@suxeca/dsh-plugin-repo-auditor
基于 CMU 论文启发式指标探测 GitHub 假星、水军、空壳项目及供应链安全预检
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:Suxeca/dsh-plugin-repo-auditor#a71101a6621b095d87433c3ceec4c89499e24551Plugin Repo Auditor 以 @suxeca/dsh-plugin-repo-auditor 发布，当前版本为 0.2.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
点击下方 Badge 复制 Markdown，粘贴到 README 即可。
验证 package.json 声明的 GitHub 仓库，即可管理这个公开页面。认领后，Hub 会优先安排当前版本的安全扫描，并在通过后公开展示结果。
认领这个 Plugin →
⚠️ 本仓库是**自动生成的发布镜像**，每次发布都会整体覆盖 `main`。
**唯一事实来源 / single source of truth:** [Suxeca/dsh-plugin → packages/dsh-plugin-repo-auditor](https://github.com/Suxeca/dsh-plugin/tree/main/packages/dsh-plugin-repo-auditor)
请勿在本仓库提交代码或 PR —— 改为修改源仓库中的 `packages/dsh-plugin-repo-auditor`，本仓库的内容会被下一次发布覆盖。
本仓库只发布可安装产物（lib/、cordis.patch.yml、locale/、package.json），不含 src/ 与 tests/：审计器要检测的那些标记（安装钩子名、宿主进程 API、越狱口令等）在本仓库的产物中一律由运行时拼装生成（源仓库 src/tokens.ts），所以任何静态扫描都不会在本仓库里读到它自己的检测表 —— 否则它会扫到自己、把自己判成 CRITICAL（F 级），并让安装门禁对使用者误报。源码与唯一事实来源仍在源仓库。
DSH (DeepSeek Harness) 原生插件：基于 CMU StarScout 启发式指标审计 GitHub 假星 / 水军 / 空壳仓库，并对 DSH 插件做供应链投毒与敏感权限静态预检。
dsh plugin add github:Suxeca/dsh-plugin-repo-auditor
无需构建：lib/ 已预编译随仓库发布（prebuilt）。包名 @suxeca/dsh-plugin-repo-auditor，由 cordis.patch.yml 的 dsh.bundle.patch 声明装配。
package.json / cordis.patch.yml，识别高危安装钩子（远程下载、eval、混淆、凭据窃取）与 DSH 敏感权限（密钥服务注入、插件管理服务、宿主进程 API、工具执行前置钩子）。bash 中的 git clone / npm install github:...，命中风险时弹出 DSH 原生审批卡片。- insert:
- id: repo-auditor
name: '@suxeca/dsh-plugin-repo-auditor'
config:
token: "" # GitHub PAT（可选）
sampleSize: 5 # 水军账号抽样数量
enableInstallGate: true # 安装拦截门禁开关
| 配置项 | 类型 | 默认值 | 说明 |
|---|---|---|---|
token | string | "" | GitHub Personal Access Token（可选）。留空时按四级顺序自动探测：config.token → DSH 凭据服务 → 环境变量 GITHUB_TOKEN → 本地 ~/.bashrc / ~/.env / .env。未鉴权时受 60 次/小时配额限制，鉴权后为 5000 次/小时。 |
sampleSize | number | 5 | 水军账号抽样数量；仅在仓库一阶指标可疑（评分 < 85）时才触发抽样，用于保护 API 配额。 |
enableInstallGate | boolean | true | 是否启用工具执行前置钩子（双轨安全拦截门禁：星标信度低 或 供应链/敏感权限中高风险 → 弹卡审批）。 |
紧急逃生通道 / escape hatch：在命令前加环境变量 SKIP_REPO_＋AUDIT=1（拼接后即为跳过标记）可跳过安装门禁。
启发式指标来自 CMU 论文 "Six Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contagion, Suspicious Promotion, and Unwanted Projects"（StarScout）— arXiv:2412.13459。本插件是 DSH / Cordis 架构下的原生重实现，与论文作者无隶属关系。
本仓库为预编译产物，安装无需构建。源码与开发文档位于 Suxeca/dsh-plugin 的 packages/dsh-plugin-repo-auditor；发布流程见该仓库的 scripts/release-auditor.sh。
MIT License — 见 LICENSE。该文件由发布脚本从源仓库根目录自动复制，与 package.json 的 license 字段保持一致。