先明确术语
- Harness：官方运行时与生态核心。
- Plugin Bundle：manifest 声明了可解析 DSH Bundle patch 的可分发 Artifact。
- Cordis Plugin：由 Loader row 挂载的运行时 function、class 或 apply object；一个 Bundle 可以挂载多个。
- Skill 或 Preset：可以通过 Bundle 交付的可复用行为或 Agent 组合，但不会因此自动成为 Bundle 本身。
- 集成、应用、Library、资源：有用的生态 Artifact，但不预设原生 Plugin 安装方式。
Plugin 标签如何工作
- 使用场景描述用户任务：一个主要任务和最多三个次要任务。
- 为 DSH 增加描述有代码证据的贡献，例如模型工具、Web UI、Skill、Agent Preset 或终端 UI。一个 Bundle 可以有多个。
- 适配技术记录外部系统、协议、文件格式或技术。
- 兼容性记录 Profile 与 Harness 基线。
- 可信度与状态记录资格、证据新鲜度和源码可用性，不声明安全。
DSHub 不使用单一 Plugin 类型，因为一个 Bundle 可以同时扩展多个界面。AI 可以规范化用户场景和技术名称，但机制标签必须有 manifest、patch、export 或源码注册证据。
Plugin 发布门槛
- 有效的
package.json#dsh.bundle.patch。 - 引用的 patch 存在，并且可以按数据解析。
- 证据固定到 40 字符的源码 commit。
- 可以匹配 npm tarball 或 Git commit 分发内容。
- 命令来自允许的 DSH CLI 形式、固定版本，并且不包含 shell 链接或重定向。
- 有记录的审查会核对用途、Profile、兼容性、限制、验证、更新、移除，以及公开贡献标签背后的证据。
证据已验证是什么意思
DSHub 在不运行第三方代码的前提下核对了结构、分发、不可变证据和审查记录。这不是安全认证、恶意软件扫描、兼容性保证，也不承诺代码能在所有环境运行。
失败与新鲜度政策
每日发现与 enrichment 只在完整成功后写入。Rate limit、npm 超时、空搜索或部分生成会保留最近一次成功快照。在 AI 审查置信度、审计和失败处理完成定义前，自动发布保持关闭。
公开数据
页面、Registry v1、RSS 和 sitemap 都来自同一份已审查快照。Registry index 发布 SHA-256 digest，方便下游发现不一致。