@deepwhale-cn/dsh-agent-permission-audit

把「插件/预设声明要什么能力」和「会话日志里实际用了什么」摆在一起，列出差集：哪些调用超出了声明（红）、哪些声明了却一直没用（黄，可以收窄）。

关键词：权限审计 · 最小权限 · 声明 vs 实际 · 声明外调用 · 插件安全 · DeepSeek Harness 插件

不装会怎样

插件说「我只读文件」，但它的预设顺手挂了 bash、web、子代理；权限是一层层组合出来的，装得越多越没人说得清「到底允许了什么、实际又用了什么」。等出事再翻几十个压缩会话日志，已经晚了。

它做什么

• 声明侧：读本机已装插件的 package.json（dsh 字段、peerDependencies、dependencies）、cordis.patch.yml 挂载的模块，以及 agent preset（.agent-presets/* 与随包 insert 行）里的工具白名单 / 文件范围。
• 实际侧：读本机会话日志（session.v4.jsonl.zstd，系统 zstd 解压），提取真实发生的工具调用、命令、读写路径、访问域名。
• 差集：按预设/插件给出「声明项 → 实际命中 → 声明外调用（红）→ 声明了但未使用（黄）」，并汇总声明外总数与最高风险类别。
• 风险计数：执行命令 / 写系统路径 / 访问外部网络 / 读凭据；对 workspace-write、read-only 沙箱还会列出会话策略违规。
• 两种输出：文本 + --json，退出码 0（无声明外调用）/ 1（有）。

能力口径（概念少，够用）

exec 执行命令 · fs.read 读文件 · fs.write 写文件 · net 访问网络 · skill 加载技能 · agent 子代理/团队 · memory 记忆读写 · plan 计划/待办。

• 插件可在 package.json 里显式声明能力白名单（可选，本插件识别；宿主会忽略它不认识的字段）："dsh": { "capabilities": ["fs.read", "net:api.example.com", "fs.write:~/work"] }。带 : 的部分是范围，支持前缀与 * / ** 通配。
• 没写显式声明时，从依赖与 patch 挂载的官方模块推断能力；推断不是白名单，所以不会把别人的调用算成它的「声明外」。
• 预设声明来自组成里挂载的模块；实际调用按会话的 agentPreset 精确归属。找不到预设声明（例如内置预设）时，只做会话策略审计，并明确标注，不伪造。

安装

dsh plugin --profile web add @deepwhale-cn/dsh-agent-permission-audit

装好后侧栏多一个「深鲸权限审计」图标。

CLI（不装插件也能跑）：

node bin/cli.mjs --days 7            # 文本报告
node bin/cli.mjs --days 30 --json    # 机器可读

只读与隐私

• 只读：不写任何文件、不修改日志；数据不出本机、不联网、不调第三方接口。
• 报告里对 sk-*、Bearer/Authorization、token/secret 赋值、邮箱、用户名路径打码。
• 默认读 ~/Library/Application Support/DeepWhale Desktop/dsh-home；可用环境变量覆盖：

变量	作用
DSH_AUDIT_HOME	DSH_HOME（含 profiles/、plugins/、.agent-presets/、sessions/）
DSH_SESSIONS_DIR	会话日志根目录
DSH_ZSTD_BIN	zstd 可执行文件路径

CLI 另有 --home <目录>、--sessions <目录>、--days N、--json、--no-color。

已知限制

• 「写系统路径」「读凭据」是启发式识别（看命令与路径），可能误报；报告给了样例，请按样例核对。
• 没有会话日志时只做声明侧统计，明确显示「无实际数据」，不会把「没数据」说成「没风险」。
• 内置预设（本机没有声明文件）无法做预设级差集，只做会话策略审计。
• 只覆盖工具体调用层；插件在宿主进程内直接读写文件的行为不在日志里，审不到。
• 「声明外」按预设组成与插件显式白名单判定；宿主全局提供的工具可能不在预设声明里，报告会附样例，请先核对再改。

---

MIT License · 温州深鲸智能科技有限公司