🧮 评分公式

总分公式

overall =
  popularity   × 25% +
  maintenance  × 20% +
  quality      × 20% +
  security     × 15% +
  dsh_compat   × 20%
// 权重总和 = 100%

📊 Popularity（人气） · 权重 25%

基于 npm weekly downloads，log scale 归一化到 0-100。

// log scale：10000 weekly downloads ≈ 满分
popularity = min(100, round(
  log10(weekly + 1) / log10(10000 + 1) × 100
))

为什么 log？头部插件下载量是腰部的 100-1000 倍，log scale 让长尾不被压扁。

🔧 Maintenance（维护活跃度） · 权重 20%

综合两个信号：npm 最后发布（60%）+ GitHub 最后 push（40%）。

// 指数衰减：半衰期 4 个月
maintenance = round(
  recency(lastPublish, halfLife=120d) × 0.6 +
  recency(lastPush,    halfLife=90d)  × 0.4
)

// recency(t, halfLife) = 100 × exp(-ageDays / halfLife)

为什么 npm+GitHub 双源？npm 发版可能滞后于 GitHub 提交，反之亦然。

📦 Quality（文档质量） · 权重 20%

6 个文档信号加分（满分 100）：

🔒 Security（安全） · 权重 15%

基础分 50，信号加减分（满分 100）：

security = 50  // baseline
  + trustedPublisher.oidcConfigId ? 25 : 0
  + publisher.username ? 5 : 0
  + /audit|sandbox|permission|allowlist/.test(desc) ? 15 : 0
  - /eval|exec|child_process/.test(desc) && !/safe|sandbox/ ? 10 : 0
  - gh.archived ? 30 : 0
// clamp to [0, 100]

局限性：这是启发式安全审计，不是真实代码审查。真实安全评估请用专业的 dsh-plugin-audit 或 Snyk。

🔌 DSH Compat（DSH 兼容性） · 权重 20%

检测 package.json 里 DSH 标准字段：

dsh_compat = 30  // baseline（挂了 dsh-plugin 标签就算）
  + package.dsh ? 30 : 0
  + package.dsh.bundle.patch ? 15 : 0
  + package.dsh.client.platform ? 5 : 0
  + engines.dsh ? 10 : 0
  + (deps 或 peerDeps 包含 @deepseek-ai/dsh) ? 10 : 0
  + exports['./cordis.patch.yml'] ? 5 : 0
// clamp to [0, 100]

cordis patch 是 DSH 插件标准格式：见 deepseek-ai/deepseek-harness 文档。