dsh-audit-bundle DSH 插件

dsh-audit-bundle 是一个 DSH 插件，用于验证某个主题/修订版本是否拥有来自独立生产者的足够证据来覆盖声明的控制项。它通过显式清单（manifest）使用 SHA-256 固定证据文件、JSON 指针和值哈希断言来工作。插件在证据缺失、过期或无效时失败关闭，并输出确定性 SHA-256 对树 Merkle 根。

security-policy developer-tools

如何安装 dsh-audit-bundle DSH 插件

dsh plugin --profile audit-bundle add github:dongsheng123132/dsh-audit-bundle#<commit>

来源命令需要人工核对。复制不会执行命令。

dsh-audit-bundle DSH 插件数据来源

dsh-audit-bundle DSH 插件快照日期：2026年8月16日

discovered

dsh-audit-bundle DSH 插件能做什么

根据清单验证证据覆盖率，包括最小合格证据数、不同生产者数和允许的证据类型。
通过 SHA-256 固定证据文件，并通过 JSON 指针将其绑定到主题/修订版本。
拒绝符号链接、路径逃逸、过大输入和过多结构；不执行网络调用或子进程。
在指定的 artifactDir 下输出内容寻址的 JSON 索引，并进行回读验证。
输出确定性 SHA-256 对树 Merkle 根，不复制证据体或断言值。

dsh-audit-bundle DSH 插件适合哪些场景

审计合规：确保软件发布版本拥有来自独立来源的足够证据以满足安全控制要求。
CI/CD 流水线：在部署到生产环境前验证证据工件是否存在且未被篡改。
多生产者证据聚合：从不同团队或工具收集并验证证据，生成单一可验证的索引。
监管报告：生成防篡改的审计轨迹，可提交给审计人员。

dsh-audit-bundle DSH 插件适合谁

需要验证跨独立生产者证据链的安全审计员。
将可验证审计检查集成到 DSH 工作流中的 DevOps 工程师。
需要确定性、内容寻址的审计索引以证明证据覆盖率的合规官员。

dsh-audit-bundle DSH 插件的限制

需要 Node.js 22 或更新版本。
仅处理工作区相对路径的常规文件；拒绝符号链接、路径逃逸和过大输入。
不执行网络调用或子进程；证据必须本地可用。
不是 SBOM 扫描器、签名器、审计日志记录器或策略引擎；它仅根据清单验证已有证据。

dsh-audit-bundle DSH 插件的仓库 README 摘录

以下文字摘自 dsh-audit-bundle DSH 插件的上游仓库 dongsheng123132/dsh-audit-bundle 的 README，版权归原作者，仅作引用。

Content-addressed audit indexes across independent [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) evidence producers. This plugin is not an SBOM scanner, signer, audit logger, policy engine or archive. Existing tools already scan dependencies and individual 2Origin plugins already produce release, runtime, recovery, lineage and policy evidence. The missing layer is a small verifier that proves a particular subject/revision has enough pinned evidence from allowed, independent producers to cover declared controls. ## Contract An explicit manifest declares: - one subject ID and revision; - required controls with minimum eligible evidence, minimum distinct producers and allowed evidence types; - evidence files pinned by SHA-256; - JSON Pointers that bind every evidence file to the subject and revision; - value-hash assertions, so expected or observed values never enter the audit index. Verification fails closed for missing, stale or invalid JSON evidence, subject/revision mismatch, failed assertions, disallowed types, insufficient evidence or insufficient independent producers. The output contains IDs, types, producers, paths into JSON, hashes, statuses, cover

阅读完整 README仓库许可: MIT

dsh-audit-bundle DSH 插件常见问题

如何安装 dsh-audit-bundle？

使用 DSH 插件命令：`dsh plugin --profile audit-bundle add github:dongsheng123132/dsh-audit-bundle#<commit>`，将 `<commit>` 替换为具体的提交哈希。安装后可以通过 `dsh --profile audit-bundle --dump-config` 验证配置。

需要什么版本的 Node.js？

需要 Node.js 22 或更新版本。插件的 CI 在 Ubuntu 和 Windows 上运行，package.json 指定了 Node.js >= 22。请确保你的环境满足此要求。

插件输出什么内容？

插件输出一个 JSON 对象，包含 ID、类型、生产者、JSON 指针、哈希值、状态、覆盖率信息以及一个确定性 SHA-256 对树 Merkle 根。它不会将证据体或断言值复制到输出中。

这个插件可以用来扫描依赖或签名工件吗？

不可以。该插件不是 SBOM 扫描器、签名器、审计日志记录器或策略引擎。它仅验证一组已有证据文件是否满足清单中声明的条件。扫描或签名需要使用其他工具。

验证失败时会发生什么？

验证在证据缺失、过期、无效、主题/修订版本不匹配、断言失败、类型不允许、证据不足或独立生产者不足时失败关闭。CLI 在审计裁定失败时退出码为 2，用法无效时退出码为 1。