把目录打成确定性 tar、不解包就列出内容、解包时逐个成员拒绝任何能写到目标目录之外的名字、并用 SHA-256 核对「解出来的东西 == 打进去的东西」。零外部依赖 —— tar 格式在这个插件里自己写、自己读。读比写更宽容是刻意的：读方的职责是如实报告归档说了什么，写方则绝不能写出自己读不回来的东西。tar 没有中央索引，所以遍历必须跟踪「有没有走到归档结束标记」—— 少了这一步，一个被截断的文件校验和照样正确、照样被读成完整。
curl -fsSL https://www.dshhub.co/install.sh -o dshhub-install.sh && bash dshhub-install.sh已经装好 DSH？可以跳过体检，直接装市场：dsh plugin --profile web add dshhub-market
本插件仅支持插件端安装。