dsh-plugin-marketplace

[!IMPORTANT] 市场不会直接展示 GitHub dsh-plugin topic 下的所有仓库。只有经过扫描器验证并写入中心 Registry 的插件，才会进入市场。

为什么使用它？

快速开始

运行要求与分发说明

• Node.js：^22.19.0 || >=24.0.0；使用 DSH 的 web Profile。
• 桌面端：当前开发版本适配 DSH Desktop 0.2.0-rc.2 的 desktop Profile，复用桌面端内置 Node/pnpm；不要使用 npm 安装的 DSH CLI 管理桌面端。
• DSH 依赖：@deepseek-ai/cordis ^4.0.1、dsh-app-boot 和 dsh-typert-protocol ^0.1.0-rc.5，由 peerDependencies 声明。版本范围不代表每个 DSH Release 都经过独立运行时认证。
• 安装包包含编译后的 Host、Web Client、Typert 入口及对应类型声明；安装本插件无需执行构建或生命周期脚本。
• zod 是参数和远程协议校验所需的运行依赖，并非安装脚本。市场会访问 Registry/GitHub；用户发起安装或更新时还会调用包管理器并访问对应包源，读写当前 Profile 与选定的插件目录；Agent 任务使用独立工作区。这些权限不能等同于“无权限插件”或安全认证。
• 远程 Registry 只接受 HTTPS；本地开发或测试 Registry 可以使用 file:，明文 HTTP 会在发起请求前拒绝。

1. 安装

dsh plugin --profile web add github:YELEBAI/dsh-plugin-marketplace#v0.9.5

本地开发安装：

dsh plugin --profile web add D:/path/to/dsh_Market

2. 启动

dsh --profile web

桌面端安装（当前开发版本）

先启动桌面端一次以初始化 desktop Profile，随后保存工作并从托盘完全退出。构建本仓库后，使用桌面端附带的命令安装本地目录，例如在 PowerShell 中：

& '<DSH 安装目录>\resources\runtime\cli\bin\dsh.cmd' plugin --profile desktop add 'D:\path\to\dsh_Market' --ignore-scripts

重新打开 DSH Desktop，再进入 设置 → 插件 → 插件市场。这部分适配尚未包含在已发布的 v0.9.5 标签中，不能用旧标签代替开发版本。桌面端由 Electron 管理 Host，不要执行 dsh --profile desktop 来启动或单独重启 Host。

桌面端市场列表只显示 Registry 的 Profile 列表明确包含 desktop 的插件，暂时隐藏仅支持 Web 或未明确声明桌面端支持的条目；搜索、分类、排序、结果计数及分页均在该范围内进行。明确支持 Desktop 的引导安装仍保留，已安装页面不受此发现筛选影响，仍可管理现有插件。卡片展示桌面端标记；明确命令或 manifest 声明可以被扫描，只有“支持桌面端”等宣传文本不会触发推断。该标记不是逐个插件的运行时或安全认证，不放宽原有自动安装/更新验证。

桌面端操作使用当前 Profile 的默认安装目录，不继承 Web 的自定义插件目录；写入与官方插件管理器共用锁。安装前还会使用桌面端自身的版本兼容检查，不自动授予版本豁免。重启按钮在 Desktop 中只展示退出与重新启动说明；Web 端保留现有重启行为。

3. 打开市场

进入 设置 → 插件 → 插件市场。

市场包含三个子页面：

• 插件市场：搜索、分类、排序、查看验证信息并安装插件。
• 已安装插件：过滤、检查更新，单独或批量更新、卸载、启用或停用当前 Profile 的插件。
• 管理与诊断：手动命令安装、选择插件安装位置并执行冲突诊断。

安装模式

自动安装始终使用 Registry 验证过的精确 GitHub commit 或精确 npm 版本，不会把可变的 main、latest 或 Release 下载地址直接交给包管理器。

手动命令安装

在 管理与诊断 → 手动命令安装 中可以粘贴：

dsh plugin --profile web add github:owner/repo#ref

也可以只填写 github:owner/repo#ref。输入内容不会交给 Shell；市场只接受当前 Profile 的 单条 GitHub 安装命令，并拒绝额外参数、管道、多命令和危险 ref。tag、分支或省略的 ref 会先解析为精确 commit，随后验证 package.json、bundle patch 和冲突。安装过程禁用生命周期 脚本；未安装的包会加入 Profile 的 bundle 层，已安装的同名包则按该精确来源更新。

引导安装 Agent

仍处于引导安装的插件会显示 Agent 安装；已安装插件存在引导型更新时，会显示 Agent 更新。

Agent 任务会固定以下上下文：

• Registry 验证过的仓库、包名、版本和唯一 commit；
• 当前 Profile、bundle patch 和扫描器给出的分类原因；
• 插件市场专用 Agent 工作区的绝对路径；
• README、Issue、脚本和依赖均属于不可信输入的安全边界；
• 安装后复查 Profile 依赖、bundle 层和启用状态的验收要求。

每个引导任务的第一步都会加载插件内置的 install-dsh-plugin Skill。Skill 优先选择最快的 安全路径：已有完整运行产物时使用精确 commit 并禁用脚本；缺少产物时在临时目录隔离构建； Release tarball 无可信摘要、包身份不一致、Bundle/入口缺失或出现冲突时直接停止。内置的只读 检查器会同时核验 Git HEAD、包名、版本、Bundle patch、Host/Client 入口、生命周期脚本及当前 Profile 的 Bundle ID/Cordis 服务冲突。

Agent 会先只读检查精确 commit。执行安装、构建、prepare、postinstall 等第三方代码前，仍由 DSH 原生审批层逐项请求确认，市场不会替用户授权。更新时会保留现有配置、Bundle 顺序和启停状态，并保留旧的精确来源用于回滚。无法证明安装源、包身份、Profile 兼容性或运行产物时，Agent 会停止并说明缺少的证据。

安装成功后，Agent 的最终答复必须包含 启动方法，说明：

1. 应使用哪个 Profile 启动 DSH；
2. 是否需要重启；
3. 插件是否随 DSH 自动加载；
4. 仍需填写哪些配置；
5. Web 入口或实际调用方式。

[!NOTE] Agent 默认绑定 $DSH_HOME/marketplace/agent-workspace，不会继承当前或最近的项目工作区。 可在 管理与诊断 → Agent 安装与更新工作区 选择已有目录；Agent 创建后，关闭设置面板即可查看进度并处理审批。

已安装插件管理

安装、更新和卸载共用一个先进先出的插件操作队列。队列只在 已安装插件 页面显示；重新打开设置时只恢复仍在执行的任务，完成历史最多保留最近 12 项、10 分钟且可一键清除。按钮确认后会立即显示占位任务并禁止同一插件重复提交；Profile 写入除进程内串行队列外还使用跨进程锁，Windows 短暂的 lockfile 占用会有界重试，单项失败不会阻断后续任务。

已安装插件支持按当前筛选结果选择，并批量更新、启用、停用或卸载。单批最多处理 50 个插件；批量启用会先检查组合后的新增冲突，批量启用/停用只写入一次 Profile manifest。

搜索和状态筛选支持一键重置。已选插件会跨筛选保留；有已选项被隐藏时，面板会明确提示， 批量操作仍包含这些已选插件。点击“清空选择”可一次取消全部选择。

界面沿用 DSH 明暗主题。导航、搜索筛选、插件操作分区展示；窄窗口下，卡片、操作按钮和管理 面板自动换行。卸载使用独立的危险操作样式，安装与批量操作继续使用原有确认流程。 市场采用紧凑卡片：内容区达到 490px 时可显示双列，压缩内边距与筛选区留白，减少浏览长列表时的滚动。

Read the full README on GitHub →