dsh.so
中文
English中文
@Rainpomelo/dsh-liquid-glass-theme avatar

@Rainpomelo/dsh-liquid-glass-theme

DeepSeek Harness - 液态玻璃与动态壁纸主题 (WebGL 物理透镜、动态壁纸与多层毛玻璃) #dsh-plugin

生态应用界面美化皮肤 / 主题
验证
L5 · 生态应用
风险
严重
健康
活跃
信任
银

安装验证：生态应用：不经 dsh plugin add 安装，L1-L5 插件安装验证阶梯不适用；安全扫描照常执行。安装验证详情 →

功能介绍AI

为 DeepSeek Harness 打造的液态玻璃与动态壁纸主题，支持 WebGL 透镜折射、水波交互与毛玻璃分层。

  • 基于 WebGL 的液态透镜折射与水波交互效果
  • 分层毛玻璃界面，支持自定义图片/视频壁纸
  • 同一构建同时兼容 DSH Web 与官方桌面版
uiAIskin-themeAI

能力标签为 AI 推断或 README 规则抽取（见角标），词表受限、未经安装验证；AI = 推断，README = 原文关键词。

安装

GitHub 仓库

生态应用不是可 dsh plugin add 安装的插件：桌面 / Web 壳跟着项目自己的发布渠道安装或部署（GitHub Releases 或项目自建站点）。

等级位按三分类显示 L5 · 生态插件 / L5 · 生态应用（L1-L5 阶梯不作为它们的评级依据）；安全扫描照常执行。

验证与兼容性◼ 生态应用

按插件版本分组：每张卡是该插件版本实测过的 dsh 版本与安装兼容结论（L5 优先）。只列真测过的组合——未列出 = 未实测，不推定兼容。L1–L3 为插件级静态档（与 dsh 版本无关，各 dsh 行同值）：在行内「验证等级」格里与 L4/L5 并列显示、标注「静态」，证据体为插件级单份、随行内「查看检查项与证据」出现，不在各版本重复存储。

External credentials（插件级）：未检测到

安装兼容矩阵（速览 · 行 = 插件版本〔最近 5〕，列 = dsh 版本〔最近 5〕）
◼ 生态应用
结论一览 → 证据在下方分版本卡片
插件版本 ＼ dshdsh 0.2.1-rc.2dsh 0.2.1-alpha.2
v2.0.3··
安装兼容实测（按插件版本，组内按 dsh 版本）
图例：✓ L5 运行验证通过○ 生态插件◼ 生态应用✗ 失败
v2.0.3github2026-10-18

https://github.com/Rainpomelo/dsh-liquid-glass-theme

生态应用：不经 dsh plugin add 安装（桌面 / Web 壳）——等级位显示 L5 · 生态应用。

仅展示最近 3 个已发布版本；源码快照（commit hash）组、未标注工件组与更早版本不展示——全量档案保留在数据层（插件无任何已发布版本时，快照/未标注组才照常展示）。

作者徽章

将官方徽章嵌入你的 README，展示插件的安全与安装检测状态：

dsh.so risk
`[![dsh.so risk](https://www.dsh.so/badge/dsh-liquid-glass-theme-2.svg)](https://www.dsh.so/artifact/dsh-liquid-glass-theme-2/)`

安全报告

两层自动化检查，都不是人工审核：静态扫描（逐插件规则判定）与模型驱动的动态安全审计（只覆盖静态判定 warn 及以上的插件子集，不执行插件代码）。

dsh-liquid-glass-theme-2自动审查 · 每日更新

静态扫描 低，动态审计最高 高，按「取更严者」→ 总评级 高。

静态 低→动态 高→总评级 高
0 严重·0 高
高总评级 · 高
1静态扫描 · vet 主判vet AST 静态分析（npm 发布物或 git 源码）
版本绑定
插件版本v2.0.3dsh 清单
扫描版本v2.0.3git2026-10-21
当前版本v2.0.3版本一致
vet 判定clean · git

vet 为 AST 静态扫描（npm 发布物或 git 源码）。

静态发现（5 条）
  • 警告fsWrite · fileslib/index.js:80

    fs.writeFileSync(settingsFile, JSON.stringify(DEFAULT_SETTINGS), "utf8");

  • 警告fsWrite · fileslib/index.js:110

    fs.writeFileSync(wallpapersFile, JSON.stringify(defaultWallpapers), "utf8");

  • 警告fsWrite · fileslib/index.js:169

    fs.writeFileSync(settingsFile, body, "utf8");

  • 警告fsWrite · filessrc/index.ts:99

    fs.writeFileSync(settingsFile, JSON.stringify(DEFAULT_SETTINGS), 'utf8')

  • 警告fsWrite · filessrc/index.ts:130

    fs.writeFileSync(wallpapersFile, JSON.stringify(defaultWallpapers), 'utf8')

2动态审计模型读脱敏源码上下文 · 不执行插件代码
最高等级高
并入后总评级 高
审计时间2026-10-19
发现计数0 严重·1 高另有 2 条中 / 1 条低未展开
展开 4 条审计发现
  • high无需鉴权的 /copy-local-file 可将任意本地路径复制到对外提供的壁纸目录lib/index.js:262

    sourcePath 直接取自请求体，没有白名单、没有根目录限制、也没有鉴权；id/ext 的过滤只约束了写入目标名。任何能访问回环端口的一方（本机其它进程，或发起无需预检的简单跨域 POST 的网页）都可以把 ~/.ssh/id_rsa、~/.dsh/* 等任意文件复制进 ~/.dsh/wallpapers，再由 /api/liquid-glass/wallpaper-file 回传；恶意网页读取响应还需 DNS 重绑定/CORS 绕过，但文件复制与覆盖副作用本身已被触发。

  • medium整个 /api/liquid-glass 前缀无鉴权，可被跨域篡改持久化状态lib/index.js:171

    所有路由（settings、user-preset、wallpapers、upload-*、copy-local-file、wallpaper-file）都无鉴权、无 CSRF/Content-Type 校验。任意被访问网站的简单跨域 POST（text/plain 无需预检）或本机任意进程都能静默覆盖 ~/.dsh/liquid-glass-settings.json、liquid-glass-user-preset.json、liquid-glass-wallpapers.json，并上传/替换壁纸文件。isAppOrigin 只控制是否回写 CORS 响应头，仅限制恶意网页读取响应，不能阻止这些写入；对非浏览器调用方或 DNS 重绑定（同源无需 ACAO）完全无效。

  • medium上传路由无大小限制：base64 请求体全量驻留内存，流式上传无限制落盘lib/index.js:290

    upload-wallpaper、settings、user-preset、wallpapers 在解析前把整个请求体累积成字符串（无 Content-Length 上限、无鉴权），本机任意进程或简单跨域请求即可用大 POST 耗尽宿主进程内存；upload-raw 直接把请求流入 ~/.dsh/wallpapers 且无配额，可导致磁盘写满。该路径在鉴权之前即可到达，是对 DSH 宿主的现实拒绝服务风险。

  • lowRange 头未校验即用于 createReadStreamlib/index.js:380

    畸形 Range 头（如 'bytes=abc-' 或 'bytes=10-5'）会得到 NaN 或反向区间，createReadStream 在异步处理器内抛异常，造成未处理的 rejection/异常 206 响应而非规范的 416。该路由无需鉴权，触发容易，但影响仅限错误路径健壮性。

宿主端注册了无需鉴权的 /api/liquid-glass 接口，可把攻击者指定的任意本地文件复制到对外提供的目录，造成任意本地文件读取。

口径：动态审计只会把风险往严重里判，不会把风险降下来（只升不降，不构成豁免）；模型判错时由人工复核撤回，撤回后回到静态判定。合并判定 = 两层中更严的那一个。

免责声明：静态扫描与动态安全审计都是自动化分析，不构成安全保证。安装前请自行审查。

活跃度

最近提交 2026-10-17 · 活跃度：活跃

• 仓库创建: 2026-08-18

• 星标: ★ 8 · 复刻: 2

• 健康度: 活跃 — 近 30 天有提交

来源

GitHub: github.com/Rainpomelo/dsh-liquid-glass-theme

这页有帮助吗？