安装验证:生态插件:`dsh plugin add` 装得上,但未声明 dsh.bundle、不挂载任何插件能力——L1-L5 插件安装验证阶梯不作评级依据;安全扫描照常执行。安装验证详情 →
功能介绍AI
追踪GitHub AI仓库,提供星标评级、增长排行榜、Markdown报告和网页仪表盘。
- 为AI GitHub仓库提供星标评级
- 增长排行榜追踪
- 生成Markdown报告和网页仪表盘
能力标签为 AI 推断或 README 规则抽取(见角标),词表受限、未经安装验证;AI = 推断,README = 原文关键词。
安装
dsh plugin --profile web add github:wyb587285-dot/git-ai-tracker安装方式: GitHub · 运行验证未定论 (L5 unknown)
验证与兼容性○ 生态插件
按插件版本分组:每张卡是该插件版本实测过的 dsh 版本与安装兼容结论(L5 优先)。只列真测过的组合——未列出 = 未实测,不推定兼容。L1–L3 为插件级静态档(与 dsh 版本无关,各 dsh 行同值):在行内「验证等级」格里与 L4/L5 并列显示、标注「静态」,证据体为插件级单份、随行内「查看检查项与证据」出现,不在各版本重复存储。
External credentials(插件级):未检测到
○ 作者未声明 dsh 版本要求 —— 安装不会因版本被拒。
| 插件版本 \ dsh | dsh 0.2.1-rc.2 当前 | dsh 0.2.1-alpha.4 | dsh 0.2.1-alpha.2 | dsh 0.2.0-rc.2 | dsh 0.2.0-rc.1 |
|---|---|---|---|---|---|
| 8e9454 | ○ | ○ | ○ | ○ | ○ |
8e9454github○ 生态插件 162026-10-19
https://github.com/wyb587285-dot/git-ai-tracker
○dsh 0.2.1-rc.2当前2026-10-19生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.1-rc.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.2.1-rc.2 · 档位: l4-sandbox
签发:2026-10-19 · 有效至:2026-10-26
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.2.1-alpha.42026-10-16生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.1-alpha.4
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.2.1-alpha.4 · 档位: l4-sandbox
签发:2026-10-16 · 有效至:2026-10-23
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.2.1-alpha.22026-10-11生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.1-alpha.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.2.1-alpha.2 · 档位: l4-sandbox
签发:2026-10-11 · 有效至:2026-10-18
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.2.0-rc.22026-10-09生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.0-rc.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.2.0-rc.2 · 档位: l4-sandbox
签发:2026-10-09 · 有效至:2026-10-16
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.2.0-rc.12026-09-30生态插件
- • Node.js: v24.14.0
- • DSH: 0.2.0-rc.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.2.0-rc.1 · 档位: l4-sandbox
签发:2026-09-30 · 有效至:2026-10-07
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.7-rc.22026-09-26生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-rc.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.7-rc.2 · 档位: l4-sandbox
签发:2026-09-26 · 有效至:2026-10-03
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.7-rc.12026-09-23生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-rc.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.7-rc.1 · 档位: l4-sandbox
签发:2026-09-23 · 有效至:2026-09-30
查看检查项与证据
该档位在这次扫描中未执行。
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.7-alpha.22026-09-23生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.7-alpha.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.7-alpha.2 · 档位: l4-sandbox
签发:2026-09-23 · 有效至:2026-09-30
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.6-alpha.22026-09-20生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.6-alpha.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.6-alpha.2 · 档位: l3-fullscan
签发:2026-09-20 · 有效至:2026-09-27
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.6-alpha.12026-09-17生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.6-alpha.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.6-alpha.1 · 档位: l4-sandbox
签发:2026-09-17 · 有效至:2026-09-24
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.5-rc.22026-09-13生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.5-rc.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.5-rc.2 · 档位: l4-sandbox
签发:2026-09-13 · 有效至:2026-09-20
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.3-alpha.22026-09-09生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.3-alpha.2
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.3-alpha.2 · 档位: l4-sandbox
签发:2026-09-09 · 有效至:2026-09-16
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.3-alpha.12026-09-07生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.3-alpha.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.3-alpha.1 · 档位: l4-sandbox
签发:2026-09-07 · 有效至:2026-09-14
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.2-rc.12026-09-05生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.2-rc.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker#8e9454
ID: git-ai-tracker@8e9454@dsh0.1.2-rc.1 · 档位: l3-fullscan
签发:2026-09-05 · 有效至:2026-09-12
查看检查项与证据
生态插件:未声明 dsh.bundle
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○dsh 0.1.2-alpha.12026-09-06生态插件
- • Node.js: v24.14.0
- • DSH: 0.1.2-alpha.1
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dsh0.1.2-alpha.1 · 档位: l3-fullscan
签发:2026-09-06 · 有效至:2026-09-13
查看检查项与证据
生态插件:未声明 dsh.bundle
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
○版本史前2026-10-05生态插件
- • Node.js: v24.14.0
- • DSH: unknown
- • 被测插件工件: github · https://github.com/wyb587285-dot/git-ai-tracker(版本未标注)
ID: git-ai-tracker@8e9454@dshunknown · 档位: l4-sandbox
签发:2026-10-05 · 有效至:2026-10-12
查看检查项与证据
未出现在 Web 档 loader 清单中
L1–L3 为插件级静态结论(基础门槛,全 dsh 版本相同):证据为插件级单份,不在各版本重复存储。
作者徽章
将官方徽章嵌入你的 README,展示插件的安全与安装检测状态:
`[](https://www.dsh.so/artifact/git-ai-tracker/)`安全报告
两层自动化检查,都不是人工审核:静态扫描(逐插件规则判定)与模型驱动的动态安全审计(只覆盖静态判定 warn 及以上的插件子集,不执行插件代码)。
静态扫描 低,动态审计最高 中,按「取更严者」→ 总评级 中。
v1.0.01.0.0git2026-10-211.0.0版本一致clean · npmvet 为 AST 静态扫描(npm 发布物或 git 源码)。
静态发现(9 条)
- 警告fsWrite · files
src/dsh/tools.js:142fs.writeFileSync(file, md, 'utf8'); - 警告fsWrite · files
src/dsh/tools.js:163fs.writeFileSync(file, html, 'utf8'); - 警告fsWrite · files
src/hotness.js:24fs.writeFileSync(CACHE_FILE, JSON.stringify(cache), 'utf8'); - 警告childProcess · code-exec
src/serve.js:20if (process.platform === 'win32') spawn('cmd', ['/c', 'start', '', target], { detached: true, stdio: 'ignore' }).unref(); - 警告childProcess · code-exec
src/serve.js:21else if (process.platform === 'darwin') spawn('open', [target], { detached: true, stdio: 'ignore' }).unref(); - 警告childProcess · code-exec
src/serve.js:22else spawn('xdg-open', [target], { detached: true, stdio: 'ignore' }).unref(); - 警告netIp · network
src/serve.js:117const url = `http://127.0.0.1:${port}`; - 警告fsWrite · files
src/store.js:23fs.writeFileSync(file, JSON.stringify(snap, null, 1), 'utf8'); - 警告fsWrite · files
src/store.js:24fs.writeFileSync(path.join(DATA_DIR, 'latest.json'), JSON.stringify({ t: snap.t, generatedAt: snap.generatedAt }, null, 2), 'utf8');
展开 3 条审计发现
- medium本地仪表盘 /api/refresh 具副作用却允许跨站 GET 触发,未做 CSRF 与 Host 校验
src/serve.js:85当 `serve` 运行时,用户访问的任意网页只需 <img src="http://127.0.0.1:3210/api/refresh?go"> 即可在无交互、无令牌的情况下强制触发一次完整追踪(外网请求、GitHub 配额消耗、写盘)。服务端也未校验 Host 头,配合 DNS rebinding 可被远程页面读取 /api/data(仅公开仓库数据,价值较低)。30 秒限流限制了滥用程度。
- low未披露的第三方请求:以伪造浏览器 User-Agent 抓取搜狗微信搜索
src/hotness.js:66git_ai_track 期间每个被追踪的仓库名都会被发送到 weixin.sogou.com(以及 HN Algolia),并使用硬编码的 Chrome User-Agent 伪装成浏览器;代码还显式检测反爬/验证码页面。该外发行为未在面向模型/用户的 git_ai_track 工具描述中披露,属于对第三方服务条款的反爬规避。未泄露任何密钥(仅公开仓库名),失败时降级为 0 分。
- lowgit_ai_report / git_ai_dashboard 写文件未套用 git_ai_track 的审批门
src/dsh/tools.js:142src/dsh/index.js 只给 git_ai_track 装了 ctx.get('approval') 审批门;report 与 dashboard 工具同样执行 fs.writeFileSync(tools.js 第 142 行及 dashboard 工具的写盘),却无任何审批步骤,模型调用即可静默创建/覆盖 reports/ 下的文件。影响有限:路径固定,snap.t 源自按日期命名的快照文件,未发现可利用的路径穿越。
未发现 RCE 或凭据窃取:工具参数均经校验且无 shell/eval 入口;实际问题是可被跨站 GET 触发的刷新接口与未披露的搜狗抓取。
口径:动态审计只会把风险往严重里判,不会把风险降下来(只升不降,不构成豁免);模型判错时由人工复核撤回,撤回后回到静态判定。合并判定 = 两层中更严的那一个。
免责声明:静态扫描与动态安全审计都是自动化分析,不构成安全保证。安装前请自行审查。
活跃度
最近提交 2026-08-31 · 活跃度:稳定
• 仓库创建: 2026-08-31
• 星标: ★ 0 · 复刻: 0
• 健康度: 稳定 — 近 90 天有提交
来源
作者 README
GitHub 原文 ↗展示作者仓库中的原始 README 内容,实时抓取、未做改写;优先加载中文版(README.zh-CN.md 等),无中文版时回退英文。
