DSH 插件选型结论 · 公开预览

← 回到本期周报

把「要不要在团队里上 DSH 插件」这个问题，拆成一份 10 分钟能读完、逐条能复核的分档结论。

数据日期 2026-10-02。本页是付费报告《DSH 插件选型与风险报告》的公开预览：分档结果与公开数据全在这里，完整版多的是「每条结论的依据」和 R1–R11 风险清单。

9A 档 · 可直接用

18B 档 · 需评估

4C 档 · 不建议

7/12免费模型实测可用

一、三句话结论

星数在这个生态里几乎不能用来判断能不能装。标签下星数最高的 8 个仓库（241.0k ★ 起）一个都不是可安装插件——是 harness 本体、简历生成器、图片上传工具这类蹭标签项目。
被源码核验通过、列进 A 档的首选记忆插件只有 1 颗星。星数衡量的是传播，不是安全面。
我们只深读了 2 个项目，其余 29 个之所以落在 B 档「需评估」，恰恰是因为还没读过源码——这一点写在报告里，不藏。

二、分档结果

A 档 · 可直接用（9 个）

判定口径：原生 bundle 形态 + 宽松许可 + 不碰凭据、不接管运行时。可先小范围试点。

项目	仓库	星数	许可
dsh-memory 双层记忆	`jipika/dsh-memory`	1	MIT
Our Free Model 免费模型	`zouyuxuan122/dsh-our-free-model`	584	MIT
dsh-web 全家桶	`zhu1090093659/dsh-web`	8.3k	Apache-2.0
dsh-market 插件市场	`dsh-market/dsh-market`	5.2k	MIT
Web 界面插件市场	`Sanqi-normal/dsh-webui-market-plugin`	105	MIT
petdex 宠物画廊	`crafter-station/petdex`	4.2k	MIT
dsh-TUI 终端版	`ccch1mneyyy/dsh-TUI`	3.9k	MIT
插件升级 Skill	`oh-my-dsh/dsh-plugin-upgrade-skill`	148	MIT
DSH 插件精选列表	`awesome-dsh-plugin/awesome-dsh-plugin`	17.5k	CC0-1.0

C 档 · 不建议（4 个）

不是"不好用"，而是权限面或副作用超出普通插件该有的范围。理由直接写在下面。

项目	仓库	星数	为什么不建议
dsh-plugin-memory（记忆）	`LittleBlackTong/dsh-plugin-memory`	4	源码级核验发现明确副作用：记忆库默认落在 `~/.memory`（不在 `.dsh` 目录体系内），且自带自动提交器默认 `intervalSeconds=60` / `quietSeconds=60`，会周期性对你的记忆库做 `git add -A` + commit。若记忆库恰好是某个既有仓库，会污染其提交历史（R3/R4）
OpenDesign 设计工作台	`nexu-io/open-design`	99.0k	不是 DSH 插件，而是反过来管理 DSH 运行时——口径最高的一类权限，且与"装插件"不是同一件事（R9）
DSH Desktop（社区桌面端）	`anywhere-labs/dsh-desktop`	29.7k	第三方重新打包整个运行时：把 Harness 打进安装包，个人项目非官方；企业分发的应是官方载体（R10）
DSHDesktop	`dataelement/dsh-desktop`	11.4k	同上，又是一个社区桌面版（R10）

B 档 · 需评估（18 个）

命中许可未声明（NOASSERTION）、AGPL/GPL 传染性、需要第三方密钥、或我们尚未读源码等风险面。完整版里逐条给出"为什么归 B"，以及把它升到 A 需要补哪一步核验。

三、星数陷阱（贴了 dsh-plugin 标签，但不是插件）

星数	仓库	为什么不算插件
241.0k	`deepseek-ai/deepseek-harness`	DeepSeek Harness 平台本体——不是插件，而是所有插件运行的地方
73.6k	`ruvnet/ruflo`	另一个 agent harness 项目——同类工具，不是本生态的插件
43.6k	`reactive-resume/reactive-resume`	简历生成器：与 DSH 插件生态无关，只是标签用法不同
35.7k	`esengine/DeepSeek-Reasonix`	独立的编码代理，不是可安装进 DSH 的插件
33.8k	`freestylefly/awesome-gpt-image-2`	提示词案例库：内容集合，不是可安装插件
31.5k	`Tencent/WeKnora`	LLM 知识平台：独立产品，不是 DSH 插件
27.3k	`Molunerfinn/PicGo`	图片上传工具：与 DSH 无关
24.4k	`nocobase/nocobase`	无代码平台：独立产品，不是 DSH 插件

四、免费模型实测（真实调用，不是清单转抄）

逐个模型发一条极短补全，走的就是免费模型插件自己的传输与指纹；区分「已下线」与「上游临时抽风」。

状态	模型	线路	首字延迟	结果
🔁 上游波动	`jev-1.13-free`	chat	—	Internal server error
❌ 已下线	`deepseek-v4-flash-free`	chat	—	Error from provider (Console): Upstream request failed: Mode
🔁 上游波动	`muse-spark-1.3-contributor-free`	responses	0.62s	HTTP 200 但无正文
🔁 上游波动	`muse-spark-1.2-contributor-free`	responses	0.69s	HTTP 200 但无正文
✅ 可用	`mimo-v2.6-flash-free`	chat	1.81s	"通了"
✅ 可用	`space-bunny-free`	chat	3.34s	"通了"
✅ 可用	`longcat-2.5-preview-free`	chat	29.98s	"通了"
✅ 可用	`mimo-v2.5-free`	chat	6.13s	"通了"
❌ 已下线	`ling-3.0-flash-fin-free`	chat	—	Error from provider (Console): Upstream request failed: Endp
✅ 可用	`nemotron-3-ultra-free`	chat	0.80s	"通了"
✅ 可用	`nemotron-3.5-lightning-free`	chat	0.95s	"通了"
✅ 可用	`fledge-alpha-free`	chat	0.76s	"[仅思考 240 字]"

地区墙受出口 IP 影响，换地区结论会变；「上游波动」= 供应商临时过载（脚本已自动重试）。

五、我们明确不知道什么

31 个项目里 29 个未做源码级审阅（这也是它们归 B 档的原因）；
没有做动态沙箱、没有抓包、没有权限提升测试；
免费模型只是单次实测快照，不是长期可用性承诺；
AGPL / GPL 对具体业务模式的合规影响，需要你们法务判断；
个别插件的凭据读取路径与数据流向未核验（完整版附录 D 逐条列出）。

这一节是这份报告最重要的部分之一：一份不写"不知道"的选型报告，不值得信。

六、完整版里还有什么

31 个项目逐条分档依据（不只 A/C，B 档的 18 条也逐条说明）；
R1–R11 风险清单：外部网络请求、密钥读取、定时器与后台行为、越界写入、许可红旗、AGPL 传染、独立部署成本、浏览器凭据暴露、自主执行枢纽、运行时接管、安装入口即权限——每条注明「哪个插件 + 依据是什么」；
六个场景的选型建议（记忆 / 工作台 / 模型与免费模型 / 用量余额 / 主题娱乐 / 外部工具与 Skill）：选哪个、别选哪个；
附录 C 复现命令，你可以自己跑一遍核对每一个数字。

样张（原文照录，一字未改）

下面两条摘自完整版第五章「风险清单」的 R1 与 R3，用来让你判断这份报告的颗粒度对不对你的口味：

R1　外部网络请求

· dsh-memory（A 档）：仓库内 fetch 调用点共 4 处，全部指向插件自己的 /dsh-memory/* 路由（本机已装运行，未观察到外部域）。这是把它从"又一个记忆插件"提升为首选的关键依据。

· 其余 29 个项目：未核验（我们只做了形态/许可/活跃度审阅）。

R3　定时器与后台行为

· dsh-memory（A 档）：setInterval 0 处、setTimeout 0 处——没有任何后台定时器。

注意这两条的形状：给出数得出来的数字（4 处 / 0 处），说清依据是什么（读了仓库、本机跑过），并且明写"未核验"而不是含糊带过。完整版里 R1–R11 每一条都是这个写法。

¥199/ 份（单次）

完整版是一份 Markdown 报告（31 个项目逐条分档依据 + R1–R11 风险清单 + 六个场景选型建议 + 附录 C 复现命令），建议 30 天内使用——插件生态变化快。
怎么买：付款方式（微信 / 支付宝收款码）在商务合作页；付款后开一个 Issue 说一声，或者直接发邮件到 514006234@qq.com，我确认到账后把完整版发给你。不要在 Issue 里贴付款凭证或联系方式——那一页是公开的。

去付款（微信 / 支付宝）先问几个问题（不用先付款）

下单前我们可以先确认范围与验收标准；不预收、不做无法验收的活。如果你只是想自己判断，本周报的中文说明 + 许可信息 + 上面这些公开数据其实也够用——这页不藏着卖。

七、这些数字怎么自己复核

git clone https://github.com/514006234/dsh-weekly-check && cd dsh-weekly-check
node tools/rank-plugins.mjs            # 插件榜（实时星数，取不到会退化为上期快照并标 ≈）
node tools/survey-free-models.mjs      # 免费模型逐个真实调用
node tools/build-report.mjs            # 重新生成本期周报
npm test                               # 17 项离线自测