控制台自己跑在 dsh 里，路由仅环回——默认 dsh web profile 监听 127.0.0.1:3080，所以外部访问必须靠 SSH 隧道或反向代理，3080 直接开到公网也没用。
原生模块要编译：pnpm 通道升级会用 dangerouslyAllowAllBuilds 让 node-pty / koffi 编译，所以实例要能装构建工具链，至少 2 核 4G（1 核 1G 容易 OOM），系统盘 40G 起（pnpm store、npm 缓存、安全启动快照都占地方）。插件未声明 engines.node，别指望安装期拦你。
安全组：入方向与出方向
入方向只放必要的：22（SSH，限办公出口 IP 或跳板机）；要反代再单开 80 / 443 并加认证。3080 不要出现在入方向规则里。
出方向默认全通；按最小权限收紧时至少放行 npm 源（npmmirror，pnpm 通道默认源）、jsDelivr CDN（市场静态索引走这里，主机侧 10 分钟缓存）、GitHub（实时搜索依赖它，内地机房不稳，建议换搜索源或用 Gitee）。收得太死，表现是"装插件一直超时"而不是明确报错。
装上去与外部访问
重启 dsh 服务 → 刷新页面 → 设置 → 插件 → 插件控制台。
SSH 隧道：ssh -N -L 3080:127.0.0.1:3080 root@ECS公网IP，本地打开 http://127.0.0.1:3080。多人用时用 Nginx 只反代 127.0.0.1:3080，接口路径带 /plugin-console 前缀要放行。
装完之后最容易踩的四个坑
坑一 · 内地机房直接依赖 GitHub 实时搜索
现象。 输入关键词长时间转圈或超时无结果，但空查询打开静态索引秒开。
原因。 实时搜索走 GitHub（浏览器直连 + 服务端回落），内地到 GitHub 可达性不稳定；索引走 CDN 不受影响，所以"浏览正常、搜索不正常"是可达性问题，不是插件坏了。
解决。 换搜索源——支持「URL 模板 + 请求头」自定义写法，也可切到 Gitee（直连模式无需登录）；⊞ 合并 GitHub 与自定义源并行查询。要彻底离线就把安装源、索引源、Git 源一起换成内网地址。
坑二 · 改了宿主代码却不重启服务
现象。 改完插件或宿主代码界面行为没变；有人手工重拉服务，报 "The application could not start or stopped unexpectedly"。
原因。 宿主代码变更需要服务重启；面板的重启按钮只指向官方路径（桌面客户端内重启）。控制台从不杀进程、也不启进程，手工重拉会和宿主抢端口；客户端侧变更只需刷新页面。
解决。 宿主改动走官方重启路径；只改配置或前端就刷新页面。不要为了快自己去 kill 端口。
坑三 · 新插件搜不到，以为索引坏了
现象。 刚发布、或刚给仓库打了主题标签的插件，在市场里搜不到。
原因。 索引是静态的 marketplace/index.json，经 jsDelivr CDN 下发（主机缓存 10 分钟），由 GitHub Actions 每 6 小时重建；还有上限（每次构建 500 插件 / 300 技能）。
解决。 空查询打开静态索引是瞬时的；刚发的包等下一个 6 小时 CI 周期（或手动触发 build-index）与 CDN 缓存过期。给作者的建议：加 dsh-plugin 主题、把 star 提上去。
坑四 · 按仓库名拼包名安装失败
现象。 执行 dsh plugin --profile web add dsh-plugin-gating-hub，或试 dsh-plugin-hub，都装不上。
原因。 有三个不一样的名字：仓库原名 dsh-plugin-hub，已改名为 dsh-plugin-gating-hub（旧链接 301 跳转有效）；而实际 npm 包名是 @noob-stupid/dsh-plugin-console。
解决。 只用 dsh plugin --profile web add @noob-stupid/dsh-plugin-console；走源码才用 dsh plugin --profile web add github:Noob-stupid/dsh-plugin-gating-hub（需 git，首次 add 要 allowBuilds 授权）。
安全档位
扫描档位是「含敏感能力」（可执行外部命令、读写删除本地文件、发起外部网络请求），涉及外部主机 gitee.com，且尚无人工评估，上生产请自行评估。信任档位「已验证」——站点已在 dsh 0.2.0-rc.2 下真实安装成功。
总结
配好安全组与出网之后剩下的就是常规操作，内地机房请优先解决搜索源。想横向比较同类插件的中文说明与安装形态，可对照 DeepSeek Harness Hub 插件清单。
适合与不适合
适合：需要把 DSH 插件层收进安全边界的团队；在内地机房、出网收紧的环境里部署的人；想把已装在本地的控制台搬到 ECS 上统一管理的运维同学。
不适合：插件装得很少、不想维护隧道和反代的个人用户；想把控制台直接暴露到公网当 SaaS 用的场景——它只监听环回地址；以及指望靠它做安全审计的人，它只做版本与契约层面的门禁。
标签：dsh-plugin-gating-hub、DeepSeek Harness、阿里云部署
本文由 DeepSeek Harness Hub 自动整理，数据来源于插件详情页。
