@dsh-plus/secret-env 0.1.10 → 0.1.12

package/lib/client.js

@@ -223,28 +223,24 @@ window.__ModuleLoader__.load({
 		}
 		//#endregion
 		//#region ../shared/src/client/fetch.ts
-		/**
-		* 同源自定义端点的最小 fetch 封装（各插件 client/api.ts 的公共收编版）。
-		* 仅同源（credentials: same-origin），错误统一抛 Error(body.error)。
-		* @module @dsh-plus/shared/client/fetch
-		*/
-		async function parse(res) {
+		async function parse(res, guard) {
 			const body = await res.json();
 			if (!res.ok) throw new Error(body.error ?? `HTTP ${res.status}`);
+			if (guard !== void 0 && !guard(body)) throw new Error(`响应结构不符合预期（${res.url}）`);
 			return body;
 		}
 		/** GET 同源 JSON 端点。 */
-		async function getJson(route) {
-			return parse(await fetch(route, { credentials: "same-origin" }));
+		async function getJson(route, guard) {
+			return parse(await fetch(route, { credentials: "same-origin" }), guard);
 		}
 		/** POST 同源 JSON 端点（body 可省略）。 */
-		async function postJson(route, body) {
+		async function postJson(route, body, guard) {
 			return parse(await fetch(route, {
 				method: "POST",
 				credentials: "same-origin",
 				headers: { "content-type": "application/json" },
-				body: body === void 0 ? void 0 : JSON.stringify(body)
-			}));
+				...body === void 0 ? {} : { body: JSON.stringify(body) }
+			}), guard);
 		}
 		//#endregion
 		//#region ../shared/src/client/i18n.ts
@@ -283,7 +279,10 @@ window.__ModuleLoader__.load({
 			confirm: "Confirm",
 			cancel: "Cancel"
 		};
-		/** own 覆盖同键合并（返回新对象，入参不可变）。 */
+		/**
+		* own 覆盖同键合并（返回新对象，入参不可变）。
+		* 返回类型保留两侧键集合，调用方据此派生 DictKey。
+		*/
 		function mergeDict(base, own) {
 			return {
 				...base,
@@ -519,6 +518,11 @@ ${extra}
 			"error.method": "Method not allowed.",
 			"error.internal": "Internal error; check the host log."
 		};
+		/** 服务端错误码 → 文案键的运行期收窄：码来自端点响应，不可当作编译期已知键。 */
+		function errorKeyOf(code) {
+			const key = `error.${code}`;
+			return Object.hasOwn(ownZh, key) ? key : null;
+		}
 		const zh = mergeDict(commonZh, ownZh);
 		const en = mergeDict(commonEn, ownEn);
 		//#endregion
@@ -535,8 +539,14 @@ ${extra}
 				this.code = code;
 			}
 		};
+		/** 端点应答形状守卫：三个数组字段缺一即判非法（渲染期直接 map，不能靠断言）。 */
+		function isSecretList(value) {
+			if (typeof value !== "object" || value === null) return false;
+			const list = value;
+			return Array.isArray(list.global) && Array.isArray(list.session) && Array.isArray(list.inherited);
+		}
 		async function fetchSecrets(sessionId) {
-			return getJson(`/dsh-plus/secret-env/list${sessionId === void 0 ? "" : `?sessionId=${encodeURIComponent(sessionId)}`}`);
+			return getJson(`/dsh-plus/secret-env/list${sessionId === void 0 ? "" : `?sessionId=${encodeURIComponent(sessionId)}`}`, isSecretList);
 		}
 		async function write(path, body) {
 			try {
@@ -908,9 +918,8 @@ ${extra}
 		*/
 		/** 端点错误 → 本地化文案（未知码回落 internal）。 */
 		function errorText(t, error) {
-			const code = error instanceof ApiError ? error.code : "internal";
-			const text = t(`error.${code}`);
-			return text === `error.${code}` ? t("error.internal") : text;
+			const key = errorKeyOf(error instanceof ApiError ? error.code : "internal");
+			return key === null ? t("error.internal") : t(key);
 		}
 		/** 名称输入的实时规范化：键入即转大写（去空白交给保存时的 normalizeSuffix）。 */
 		function liveName(raw) {

package/lib/index.d.ts

@@ -1,11 +1,23 @@
 import z from "@deepseek-ai/schemastery";
 import { Context, Service } from "@deepseek-ai/cordis";
 //#region src/config.d.ts
+/** 一条全局密钥的元数据（值不在此处）。 */
+interface SecretMeta {
+  name: string;
+  description: string;
+  createdAt: string;
+}
+/** `secrets` 条目入参形态（schema 各字段均有 default，故调用方可省略）。 */
+interface SecretMetaInput {
+  name?: string;
+  description?: string;
+  createdAt?: string;
+}
 declare const Config: z<Schemastery.ObjectS<{
-  secrets: z<unknown[], any[]>;
+  secrets: z<SecretMetaInput[], SecretMeta[]>;
   masked: z<string[], string[]>;
 }>, Schemastery.ObjectT<{
-  secrets: z<unknown[], any[]>;
+  secrets: z<SecretMetaInput[], SecretMeta[]>;
   masked: z<string[], string[]>;
 }>>;
 type SecretEnvConfig = Schemastery.TypeT<typeof Config>;
@@ -17,7 +29,8 @@ interface GlobalEntry {
   envName: string;
   description: string;
   configured: boolean;
-  source?: string;
+  /** 并上 undefined：构造处可能无来源（服务端），wire 上 JSON 会省略该键，故与缺席等价。 */
+  source?: string | undefined;
   writable: boolean;
   /** 会话视图：该变量在本会话被屏蔽（无 sessionId 的调用恒为 false）。 */
   masked: boolean;
@@ -121,7 +134,7 @@ declare class SecretEnvError extends Error {
 //#endregion
 //#region src/index.d.ts
 declare const name = "dsh-plus-secret-env";
-declare const inject: readonly ["credentials", "shellEnv"];
+declare const inject: readonly ['credentials', 'shellEnv'];
 declare module '@deepseek-ai/cordis' {
   interface Context {
     secretEnv: SecretEnvService;

package/lib/index.js

@@ -17,7 +17,6 @@ const SETTINGS_NS = "dsh-plus-secret-env";
 * 值永远走 dsh-credentials seam（$DSH_HOME/.credentials.yaml），不进本文件。
 * @module secret-env/config
 */
-/** 一条全局密钥的元数据（值不在此处）。 */
 const SecretMetaSchema = z.object({
 	name: z.string().min(1).description("变量名后缀（如 GITHUB_TOKEN）").default(""),
 	description: z.string().description("用途描述（仅人读，不进提示词）").default(""),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dsh-plus/secret-env",
-  "version": "0.1.10",
+  "version": "0.1.12",
   "description": "dsh-plus service+ui plugin: 密钥环境变量——以 $DSH_VAR_* 变量名向 agent 暴露密钥（全局持久/会话级/一次性），执行期经 dsh-shell-env 原生注入，值不进消息流，不影响缓存率",
   "type": "module",
   "main": "lib/index.js",
@@ -19,26 +19,26 @@
     "src"
   ],
   "dependencies": {
-    "@dsh-plus/shared": "0.1.15"
+    "@dsh-plus/shared": "0.1.17"
   },
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.2",
-    "@deepseek-ai/dsh-credentials": "^0.1.5-rc.1",
-    "@deepseek-ai/dsh-host-webserver": "^0.1.5-rc.1",
-    "@deepseek-ai/dsh-settings": "^0.1.5-rc.1",
-    "@deepseek-ai/dsh-shell-env": "^0.1.5-rc.1",
+    "@deepseek-ai/dsh-credentials": "^0.1.5-rc.2",
+    "@deepseek-ai/dsh-host-webserver": "^0.1.5-rc.2",
+    "@deepseek-ai/dsh-settings": "^0.1.5-rc.2",
+    "@deepseek-ai/dsh-shell-env": "^0.1.5-rc.2",
     "@deepseek-ai/schemastery": "^3.18.2"
   },
   "devDependencies": {
     "@deepseek-ai/cordis": "4.0.2",
-    "@deepseek-ai/dsh-client-ui-commands": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-client-ui-primitives": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-credentials": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-host-webserver": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-session": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-settings": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-shell-env": "0.1.5-rc.1",
-    "@deepseek-ai/dsh-tools": "0.1.5-rc.1",
+    "@deepseek-ai/dsh-client-ui-commands": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-client-ui-primitives": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-credentials": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-host-webserver": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-session": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-settings": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-shell-env": "0.1.5-rc.2",
+    "@deepseek-ai/dsh-tools": "0.1.5-rc.2",
     "@deepseek-ai/schemastery": "3.18.2",
     "@types/node": "26.4.0",
     "@types/react": "~18.3.31",

package/src/client/api.ts

@@ -47,14 +47,24 @@ interface WriteResult {
 
 /** 端点错误：携带结构化错误码，UI 按码映射文案。 */
 export class ApiError extends Error {
-  constructor(readonly code: string) {
+  readonly code: string
+
+  constructor(code: string) {
     super(code)
+    this.code = code
   }
 }
 
+/** 端点应答形状守卫：三个数组字段缺一即判非法（渲染期直接 map，不能靠断言）。 */
+function isSecretList(value: unknown): value is SecretList {
+  if (typeof value !== 'object' || value === null) return false
+  const list = value as { global?: unknown; session?: unknown; inherited?: unknown }
+  return Array.isArray(list.global) && Array.isArray(list.session) && Array.isArray(list.inherited)
+}
+
 export async function fetchSecrets(sessionId?: string): Promise<SecretList> {
   const query = sessionId === undefined ? '' : `?sessionId=${encodeURIComponent(sessionId)}`
-  return getJson<SecretList>(`/dsh-plus/secret-env/list${query}`)
+  return getJson<SecretList>(`/dsh-plus/secret-env/list${query}`, isSecretList)
 }
 
 async function write(path: string, body: Record<string, unknown>): Promise<void> {

package/src/client/client.ts

@@ -11,6 +11,7 @@
 import type { Context } from '@deepseek-ai/cordis'
 
 import { registerVarCommand } from './command.ts'
+import type { Translate } from './i18n.ts'
 import { en, NS, zh } from './i18n.ts'
 import { SecretMenu, type TokenSpanLike } from './menu.tsx'
 import { SessionPanelHost } from './panel-host.tsx'
@@ -29,7 +30,7 @@ interface SlotsLike {
 
 interface LocaleLike {
   register(ns: string, dict: { zh: Record<string, string>; en: Record<string, string> }): () => void
-  bind(ns: string): (key: string) => string
+  bind(ns: string): Translate
 }
 
 /** 会话作用域句柄的结构子集（dsh-api-session-controller 客户端 sessions 服务）。 */

package/src/client/command.ts

@@ -7,7 +7,7 @@
  * @module secret-env/client/command
  */
 import type { CommandContribution } from '@deepseek-ai/dsh-client-ui-commands/client'
-
+import type { Translate } from './i18n.ts'
 import { requestOpenSessionPanel } from './panel-bus.ts'
 
 /**
@@ -37,7 +37,7 @@ interface SessionsAvailabilityLike {
 export function registerVarCommand(
   ctx: CommandHostContext,
   sessions: SessionsAvailabilityLike,
-  t: (key: string) => string,
+  t: Translate,
 ): void {
   ctx.inject(['commandUi'], (scope) => {
     scope.effect(

package/src/client/common.ts

@@ -5,13 +5,14 @@
  */
 import { type NameError, normalizeSuffix, validateSuffix } from '../names.ts'
 import { ApiError } from './api.ts'
+import { errorKeyOf, type Translate } from './i18n.ts'
 
 /** 端点错误 → 本地化文案（未知码回落 internal）。 */
-export function errorText(t: (key: string) => string, error: unknown): string {
+export function errorText(t: Translate, error: unknown): string {
   const code = error instanceof ApiError ? error.code : 'internal'
-  const text = t(`error.${code}`)
-  // locale.bind 对缺失键原样回显键名，据此判断回落。
-  return text === `error.${code}` ? t('error.internal') : text
+  // 错误码来自端点响应，运行期收窄到字典已知键；未知码回落 internal。
+  const key = errorKeyOf(code)
+  return key === null ? t('error.internal') : t(key)
 }
 
 /** 名称输入的实时规范化：键入即转大写（去空白交给保存时的 normalizeSuffix）。 */

package/src/client/i18n.ts

@@ -74,7 +74,7 @@ const ownZh = {
   'error.no-session': '缺少会话标识，请刷新后重试。',
   'error.method': '请求方法不允许。',
   'error.internal': '服务内部错误，请查看宿主日志。',
-}
+} as const
 
 const ownEn = {
   nav: 'Env Variables',
@@ -140,7 +140,19 @@ const ownEn = {
   'error.no-session': 'Missing session id; refresh and retry.',
   'error.method': 'Method not allowed.',
   'error.internal': 'Internal error; check the host log.',
+} as const
+
+export type DictKey = keyof typeof commonZh | keyof typeof ownZh
+
+/** 卡片/面板共用的翻译函数类型（slot 注入的 bind 结果按此消费）。 */
+export type Translate = (key: DictKey) => string
+
+/** 服务端错误码 → 文案键的运行期收窄：码来自端点响应，不可当作编译期已知键。 */
+export function errorKeyOf(code: string): DictKey | null {
+  const key = `error.${code}`
+  return Object.hasOwn(ownZh, key) ? (key as DictKey) : null
 }
 
-export const zh: Record<string, string> = mergeDict(commonZh, ownZh)
-export const en: Record<string, string> = mergeDict(commonEn, ownEn)
+// 标注为 Record<DictKey, string>：en 缺任一键即编译期报错（中英强制对齐）。
+export const zh: Record<DictKey, string> = mergeDict(commonZh, ownZh)
+export const en: Record<DictKey, string> = mergeDict(commonEn, ownEn)

package/src/client/menu.tsx

@@ -10,6 +10,7 @@
 import { type ReactElement, useEffect, useRef, useState } from 'react'
 
 import { fetchSecrets, type SecretList } from './api.ts'
+import type { Translate } from './i18n.ts'
 import {
   applyChipCorrection,
   type ChipCorrection,
@@ -38,7 +39,7 @@ export interface TokenSpanLike {
 export interface SecretMenuProps {
   /** 插槽 inject 工厂注入的当前会话 id。 */
   sessionId: string
-  t(key: string): string
+  t: Translate
   /** 框架标准钩子：输入状态快照订阅（SnapshotSelectorHook）。 */
   useInput?<S>(selector: (state: InputStateLike) => S): S
   /** inject 面注入：经官方 scoped bail 通道替换令牌文本；返回是否被编辑器应用。 */

package/src/client/panel-host.tsx

@@ -6,14 +6,14 @@
  * @module secret-env/client/panel-host
  */
 import { type ReactElement, useEffect, useRef, useState } from 'react'
-
+import type { Translate } from './i18n.ts'
 import { SessionSecretsPanel } from './panel.tsx'
 import { onOpenSessionPanel } from './panel-bus.ts'
 
 export interface SessionPanelHostProps {
   /** 插槽 inject 工厂注入的当前会话 id。 */
   sessionId: string
-  t(key: string): string
+  t: Translate
 }
 
 export function SessionPanelHost(props: SessionPanelHostProps): ReactElement | null {

package/src/client/panel.tsx

@@ -28,10 +28,11 @@ import {
   unsetSession,
 } from './api.ts'
 import { copyText, errorText, liveName, nameErrorOf } from './common.ts'
+import type { Translate } from './i18n.ts'
 
 export interface SessionSecretsPanelProps {
   sessionId: string
-  t(key: string): string
+  t: Translate
   /** 提供时渲染头栏（标题/刷新/关闭），供 overlay 弹层模式使用。 */
   onClose?(): void
 }
@@ -46,7 +47,7 @@ interface FormState {
 const EMPTY_FORM: FormState = { name: '', value: '', description: '', once: false }
 
 /** 复制按钮（复制成功短暂亮勾）。 */
-function CopyButton(props: { t(key: string): string; text: string }): ReactElement {
+function CopyButton(props: { t: Translate; text: string }): ReactElement {
   const { t } = props
   const [copied, setCopied] = useState(false)
   const timer = useRef<ReturnType<typeof setTimeout> | null>(null)
@@ -77,11 +78,7 @@ function CopyButton(props: { t(key: string): string; text: string }): ReactEleme
 }
 
 /** 会话内屏蔽开关（眼睛语义：可见=注入，划掉=本会话屏蔽）。 */
-function MaskToggle(props: {
-  t(key: string): string
-  masked: boolean
-  onToggle(): void
-}): ReactElement {
+function MaskToggle(props: { t: Translate; masked: boolean; onToggle(): void }): ReactElement {
   const { t, masked } = props
   return (
     <button

package/src/client/section.tsx

@@ -27,6 +27,7 @@ import {
   unsetGlobal,
 } from './api.ts'
 import { copyText, errorText, liveName, nameErrorOf } from './common.ts'
+import type { Translate } from './i18n.ts'
 import { SessionSecretsPanel } from './panel.tsx'
 
 /** sessions 服务的列表快照面（结构子集；ObservableSnapshot 契约）。 */
@@ -39,7 +40,7 @@ export interface SessionsListLike {
 }
 
 export interface SectionProps {
-  t(key: string): string
+  t: Translate
   sessions?: SessionsListLike
 }
 
@@ -52,7 +53,7 @@ interface FormState {
 const EMPTY_FORM: FormState = { name: '', value: '', description: '' }
 
 /** 复制按钮（复制成功短暂亮勾）。 */
-function CopyButton(props: { t(key: string): string; text: string }): ReactElement {
+function CopyButton(props: { t: Translate; text: string }): ReactElement {
   const { t } = props
   const [copied, setCopied] = useState(false)
   const timer = useRef<ReturnType<typeof setTimeout> | null>(null)

package/src/config.ts

@@ -13,8 +13,23 @@ import { SETTINGS_NS as NS_LITERAL } from './ns.ts'
 export const SETTINGS_NS = NS_LITERAL
 
 /** 一条全局密钥的元数据（值不在此处）。 */
-// biome-ignore lint/suspicious/noExplicitAny: dts 可移植性——嵌套 schema 的精确类型经 TypeT 消费，显式断掉 cosmokit 推断链
-const SecretMetaSchema: any = z.object({
+export interface SecretMeta {
+  name: string
+  description: string
+  createdAt: string
+}
+
+/** `secrets` 条目入参形态（schema 各字段均有 default，故调用方可省略）。 */
+export interface SecretMetaInput {
+  name?: string
+  description?: string
+  createdAt?: string
+}
+
+// 显式标注而非 `any`：z.object() 的推断类型含 cosmokit 的 `& Dict` 索引签名，
+// 直接导出会触发 TS2883（inferred type cannot be named / not portable）并使
+// tsdown 的 dts 生成失败。标注成具名契约后既保住类型、又让产物可移植。
+const SecretMetaSchema: z<SecretMetaInput, SecretMeta> = z.object({
   name: z.string().min(1).description('变量名后缀（如 GITHUB_TOKEN）').default(''),
   description: z.string().description('用途描述（仅人读，不进提示词）').default(''),
   createdAt: z.string().description('创建时间 ISO').default(''),
@@ -29,10 +44,3 @@ export const Config = z.object({
 })
 
 export type SecretEnvConfig = Schemastery.TypeT<typeof Config>
-
-/** 一条元数据的运行时形态。 */
-export interface SecretMeta {
-  name: string
-  description: string
-  createdAt: string
-}

package/src/inventory.ts

@@ -20,7 +20,8 @@ export interface GlobalEntry {
   envName: string
   description: string
   configured: boolean
-  source?: string
+  /** 并上 undefined：构造处可能无来源（服务端），wire 上 JSON 会省略该键，故与缺席等价。 */
+  source?: string | undefined
   writable: boolean
   /** 会话视图：该变量在本会话被屏蔽（无 sessionId 的调用恒为 false）。 */
   masked: boolean