dsh.so
中文
English中文
@58catmiao/dsh-sciwork avatar

@58catmiao/dsh-sciwork

dsh-sciwork 把「科研模式」装进 DeepSeek Harness：一个落在自己硬盘上的科研库、一套技能与一块面板。工作台默认打开（页头、指标条、跨课题待办、概览仪表、快速登记），可一键切回七页签旧面板；课题、图、草稿、文献、数据表、期刊档案、投稿台账各有其位，写入经库脚本落盘并登记，面板只读为主、自己不出图。技能把「怎么画、怎么写、怎么引」固化成纪律，外加 12 份期刊档案兜底。零 npm 依赖，路径运行时解析。

Plugin开发桌面数据
验证
L4 · 安装已测
失败
风险
低风险
健康
活跃
信任
银

安装验证：沙盒安装通过，Web 冒烟失败 (L5 failed) · 验证于 dsh 0.2.1-rc.2 · 验证日期 安装验证详情 →

功能介绍AI

dsh-sciwork 把「科研模式」装进 DeepSeek Harness：一个落在自己硬盘上的科研库、一套技能与一块面板。课题、图、草稿、文献、数据表、期刊档案、投稿台账各有其位，写入都经库脚本落盘并登记，面板只读为主、自己不出图。技能把「怎么画、怎么写、怎么引」固化成纪律：出图交给 Origin 链路，写作、引用、投稿格式各有专门技能，外加 12 份期刊档案兜底。零 npm 依赖，路径运行时

developerAI

能力标签为 AI 推断或 README 规则抽取（见角标），词表受限、未经安装验证；AI = 推断，README = 原文关键词。

安装

dsh plugin --profile web add github:58catmiao/dsh-sciwork
已验证

安装方式: GitHub · 沙盒安装通过，Web 冒烟失败 (L5 failed)

验证与兼容性

按插件版本分组：每张卡是该插件版本实测过的 dsh 版本与安装兼容结论（L5 优先）。只列真测过的组合——未列出 = 未实测，不推定兼容。L1–L3 为插件级静态档（与 dsh 版本无关，各 dsh 行同值）：在行内「验证等级」格里与 L4/L5 并列显示、标注「静态」，证据体为插件级单份、随行内「查看检查项与证据」出现，不在各版本重复存储。

External credentials（插件级）：未检测到

原插件兼容声明来自 package.json · peerDependencies
作者未声明 dsh 版本要求

○ 作者未声明 dsh 版本要求 —— 安装不会因版本被拒。

安装兼容矩阵（速览 · 行 = 插件版本〔最近 5〕，列 = dsh 版本〔最近 5〕）
结论一览 → 证据在下方分版本卡片
插件版本 ＼ dshdsh 0.2.1-rc.2dsh 0.2.1-alpha.4dsh 0.2.1-alpha.2
v0.2.2···
安装兼容实测（按插件版本，组内按 dsh 版本）
图例：✓ L5 运行验证通过○ 生态插件◼ 生态应用✗ 失败
v0.2.2github2026-10-21

https://github.com/58catmiao/dsh-sciwork

该版本无运行时安装实测（仅静态扫描）——兼容性未知，不推定。

仅展示最近 3 个已发布版本；源码快照（commit hash）组、未标注工件组与更早版本不展示——全量档案保留在数据层（插件无任何已发布版本时，快照/未标注组才照常展示）。

作者徽章

将官方徽章嵌入你的 README，展示插件的安全与安装检测状态：

dsh.so risk
`[![dsh.so risk](https://www.dsh.so/badge/dsh-sciwork.svg)](https://www.dsh.so/artifact/dsh-sciwork/)`

安全报告

两层自动化检查，都不是人工审核：静态扫描（逐插件规则判定）与模型驱动的动态安全审计（只覆盖静态判定 warn 及以上的插件子集，不执行插件代码）。

dsh-sciwork自动审查 · 每日更新

静态扫描 低，动态审计最高 中，按「取更严者」→ 总评级 中。

静态 低→动态 中→总评级 中
0 严重·0 高
中总评级 · 中
1静态扫描 · vet 主判vet AST 静态分析（npm 发布物或 git 源码）
版本绑定
插件版本v0.2.2dsh 清单
扫描版本v0.2.2git2026-10-21
当前版本v0.2.2版本一致
vet 判定clean · git

vet 为 AST 静态扫描（npm 发布物或 git 源码）。

静态发现（2 条）
  • 警告netIp · networklibrary/scripts/cdp-text.mjs:74

    const r = await fetch(`http://127.0.0.1:${port}/json/list`);

  • 警告spawnShell · shellscripts/install.mjs:352

    ? spawnSync(pyCmd, [researchPy, 'init'], { encoding: 'utf8', shell: true })

2动态审计模型读脱敏源码上下文 · 不执行插件代码
最高等级中
并入后总评级 中
审计时间2026-10-19
发现计数0 严重·0 高另有 1 条中 / 1 条低未展开
展开 2 条审计发现
  • mediumtableTransform 用未校验的 project 拼路径，可越出库根并覆盖 .research/config.jsonlib/actions.js:457

    `project` 直接取自 asString(args.project)，从未经 resolveInside 或 slug 正则（其它动作都会收敛路径）。path.join 会折叠 '..'：project='..' 且 outName='config' 时，溯源 JSON 会覆盖 <root>/.research/config.json（该配置决定后续 Python 解释器与 Origin server 路径），且该写入没有覆盖保护；project='../..' 时会在 <祖先>/tables/ 写出 <outName>.csv。经面板 RPC 的 tableTransform 可达；影响是越界写/破坏文件，而非代码执行（CSV 内容经 cloneTable 只剩数值）。

  • low无头浏览器脚本去除自动化特征并伪造 UA，以绕过 WAF 挑战页library/scripts/cdp-text.mjs:58

    该脚本以无头模式启动用户已安装的 Edge/Chrome，关闭自动化特征、伪造 UA，并重载等待 Cloudflare/Incapsula 挑战通过，然后把页面 text/HTML/links 写到调用方指定路径。这是对第三方出版商反自动化机制的有意规避，由智能体发起且不向用户提示；运行期间还会开放 CDP 端口（默认 9444），本机任意进程可接入。（另有功能缺陷：使用了未导入的 os.tmpdir()，仅在设置了 SCIWORK_SCRATCH 时可用。）

tableTransform 用未校验的 project 拼路径（可穿越、可覆盖 .research/config.json）；另有规避 WAF 反自动化的无头浏览器脚本。其余路径处理有白名单，属防御性。

口径：动态审计只会把风险往严重里判，不会把风险降下来（只升不降，不构成豁免）；模型判错时由人工复核撤回，撤回后回到静态判定。合并判定 = 两层中更严的那一个。

免责声明：静态扫描与动态安全审计都是自动化分析，不构成安全保证。安装前请自行审查。

活跃度

最近提交 2026-10-21 · 活跃度：活跃

• 仓库创建: 2026-10-13

• 星标: ★ 2 · 复刻: 0

• 健康度: 活跃 — 近 30 天有提交

来源

GitHub: github.com/58catmiao/dsh-sciwork

这页有帮助吗？