插件市场索引（format 1）

这不是给人看的榜单，而是 dsh 作为「自定义插件市场」读取的索引。一份文档列出所有通过安装验证的插件，每条带精确版本、真实发布时间与钉定 commit 的安装来源——dsh 因此可以直接展示、比较和安装，不需要再抓页面。

接口地址

URL	说明	更新
`/market/index.json`	DSH 插件市场索引（format 1）。只收「当前 dsh 版本安装验证通过」的组合包；排除生态应用、已回归的仓库与高风险（critical 与 medium）条目。	每次部署重建（数据输入按各自流水线刷新；`Cache-Control: public, max-age=300`）

请保证它是直接返回 200 的地址——dsh 抓取时使用 redirect: "error"，尾斜杠或 www 跳转都会失败。允许跨域读取（Access-Control-Allow-Origin: *），无需密钥。

在 dsh 里使用

启用可选的自定义插件市场组合包（插件 → 实验性插件 → 自定义插件市场）。
打开插件 → 发现 → 管理索引源。
添加 https://www.dsh.so/market/index.json。发现页即可列出、搜索并安装这些插件；已安装条目按包名匹配。

也可以直接写进 profile 的 cordis.patch.yml：

- id: plugin-market
  config:
    indexes:
      - https://www.dsh.so/market/index.json

文档结构（format 1）

字段	必填	语义
`format`	是	恒为 `1`。
`title`	是	本地化文本（字符串，或以小写语言 id 为键的对象），必须含 `en`。
`description`	否	市场展示的本地化说明。
`metadata.categories` / `labels` / `sortKeys`	否	词表声明；插件 metadata 只能引用这里声明过的 id。
`plugins[]`	是	可安装组合包；`name` 唯一且必须是合法 npm 包名。
`plugins[].title` / `description` / `icon` / `author`	否	展示字段。图标为 https 绝对地址；`repository` 仅展示，永远不是安装来源。
`plugins[].metadata`	否	`category`、`keywords[]`、`labels[]`、`sortKeys`——id 必须已声明。
`plugins[].versions[]`	是	非空；每个精确版本一条，按 SemVer 优先级降序。
`versions[].version`	是	精确 SemVer（不能是区间）。
`versions[].publishTimestamp`	是	Unix 秒整数，范围 `[0, 10^11)`；npm 源为 registry 的真实发布时间。
`versions[].source`	是	`{ "type": "npm" }` → 安装 `name@version`；`{ "type": "git", "url", "commit" }` → 安装 `git+<url>#<commit>`。
`versions[].engines.dsh`	否	兼容 dsh 版本的 SemVer 区间；dsh 在展示该版本前先做兼容判定。

format 1 是严格格式：一处不合法，dsh 会拒收整份文档。本索引在构建期用官方 @deepseek-ai/dsh-plugin-market-index 解析器自检——坏文档会让构建失败，而不是发给用户。

条目的含义

索引是过滤过的，不只是加注释：只列出当前 dsh 版本安装验证通过（L4 沙盒安装 / L5 沙盒内运行）的组合包；站内 fused 安全档为 critical 或 medium 的条目整条排除——只保留低风险与「审计待定」两类。生态应用（不能 dsh plugin add）、已回归的仓库、凑不出精确版本的条目一律不出现。

每条收录都带可信度标签（metadata.labels），词表在文档顶部声明一次：

标签	含义
`install-verified`	当前 dsh 版本上安装并运行成功。
`risk-low`	站内安全结论为低风险（静态扫描 + vet + 模型动态审计，只升不降）。
`risk-pending`	尚无审计结论，安装前建议先看详情页。
`risk-medium` / `risk-critical`	只在审计口径（`scope=all`）声明；这类条目不会出现在公开市场索引里。

版本来自已发布的 npm 包或 GitHub Release tag；publishTimestamp 是 npm registry 自己的发布时间，git 条目钉定的是 release tag 指向的 commit（不是默认分支 HEAD）。

已知局限：没有 Release 的 git 条目回退用最新提交时间作为 publishTimestamp；图标用的是作者 GitHub 头像（注册表没有插件 logo）。本索引是选型层——完整注册表、安全结论与逐版本验证记录在各自的插件详情页。

获取

curl https://www.dsh.so/market/index.json

可自由引用，注明来源 dsh.so（CC BY 4.0）。文档是公开注册表的构建期派生结果；新增字段会在更新日志公布。完整插件数据接口目录见 /zh/data/。