把经过验证的插件市场接进 DSH：索引源配置指南
DSH 支持第三方插件市场索引源。三步把 dsh.so 的市场加进 dsh「发现」页，直接浏览和安装经过真实安装验证的插件。
DSH 内置了可选的「自定义插件市场」组合包：给它一份插件索引 JSON 的地址，它的发现页就能直接列出、搜索、安装索引里的插件——不用离开 dsh 再去网站翻。
dsh.so 提供的索引地址是：
https://www.dsh.so/market/index.json它只收录验证过的插件：在当前 dsh 版本上真实装成功（L4）或真跑通（L5）的才进索引，安全结论为高风险（critical / medium）的整条排除。下面三步把它接进来。
图 1：三步接入。索引源地址固定为 https://www.dsh.so/market/index.json。
前提条件
- dsh 版本需自带「自定义插件市场」能力（内置可选组合包，默认关闭；0.2.1 已随安装提供）
- 能访问
https://www.dsh.so（静态 JSON、走 CDN、无需密钥，允许跨域读取）
第一步：启用「自定义插件市场」
打开 dsh Web 侧栏的插件页 → 找到实验性插件旁的更多 → 启用自定义插件市场。
启用后，插件页会多出一个发现标签页；没启用时它是空的（提示「还没有插件市场」）。
第二步：添加索引源
在发现标签页点添加索引源，填：
https://www.dsh.so/market/index.json确认添加。之后随时可以通过**管理索引源…**增删或切换市场。
地址必须是最终地址：dsh 抓取索引时不跟随重定向，带尾斜杠或跳 www 的写法会直接失败。
第三步：浏览与安装
切到发现标签页，列表按索引顺序展示插件，支持：
- 搜索：按包名、标题、简介、作者、关键词、分类与标签模糊匹配（中英文都能搜）
- 筛选：按分类与标签过滤
- 看版本：每个插件列出可用版本、发布时间与兼容性判定
- 安装：直接点安装，走 dsh 自己的插件管理器（与
dsh plugin add等价）；装完即出现在已安装标签页
也可以直接写进配置
不想点界面，把索引写进 profile 的 cordis.patch.yml 即可：
- id: plugin-market
name: '@deepseek-ai/dsh-plugin-market'
config:
indexes:
- https://www.dsh.so/market/index.json改完重启 dsh（或在启用 HMR 时自动重载）生效。
索引里有什么、没有什么
从注册表到索引要过四道闸：能装、装得过、风险不高、版本可钉。
图 2：收录漏斗。数字为量级示意，随流水线每日变化。
收录规则（2026-10-22 起）：
| 情况 | 是否收录 |
|---|---|
| 当前 dsh 版本安装验证通过（L4 沙盒安装 / L5 沙盒内运行） | ✅ |
| 只在旧 dsh 版本上通过过 | ❌ |
| 安全结论为 critical 或 medium（站内融合档） | ❌ 排除 |
| 尚无安全审计结论 | ✅ 收录并标 risk-pending |
生态应用（不能 dsh plugin add） |
❌ |
| 仓库已改名 / 删除 / 摘掉话题 | ❌ |
| 凑不出精确版本（没有 npm 版本也没有 release） | ❌ |
每条插件都带标签，词表在索引顶部声明一次：
| 标签 | 含义 |
|---|---|
install-verified |
当前 dsh 版本上安装并运行成功 |
risk-low |
站内安全结论为低风险（静态扫描 + vet + 模型动态审计，只升不降） |
risk-pending |
尚无审计结论，安装前建议先看详情页 |
其余（file / search / mcp …） |
能力标签，用于筛选 |
版本信息：npm 源给出 npm 上的真实发布版本，发布时间取 registry 自己的发布时间；git 源钉定的是 GitHub Release tag 指向的 commit，而不是默认分支 HEAD。
索引是怎么来的
索引不是常驻文件，也不单独写库：每次 dsh.so 站点构建时，从注册表、安装验证记录与安全审计结论现场派生一份 format 1 文档，并用 DSH 官方解析器自检——只要有一条不合法，整份文档会被拒绝，所以我们在构建阶段就让构建失败。
图 3：索引的生成链路。产物随部署更新，不落库。
常见问题
dsh.so 上看到的某个插件，索引里没有？
大概率是它没在当前 dsh 版本上安装验证通过，或被判为高风险。到它的详情页看验证记录与安全结论即可确认。
发现页提示某个插件「不兼容」？
索引里每个版本都带 engines.dsh 兼容区间，dsh 按当前版本判定。作者声明的区间不含你的 dsh 版本时会标不兼容——可以等作者更新，或换一个 dsh 版本。
装上了，发现页却仍显示「未安装」？
市场按包名匹配安装状态。如果作者仓库里的包名与索引记录不一致（历史遗留条目），状态可能匹配不上；以已安装标签页为准。
多久更新一次？
索引随 dsh.so 站点构建重建（每日一次生产构建）；dsh 侧对同一份索引默认缓存 10 分钟（带「刷新」可绕过）。数据来自 dsh.so 的插件注册表与安装验证流水线。
能拿这份索引做别的东西吗？
可以。JSON 公开、CORS 开放、CC BY 4.0，注明来源 dsh.so 即可；字段含义见插件市场索引文档。
还有其他索引源吗？
有，第二份市场叫 Top Rank 精选索引：https://www.dsh.so/market/top-rank.json。它把榜单页的前六张榜合并起来——各取前 200 名，按包名跨榜去重后约 780~800 个插件，顺序是榜优先级加榜内名次。添加方式与主索引完全相同，而且两个可以同时加：两份文档相互独立，同一插件两边都出现是预期结果。这里同样排除 critical / medium 高风险条目，但「安装验证通过」只作标签、不作准入门槛——正因如此榜前 200 名才进得来。字段说明与完整对照见Top Rank 精选索引。