DSH 插件和 npm 包是什么关系？安装前怎么看包名

直接答案

许多 DSH 插件通过 npm 包分发，但 npm 包只是交付载体，是否能作为 DSH 插件加载还取决于插件结构、入口、Profile 和版本兼容性。PromptHub DSH 插件目录会在来源提供数据时展示 npm 包名与 npm 页面，用户应同时核对 GitHub 源码和安装说明。

为什么使用 npm

npm 提供版本、依赖和包下载机制，适合 JavaScript 与 TypeScript 插件分发。DSH 安装命令可以引用 npm 包，由包管理和 Harness 完成获取与加载。

但 npm 上与 DSH 相关的名称不一定都是可加载插件，也可能是 CLI、示例或普通库。

如何核对包名

在 PromptHub DSH 插件目录 进入详情，比较 npm_package、GitHub 仓库和作者说明是否一致。命名空间包如 @scope/package 不能省略 scope，也不要从搜索广告中的相似名称安装。

一个核对示例

详情显示包名 @example/dsh-tool，源码仓库的 README 也使用同一命令，版本发布时间能够对应，可信度会高于只有 npm 页面且没有仓库的条目。仍需继续检查权限和维护状态。

npm 安装报错怎么办

404 通常表示包名错误、包已删除或 Registry 配置不匹配。依赖冲突时检查插件要求的 DSH 和 Node 版本。不要通过安装同名非作用域包绕过错误。

包能下载但 DSH 无法加载时，问题可能在插件入口、Profile 或兼容性，而不是 npm 网络。

供应链限制

npm 下载量、版本号和包名都不能证明安全。安装时应固定可追溯版本，检查依赖与生命周期脚本，并避免把长期凭据暴露给未经审查的插件。