@dsh-market/core
DSH Market 插件端核心层：纯 Node 模块，零 DSH API 依赖（数据 / 搜索 / 画像 / 推荐 / 安装），可独立测试。
@dsh-market/plugin（侧边栏插件）的运行时依赖，也可独立使用。
能力一览
- 数据 — 拉取市场索引（全量
plugins.json / 瘦身 plugins-lite.json），stale-while-revalidate 磁盘缓存
- 搜索与推荐 — 中文搜索（Fuse.js）、新手友好 / 个性化 / 场景推荐
- 已装管理 — 扫描 skill 目录与 profile 依赖、更新检查（含 pnpm minimumReleaseAge 联动）
- 路由安装（T0） — 已装检测 → 配方缓存 → README 解析命令 → 内置确定性安装；带结构化冒烟验证、快照与回滚
- 🛡 命令安全门 — T0 直装命令白名单（#165）：只放行
dsh plugin add、克隆插件自身仓库、非全局 registry 安装三类受限形态；管道执行远端脚本、全局安装、链式/重定向等一律拦截并升级 AI 复核，绝不原样执行
- 配方沉淀 — 安装成功自动学习命令 + 冒烟检查，重装零 token；带环境指纹与新鲜度
- 兼容门禁 — 解析
engines.dsh 与本地 DSH 版本比对
- 诊断 — 错误分类、操作日志、安装度量
安装
npm install @dsh-market/core
安全模型
宿主进程注入的 runner 以用户权限执行命令，因此 T0 直装路径内置命令白名单（guardInstallCommands）：
黑名单挡不完供应链攻击，白名单只放行结构受限、可预期的形态，其余一律拒绝直装并升级 AI 复核。
详见仓库 plugin/core/src/command-guard.ts 与 issue #165。
License
MIT
关于 @dsh-market/core 的常见问题
@dsh-market/core 是什么？
DSH Market 插件端核心层：纯 Node 模块，零 DSH API 依赖（数据/搜索/画像/推荐/安装），可独立测试
如何安装 @dsh-market/core？
在项目目录运行 npm install @dsh-market/core，或使用 pnpm add / yarn add / bun add。
@dsh-market/core 支持 TypeScript 吗？
支持。包内自带 TypeScript 类型声明（package.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。
@dsh-market/core 支持 ESM 还是 CommonJS？
以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node.js 20.19+ / 22.12+ 可以直接 require() 不含顶层 await 的 ES Module，更早的版本需要改用动态 import()。
@dsh-market/core 可以商用吗？
@dsh-market/core 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。
@dsh-market/core 的下载量有多少？
根据 npm 官方下载统计，@dsh-market/core 在 2026/10/13 – 2026/11/11 这 30 天内被下载 37,132 次，日均约 1,238 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。
@dsh-market/core 还在维护吗？
最新版本 0.4.17 发布于 2026/11/13（今天）；至今共发布 29 个版本，其中过去 12 个月发布了 29 个；首次发布于 2026/08/15。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。