[开源]Deepseek Harness 备份同步插件的插件

[Maxwe11]

这两天要做个财务的事情，去开了 Windows 的机器，顺手想着也在 Windows 的机器上装个 DSH，以为官方登录应该有同步策略，可以把其他设备上的插件配置都同步过来，但是发现过于乐观了，忘记了 DSH 就是“万物皆插件”，正好新装梁叔叔给了 6 块钱打赏，就做了一个，当然最后实际上 6 块钱不够（基本功能实现 6 块钱够了），后续的部分是好兄弟 GLM 收的尾。

dsh-sync

当然也可以直接在官方插件列表里搜索dsh-sync，插件市场正在提交。

简介 把一整台机器上的 DSH「个人状态」加密备份到云端，换电脑后一条命令还原：插件、插件设置、模型与界面偏好、MCP 服务器、自建 skill、API Key，全都在里面。

• 一个归档：所有配置打包成一个加密文件，云端只看到密文。
• 三种目标：S3 兼容对象存储、WebDAV、本地同步目录（iCloud/OneDrive/坚果云/NAS）。
• 内容可选：备份内容拆成 11 个模块，设置页逐项开关并实时显示体积；隐私模块（MCP 连接器、API Key）默认关闭，开启需确认隐私声明。
• 定时同步：按分钟级间隔自动备份，内容没变就不上传。
• 可回滚：恢复前自动备份本机文件，从不删除本机独有的文件。

隐私声明（勾选 ⚠️ 模块时页面会完整展示）：这些文件可能包含 API 密钥或服务器访问令牌。此类内容不会被上传到任何第三方——文件在本机读取后整体加密（scrypt 派生密钥），离开设备的只有密文，插件作者与云端存储都无法解密；凭证文件会在本机按规则剔除设备绑定记录后再入包（剔除过程不出本机）。插件本身没有任何遥测或内容上报。

profile 白名单说明：DSH 配置档案按白名单只打包上面列出的 6 个文件——插件管理器日志（.plugin-manager/）、市场日志（.dsh-market/log.ndjson）、package.json.lock 等运行产物不再进入归档。若未来 DSH 在 profile 根新增配置文件，需同步维护 lib/collect.js 的 PROFILE_FILES。

不同步：会话历史（sessions/）、工作区缓存（storages/session_projcache 等）、账户计费统计（.dshw-usage.json）、设备标识（.anonymous-user-id）、模型目录缓存（.workbuddy-*、dsh-moa-catalog.json）。

---

安全模型

• 归档 = gzip → AES-256-CTR → HMAC-SHA256（encrypt-then-MAC），密钥用 scrypt（N=32768, r=8, p=1）从你的口令派生，每个归档独立 salt/iv。
• 下载先校验 HMAC 再解密；口令错误或文件被改都会明确报错。
• 云端只看到 latest.json（时间、大小、内容哈希）和密文快照；文件名里只有时间戳。
• 本机配置整份加密落盘（safeStorage → DPAPI/钥匙串；退回 AES-256-GCM + secret.key），状态文件 0600；.credentials.yaml 里的 设备绑定记录（浏览器会话、设备 ID）永远不上传，恢复时也不覆盖本机的这两条。
• 口令规则：≥8 位，含大写、小写、数字，且至少一个 @ # $ * - _；只允许这些字符。不符合时页面会指出缺少哪一项，并点名不允许的字符（空格、全角字符等）。
• 建议：口令用 12 位以上、不与其它服务复用；页面或 env: 引用均可。