用途：处理 DSH 插件的兼容性、迁移、升级、回归与升级后诊断，包含对已迁移插件源码的只读审查。技能区分三种模式，用户意图不明时先确认模式，不允许把“帮我看看有没有更新”滑向安装或改代码。
三种模式：A 检查，只做只读调查并输出报告后停止，不编辑文件、不装依赖、不跑生命周期脚本；B 更新，把已安装插件升级到明确版本，事先给出变更计划与回滚步骤并取得确认；C 作者迁移，为更新的 DSH 宿主迁移插件作者源码仓库，先跑基线（构建/类型检查/测试，需先展示命令并确认），把既有失败记为豁免清单。
主要能力：分别记录来源身份与安装身份；读取仓库规则并检查分支、HEAD、工作区与子模块，遇陌生变更或未跟踪文件即停止上报；按文件归属边界区分 package.json/lockfile、dsh-plugin.json、cordis.patch.yml 等配置文件；记录回滚基线。迁移按版本走廊卡片的 from → to 元数据连接，而非按文件名字典序；先读完整走廊再计算净状态。按七类触点自查：源码补丁、事件、服务/Remote、宿主文件系统、UI/命令/工具、自定义通道、子进程/输出。
必要用法与限制：更新时选择与解析出的包身份匹配的单一更新机制，有 lockfile 就只用其包管理器，不混用 npm/pnpm/bun。安装成功不等于 DSH 已启用该插件，需验证目标 profile 组合实际解析到目标包并确认运行时入口激活。
全局宿主升级提醒：不得在 dsh 会话内执行全局宿主升级，会话本身即宿主进程。需完全停止所有 dsh 进程后，在外部终端运行 npm install -g @deepseek-ai/dsh@<exact-version>，再重启 dsh web 并硬刷新验证。安装若已中断，从外部 shell 重跑固定版本安装修复，不要手工复制包目录或手写 shim。
验证分层：依赖解析、启用解析、静态（构建/类型检查/插件测试）、运行时（冷启动真实 profile）、行为（至少一条核心路径）、包装器（退出码、stdout、stderr、取消与清理）。报告分为既有失败、已完成、已跳过、待定/残留风险、回滚、建议。限制：不处理仅升级 DSH 核心而保留插件的场景，不得修改 DSH 核心以掩盖插件不兼容；无法高置信判断时标记为待审，不默认重试未知网关故障；不读取、打印或提交令牌、凭据等敏感信息。具体版本走廊卡片、参考文档与脚本说明以仓库资料为准。