怎样更安全地安装 DeepSeek Harness 插件

1. 先选 profile，再选包

dsh web 实际运行 web profile，而 DSH Desktop 通常使用 desktop profile。装进一个 profile 的插件不会自动出现在另一个 profile。请同时核对插件作者写的目标和你实际运行的应用。

官方 CLI 会在该 profile 目录里把插件管理参数交给 pnpm。操作成功后，声明了 DSH bundle 的包才会被合并进 profile 的 bundle 列表。一个依赖即使安装成功，如果没有 bundle，也可能不会挂载任何 DSH 功能。

dsh plugin --profile web add <包名或 Git 目标>

2. 目标要精确，也要能核对

• npm 包以当前源仓库为准；重视稳定性时应锁定版本。
• GitHub 安装优先使用 release tag 或完整 commit SHA，不要长期依赖会移动的分支。
• 本地 checkout 的相对路径，从你执行命令的目录开始解析。
• 如果源仓库已经推荐新包名，不要继续复制旧目录快照里的命令。

3. 检查合成配置，然后完整重启

先用配置导出确认目标 bundle 已经加入 profile。正在运行的 DSH 会保持启动时的组合，因此添加或移除 bundle 后要正常停止并重新启动。Desktop 用户通常需要从托盘完整退出，而不是只关闭窗口。

dsh --profile web --dump-config
dsh web

4. 把构建脚本提示当成审查门

从 Git 安装且需要现场构建的插件可能带 prepare 脚本。新版 pnpm 会先阻止脚本，直到使用者明确放行。不要看到提示就自动允许；先查看 package scripts 和源代码，再决定是否在测试 profile 中运行。

5. 从同一个 profile 精确移除

使用准确依赖名从原 profile 移除，再检查一次合成配置并重启。移除依赖不一定会删除插件在依赖目录之外创建的数据或账号配置，这些内容仍需按源仓库说明处理。

dsh plugin --profile web remove <准确包名>