证据方法论

绑定 commit、README、许可证，以及已声明的包标识。

可追溯到 README 或包元数据的安装命令。

近期提交、已发布版本，且仓库未归档。

明确声明的 DSH 版本优于仅声明 profile 或平台；官方核心包应声明在 peerDependencies 中，而非私有安装。

无安装期脚本、可识别的许可证、无高危静态发现。

根 package.json 声明了 dsh.bundle，且其指向的 patch 文件确实存在于仓库中。两者缺一不可。

存在 DSH 专属行为，但没有完整的原生 bundle manifest。

仅凭 topic 标签，永远不作为「这是可安装插件」的证据。

文档中写明了确切的 DSH 版本。

只声明了 profile 或平台，未给出版本。

未找到可靠的兼容性声明。

不安装任何包，因此不宣称任何安装结果。

不执行插件，也不观测其行为。

不独立核查已公开的漏洞公告。