@dsh-plus/lifeboat 0.2.20 → 0.2.22

package/lib/index.d.ts

@@ -18,6 +18,14 @@ type LifeboatConfig = Schemastery.TypeT<typeof Config>;
 //#region src/index.d.ts
 declare const name = "dsh-plus-lifeboat";
 declare const inject: readonly ['settings', 'llm'];
+/**
+ * 隔离目标 patch 文件解析：显式配置优先；缺省取当前 profile 的用户 patch 层
+ * （`profileContext.patchPath`——CLI 的 web profile 与桌面端的 desktop profile
+ * 同源）。两者皆无（非 dsh 启动的裸 cordis 树）返回 undefined：隔离停用，
+ * 绝不回退到硬编码 profile 路径——那会把 disabled 覆盖写进别的 profile。
+ */
+/** 解析隔离目标 patch 文件（导出供单测；语义见注释）。 */
+declare function resolvePatchFile(ctx: Context, config: LifeboatConfig): string | undefined;
 declare function apply(ctx: Context, config: LifeboatConfig): void;
 //#endregion
-export { Config, apply, inject, name };
+export { Config, apply, inject, name, resolvePatchFile };

package/lib/index.js

@@ -1,9 +1,9 @@
-import { dshHomePath } from "@deepseek-ai/dsh-home-paths";
 import z from "@deepseek-ai/schemastery";
-import { copyFile, mkdir, readFile, rename, stat, writeFile } from "node:fs/promises";
+import { copyFile, readFile, stat } from "node:fs/promises";
+import { dshHomePath } from "@deepseek-ai/dsh-home-paths";
 import { SettingsConflictError } from "@deepseek-ai/dsh-settings";
 import { isSeq, parseDocument } from "yaml";
-import { dirname } from "node:path";
+import { writeFileAtomic } from "@deepseek-ai/dsh-atomic-write";
 //#region src/config.ts
 /**
 * 配置单一事实源。
@@ -15,7 +15,7 @@ import { dirname } from "node:path";
 /** 行级配置：全部有默认值，正常部署零配置。 */
 const Config = z.object({
 	enabled: z.boolean().description("故障隔离总开关").default(true),
-	patchFile: z.string().description("隔离写入的 profile 用户 patch 文件绝对路径；留空自动取 $DSH_HOME/profiles/web/cordis.patch.yml").default(""),
+	patchFile: z.string().description("隔离写入的 profile 用户 patch 文件绝对路径；留空自动取当前 profile 的 cordis.patch.yml（profileContext.patchPath，CLI 与桌面端 desktop profile 同源）").default(""),
 	llmFallback: z.boolean().description("llm-pi 缺席时自动翻译其配置到官方 llm-pi-ai 并切换默认模型").default(true),
 	alertCooldownMs: z.natural().description("同一插件重复告警的最小间隔毫秒数").default(3e5)
 });
@@ -239,7 +239,8 @@ function installLlmFallback(ctx, deps, graceMs = BOOT_GRACE_MS) {
 /**
 * profile 用户 patch 文件（cordis.patch.yml）的安全写入。
 * 官方预留的逃生门：用户层支持 id 定向 disabled，覆盖 bundle 层 insert。
-* 写入纪律：先备份、幂等（已禁用跳过）、原子落盘（tmp + rename），失败抛错由调用方告警，
+* 写入纪律：先备份、幂等（已禁用跳过）、原子落盘（官方 dsh-atomic-write
+* writeFileAtomic：Windows 瞬态重试 + 0o600），失败抛错由调用方告警，
 * 绝不写半个文件、绝不改动既有条目内容。
 *
 * 2026-08-30 事故教训（保险丝必须先于负载可靠）：
@@ -274,11 +275,12 @@ function withFileLock(file, fn) {
 	fileLocks.set(file, next.catch(() => {}));
 	return next;
 }
-/** 唯一 tmp 名（并发/重入不留共享路径），rename 原子落盘。 */
-async function atomicWrite(patchFile, content) {
-	const tmp = `${patchFile}.lifeboat.${process.pid}.${Math.random().toString(36).slice(2, 10)}.tmp`;
-	await writeFile(tmp, content, "utf-8");
-	await rename(tmp, patchFile);
+/**
+* 原子落盘（委托官方 dsh-atomic-write：随机后缀 wx 临时文件、Windows
+* EACCES/EBUSY/EPERM 瞬态重试、0o600 收窄）。失败抛错由调用方告警。
+*/
+function atomicWrite(patchFile, content) {
+	return writeFileAtomic(patchFile, content, { mode: 384 });
 }
 /**
 * 容错打捞坏 YAML 文本中既有的顶层 disabled 条目（best-effort）：
@@ -664,13 +666,13 @@ async function loadState() {
 		};
 	}
 }
-/** 原子写状态文件：临时文件 + rename，写入失败仅告警不抛出。 */
+/**
+* 原子写状态文件（委托官方 dsh-atomic-write：Windows 瞬态重试 + 0o600 收窄，
+* 父目录自动创建）。写入失败仅告警不抛出（最后防线不得因自身数据问题阻断动作）。
+*/
 async function saveState(doc, warn) {
 	try {
-		await mkdir(dirname(STATE_FILE), { recursive: true });
-		const tmp = `${STATE_FILE}.tmp`;
-		await writeFile(tmp, `${JSON.stringify(doc, null, 2)}\n`, "utf-8");
-		await rename(tmp, STATE_FILE);
+		await writeFileAtomic(STATE_FILE, `${JSON.stringify(doc, null, 2)}\n`, { mode: 384 });
 	} catch (error) {
 		warn(`状态文件写入失败: ${error instanceof Error ? error.message : String(error)}`);
 	}
@@ -690,6 +692,17 @@ function appendJournal(doc, kind, detail) {
 //#region src/index.ts
 const name = "dsh-plus-lifeboat";
 const inject = ["settings", "llm"];
+/**
+* 隔离目标 patch 文件解析：显式配置优先；缺省取当前 profile 的用户 patch 层
+* （`profileContext.patchPath`——CLI 的 web profile 与桌面端的 desktop profile
+* 同源）。两者皆无（非 dsh 启动的裸 cordis 树）返回 undefined：隔离停用，
+* 绝不回退到硬编码 profile 路径——那会把 disabled 覆盖写进别的 profile。
+*/
+/** 解析隔离目标 patch 文件（导出供单测；语义见注释）。 */
+function resolvePatchFile(ctx, config) {
+	if (config.patchFile.length > 0) return config.patchFile;
+	return ctx.get("profileContext")?.patchPath;
+}
 function apply(ctx, config) {
 	const logger = ctx.logger("lifeboat");
 	const warn = (message) => logger.warn(message);
@@ -706,24 +719,27 @@ function apply(ctx, config) {
 	};
 	const alert = installAlerter(ctx, journal);
 	if (config.enabled) {
-		const patchFile = config.patchFile.length > 0 ? config.patchFile : dshHomePath("profiles", "web", "cordis.patch.yml");
-		const quarantine = createQuarantine(ctx, {
-			patchFile,
-			alertCooldownMs: config.alertCooldownMs,
-			journal,
-			alert
-		});
-		installHostWatch(ctx, quarantine);
-		ctx.inject(["webServer"], (webCtx) => {
-			registerQuarantineApi(webCtx, quarantine);
-			registerHealthApi(webCtx, {
+		const patchFile = resolvePatchFile(ctx, config);
+		if (patchFile === void 0) warn("故障隔离停用：当前组合树无 profileContext，无法定位 profile 用户 patch 层");
+		else {
+			const quarantine = createQuarantine(ctx, {
 				patchFile,
+				alertCooldownMs: config.alertCooldownMs,
 				journal,
-				alert,
-				readJournal: () => doc.journal,
-				readFallback: () => doc.llmFallback
+				alert
 			});
-		});
+			installHostWatch(ctx, quarantine);
+			ctx.inject(["webServer"], (webCtx) => {
+				registerQuarantineApi(webCtx, quarantine);
+				registerHealthApi(webCtx, {
+					patchFile,
+					journal,
+					alert,
+					readJournal: () => doc.journal,
+					readFallback: () => doc.llmFallback
+				});
+			});
+		}
 	}
 	if (config.llmFallback) installLlmFallback(ctx, {
 		journal,
@@ -739,4 +755,4 @@ function apply(ctx, config) {
 	});
 }
 //#endregion
-export { Config, apply, inject, name };
+export { Config, apply, inject, name, resolvePatchFile };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dsh-plus/lifeboat",
-  "version": "0.2.20",
+  "version": "0.2.22",
   "description": "dsh-plus service plugin: 故障救生艇——兄弟插件崩溃时自动隔离（写用户 patch 层禁用），llm-pi 缺席时把其配置临时翻译为官方 llm-pi-ai 路由，恢复后自动还原",
   "type": "module",
   "main": "lib/index.js",
@@ -31,21 +31,24 @@
   },
   "dependencies": {
     "yaml": "^2.9.0",
-    "@dsh-plus/shared": "0.1.24"
+    "@dsh-plus/shared": "0.1.27"
   },
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.4",
-    "@deepseek-ai/dsh-home-paths": "^0.1.7-rc.1",
-    "@deepseek-ai/dsh-llm": "^0.1.7-rc.1",
-    "@deepseek-ai/dsh-settings": "^0.1.7-rc.1",
+    "@deepseek-ai/dsh-atomic-write": "^0.2.0-rc.1",
+    "@deepseek-ai/dsh-home-paths": "^0.2.0-rc.1",
+    "@deepseek-ai/dsh-llm": "^0.2.0-rc.1",
+    "@deepseek-ai/dsh-settings": "^0.2.0-rc.1",
     "@deepseek-ai/schemastery": "^3.18.4"
   },
   "devDependencies": {
     "@deepseek-ai/cordis": "4.0.4",
-    "@deepseek-ai/dsh-home-paths": "0.1.7-rc.1",
-    "@deepseek-ai/dsh-host-webserver": "0.1.7-rc.1",
-    "@deepseek-ai/dsh-llm": "0.1.7-rc.1",
-    "@deepseek-ai/dsh-settings": "0.1.7-rc.1",
+    "@deepseek-ai/dsh-atomic-write": "0.2.0-rc.1",
+    "@deepseek-ai/dsh-app-boot": "0.2.0-rc.1",
+    "@deepseek-ai/dsh-home-paths": "0.2.0-rc.1",
+    "@deepseek-ai/dsh-host-webserver": "0.2.0-rc.1",
+    "@deepseek-ai/dsh-llm": "0.2.0-rc.1",
+    "@deepseek-ai/dsh-settings": "0.2.0-rc.1",
     "@deepseek-ai/schemastery": "3.18.4",
     "@types/node": "26.4.0",
     "@types/react": "~18.3.31",

package/src/config.ts

@@ -14,7 +14,7 @@ export const Config = z.object({
   patchFile: z
     .string()
     .description(
-      '隔离写入的 profile 用户 patch 文件绝对路径；留空自动取 $DSH_HOME/profiles/web/cordis.patch.yml',
+      '隔离写入的 profile 用户 patch 文件绝对路径；留空自动取当前 profile 的 cordis.patch.yml（profileContext.patchPath，CLI 与桌面端 desktop profile 同源）',
     )
     .default(''),
   llmFallback: z

package/src/index.ts

@@ -14,10 +14,13 @@
  * 接线约束：inject 声明须覆盖本模块全部 ctx.<service> 直接访问（fallback-llm
  * 读 settings 命名空间与 llm.listProviders），漏掉任一即运行期
  * "cannot get property without inject" → 插件树加载失败 → dsh boot 中止。
+ * 可选事实（profileContext）经 ctx.get 读取，缺失即降级而非失败。
  * @module @dsh-plus/lifeboat
  */
 import type { Context } from '@deepseek-ai/cordis'
-import { dshHomePath } from '@deepseek-ai/dsh-home-paths'
+// 平台类型面：profileContext（当前 profile 的 dir/patchPath/name 等运行期事实，
+// CLI 与桌面端经同一 profile-boot 提供）。纯类型导入，按开发规范仅需 devDeps。
+import type {} from '@deepseek-ai/dsh-app-boot'
 
 import { Config, type FallbackStateT, type LifeboatConfig } from './config.ts'
 import { installLlmFallback } from './fallback-llm.ts'
@@ -33,6 +36,18 @@ export const inject = ['settings', 'llm'] as const
 
 export { Config }
 
+/**
+ * 隔离目标 patch 文件解析：显式配置优先；缺省取当前 profile 的用户 patch 层
+ * （`profileContext.patchPath`——CLI 的 web profile 与桌面端的 desktop profile
+ * 同源）。两者皆无（非 dsh 启动的裸 cordis 树）返回 undefined：隔离停用，
+ * 绝不回退到硬编码 profile 路径——那会把 disabled 覆盖写进别的 profile。
+ */
+/** 解析隔离目标 patch 文件（导出供单测；语义见注释）。 */
+export function resolvePatchFile(ctx: Context, config: LifeboatConfig): string | undefined {
+  if (config.patchFile.length > 0) return config.patchFile
+  return ctx.get('profileContext')?.patchPath
+}
+
 export function apply(ctx: Context, config: LifeboatConfig): void {
   const logger = ctx.logger('lifeboat')
 
@@ -52,27 +67,30 @@ export function apply(ctx: Context, config: LifeboatConfig): void {
   const alert = installAlerter(ctx, journal)
 
   if (config.enabled) {
-    const patchFile =
-      config.patchFile.length > 0
-        ? config.patchFile
-        : dshHomePath('profiles', 'web', 'cordis.patch.yml')
-    const quarantine = createQuarantine(ctx, {
-      patchFile,
-      alertCooldownMs: config.alertCooldownMs,
-      journal,
-      alert,
-    })
-    installHostWatch(ctx, quarantine)
-    ctx.inject(['webServer'], (webCtx) => {
-      registerQuarantineApi(webCtx, quarantine)
-      registerHealthApi(webCtx, {
+    const patchFile = resolvePatchFile(ctx, config)
+    if (patchFile === undefined) {
+      // 无 profileContext 的组合树（非 dsh 启动）：不猜路径、不写任何 patch，
+      // 隔离停用但告警/journal/LLM 应急翻译照常（它们不依赖 patch 文件）。
+      warn('故障隔离停用：当前组合树无 profileContext，无法定位 profile 用户 patch 层')
+    } else {
+      const quarantine = createQuarantine(ctx, {
         patchFile,
+        alertCooldownMs: config.alertCooldownMs,
         journal,
         alert,
-        readJournal: () => doc.journal,
-        readFallback: () => doc.llmFallback,
       })
-    })
+      installHostWatch(ctx, quarantine)
+      ctx.inject(['webServer'], (webCtx) => {
+        registerQuarantineApi(webCtx, quarantine)
+        registerHealthApi(webCtx, {
+          patchFile,
+          journal,
+          alert,
+          readJournal: () => doc.journal,
+          readFallback: () => doc.llmFallback,
+        })
+      })
+    }
   }
 
   if (config.llmFallback) {

package/src/patch-file.ts

@@ -1,7 +1,8 @@
 /**
  * profile 用户 patch 文件（cordis.patch.yml）的安全写入。
  * 官方预留的逃生门：用户层支持 id 定向 disabled，覆盖 bundle 层 insert。
- * 写入纪律：先备份、幂等（已禁用跳过）、原子落盘（tmp + rename），失败抛错由调用方告警，
+ * 写入纪律：先备份、幂等（已禁用跳过）、原子落盘（官方 dsh-atomic-write
+ * writeFileAtomic：Windows 瞬态重试 + 0o600），失败抛错由调用方告警，
  * 绝不写半个文件、绝不改动既有条目内容。
  *
  * 2026-08-30 事故教训（保险丝必须先于负载可靠）：
@@ -15,8 +16,9 @@
  *    隔离落盘优先于保留坏文件。
  * @module lifeboat/patch-file
  */
-import { copyFile, readFile, rename, writeFile } from 'node:fs/promises'
+import { copyFile, readFile } from 'node:fs/promises'
 
+import { writeFileAtomic } from '@deepseek-ai/dsh-atomic-write'
 import { isSeq, parseDocument } from 'yaml'
 
 /** patch 文件顶层条目（松散视图：只关心 id/disabled/insert 三个键）。 */
@@ -58,11 +60,12 @@ function withFileLock<T>(file: string, fn: () => Promise<T>): Promise<T> {
   return next
 }
 
-/** 唯一 tmp 名（并发/重入不留共享路径），rename 原子落盘。 */
-async function atomicWrite(patchFile: string, content: string): Promise<void> {
-  const tmp = `${patchFile}.lifeboat.${process.pid}.${Math.random().toString(36).slice(2, 10)}.tmp`
-  await writeFile(tmp, content, 'utf-8')
-  await rename(tmp, patchFile)
+/**
+ * 原子落盘（委托官方 dsh-atomic-write：随机后缀 wx 临时文件、Windows
+ * EACCES/EBUSY/EPERM 瞬态重试、0o600 收窄）。失败抛错由调用方告警。
+ */
+function atomicWrite(patchFile: string, content: string): Promise<void> {
+  return writeFileAtomic(patchFile, content, { mode: 0o600 })
 }
 
 /**

package/src/state-file.ts

@@ -7,8 +7,8 @@
  * @module lifeboat/state-file
  */
 
-import { mkdir, readFile, rename, stat, writeFile } from 'node:fs/promises'
-import { dirname } from 'node:path'
+import { readFile, stat } from 'node:fs/promises'
+import { writeFileAtomic } from '@deepseek-ai/dsh-atomic-write'
 import { dshHomePath } from '@deepseek-ai/dsh-home-paths'
 import type { FallbackStateT, JournalEntryT } from './config.ts'
 
@@ -73,13 +73,13 @@ export async function loadState(): Promise<StateDoc> {
   }
 }
 
-/** 原子写状态文件：临时文件 + rename，写入失败仅告警不抛出。 */
+/**
+ * 原子写状态文件（委托官方 dsh-atomic-write：Windows 瞬态重试 + 0o600 收窄，
+ * 父目录自动创建）。写入失败仅告警不抛出（最后防线不得因自身数据问题阻断动作）。
+ */
 export async function saveState(doc: StateDoc, warn: (message: string) => void): Promise<void> {
   try {
-    await mkdir(dirname(STATE_FILE), { recursive: true })
-    const tmp = `${STATE_FILE}.tmp`
-    await writeFile(tmp, `${JSON.stringify(doc, null, 2)}\n`, 'utf-8')
-    await rename(tmp, STATE_FILE)
+    await writeFileAtomic(STATE_FILE, `${JSON.stringify(doc, null, 2)}\n`, { mode: 0o600 })
   } catch (error) {
     warn(`状态文件写入失败: ${error instanceof Error ? error.message : String(error)}`)
   }