@local/dsh-secrets-manager
DeepSeek Harness 的项目机密管理：发现单体仓库中的所有 .env 文件（根目录和工作区包），在设置页面中安全编辑密钥，并向模型提供 DSH_ENV_FILE / DSH_ENV_FILES 指针，以便 shell 命令加载正确的环境。
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:lifecoder1988/dsh-secrets-manager#48b13dd86df64c6f29915c64561eed6dd3bc69faSecrets Manager 以 @local/dsh-secrets-manager 发布，当前版本为 1.0.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
DeepSeek Harness（下称 DSH）插件。
项目密钥管理：扫描 monorepo 里所有 .env（根目录 + 各 workspace 包），在 Settings 页面里安全编辑，并把 DSH_ENV_FILE / DSH_ENV_FILES 交给 bash。
最省事的方式是用 DSH 自带的 plugin_manager 工具安装（会自动写 profile 并把插件行插进 composition）：
# 或者手工装进当前 profile
cd "$DSH_HOME/profiles/<profile>"
pnpm add github:lifecoder1988/dsh-secrets-manager
本仓库自带的 cordis.patch.yml 就是它的 composition 行；手工接的话在 profile 的 cordis.patch.yml 里加：
- insert:
- id: secrets-manager
name: '@local/dsh-secrets-manager'
装完重启 DSH（host 半边改动需要重启；只有 client 半边的话刷新页面即可）。
「项目要有密钥」和「密钥不能进对话」是矛盾的：模型要用某个 token，就得知道它存在、并且能在 bash 里直接用，但不能把值念出来。本插件把密钥留在 .env 里，只给模型指针：
装好之后，每个 bash 调用都会拿到三个环境变量：
| 变量 | 内容 |
|---|---|
DSH_ENV_FILE | 离 cwd 最近的那个 .env |
DSH_ENV_FILES | 从仓库根到 cwd 的完整链（: 分隔） |
DSH_ENV_KEYS | 链上所有 key 的名字（不含值） |
于是模型可以这样用，而永远看不到值：
set -a; for f in ${DSH_ENV_FILES//:/ }; do [ -f "$f" ] && . "$f"; done; set +a
pnpm-workspace.yaml / package.json workspaces 里的每个包目录，各自的 .env / .env.local / .env.<mode> 都进索引（maxPackages 兜底）。.env 后一键重建索引。project_secrets| action | 关键参数 | 说明 |
|---|---|---|
list | cwd? | 索引到的目录与各自的 key 名；带 cwd 时同时给 shell facts |
files | — | 所有 .env 文件路径 |
set | path?, key, value | 写入（保留注释与顺序） |
remove | path?, key | 删除 key |
/secrets-manager）| 方法 | 路径 | 说明 |
|---|---|---|
| GET | /state?cwd=&sessionId= | 发现索引 + 每个目录的 key 名 |
| POST | /file | 读一个目录的 key（值遮蔽） |
| POST | /write | 写入 / 删除 key |
| POST | /refresh | 重建索引 |
| slot | id | order |
|---|---|---|
settings.section | secrets-manager | 32 |
conversation.session.header.utilities | plugin-secrets | 53 |
图标点开就是一个可写的密钥面板，不用进设置页：
.env（含它有几个键）。/file 读，只在你点「显示」时进入内存，永不进模型上下文。KEY_NAME + 值；键名按 [A-Za-z_][A-Za-z0-9_]* 校验。.env 都没有时，提供**「在仓库根创建 .env」**。config:
maxPackages: 200 # 单次索引的包目录上限
node test/local-check.mjs
index.js host 半边：发现索引、注释保留写入、shellEnv 贡献、路由、project_secrets 工具
client.js 浏览器半边：Settings 页面 + 会话头部速查
cordis.patch.yml bundle patch
package.json dsh.bundle.patch / dsh.client 声明
test/local-check.mjs 离线自检
/write 的请求体与 .env 文件，不进任何模型可见的输出（list / /state 只给 key 名）。MIT