ShadowPower

我翻译了一下：

这几天 GitHub 上 DSH 的插件直接爆了 5000 多个，根本看不过来。

本来我只是嫌 DSH 老是失忆。比如我项目明明用 Bun ，它每次新开会话非要去跑 npm ，同样的坑每天都要踩一遍。就想找个插件搞搞。

结果差点掉大坑，我找了个功能挺合适的，装之前顺手翻了眼源码，好家伙，代码里居然偷偷读本地凭据和环境变量，还往外发请求，README 里半个字都没提。装插件本来权限就大，这要是直接敲回车装了，等于把电脑底裤全交了。

吓得我没敢用，干脆自己手搓了一个叫 dsh-precedent 的插件。逻辑就是纯读 DSH 保存在本地的日志，看以前敲啥命令报过错、后来是怎么修好的。全在本地跑，不用联网，也不用建索引。

但搞完这个我越想越觉得离谱。外面那 5000 多个插件，介绍看着个个光鲜亮丽，谁知道底下藏了什么鬼代码？普通人根本没精力挨个去审源码。

所以我又搞了俩东西：
1. dshplugin.me 这个导航站，把这几千个仓库集中起来分类，至少让你先看看插件是谁写的、还在不在维护。

2. dsh-plugin-radar ，直接当成插件装进 DSH 里。在你装别的插件之前，先自动扫一遍源码。要是发现风险就直接给你弹个警告，让你自己判断要不要装。

这玩意儿肯定不能百分百拦住恶意代码，但最起码能避免瞎装。
目前刚弄出来，发出来给大家试试水，欢迎随便喷。