从零装好 dsh-pentest引擎、Node 版本与预设选择的三步核对dsh-pentest 的安装命令只有一行出问题的地方却几乎都不在这一行上。npm 包、Release 资产、本地 tar.gz 装的是同一个 bundle真正的门槛在宿主引擎够不够新、Node 够不够新、装完之后有没有选对预设。这三步任何一步漏掉症状都不一样——预设「加载失败」、进程起不来说node:sqlite找不到、或者一切正常但界面上什么都没有。下面按顺序核对。安装命令与三种来源默认从 npm 装dsh plugin--profilewebaddhowmp/dsh-pentest需要指定版本时把版本号钉在后面例如howmp/dsh-pentest0.1.0-rc.32。另外两条等价路径是 Release URL 与本地文件dsh plugin--profilewebaddhttps://github.com/howmp/dsh-pentest/releases/latest/download/dsh-pentest.tar.gz dsh plugin--profilewebaddfile:/path/to/dsh-pentest.tar.gz三者内容一致装完都需要重启 dsh再在新会话里选择自动注册的「渗透模式」。当前 npm 版本0.1.0-rc.37MIT站点快照 607 星、综合分 69.0。想先对照同类插件的中文条目与安装形态可以看 完整插件清单与汉化避坑指南。第一步核对引擎版本README 写的是DSH 0.1.6这一条不是建议。0.1.6 把工作流引擎包从deepseek-ai/dsh-workflow-worker-thread改名为deepseek-ai/dsh-workflow-ptc而「渗透模式」这个预设是宿主standard预设的整份拷贝里面的宿主包名逐字生效。于是出现一个反直觉的情况bundle 的 peer 范围覆盖 0.1.x 和 0.2.x装是能装的但在 0.1.6 之前的宿主上预设会显示「加载失败」。这不是装坏了是包名对不上。核对方法很直接dsh--version低于 0.1.6 时有两个选择升级宿主或者钉howmp/dsh-pentest0.1.0-rc.32——那个版本对应改名之前的包名。第二步核对 Node 版本运行时要求Node.js 22.5。原因在存储后端渗透记录的 sqlite 实现用的是node:sqlite这是 Node 22 系列才稳定提供的模块版本不够时它不是降级而是直接不可用。这一步最容易漏因为安装阶段不会有任何提示。package.json未声明engines.node站点的安装兼容性检查也显示「未声明」所以dsh plugin add会一路绿灯走完直到你真正开始记录才失败。核对node-v低于 22.5 就换运行时。注意要核对的是dsh 进程实际使用的那个 Node不是终端里默认的那个。第三步核对预设选择前两步都过了界面上仍然可能什么都没有因为预设需要被选中。装完先重启宿主再新建一个会话旧会话不会因为你装了插件就长出页签在预设列表里找自动注册的「渗透模式」。选中之后Web 端才会出现渗透页签。页签的显示判据是会话级的当前会话或列表祖先链命中pentest预设名、命中pentest-*形式的复制预设名或者该会话日志证明挂载过pentestMounted标记才显示没有任何证据的会话一律隐藏。DSH 0.1.7 起用retainedBy.mainView识别当前会话同时兼容旧版的sessions.list.current。装完后的最小验收选好预设用四个调用确认链路通不通pentest_add_goal 带 authorization 说明授权对象或书面许可引用 pentest_add_intent 恰好一个锚点 pentest_add_fact 记录一条观察 pentest_add_finding reproducibleSteps 至少一条然后依次调pentest_state、pentest_graph、pentest_report能看到 goal、节点和 Markdown 报告就说明存储层、投影层、Web 层都正常。九个工具里剩下的pentest_submit给子 agent 用pentest_add_asset传空字符串表示根资产。有一个边界要提前知道插件不写会话日志issue #32所以子 agent 经pentest_submit提交的 fact / asset / finding 只进存储域不会出现在父会话的 Web 图里只能用上面三个查询工具看。三个必须知道的前提仓库已于2026-10-09 归档不再受理 issue、不发新版本、不适配新版 DSH已发布的 npm 包与 Release 资产仍可安装必要时可 fork 自维护。安全扫描为 「含敏感能力」证据项包含读写与删除本地文件尚无人工评估站点也未做风险分级。这不等于有风险但也不等于没风险装之前应由使用方自己判断。版本口径上站点写「未声明 dsh 版本约束」README 却明确要求 DSH 0.1.6、Node 22.5以 README 为准。另外authorization参数只是审计留痕会写进状态与最终报告它不是门禁扫描与利用仍受部署沙箱和审批约束能做什么只取决于你是否拿到了对目标的明确授权。总结装 dsh-pentest 的失败大多不在安装命令而在版本三连——引擎、Node、预设逐条核对比反复重装有效同类插件的中文清单与安装形态见 完整插件清单与汉化避坑指南。适合与不适合适合第一次接触 DSH 插件、需要一份可照着核对的安装顺序的人在多个 Node 版本之间切换、容易装错运行时的开发机已经用 0.1.6 以上宿主、想快速验证渗透模式是否可用的团队只需要短期项目记录、能接受归档状态的使用者。不适合宿主停在 0.1.6 之前又不愿降级插件版本的环境Node 无法升到 22.5 的机器要求供应商持续维护与安全响应的生产项目把authorization当成授权门禁、以为填了就能随便扫的人。标签dsh-pentest、DeepSeek Harness、授权测试、会话记录本文由 DeepSeek Harness Hub 自动整理数据来源于插件详情页。 
长河君 · 2026/10/20 9:57:04 · 阅读 1.2k 从零装好 dsh-pentest：引擎、Node 版本与预设选择的三步核对
从零装好 dsh-pentest引擎、Node 版本与预设选择的三步核对dsh-pentest 的安装命令只有一行出问题的地方却几乎都不在这一行上。npm 包、Release 资产、本地 tar.gz 装的是同一个 bundle真正的门槛在宿主引擎够不够新、Node 够不够新、装完之后有没有选对预设。这三步任何一步漏掉症状都不一样——预设「加载失败」、进程起不来说node:sqlite找不到、或者一切正常但界面上什么都没有。下面按顺序核对。安装命令与三种来源默认从 npm 装dsh plugin--profilewebaddhowmp/dsh-pentest需要指定版本时把版本号钉在后面例如howmp/dsh-pentest0.1.0-rc.32。另外两条等价路径是 Release URL 与本地文件dsh plugin--profilewebaddhttps://github.com/howmp/dsh-pentest/releases/latest/download/dsh-pentest.tar.gz dsh plugin--profilewebaddfile:/path/to/dsh-pentest.tar.gz三者内容一致装完都需要重启 dsh再在新会话里选择自动注册的「渗透模式」。当前 npm 版本0.1.0-rc.37MIT站点快照 607 星、综合分 69.0。想先对照同类插件的中文条目与安装形态可以看 完整插件清单与汉化避坑指南。第一步核对引擎版本README 写的是DSH 0.1.6这一条不是建议。0.1.6 把工作流引擎包从deepseek-ai/dsh-workflow-worker-thread改名为deepseek-ai/dsh-workflow-ptc而「渗透模式」这个预设是宿主standard预设的整份拷贝里面的宿主包名逐字生效。于是出现一个反直觉的情况bundle 的 peer 范围覆盖 0.1.x 和 0.2.x装是能装的但在 0.1.6 之前的宿主上预设会显示「加载失败」。这不是装坏了是包名对不上。核对方法很直接dsh--version低于 0.1.6 时有两个选择升级宿主或者钉howmp/dsh-pentest0.1.0-rc.32——那个版本对应改名之前的包名。第二步核对 Node 版本运行时要求Node.js 22.5。原因在存储后端渗透记录的 sqlite 实现用的是node:sqlite这是 Node 22 系列才稳定提供的模块版本不够时它不是降级而是直接不可用。这一步最容易漏因为安装阶段不会有任何提示。package.json未声明engines.node站点的安装兼容性检查也显示「未声明」所以dsh plugin add会一路绿灯走完直到你真正开始记录才失败。核对node-v低于 22.5 就换运行时。注意要核对的是dsh 进程实际使用的那个 Node不是终端里默认的那个。第三步核对预设选择前两步都过了界面上仍然可能什么都没有因为预设需要被选中。装完先重启宿主再新建一个会话旧会话不会因为你装了插件就长出页签在预设列表里找自动注册的「渗透模式」。选中之后Web 端才会出现渗透页签。页签的显示判据是会话级的当前会话或列表祖先链命中pentest预设名、命中pentest-*形式的复制预设名或者该会话日志证明挂载过pentestMounted标记才显示没有任何证据的会话一律隐藏。DSH 0.1.7 起用retainedBy.mainView识别当前会话同时兼容旧版的sessions.list.current。装完后的最小验收选好预设用四个调用确认链路通不通pentest_add_goal 带 authorization 说明授权对象或书面许可引用 pentest_add_intent 恰好一个锚点 pentest_add_fact 记录一条观察 pentest_add_finding reproducibleSteps 至少一条然后依次调pentest_state、pentest_graph、pentest_report能看到 goal、节点和 Markdown 报告就说明存储层、投影层、Web 层都正常。九个工具里剩下的pentest_submit给子 agent 用pentest_add_asset传空字符串表示根资产。有一个边界要提前知道插件不写会话日志issue #32所以子 agent 经pentest_submit提交的 fact / asset / finding 只进存储域不会出现在父会话的 Web 图里只能用上面三个查询工具看。三个必须知道的前提仓库已于2026-10-09 归档不再受理 issue、不发新版本、不适配新版 DSH已发布的 npm 包与 Release 资产仍可安装必要时可 fork 自维护。安全扫描为 「含敏感能力」证据项包含读写与删除本地文件尚无人工评估站点也未做风险分级。这不等于有风险但也不等于没风险装之前应由使用方自己判断。版本口径上站点写「未声明 dsh 版本约束」README 却明确要求 DSH 0.1.6、Node 22.5以 README 为准。另外authorization参数只是审计留痕会写进状态与最终报告它不是门禁扫描与利用仍受部署沙箱和审批约束能做什么只取决于你是否拿到了对目标的明确授权。总结装 dsh-pentest 的失败大多不在安装命令而在版本三连——引擎、Node、预设逐条核对比反复重装有效同类插件的中文清单与安装形态见 完整插件清单与汉化避坑指南。适合与不适合适合第一次接触 DSH 插件、需要一份可照着核对的安装顺序的人在多个 Node 版本之间切换、容易装错运行时的开发机已经用 0.1.6 以上宿主、想快速验证渗透模式是否可用的团队只需要短期项目记录、能接受归档状态的使用者。不适合宿主停在 0.1.6 之前又不愿降级插件版本的环境Node 无法升到 22.5 的机器要求供应商持续维护与安全响应的生产项目把authorization当成授权门禁、以为填了就能随便扫的人。标签dsh-pentest、DeepSeek Harness、授权测试、会话记录本文由 DeepSeek Harness Hub 自动整理数据来源于插件详情页。