anysearch-team/anysearch-dsh（422 Star，npm 包 @anysearch/anysearch-dsh @ 0.1.6）把 AnySearch 接成 DSH 现有 ctx.web 的搜索与抓取 Provider：无需改变 Harness 使用方式，web_search、web_fetch 照旧调用。
环境要求：Node 与 pnpm 都要在 PATH 里
插件引擎声明是 ^22.19.0 || >=24.0.0（Node.js 22.19 或 Node.js 24+），另需 pnpm 11.7 与 DSH 本体。其中 pnpm 最容易在云上被漏掉：它不参与运行时逻辑，但 DSH 插件命令用它管理 profile 依赖，不在 PATH 里就直接装不上。
出网：私有子网挂 EIP，或走 NAT 网关
插件所有能力都打 https://api.anysearch.com。详情页有明确警示：该插件运行需访问外部网络 / 远程 API，部署在国内无外网环境时可能无法正常使用。
实例在公网子网、绑了 EIP 最省事；放在私有子网就必须挂 NAT 网关（或配 SNAT 规则）才能出网——只放通安全组出方向并不够。
出方向建议按域名做白名单而非放开 0.0.0.0/0，至少放通该域名的 443。
安全组：最小放行，调试走 SSH 端口转发
DSH 的 Web UI 默认只绑回环地址，本来就不该被公网直接访问。调试用 SSH 端口转发：
再在本地打开 127.0.0.1:8787，安全组入方向一条规则都不用加。要给别人用也只放行固定来源网段与固定端口，按最小权限收敛。
凭据落盘：写进 $DSH_HOME/.credentials.yaml
免 Key 可跑，走 AnySearch 匿名额度；长期使用则去 anysearch.com 注册拿 Key，写入 $DSH_HOME/.credentials.yaml（默认 ~/.dsh/.credentials.yaml）：
云上两件事必做：文件权限 chmod 600 且属主为运行 DSH 的账号；备份加密——云盘快照会把凭据一起带走，快照访问控制要按敏感数据管。另注意启动进程的环境变量优先级高于凭据文件，systemd 与凭据文件别放不同的 Key。
坑一：页面写着「可直接安装」，装完却不放心
现象。 详情页显示「✓ 可直接安装」，插件卡上的信任档位却是「需留意」。
原因。 口径不同：自动检查只校验 npm 包是否发布、engines 是否满足基线、入口文件是否声明，且未经人工实机验证；「实装验证未通过」（unsupported_dep_spec，2026/9/17）是真实安装失败的记录。
怎么处理。 当成「能装但未在真实环境验证通过」的插件：先在测试实例装一遍跑通基本问答，并到 GitHub 仓库确认最近更新与 issue，再决定是否放大范围。
坑二：安装命令一上来就失败
现象。 执行 dsh plugin --profile web add 直接报错退出，profile 都没建起来。
原因。 DSH 插件命令用 pnpm 管理 profile 依赖，pnpm 必须位于 PATH 中，README 也要求 pnpm 11.7；而云上镜像常常只有 npm。
怎么处理。 先跑 pnpm -v；不在 PATH 里就先启用 pnpm（corepack 或独立安装）再重试。
坑三：装完搜索全部超时或失败
现象。 插件装上了，会话里一发起搜索就卡住，最后超时。
原因。 插件所有能力都打 api.anysearch.com 且必须联网；私有子网没配 NAT 网关、或出方向白名单没放通该域名，都会是这个表现。
怎么处理。 确认实例有可用出网通路（EIP 或 NAT 网关），再放通 api.anysearch.com 的 443。这时白名单的好处就体现出来了：能把「出网被拦」与「凭据不对」分开。
坑四：免 Key 用几天后开始失败
现象。 前期什么都没配，搜索一直能用；过几天开始报错。
原因。 未配置凭据时走 AnySearch 匿名额度，额度有限，只够体验。
怎么处理。 到 anysearch.com 注册并在 API Keys 页面获取 Key 配置，可获每天 1000 次免费搜索调用额度；写完按上一节处理权限与备份。
总结
在 ECS 上跑这套搜索 Provider，卡人的从来不是安装命令，而是 pnpm 在不在 PATH、有没有出网通路、凭据文件谁读得到；理顺之后 web_search 与 web_fetch 就能照原生方式用，想对照同类插件的中文清单与安装形态见 DeepSeek Harness Hub 插件清单。
适合与不适合
适合：需要在 VPC 内给 Agent 补上实时网页搜索与正文抓取能力的团队；在 DSH 上跑工具链、希望搜索有独立调用上限的开发者；愿意按域名白名单管控出网、把凭据纳入受管环境的运维同学。
不适合：完全无出网通路又没法加 NAT 网关的实例——插件必须联网；需要浏览器自动化或登录态抓取的人——它替换的是 web_search / web_fetch 这条链路，不提供这部分能力；对「装前就要有实测背书」的生产系统不合适——它实装验证未通过、档位为「需留意」，站点也尚未做风险分级。
标签：anysearch-dsh、DeepSeek Harness、阿里云 ECS、出网白名单、凭据落盘
本文由 DeepSeek Harness Hub 自动整理，数据来源于插件详情页。
