DshMarketPlace/dsh-plugins-store

---

在 DeepSeek Harness 里面直接浏览和安装插件，中英双语。数据来自 DSH Marketplace —— 那边每个插件都有一页写过的 介绍，而不是点进去就跳 GitHub。

npm 包名是 dshmarketplace-plugin，仓库名是 dsh-plugins-store。两者不 一致，是因为短的那个 npm 上已经被占了。

安装

dsh plugin --profile web add dshmarketplace-plugin

装完在任意会话里打 /store，或者进 设置 → 插件 → 插件市场。

--profile 不是可选的。dsh plugin 是把参数转发给 profile 目录里的 pnpm， 所以 dsh plugin add x 会直接报 required option '--profile <name>' not specified，什么都不装。你要是用别的 profile，把 web 换掉。

能干什么

/store	在会话上层直接开目录——按能力搜、看清每个插件会碰到什么、装完不用离开 harness。
设置页标签	同一个目录，常驻在 设置 → 插件 下面。
Agent 工具	dshmarketplace_search 和 dshmarketplace_install，所以「帮我找个记忆插件装上」在对话里就能走通。
随包 skill	让 agent 去搜，而不是凭训练记忆猜一个插件名——这个生态才几天，猜错的概率比猜对高。
双语	每条记录都带手写的中英文描述。插件跟着你 DSH 的语言设置实时切换。

安全

插件是带着你 agent 的权限在跑，被收录不代表通过了安全审计。这个插件在三个 地方做了处理。

安装命令只校验，不拼接。 目录返回的是已经组装好的命令； src/installer.js 只接受裸 npm 包名或 github:owner/repo，含 .. 的一律 拒绝，参数以数组传递、不经过 shell。就算目录哪天被投毒，影响也止步于此。 tests/installer.test.js 专门打这条边界——写这些测试时抓到过一个真洞： ../../etc/passwd 全是单词字符、点和斜杠，宽松的正则会把它当包名放行。

浏览器那半够不到 shell。 它只能访问两个 exact-path 的本地端点，而且安装 端点收的是「目录条目」而不是「命令」，前端无法扩大执行面。

风险标记在两条路径上都会拦。 记录里带着自动识别出的 install script、 terminal surface、requires credentials。凡是标了的，UI 点安装和 agent 调用都会先停下来要确认——确认文案里明说了：没标不代表它是安全的。

隐私

这个插件只往外发一样东西：安装成功之后，把该插件的公开标识发回去，用来统计 真实安装量。没有机器 id、没有 session id、没有用户、没有搜索词，也没有任何 其他遥测。搜索请求发给公开的目录 API 是为了拿结果，不带任何标识符。

DSHM_NO_TELEMETRY=1    # 完全关掉安装量统计
DSHM_API=https://…     # 指向另一个目录

开发

npm install
npm test         # 安装命令边界，以及目录相关的工具函数
npm run build    # esbuild → lib/index.js（node）和 lib/client.js（浏览器）

浏览器包只允许 require react 和 @deepseek-ai/dsh-client-ui-primitives， 并且必须通过 window.__ModuleLoader__.load 自报家门。build.mjs 会在写盘 之前对产物做这两项检查，所以不支持的 import 会在我们这边构建失败，而不是跑 到别人的 harness 里面炸。

相关

• dshmarketplace.dev —— 目录本体，每个插件一页
• dshmarketplace-cli —— 同一个目录，给 DSH 之外的 coding agent 用
• GET /api/v1/plugins —— 三处共用的公开 API

联系

• 社区 —— LINUX DO
• 问题反馈 —— GitHub Issues

致谢

• LINUX DO —— DSH 生态实际上是在这里被讨论的，这个 项目也在这里发布和收反馈。作者本人在 LINUX DO 发过帖的插件，在目录里会带 一个认证标记。
• awesome-dsh-plugin （CC0-1.0）—— 目录的收录种子来自这里。
• ZASENJC/dsh-plugins-store （MIT）—— 读它的源码才搞清楚 DSH 客户端插件 API。没有复制代码；manifest 结构、两个入口和 slot 名都是公开接口，但有人把它们写下来，省了大量猜测。

开源协议

MIT。独立项目，与 DeepSeek 官方无隶属关系。DeepSeek 与 DeepSeek Harness 是 各自权利人的标识，此处仅用于说明这个插件是做什么用的。