🗑️ 原仓库已删除或转为私有。本页为收录时的存档信息，仅供参考，安装命令可能已不可用。
安装验证：生态插件：`dsh plugin add` 装得上，但未声明 dsh.bundle、不挂载任何插件能力——L1-L5 插件安装验证阶梯不作评级依据；安全扫描照常执行。安装验证详情 →
功能介绍AI
一条命令更新 DSH：刷新 CLI、bundle 及所有配置插件，并支持备份与回滚，另提供设置界面插件。
- 一条命令更新 CLI、bundle 及所有配置插件
- 自动备份，更新失败可回滚
- 在设置 → 通用中添加 dsh-plugin 入口
能力标签为 AI 推断或 README 规则抽取（见角标），词表受限、未经安装验证；AI = 推断，README = 原文关键词。
安装
dsh plugin --profile web add github:haotian-lu-prog/dsh-update-all#plugin-v0.1.0安装方式: GitHub · 运行验证未定论 (L5 unknown)
验证与兼容性○ 生态插件
按插件版本分组：每张卡是该插件版本实测过的 dsh 版本与安装兼容结论（L5 优先）。只列真测过的组合——未列出 = 未实测，不推定兼容。L1–L3 为插件级静态档（与 dsh 版本无关，各 dsh 行同值）：在行内「验证等级」格里与 L4/L5 并列显示、标注「静态」，证据体为插件级单份、随行内「查看检查项与证据」出现，不在各版本重复存储。
External credentials（插件级）：未检测到
未采集到插件清单 —— 无法得知作者声明的版本范围。
| 插件版本 ＼ dsh | dsh 0.2.0-rc.1 | dsh 0.1.7-rc.2 | dsh 0.1.7-rc.1 | dsh 0.1.7-alpha.2 | dsh 0.1.6-alpha.2 |
|---|---|---|---|---|---|
| plugin-v0.1.0 | ○ | ○ | · | ○ | ○ |
| b403f0 | · | · | ○ | · | · |
plugin-v0.1.0github○ 生态插件 72026-10-04
https://github.com/haotian-lu-prog/dsh-update-all
○dsh 0.2.0-rc.12026-09-30生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.0-rc.1
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.2.0-rc.1 · 档位: l4-sandbox
签发：2026-09-30 · 有效至：2026-10-07
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○dsh 0.1.7-rc.22026-09-25生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-rc.2
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.1.7-rc.2 · 档位: l4-sandbox
签发：2026-09-25 · 有效至：2026-10-02
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○dsh 0.1.7-alpha.22026-09-23生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-alpha.2
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.1.7-alpha.2 · 档位: l4-sandbox
签发：2026-09-23 · 有效至：2026-09-30
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○dsh 0.1.6-alpha.22026-09-20生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.6-alpha.2
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.1.6-alpha.2 · 档位: l3-fullscan
签发：2026-09-20 · 有效至：2026-09-27
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○dsh 0.1.6-alpha.12026-09-17生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.6-alpha.1
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.1.6-alpha.1 · 档位: l4-sandbox
签发：2026-09-17 · 有效至：2026-09-24
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○dsh 0.1.5-rc.22026-09-13生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.5-rc.2
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dsh0.1.5-rc.2 · 档位: l4-sandbox
签发：2026-09-13 · 有效至：2026-09-20
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
○版本史前2026-10-04生态插件
- • Node.js: v24.14.0
- • DSH: unknown
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all#plugin-v0.1.0
ID: dsh-update-all@plugin-v0.1.0@dshunknown · 档位: l4-sandbox
签发：2026-10-04 · 有效至：2026-10-11
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
b403f0github○ 生态插件 12026-09-24
https://github.com/haotian-lu-prog/dsh-update-all
○dsh 0.1.7-rc.12026-09-24生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-rc.1
- • 被测插件工件: github · https://github.com/haotian-lu-prog/dsh-update-all（版本未标注）
ID: dsh-update-all@b403f0@dsh0.1.7-rc.1 · 档位: l4-sandbox
签发：2026-09-24 · 有效至：2026-10-01
查看检查项与证据
该档位在这次扫描中未执行。
L1–L3 为插件级静态结论（基础门槛，全 dsh 版本相同）：证据为插件级单份，不在各版本重复存储。
作者徽章
将官方徽章嵌入你的 README，展示插件的安全与安装检测状态：
`[](https://www.dsh.so/artifact/dsh-update-all/)`安全报告
两层自动化检查，都不是人工审核：静态扫描（逐插件规则判定）与模型驱动的动态安全审计（只覆盖静态判定 warn 及以上的插件子集，不执行插件代码）。
静态扫描 高；动态审计最高 中（有结论时以动态为准）→ 总评级 中。
—plugin-v0.1.0git2026-10-07plugin-v0.1.0版本一致suspicious · gitvet 为 AST 静态扫描（npm 发布物或 git 源码）。
静态发现（3 条）
- 警告fsWrite · files
dsh-update-all.sh:291node -e 'const fs=require("fs");const [dir,updater,ts,cli,target,channel,...profiles]=process.argv.slice(1);fs.writeFileSync(dir+"/manifest. - 警告curlDownload · network
install.sh:82curl -fsSL "$URL" -o "$TMP" || die "download failed: $URL" - 警告childProcess · code-exec
plugin/lib/update-core.js:146child = spawn(cmd, args, {
展开 2 条审计发现
- mediumGET status/config/backups 端点未使用 POST 端点的 isTrustedRequest 校验
plugin/lib/index.js:259handleStatus、handleConfig（GET/HEAD）与 handleBackups 在校验前/未校验 isTrustedRequest 即返回数据。若 DSH Web 可被非受信客户端访问（局域网/非回环），会泄露 dshHome 绝对路径、listBackups 返回的 dir 备份目录、profile 名称与版本。任意网页也可发起简单跨域 GET（因无 CORS 读不到响应，但请求在服务端执行）：?refresh=1 及重复 status 调用会强制宿主启动 `dsh --version` 并查询 npm registry，构成可避免的资源耗尽/放大点。POST 写操作已正确校验，这种不对称应为疏漏。
- low安装器从可变分支下载并执行未固定校验的脚本
install.shcurl|bash 安装器从可变的 `main` 分支（或用户指定 ref）下载 dsh-update-all.sh，无校验和或签名验证，随后安装并执行。仓库/分支被篡改或 ref 被替换即可在安装用户机器上执行代码。该文件属分发产物，不由插件运行时加载，仅在用户主动运行安装器时触发。
更新/回滚/写配置端点有回环+来源校验，但 GET status/config/backups 未加同样校验，会泄露本地路径并可诱发进程/网络调用；安装器拉取未固定校验的脚本。
口径（2026-10-28）：有动态审计结论时以动态结论为准（可能上调也可能下调）；没有结论时（未入队 / 审计失败 / 人工撤回）才用静态扫描档（vet 主判 + dsh 兜底）。动态审计永不写豁免表（豁免只能人工三筛手写）；模型判错时由人工复核撤回，撤回后档位回到静态扫描档。
免责声明：静态扫描与动态安全审计都是自动化分析，不构成安全保证。安装前请自行审查。
活跃度
最近提交 2026-10-03 · 活跃度：活跃
• 仓库创建: 2026-09-11
• 星标: ★ 0 · 复刻: 0
• 健康度: 活跃 — 近 30 天有提交
来源
作者 README
GitHub 原文 ↗展示作者仓库中的原始 README 内容，实时抓取、未做改写；优先加载中文版（README.zh-CN.md 等），无中文版时回退英文。