建议先在隔离环境试装。

dsh-plugin-lessons 用的是什么许可证?

上游标注为 MIT。商用或二次分发前请到仓库确认许可证原文。

工具与能力
按星标排序,可作替代方案

huashu-design

huashu-design

在 DeepSeek Harness 里说一句话,就能拿回可交付的设计:网页、App 原型、可编辑 PPTX、动画与信息图,自带 84 种风

未标注验证等级 3.0 万 星

loopx

loopx

LoopX 是面向长周期 Agent 的本地优先控制平面,作为 DSH plugin 为 DeepSeek Harness 提供持久目标、证

未标注验证等级 6,233 星

agy-staff

agy-staff

把 Google Antigravity CLI 作为快速 Gemini 员工接入 DSH,提供子代理侧边栏、编排模式与多种角色技能。

未标注验证等级 870 星

dsh-startup-screen

dsh-startup-screen

DeepSeek Harness 的启动界面与启动动画插件。

未标注验证等级 633 星

dsh-blender-plugin

dsh-blender-plugin

让 AI 模型通过直连 TCP 通道实时驱动 Blender 的 DSH plugin:15 个工具覆盖视口取帧、任意角度渲染、内循环搜索、

未标注验证等级 211 星

oxmumu3 的其它插件

6 个

插件的元信息来自作者仓库;分类、验证等级与安全结论的中文说明为中文整理,最近核验 2026-11-12。