CHA2A 认证等级
L0–L4：未认证 → 完整性 → 来源 → 发行 → 生态多方交叉验证。
dshlib 模块
dshlib 插件图书馆
收录、验证、展示 DSH 插件。每个插件带 CHA2A 认证徽章与安全扫描状态，装之前能看到谁发布的、是否被改、可信几级、扫描过没有。
每个插件能看到什么
装之前，先看到证据
社区对插件安全的担心集中在投毒与来源缺失。dshlib 想验证一件事：可信度能不能靠证据成立，而不是靠广告词。
作者与热度
谁维护的（GitHub 链接）、多少人真在用（周下载量），作为热度信号。
安全扫描状态
自研扫描 + 第三方复核 + 依赖漏洞，三个独立维度分别标注。
验证报告存档
每插件有独立扫描报告页与证据存档，点开即查。
安全扫描
三个独立维度，各自标注
认证验证的是插件包本身（完整性 / 来源 / 发行 / 生态），依赖漏洞独立标注，两者正交。
自研扫描
四类规则：硬编码密钥 / 危险命令 / 数据外传 / 越权。
第三方复核
GuardDog 3.2.0（PyPI 官方恶意包检测）独立复核。
依赖漏洞
OSV.dev 标注已知依赖漏洞，与包本身认证正交。
边界透明：认证 ≠ 无漏洞。每个有提示的插件都会列出「待人工审」状态，不确认恶意就不当成恶意，也不因为通过认证就掩盖依赖风险。
提交
怎么收录
Issue 模板
-
Add:新插件上架 -
Update:修改已收录插件信息 -
Evidence:提交验证证据，升级认证等级
最低收录门槛
- npm 包或 GitHub 仓库，含
bundle/profile声明或cordis.patch.yml。 - git 来源需带
dsh-plugintopic 与 LICENSE。 - 内容指纹可验证（npm integrity，或 git 结构 + 指纹）。
上架后自动注册 did:cha2a:package:… 并签发信任徽章（等级从 L0 起算）；
等级如何提升见 CHA2A 模块。
让信任可以被查证。
验证方法全公开，证据存档可查，质疑随时可以提——这本身就是这套机制要证明的事。