市场指南

如何安全评估 DSH 插件市场中的项目？

好的 DSH 插件索引不应把搜索结果当成安全或兼容性背书。它应该帮你从公开证据开始，做出可复核的安装决定。

把发现和验证分开

带有 dsh-plugin topic 的仓库容易被发现，但 topic 本身不代表兼容性、维护质量或安全性。一个有用的目录应标明证据等级并直接链接到源码仓库。

安装前要明确插件可以读取、写入、执行或通过网络发送什么内容。查看配置文件、安装脚本、环境变量，以及涉及凭证的任何说明。

DSH 处在快速演进阶段，版本假设可能很快过期。优先选择明确说明兼容性、持续发布变更并提供可复现配置说明的项目。

在真正的工作区安装之前，先使用临时仓库或沙箱。对会接触 shell、文件、浏览器或远程服务的工具尤其重要。