← dshlib 图书馆 · ← 扫描报告

本库能力与边界披露

我们把扫描器自己放进信任模型里接受审视——读什么、写什么、边界在哪、复核范围是什么，全部公开。本页内容与收录与验证标准配套。

一、我们读什么（数据来源）

来源	用途	读的时机
npm registry 元数据	包版本、author/maintainers、repository 声明（身份锚点）、下载量	收录/更新时抓取
npm tarball（包内容）	静态扫描：正则匹配四类安全信号 + 结构契约检查	收录/更新时扫描
GitHub topic:dsh-plugin	插件发现（官方推荐机制）	定期
GuardDog 3.2.0	第三方恶意包检测（PyPI 官方工具，对 npm 包运行）	批量复核
OSV.dev	依赖已知漏洞查询（npm 依赖树）	抽查

二、我们写什么（绝不做什么）

不修改任何插件包：扫描只读 tarball 内容，不写回、不执行包内脚本
不执行插件代码：静态扫描 = 读文件文本 + 正则匹配；结构契约 = 解析 manifest 文本。当前不运行任何第三方代码（运行级验证需要沙箱，见"边界"）
不发送数据：扫描在服务器本地完成；日志脱敏（不记录凭据原文，命中只存匹配片段前 80 字符）
不自动判危险：verdict 只 clean/review/error；"恶意"结论由人工审查后走下架流程

三、边界（扫描不能证明什么）

正则 ≠ 安全审查：命中是"提示信号"，不是恶意证据（如 i18n key 叫 api-key 会误报）——待人工判断
静态 ≠ 运行：我们验证"装的是什么"（内容指纹）和"有什么信号"（静态扫描），不验证"跑起来会怎样"——运行级验证（试装启动）需要沙箱，当前未启用
收录 ≠ 安全背书：L0-L4 是证据等级（验证到什么程度），不是质量评分，也不构成安全背书
扫描 ≠ 依赖审计全覆盖：OSV 抽查 10 个，未覆盖全部 401 个插件
有有效期：插件或运行时更新后，旧结论可能过期（>30 天标注待复核）

四、复核范围

维度	工具	覆盖
自研扫描	dshlib-scan v0.1（四类安全信号 + 结构契约）	npm 源 306 个
第三方复核	GuardDog 3.2.0	305 个（232 通过 / 73 提示待审，无确认恶意）
依赖漏洞	OSV.dev	抽查 10 个（2 个有已知漏洞已标注）
身份锚点	npm repository 声明核验	npm 源（三态：有仓库 / 未声明 / 非 GitHub）

监督与申诉：发现误报/漏报/错误标注 → 上架申请或讨论区 #3192；作者申诉通过提交表单注明"申诉"。数据可审计（report.json 每插件全量）。

更新：2026-08-19 · 数据源变更会先更新本页再改行为