DSH插件之——DeepSeek Harness 的依赖审计

项目越写越大，依赖越装越乱。同一个包悄悄装了好几个版本，某依赖声明了却根本没人用。

我顺手写了 dsh-deps-audit，一个专门查底细的插件。它只读 lockfile，不碰运行时，零依赖。

parse_lock：解析 npm 和 pnpm 的锁文件，直接把包总数和清单列出来。
find_duplicates：揪出同一个包装了多个版本的情况。这通常来自传递依赖冲突，会白白撑大体积。
unused_deps：对比 package.json 和源码里的 import / require，找出声明了却没人引用的依赖。

pnpm 的解析用了轻量 YAML 子集，个别条目可能漏掉；未使用依赖只匹配裸包名。装好后在 cordis.patch.yml 里加一段配置就能跑。