DSH 插件 = 代码 + 提示词 + 权限。一次安装就是一次授权。 免费版永久 MIT 开源；Pro 卖的是持续更新的攻击面情报（新恶意模式的规则包 + 月度简报）与团队策略基线。
插件的攻击面不在 README 里，而在几个固定的位置：cordis.patch.yml 能往插件树里注入条目；
client.mjs 跑在浏览器侧，能读你页面里的东西；profile 配置能被改写；依赖可以是远程动态加载的。
这些都不是"看一眼代码"能覆盖的。
DShScan 把这几类位置做成固定规则，每条 finding 带证据与修复建议——不是给一个分数就完事。
先说清楚：免费版不会因为 Pro 上线而收窄。现在开源的功能全部保留，永久 MIT。 Pro 只卖一样东西——持续更新的情报，因为恶意模式每月都在变，跟它需要有人一直做。
| 能力 | 免费版（MIT 开源） | Pro |
|---|---|---|
| 扫描引擎（单插件 / 仓库 / 本地目录 / zip / md） | ✓ | ✓ 同一引擎 |
| 基础攻击面规则（P010–P015） | ✓ | ✓ |
| 批量扫描 / JSON / HTML 报告 / 本地面板 | ✓ | ✓ |
| policy 策略文件 / 审计日志 JSONL | ✓ | ✓ + 预置基线 |
| 新恶意模式规则（每月） | 不含 | ✓ 私有规则包 |
| 月度威胁简报（本月新出现的绕过手法） | — | ✓ |
| 团队策略基线（多仓一致）+ 规则例外登记 | — | ✓ 团队版 |
| 版本间差异报告（这次比上次多了什么风险） | ✓ 自行 diff | ✓ 模板化 |
免费版是 CLI 与规则引擎，MIT，永久免费，不会因为 Pro 上线而收窄。Pro 收的是两样持续投入的东西： 情报（每月新增的恶意模式规则、当月绕过手法简报）和团队策略基线（多仓一致的 ignore / severity 配置与例外登记）。 不是一次性代码，是有人一直在跟。
离线 Ed25519 签名 license：一个文件，本地验签，不登录、不联网、不上报。断网环境（CI 常见）可用。
不算任何人的。DShScan 输出的是自动化检测结果，不构成安全审计意见，也不构成"这个插件是安全的"的承诺。 每条 finding 都附证据与修复建议，供你自己判断。规则永远有漏报，这也是它持续更新的原因。
Pro 的策略包可以做 ignore / severity 覆盖，把团队认可为噪音的规则压下去，并把这份策略提交进仓库——换人也不丢。
npm i -g @shaoshi/dshscan dshscan <插件名> # 扫一个 dshscan --batch --limit 50 # 扫一批 dshscan --serve # 打开本地报告面板
仓库：github.com/shaoshi20/dshscan · 在线示例报告：shaoshi20.github.io/dshscan
自动化检测结果，不构成安全审计意见。DShScan 不承诺发现全部问题，也不对安装第三方插件造成的后果负责。 本页为预售意向登记，未上线前不收取任何费用。