ShanHaiFish/dsh-plugin-security-review

README 摘要

Plugin Install Security Review(v1.5.0) English : README.en.md · 简体中文 : 本文档 DSH 插件安装安全审查守卫。对 cordis define / cordis run 安装或运行的动态插件源码做静态安全审查,并按 安全优先 策略拦截;同时提供 plugin security review / plugin security audit 两个审查工具。 v1.5.0 起为静态 bundle 插件,随 profile 层栈自动加载 ,不再需要每次重启 DSH 后重新 define/run。 仓库内容 路径 说明 package.json + cordis.patch.yml + lib/ 静态 bundle (推荐): dsh plugin add 安装后开机自启动 manifest.json + package-source.js 动态插件回退形态(v1.4.0):无 bundle 能力的 profile 按 README 恢复流程加载 tests/gate.test.mjs 动态形态行为测试( node tests/gate.test.mjs ) tests/static.test.mjs 静态形态行为测试( node tests/static.test.mjs ) 安装(静态 bundle, 推荐) 本地未发布时用 file: 指向本仓库(注意路径不能含空格): 重启 dsh web 后守卫即自动生效: plugin security audit (无参数)应显示「守卫: 运行中 (v1.5.0)」。 安装(动态插件, 回退) 仅用于没有 bundle 能力的 profile。步骤: 1. 让 agent 读取 package-source.js 与 manifest.json 。 2. cordis define : plugin: { kind:"new", idPrefix:"secur" } ,name/purpose 取 manifest.json , code.host 取 package-source.js 中 return { ... } 之后的内容。 3. cordis run 激活; plugin security audit 验证。 动态形态不跨 DSH 进程存续,重启后需重新加载;静态 bundle 形态无此限制。 v1.5.0 变更(相对 v1.4.0 动态形态) - 静态 bundle 化 :命名导出 name / inject / apply ,经 ctx.tools.register(defineTool(...)) 注册工具,经 ctx.on('tools/pre-execute') 拦截,开机自启动。 - 移除动态自升级豁免 :静态形态经 dsh pl…

分类