候補を見つける入口として、DSH Hub https://dsh-hub.org/ を使い、リンク先の公開GitHubリポジトリを確認します。
READMEには対応環境、設定場所、インストールの前提が書かれています。説明が短くても、依存関係の定義、マニフェスト、インストール時のコマンドをたどると、何が追加されるのかをある程度読めます。ライセンス、最近のRelease、Issueも見ておくと、使い始めた後に困ったときの手がかりになります。
公開リポジトリが読めることは、安全性の保証ではありません。第三者の拡張がローカルのファイル、ネットワーク、シェル、認証情報に触れる可能性は残ります。それでも、出所が分からない配布ページだけで決めるより、根拠を自分で追える状態から始められます。
プラグインとクライアントは、同じ感覚で扱わない方がよさそうです。プラグインは既存のHarnessプロファイルに機能を足すことが多い一方、クライアントはランタイムや更新経路、複数の拡張、ネットワーク待受をまとめる場合があります。必要な機能から候補を絞ってから、実行範囲を読むと判断しやすくなります。
初めて使う拡張は、本番用トークンや大切なファイルを入れていない別プロファイルで試します。READMEの設定場所、ライセンス、依存関係、削除手順を確認するだけでも、導入後の驚きは減ります。一度に多くの拡張を足さないことも大切です。問題が起きたときに、原因を戻しやすくなります。
DSH Hubは候補を探す入口です。そこで見つけた名前を、そのまま信頼する理由にはしません。リンク先のソースを読み、自分の環境で使う理由があるかを確かめてから導入する。私はこの順番の方が、後で悩む時間が少ないと感じています。