863683348/dsh-plugin-scorecard

README 摘要

dsh-plugin-scorecard DSH 插件体检评分卡：质量与安全审计、榜单与搜索。Quality & security scorecard, rankings and search for the dsh-plugin ecosystem. 一个 Cordis 插件 ，把「哪些插件值得装、哪个有风险」变成可执行的评分与报告： - plugin sync catalog 同步 GitHub dsh-plugin topic 目录（star 排序，可配上限） - plugin audit 对单个插件出体检报告：0-100 分、A/B/C/D 等级、信号明细、证据链；高危安装脚本 一票否决 （🚨 封顶 30 分） - plugin top 榜单（按评分 / star / 最近更新） - plugin search 语义搜索目录 - plugin history 历史评分曲线（时间/分数/等级、趋势方向） 评分模型 维度 满分 说明 维护活跃度 30 最近 push、star 量、是否归档 文档质量 25 README、描述、许可证、标签 npm 可装性 15 npm 包存在性、更新度、周下载 安全 30 安装脚本高危模式（curl sh、/dev/tcp、base64 -d、iex…）、外部主机回连 等级：A ≥80 · B ≥60 · C ≥40 · D <40。命中高危模式 → 封顶 30 分 + 🚨 不推荐。 安装 或编辑 profile 的组合： cordis.patch.yml 已内置 insert 条目（id: dsh-plugin-scorecard ）。 配置（可选） 字段 默认 说明 githubToken "" GitHub Token，提升 API 限额（无 Token 时 60 次/小时） securityScan true 是否扫描安装脚本 cacheTtlMs 900000 目录缓存 TTL（含工作区文件缓存） catalogFile .dsh/scorecard-catalog.json 目录持久化文件（会话工作区内） historyFile .dsh/scorecard-history.json 评分历史文件（会话工作区内） historyMaxEntries 100 历史快照条数上限 maxCatalogSize 200 每次同步的仓库数上限 开发 路线图 - v0.2 ✅：目录持久化（JSON 缓存）+ 历史评分曲线（plugin history） - v0.3：Web 设置页榜单（ui-settings-plugins 扩展点）+ 开放数据导出 JSON - v0.4：企业审计报告导出 / 私有化 License MIT

分类