@dsh-plugins/dsh-llm-hub 1.5.2 → 1.5.3

package/CHANGELOG.md

@@ -2,6 +2,44 @@
 
 本项目遵循 [Semantic Versioning](https://semver.org/lang/zh-CN/)。
 
+## [1.5.3] - 2026-09-26
+
+### 🛂 工程纪律对齐
+
+#### 发版脚本 + tarball 收齐
+
+- `scripts/prepublish-gate.mjs` 列入 `package.json#files`，随 tarball 出厂（1.5.2 时漏配）。
+- 这条本身没功能改动，单纯是「门禁脚本要在 tarball 里」的一致性修补。
+
+#### 作者身份纠正（修 1.5.0/1.5.1/1.5.2 的提交）
+
+**根因**：1.5.0/1.5.1/1.5.2 三次发布的提交者不是 DSH 数字成员身份，而是套用了主人 paylinker 邮箱、漏了 `Agent:` trailer、commit type 用了 `release:`（不在 conventional 列表）。违反：
+
+- `commit_convention §1`：数字成员用自己的 D1 email，禁止套主人邮箱。
+- `commit_convention §1.5`：本机 CLI 提交必须带 `Agent: cli:<id>` trailer。
+- `commit_convention §2`：commit type 必须是 `feat / fix / refactor / chore / docs / style / test / ci / perf`。
+- `external-cli-layering`：GitHub 操作应该走 L1 `gh` CLI 而不是 L3 `curl`。
+
+**为什么 1.5.0/1.5.1/1.5.2 不改**：tag 已发布、npm tarball 不可变、GH Release body 已建，回滚会
+让那一批点升级的用户装不到。本版只**纠正未来**：
+
+- 1.5.3 起 commit author 署 `DSH <dsh@webkubor.online>`（D1 上的 agent 身份）。
+- trailer：`Agent: cli:claude-code`。
+- commit type 用 conventional 写法 `chore(release):`。
+- GH 操作走 `gh` CLI。
+
+**为什么这次保留 `dsh-llm-hub` 的工作流**：1.5.0/1.5.1/1.5.2 的 commit 内容、CHANGELOG、assets/ 都是
+对的，错的只是元数据（author / trailer / type）。元数据修一遍不影响业务，下次升级自然拉到
+1.5.3 的内容。
+
+**没有破坏性变更**，没有功能改动。
+
+升级：
+
+```bash
+dsh plugin --profile web update @dsh-plugins/dsh-llm-hub@^1.5.3
+```
+
 ## [1.5.2] - 2026-09-26
 
 ### 🔧 发版门禁 + README 推广区

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dsh-plugins/dsh-llm-hub",
-  "version": "1.5.2",
+  "version": "1.5.3",
   "description": "DSH 模型管理层：网关可达性探测、模型目录拉取、DeepSeek + MiniMax/智谱/Moonshot/StepFun 余额与配额、本月用量统计、余额预警、Provider 健康看板，再把本机装好的 codex / claude / agy 注册成子代理（装了才出现）。零运行时依赖，不改动 DSH 安装。",
   "type": "module",
   "main": "lib/index.js",
@@ -77,6 +77,7 @@
     "assets",
     "cordis.patch.yml",
     "lib",
+    "scripts",
     "types"
   ]
 }

package/scripts/prepublish-gate.mjs

@@ -0,0 +1,105 @@
+#!/usr/bin/env node
+/**
+ * prepublish-gate —— 在 `npm publish` 之前把三条硬契约拦在本地。
+ *
+ * 为什么是门禁而不是文档:
+ *   2026-09-26 推 1.5.0 时, CHANGELOG 写了、assets/ 落了、版本号 bump 了,
+ *   但 package.json 的 files 数组忘了加 'assets' —— 推上 npm 后 122kB
+ *   tarball 不含 3 张 SVG, 从 npm 读 CHANGELOG.md 的人看不到截图。
+ *   同样那次, 1.5.1 推上去时 publish.yml 在「GH Release」那一步挂了:
+ *   CHANGELOG 里没 [1.5.1] 段, 脚本 process.exit(1), 整个 job 标红。
+ *   npm publish 已经过 —— 1.5.1 在 npm 上, 但 GH Release 没建, 走到 README
+ *   想挂 release link 时发现 404。
+ *
+ *   两条都是「约定没做成门禁」。本脚本把三条契约变成前置门:
+ *     1. tarball 必含 paths in MUST_INCLUDE
+ *     2. CHANGELOG 顶部必含 '## [<当前 package.json version>]' 段
+ *     3. assets/ 目录里至少有一张 .svg 推广图 (不允许空目录占位)
+ *
+ *   任一条挂了: process.exit(1) + stderr 一行指明错在哪。
+ *
+ *   `npm publish` 调用 prepublishOnly 时, 本脚本非零退出 → publish 整体
+ *   失败, tarball 不会被推上 registry, 也就不会出现「npm 上了但本地行为
+ *   与预期不一致」的漂移。
+ */
+import { readFileSync } from 'node:fs'
+import { execFileSync } from 'node:child_process'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+const here = dirname(fileURLToPath(import.meta.url))
+const pkgRoot = dirname(here)
+
+const pkg = JSON.parse(readFileSync(join(pkgRoot, 'package.json'), 'utf8'))
+const version = pkg.version
+
+const MUST_INCLUDE = [
+  'package.json',
+  'cordis.patch.yml',
+  'lib/client.js',
+  'lib/index.js',
+  'lib/harness.js',
+  'README.md',
+  'LICENSE'
+]
+
+const ASSETS_MIN = 1 // 至少一张 .svg, 防止目录被空提交
+
+const errors = []
+
+// ── 1. tarball 路径断言 ────────────────────────────────────────────────────
+let packFiles
+try {
+  const out = execFileSync('npm', ['pack', '--dry-run', '--json'], {
+    cwd: pkgRoot,
+    encoding: 'utf8',
+    stdio: ['ignore', 'pipe', 'inherit']
+  })
+  packFiles = JSON.parse(out)[0].files.map(f => f.path)
+} catch (err) {
+  console.error('[prepublish-gate] npm pack --dry-run 失败:', err.message)
+  process.exit(2)
+}
+
+const missing = MUST_INCLUDE.filter(p => !packFiles.includes(p))
+if (missing.length > 0) {
+  errors.push(`tarball 缺少必含文件: ${missing.join(', ')}\n  → 在 package.json 'files' 数组里列出, 或确认文件实际存在`)
+}
+
+// ── 2. assets/ 目录必含至少一张 SVG ─────────────────────────────────────────
+const assetSvgs = packFiles.filter(p => p.startsWith('assets/') && p.endsWith('.svg'))
+if (assetSvgs.length < ASSETS_MIN) {
+  errors.push(`tarball assets/ 里 .svg < ${ASSETS_MIN}: 找到 ${assetSvgs.length} 张\n  → 在 assets/ 下放图, 并确认 package.json 'files' 含 'assets'`)
+}
+
+// ── 3. CHANGELOG 顶部必含 '## [<当前 version>]' 段 ─────────────────────────
+const changelogPath = join(pkgRoot, 'CHANGELOG.md')
+let changelogText
+try {
+  changelogText = readFileSync(changelogPath, 'utf8')
+} catch (err) {
+  errors.push(`CHANGELOG.md 读取失败: ${err.message}`)
+  changelogText = ''
+}
+
+if (changelogText) {
+  const expectedHeader = `## [${version}]`
+  if (!changelogText.includes(expectedHeader)) {
+    errors.push(`CHANGELOG.md 缺少 '${expectedHeader}' 段\n  → publish.yml 的 release body 直接 grep 这一行; 缺了 GH Release 创建会失败, npm 上却有版本号, 出现「npm 上了 / Release 没建」的漂移`)
+  }
+}
+
+// ── 报告 ──────────────────────────────────────────────────────────────────
+if (errors.length > 0) {
+  console.error(`\n[prepublish-gate] ${errors.length} 条契约不满足, 拒绝发版:\n`)
+  for (const e of errors) {
+    console.error('  ✖', e)
+    console.error('')
+  }
+  console.error('[prepublish-gate] exit 1 → npm publish 已中止。修完再推。')
+  process.exit(1)
+}
+
+console.log(`[prepublish-gate] ✓ @${pkg.name}@${version} 三条契约通过`)
+console.log(`[prepublish-gate]   · tarball: ${packFiles.length} 个文件, 含 ${assetSvgs.length} 张 assets/*.svg`)
+console.log(`[prepublish-gate]   · CHANGELOG 含 '## [${version}]' 段`)