@goodandready/dsh-model-sync 0.3.14 → 0.4.1

package/README.md

@@ -75,6 +75,7 @@ graph LR
 ## ✨ Key Features
 
 * 🔄 **Automated Catalog Discovery**: Syncs model lists, aliases, context windows, and capability flags (`vision`, `tools`, `reasoning`, `embeddings`) across 25+ providers.
+* 🛡️ **Minijinja Chat Template & Role Compatibility**: Automatically sets `compat.supportsDeveloperRole: false` for Groq open-source models (Qwen, Llama, Mistral, Gemma, DeepSeek) and DeepSeek API, preventing 400 `Unexpected message role` errors with reasoning models while preserving user overrides. Syncs model lists, aliases, context windows, and capability flags (`vision`, `tools`, `reasoning`, `embeddings`) across 25+ providers.
 * 🌐 **25+ Built-in Provider Adapters**: Pre-configured discovery for OpenAI, Anthropic, Google, DeepSeek, xAI, OpenRouter, Groq, Mistral, Cerebras, Fireworks, HuggingFace, Moonshot, NVIDIA, Qwen, Together, Xiaomi MiMo, SiliconFlow, and local Ollama.
 * 🔌 **Generic / Custom Adapter Support**: Connect arbitrary OpenAI-compatible `/v1/models` endpoints with configurable auth (`bearer`, `x-api-key`, `query-key`, `none`).
 * 📊 **Balance & Quota Monitoring**: Queries upstream billing endpoints (where supported) to report account credit balances and prevent unexpected exhaustion.
@@ -96,7 +97,7 @@ graph LR
 | `deepseek` | Bearer Token | `tools`, `reasoning` |
 | `xai` | Bearer Token | `vision`, `tools`, `reasoning` |
 | `openrouter` | Bearer Token | Multi-vendor model catalog with pricing & context limits |
-| `groq` | Bearer Token | Ultra-fast inference catalog |
+| `groq` | Bearer Token | `tools`, `reasoning`, `vision`, `supportsDeveloperRole: false` |
 | `mistral` | Bearer Token | `tools`, `reasoning`, `vision` |
 | `fireworks` | Bearer Token | Open-weights inference endpoints |
 | `huggingface` | Bearer Token | Serverless Inference API catalog |
@@ -116,143 +117,3 @@ dsh plugin --profile web add @goodandready/dsh-model-sync
 > Restart DSH Web UI after installation (`systemctl --user restart dsh-web`) to activate background catalog synchronization.
 
 ---
-
-## 🚀 Enhancements in v0.3.14
-
-- **Language Standard**: Canonical plugin in `en` and `zh`. Runtime Russian translations decoupled into `goodandready/dsh-russian-lang` (#191).
-- **Packaging Isolation**: Dedicated `.npmignore` excludes tests, plans, and documentation to maintain a minimal < 256 KiB npm release bundle.
-- **Batch Health Check**: Probe multiple selected models in parallel via `POST /dsh-model-sync/batch-try` with latency badges and one-click removal of unreachable models.
-- **Cost & Context Policies**: Set maximum price per million tokens and minimum context window thresholds in provider policies.
-- **Catalog Export & Import**: Backup and restore full plugin configuration (policies, selections, aliases, scheduler) via `GET /export` and `POST /import`.
-- **Model Alias Mapping**: Assign friendly aliases to provider/model pairs with `GET /aliases` and `POST /aliases` with interactive UI card.
-
-## 🚀 Enhancements in v0.3.13
-
-* ⚡ **Zero-Overhead Polling via HTTP ETag / 304 Not Modified**:
-  * Implemented weak ETag generation for `GET /dsh-model-sync/status`. When the Web UI polls every 15 seconds, unchanged catalogs receive an empty `304 Not Modified` response, eliminating redundant JSON serialization and network traffic.
-* 🌐 **Upstream Conditional HTTP Requests**:
-  * Added `If-None-Match` and `If-Modified-Since` headers to upstream provider discovery. Catalogs that return `304 Not Modified` resolve instantly from memory cache without re-parsing or diff re-computation.
-* 🎯 **Debounced Search & Memoized Sorting in UI**:
-  * Introduced 150ms input debouncing and `React.useMemo` for model filtering/sorting in the model picker, ensuring fluid search responsiveness on catalogs with hundreds of models.
-* 🧠 **Expanded Capability Detection**:
-  * Added detection for modern reasoning models (`DeepSeek-R1`, `o1`, `o3-mini`, `thinking`) and specialized code generation models (`code`), plus support for the `code` capability filter in policy matching and UI picker.
-* 🛡️ **Exponential Retry Jitter**:
-  * Enhanced `retryWithBackoff` with randomized jitter (`0.5 - 1.0` multiplier) to prevent thundering-herd effects on provider APIs during network hiccups or rate limits.
-
----
-
-## 🛠️ Enhancements & Fixes in v0.3.11
-
-* 🗂️ **Streamlined Settings UI Surface**:
-  * Removed the redundant top-level settings sidebar section fallback (`settings.section`), keeping configuration strictly inside the standard DSH plugin settings card (`settings.plugin.item`).
-* 🛡️ **Hardened Cordis Service Access**:
-  * Service access for `settings` and `llm` is now performed via `ctx.get(...)` with safe fallback to direct property inspection, preventing silent resolution failures on Cordis proxy implementations.
-
----
-
-## 🛠️ Enhancements & Fixes in v0.3.8
-
-* ⚙️ **Reactive Settings Card Binding (`settingsScope`)**:
-  * Integrated modern DSH kernel `settingsScope` service (`ctx.settingsScope.bind({ namespace: 'dsh-model-sync' })`) with `useSyncExternalStore`.
-  * Added direct configuration controls for the background scheduler in the Web UI: enable/disable background sync (`scheduleEnabled`), customize interval (`intervalMinutes`), and toggle automatic application of new models (`autoApply`).
-  * Gracefully handles all snapshot lifecycle states (`ready`, `loading`, `unavailable`) and collects field validation errors without dropping form drafts.
-* 🌐 **Full Model Picker Localization**:
-  * Translated all previously hardcoded strings in the model selector, including search input placeholder and sorting options (`Name A→Z`, `Price ↑`, `Context ↓`, `Newest ↓`), dynamically reacting to DSH locale switching (`en` / `ru`).
-* 📜 **Synchronization History Localization**:
-  * Added the missing `noHistory` key to English and Russian localization dictionaries, ensuring informative feedback when sync history is empty.
-* 📋 **Project Design Contract**:
-  * Added authoritative `docs/design/DESIGN.md` defining UI surfaces, styling foundations, token conventions, and state contracts.
-
----
-
-## 🛠️ Enhancements & Fixes in v0.3.6
-
-* 🔑 **Universal Credential Resolution (`credentialRef` & `apiKeyRef`)**:
-  * Added full support for modern DSH `credentialRef` and `apiKeyRef` references across inventory detection, provider adapters, and OpenAI-compatible generic routes.
-  * Providers configured via DSH Credentials Service are now accurately discovered and authenticated without requiring legacy `apiKeyEnv`.
-* ♻️ **Lifecycle Cleanup for Deprecated Models**:
-  * Fixed an issue where models previously marked as `deprecated` would remain indefinitely in settings when removed by the upstream provider. When `removeMissing: true` is enabled, missing deprecated models now cleanly transition to `removed` status once the grace period expires.
-* ⏰ **Accurate Scheduler Inactive Status**:
-  * Corrected `scheduler.status()` to return `nextRunAt: null` when background synchronization is disabled, avoiding misleading run times in the Web UI.
-* 🛡️ **Web UI Resilience & Big Catalog Scalability**:
-  * Eliminated potential UI crashes during model sorting by safely handling missing model display names.
-  * Replaced spread operations on model arrays with iterative aggregations, preventing call stack overflow (`RangeError`) on massive catalogs (10,000+ models).
-  * Surfaced detailed probe error messages in the UI when testing individual models via the `▶` button.
-  * Localized cache expiration and offline status strings in Russian and English.
-* ⚡ **Deterministic Model Diffing & HTTP Stream Safety**:
-  * Implemented stable key-sorted serialization in `diffModels` and `sameModel` to eliminate false-positive diffs caused by non-deterministic JSON key order.
-  * Added early stream destruction on oversized HTTP request bodies to prevent memory bloat.
-
----
-
-## 🚀 Enhancements in v0.3.10
-
-* 📦 **Compacted History Storage**:
-  * Stripped non-essential metadata (`description`, `tags`, `aliases`) from catalog snapshots (`before`/`after`) in `settings.yaml`, retaining only essential properties (`id`, `name`, `capabilities`, `pricing`, `contextWindow`, `maxTokens`).
-  * Optimized default snapshot retention (`DEFAULT_SNAPSHOT_RETENTION = 3`) to keep configuration files lean while preserving full rollback functionality.
-* ⚡ **Immediate Scheduler First Tick**:
-  * Scheduler now triggers an initial discovery run immediately upon startup when enabled without requiring an initial 60-minute wait.
-* 🛡️ **Client-side Policy Regex Validation**:
-  * Added instant regex pattern verification in the Web UI before submitting `/policy` requests with localized error feedback.
-
----
-
-## 🚀 Enhancements in v0.3.9
-
-* 🔒 **Serialized Settings Mutations (`saveConfig`)**:
-  * Chained internal settings persistence via an async promise mutex (`saveQueue`).
-  * Eliminates race conditions between simultaneous sync runs and user UI interactions, ensuring clean atomic writes to `settings.yaml`.
-* 🛡️ **Hardened Cross-Origin & CSRF Protections**:
-  * Enhanced `trusted(req)` checking to evaluate `sec-fetch-site`, `origin`, and `referer` against the HTTP `Host`.
-  * Blocks unauthorized cross-origin mutations while preserving legitimate local and reverse-proxy requests.
-* 🎨 **Standardized Plugin Style Discovery**:
-  * Added `data-dsh-plugin="dsh-model-sync"` attribute to injected UI style tags in compliance with the DeepSeek Harness plugin authoring standard.
-
----
-
-## 🚀 Enhancements in v0.3.5
-
-* ⏱️ **Adaptive Rate Limit & Retry-After Handling**:
-  * Automatically parses HTTP headers `Retry-After` (in seconds or RFC dates) and `x-ratelimit-reset`.
-  * Exponential backoff prioritizes the exact delay requested by upstream providers, eliminating unnecessary throttling.
-  * Re-classified HTTP 429 errors under a dedicated `rate-limit` diagnostic label.
-* 🔄 **Optimistic Concurrency & Conflict Auto-Recovery**:
-  * Added automated retry loop for `SETTINGS_CONFLICT` (HTTP 409). When concurrent settings updates occur in DSH, the plugin seamlessly re-fetches the latest revision and reapplies the catalog mutations.
-* 🎯 **Advanced Web UI Picker & Filtering**:
-  * **Tokenized Smart Search**: Multi-word queries (`claude 3.5 sonnet`) match across model IDs, display names, tags, and descriptions simultaneously.
-  * **Quick Filter Chips**: One-click toggles for `Context ≥ 100k` and `Cheap ≤ $1/1M` in addition to capability toggles (`Vision`, `Tools`, `Reasoning`, `Embeddings`).
-  * **Batch Selection Controls**: One-click buttons to *Select all shown*, *Deselect all shown*, and *Invert selection*.
-  * **Chunked Rendering / Pagination**: Renders models in batches of 50 to maintain smooth 60fps UI performance even with catalogs containing 1,000+ models.
-  * **Deprecation Badges**: Models with scheduled retirement dates display an explicit countdown badge (`Deprecates in Nd`).
-* 💾 **Storage & Metadata Optimizations**:
-  * Robust context limit parser supporting suffix multipliers (`128k`, `1M`, `128,000`).
-  * Automatic history compaction: historical snapshots older than the 5 latest sync runs have heavy before/after dumps pruned while retaining summary diffs, keeping `settings.yaml` ultra-compact.
-
----
-
-## ⚙️ Configuration Reference (`settings.yaml`)
-
-```yaml
-dsh-model-sync:
-  enabled: true
-  syncIntervalMinutes: 60
-  autoReconcile: true
-  providers:
-    openrouter:
-      enabled: true
-      keyEnv: OPENROUTER_API_KEY
-    deepseek:
-      enabled: true
-      keyEnv: DEEPSEEK_API_KEY
-    custom:
-      enabled: false
-      baseURL: http://127.0.0.1:8000/v1
-      authType: bearer
-      keyEnv: CUSTOM_API_KEY
-```
-
----
-
-## 📄 License
-
-MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)

package/README.ru.md

@@ -94,6 +94,14 @@ dsh plugin --profile web add @goodandready/dsh-model-sync
 
 ---
 
+## 🚀 Улучшения в версии 0.4.0
+
+- **One-Click обновление плагина из настроек**: В карточку настроек плагина добавлен блок обновления с проверкой актуальной версии в npm, цветовым бейджем статуса и кнопкой обновления в один клик.
+- **Защита write-эндпоинтов по Loopback**: Все мутирующие HTTP-маршруты (`/apply`, `/policy`, `/clear-cache`, `/updater/update`) строго проверяют адрес источника (`127.0.0.1`, `::1`, `::ffff:127.0.0.1`) и заголовок Origin/Host для предотвращения несанкционированного доступа.
+- **Полная поддержка темы DSH (0 rgba / 0 hex)**: Все стили интерфейса переведены на официальные токены дизайн-системы DSH (`--dsw-alias-*`), обеспечивая нативную интеграцию со светлой и тёмной темами оформления.
+- **Модульная архитектура синхронизатора**: Монолитная логика синхронизации разделена на специализированные модули (`synchronizer-helpers.js`, `synchronizer-transfer.js`, `synchronizer-prober.js`), что упрощает поддержку и снижает размер основного файла ниже 600 строк.
+- **Чистый дистрибутив пакета**: Исключены внутренние файлы планирования и отладки; размер сжатого npm-пакета составляет менее 70 KiB, все файлы укладываются в лимит 256 KiB.
+
 ## 🚀 Улучшения в v0.3.13
 
 * ⚡ **ETag / 304 Not Modified для фонового опроса UI**:
@@ -108,128 +116,3 @@ dsh plugin --profile web add @goodandready/dsh-model-sync
   * Защита от thundering herd с помощью случайного коэффициента джиттера (`0.5 - 1.0`) при повторных запросах к API провайдеров.
 
 ---
-
-## 🛠️ Улучшения и исправления в v0.3.11
-
-* 🗂️ **Чистый интерфейс настроек (DSH Design Contract)**:
-  * Удалена избыточная регистрация fallback-раздела верхнего уровня бокового меню (`settings.section`), настройки доступны только через стандартную карточку в «Настройки → Плагины → Настройки плагинов» (`settings.plugin.item`).
-* 🛡️ **Надёжный доступ к сервисам Cordis**:
-  * Доступ к сервисам ядра (`settings`, `llm`) переведён на `ctx.get(...)` с безопасным fallback к прямым свойствам контекста для исключения ошибок проксирования.
-
----
-
-## 🛠️ Улучшения и исправления в v0.3.8
-
-* ⚙️ **Реактивное управление настройками через `settingsScope`**:
-  * Интегрирована встроенная служба ядра DSH `settingsScope` (`ctx.settingsScope.bind({ namespace: 'dsh-model-sync' })`) с использованием `useSyncExternalStore`.
-  * В карточку настроек плагина добавлены элементы прямого управления планировщиком: включение фонового расписания (`scheduleEnabled`), настройка интервала синхронизации (`intervalMinutes`) и флаг автоприменения изменений (`autoApply`).
-  * Корректная обработка всех статусов снимка (`ready`, `loading`, `unavailable`) с валидацией и сохранением полей без прерывания на первой ошибке.
-* 🌐 **Полная локализация пикера моделей**:
-  * Заменены захардкоженные русские строки в селекторе моделей: плейсхолдер поиска и варианты сортировки (`Имя A→Z`, `Цена ↑`, `Контекст ↓`, `Новые ↓`) теперь динамически переключаются при смене языка интерфейса (`en` / `ru`).
-* 📜 **Локализация пустой истории синхронизаций**:
-  * Добавлен отсутствовавший ключ `noHistory` в словари английского и русского языков («No synchronization history.» / «Истории синхронизаций нет.»).
-* 📋 **Дизайн-контракт проекта**:
-  * Создан обязательный документ `docs/design/DESIGN.md`, фиксирующий пользовательские поверхности, токены `--dsw-*` и контракты компонентов.
-
----
-
-## 🛠️ Улучшения и исправления в v0.3.6
-
-* 🔑 **Универсальное разрешение учетных данных (`credentialRef` и `apiKeyRef`)**:
-  * Добавлена полная поддержка ссылок `credentialRef` и `apiKeyRef` в модулях инвентаря, реестре адаптеров и generic-маршрутах OpenAI-совместимых провайдеров.
-  * Провайдеры, настроенные через DSH Credentials Service, теперь корректно обнаруживаются и аутентифицируются без необходимости обязательного наличия `apiKeyEnv`.
-* ♻️ **Очистка устаревших моделей в жизненном цикле**:
-  * Исправлена ошибка, из-за которой модели в статусе `deprecated` оставались в конфигурации бессрочно после их удаления провайдером. При флаге `removeMissing: true` такие модели теперь гарантированно переводятся в статус `removed` по истечении grace-периода.
-* ⏰ **Точный статус неактивного планировщика**:
-  * Исправлен `scheduler.status()`: при отключённой фоновой синхронизации `nextRunAt` теперь возвращает `null`, исключая вводящие в заблуждение даты следующего запуска в Web UI.
-* 🛡️ **Надежность и масштабируемость Web UI**:
-  * Защита от сбоев сортировки при отсутствии поля `name` у модели.
-  * Замена spread-операций на итеративную агрегацию при вычислении экстремумов контекста и цены, что предотвращает переполнение стека (`RangeError`) на огромных каталогах (10 000+ моделей).
-  * Детальный вывод текста ошибки при тестировании модели по кнопке `▶`.
-  * Локализация срока давности кеша в карточке провайдера.
-* ⚡ **Детерминированное сравнение каталогов и безопасность потоков**:
-  * Реализована стабильная сортировка ключей перед сравнением моделей, исключающая фиктивные diff-записи из-за произвольного порядка ключей в JSON.
-  * Добавлено прерывание сетевого потока при превышении лимита размера тела HTTP-запроса для защиты от утечек памяти.
-
----
-
-## 🚀 Новые возможности в v0.3.10
-
-* 📦 **Компактизация хранения истории**:
-  * Очистка некритичных метаданных (`description`, `tags`, `aliases`) из снимков моделей (`before`/`after`) в `settings.yaml`, с сохранением ключевых свойств (`id`, `name`, `capabilities`, `pricing`, `contextWindow`, `maxTokens`).
-  * Оптимизирована глубина хранения снимков (`DEFAULT_SNAPSHOT_RETENTION = 3`) для предотвращения разрастания конфигурационного файла при сохранении возможности безопасного отката.
-* ⚡ **Мгновенный первый запуск планировщика**:
-  * Планировщик автоматически запускает первичный синк сразу при старте, если расписание активно и предыдущие запуски отсутствуют.
-* 🛡️ **Клиентская валидация regex-политик**:
-  * Добавлена проверка синтаксиса регулярных выражений в интерфейсе настроек перед отправкой запроса на `/policy` с локализованными подсказками.
-
----
-
-## 🚀 Новые возможности в v0.3.9
-
-* 🔒 **Атомарная очередь сохранения настроек (`saveConfig`)**:
-  * Сериализация внутренних мутаций конфигурации через цепочку промисов (`saveQueue`).
-  * Предотвращает состояние гонки между фоновой синхронизацией и действиями пользователя в интерфейсе, гарантируя целостность `settings.yaml`.
-* 🛡️ **Усиленная защита от CSRF и cross-origin атак**:
-  * Расширенная валидация запросов `trusted(req)` с проверкой заголовков `sec-fetch-site`, `origin` и `referer` против `Host`.
-  * Блокировка межсайтовых вызовов мутаций без нарушения локальных обращений и проксирования.
-* 🎨 **Стандартизация инжекции стилей интерфейса**:
-  * Добавлен атрибут `data-dsh-plugin="dsh-model-sync"` для тега стилей в полном соответствии со стандартом разработки плагинов DeepSeek Harness.
-
----
-
-## 🚀 Новые возможности в v0.3.5
-
-* ⏱️ **Адаптивная обработка Rate Limit и Retry-After**:
-  * Автоматический парсинг HTTP-заголовков `Retry-After` (в секундах и формате RFC-дат) и `x-ratelimit-reset`.
-  * При повторах задержка выставляется строго по требованию провайдера.
-  * Ошибки 429 классифицируются в отдельную категорию `rate-limit`.
-* 🔄 **Автоматическое разрешение конфликтов настроек**:
-  * Добавлен цикл повторов для `SETTINGS_CONFLICT` (HTTP 409). При параллельных правках конфигурации DSH плагин автоматически перечитывает ревизию и накладывает изменения без ошибок.
-* 🎯 **Оптимизация панели выбора моделей в Web UI**:
-  * **Токенизированный умный поиск**: Слова поискового запроса (`claude 3.5 sonnet`) сопоставляются независимо по ID, названиям, тегам и описаниям моделей.
-  * **Быстрые фильтр-чипы**: Фильтры `Контекст ≥ 100k` и `Дешевые ≤ $1/1M` в дополнение к фильтрам возможностей (`Зрение`, `Инструменты`, `Рассуждение`, `Эмбеддинги`).
-  * **Массовый выбор**: Кнопки *Выбрать все показанные*, *Снять выбор с показанных*, *Инвертировать выбор*.
-  * **Порционный рендеринг (пагинация)**: Отображение порциями по 50 моделей с кнопкой «Показать ещё» для плавной работы интерфейса в каталогах с 1000+ моделями.
-  * **Бейджи устаревания моделей**: Для моделей с датой вывода из эксплуатации выводится обратный отсчет (`Устареет через N дн.`).
-* 💾 **Хранение и парсинг метаданных**:
-  * Корректный разбор числовых значений с запятыми и суффиксами (`128k`, `1M`, `128,000`).
-  * Автоматическая компактификация: снимки каталогов старше 5 последних запусков очищаются от тяжелых дампов, сохраняя diff-аудит и компактность `settings.yaml`.
-
----
-
-## ⚙️ Пример конфигурации (`settings.yaml`)
-
-```yaml
-dsh-model-sync:
-  enabled: true
-  syncIntervalMinutes: 60
-  autoReconcile: true
-  providers:
-    openrouter:
-      enabled: true
-      keyEnv: OPENROUTER_API_KEY
-    deepseek:
-      enabled: true
-      keyEnv: DEEPSEEK_API_KEY
-    custom:
-      enabled: false
-      baseURL: http://127.0.0.1:8000/v1
-      authType: bearer
-      keyEnv: CUSTOM_API_KEY
-```
-
----
-
-## 🚀 Улучшения в версии 0.3.14
-
-- **Языковой стандарт**: Каноническая поддержка `en` и `zh` в кодовой базе плагина; русскоязычная локализация вынесена в пакет `goodandready/dsh-russian-lang` (#191).
-- **Изоляция релиза**: Настроен `.npmignore` для исключения тестов, планов и документации из npm-пакета.
-- **Пакетная проверка моделей (Batch Try)**: Эндпоинт `POST /dsh-model-sync/batch-try`, бейджи задержки и мгновенная деселекция недоступных моделей.
-- **Политики по цене и контексту**: Опциональные фильтры `maxPricePerMillion` и `minContextTokens` в настройках провайдера.
-- **Экспорт и импорт конфигурации**: JSON-бэкап и перенос настроек через `GET /export` и `POST /import`.
-- **Пользовательские алиасы моделей**: Управление алиасами моделей через `GET/POST /aliases` и UI-карточку.
-
-## 📄 Лицензия
-
-MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)

package/README.zh.md

@@ -95,6 +95,14 @@ dsh plugin --profile web add @goodandready/dsh-model-sync
 
 ---
 
+## 🚀 v0.4.0 新特性与增强
+
+- **设置卡片一键更新**: 在 DSH 设置卡片中集成自动版本检查，展示当前与最新版本对比徽标，支持一键安全升级并在更新后提示重启。
+- **严格本地环回 (Loopback) 安全保护**: 所有修改状态的 HTTP 路由 (`/apply`, `/policy`, `/clear-cache`, `/updater/update`) 均强制校验本地环回 IP (`127.0.0.1`, `::1`, `::ffff:127.0.0.1`) 及请求来源，杜绝外部恶意调用。
+- **100% 原生主题变量适配**: 客户端 UI 全面移除硬编码颜色与 `rgba()` 样式，完全切换至 DSH 官方 CSS 设计令牌 (`--dsw-alias-*`)，无缝适配深色与浅色主题。
+- **同步引擎模块化拆分**: 核心同步逻辑已解耦拆分为专项子模块 (`synchronizer-helpers.js`, `synchronizer-transfer.js`, `synchronizer-prober.js`)，大幅提升代码可读性与维护性。
+- **轻量分发包清理**: 彻底排除内部计划与调试文件，精简 npm 发布体积至 70 KiB 以下，所有文件均完全符合 256 KiB 上限规范。
+
 ## 🚀 v0.3.14 新特性与增强
 
 - **语言标准**: 插件原生支持 `en` 与 `zh` 双语，俄语本地化已独立解耦至 `goodandready/dsh-russian-lang` 翻译包 (#191)。
@@ -107,13 +115,3 @@ dsh plugin --profile web add @goodandready/dsh-model-sync
 ## 📄 开源协议
 
 MIT © [GooDAnDReaDY](https://github.com/GooDAnDReaDY)
-
-## 🛠️ v0.3.11 改进与修复
-
-* 🗂️ **规范化设置界面**:
-  * 移除侧边栏顶层多余的 `settings.section` fallback，统一使用标准插件设置卡片 `settings.plugin.item`。
-* 🛡️ **增强 Cordis 服务访问稳定性**:
-  * 使用 `ctx.get(...)` 安全获取 `settings` 与 `llm` 服务，避免代理对象属性解析异常。
-
----
-

package/lib/client.js

@@ -8,7 +8,7 @@ window.__ModuleLoader__.load({
     const CSS = '.dms-card{border:1px solid var(--dsw-alias-border-l2);background:var(--dsw-alias-bg-layer-3);border-radius:12px;list-style:none;margin:0;padding:0;overflow:hidden;box-sizing:border-box}' +
       '.dms-card-open{background:var(--dsw-alias-bg-layer-3);border-color:var(--dsw-alias-border-l2)}' +
       '.dms-card-header{appearance:none;width:100%;font:inherit;color:inherit;text-align:left;cursor:pointer;background:0 0;border:0;border-radius:12px;display:flex;align-items:center;gap:12px;padding:14px 16px}' +
-      '.dms-card-header:hover{background:var(--dsw-alias-interactive-bg-hover,rgba(255,255,255,.05))}' +
+      '.dms-card-header:hover{background:var(--dsw-alias-interactive-bg-hover,var(--dsw-alias-bg-layer-2))}' +
       '.dms-card-header:focus-visible{outline:2px solid var(--dsw-alias-state-business-primary);outline-offset:-2px}' +
       '.dms-card-head-text{display:flex;flex-direction:column;gap:2px;flex:1;min-width:0}' +
       '.dms-card-name{color:var(--dsw-alias-label-primary);font-size:15px;font-weight:600;line-height:1.4}' +
@@ -17,16 +17,16 @@ window.__ModuleLoader__.load({
       '.dms-card-body{border-top:1px solid var(--dsw-alias-border-l2);margin:0 16px;padding-bottom:8px;display:flex;flex-direction:column;gap:10px;box-sizing:border-box}' +
       '.dms-wrap{display:flex;flex-direction:column;gap:14px;max-width:760px;box-sizing:border-box;color:var(--dsw-alias-label-primary,inherit)}' +
       '.dms-wrap>p{margin:0;color:var(--dsw-alias-label-secondary);font-size:12px;line-height:1.55}' +
-      '.dms-toolbar,.dms-section{display:flex;flex-direction:row;align-items:center;flex-wrap:wrap;gap:10px;padding:13px 14px;border:1px solid var(--dsw-alias-border-l2,var(--dsw-alias-border-primary,rgba(255,255,255,.14)));border-radius:10px;background:var(--dsw-alias-bg-layer-1,transparent);box-sizing:border-box}' +
+      '.dms-toolbar,.dms-section{display:flex;flex-direction:row;align-items:center;flex-wrap:wrap;gap:10px;padding:13px 14px;border:1px solid var(--dsw-alias-border-l2,var(--dsw-alias-border-primary));border-radius:10px;background:var(--dsw-alias-bg-layer-1,transparent);box-sizing:border-box}' +
       '.dms-toolbar>select{flex:1 1 190px;min-width:190px}' +
       '.dms-toolbar>.dms-actions{flex-basis:100%}' +
       '.dms-toolbar>label{display:inline-flex;align-items:flex-start;gap:7px;font-size:12px;line-height:1.35;color:var(--dsw-alias-label-secondary)}' +
       '.dms-toolbar>select,.dms-editor input,.dms-editor textarea,.dms-input{box-sizing:border-box;min-width:0;background:var(--dsw-specific-input-major,var(--dsw-alias-bg-layer-2,transparent));border:1px solid var(--dsw-alias-border-l1,var(--dsw-alias-border-l2));border-radius:6px;color:var(--dsw-alias-label-primary);font:inherit;padding:7px 9px}' +
       '.dms-toolbar>label input{accent-color:var(--dsw-alias-brand-primary,var(--dsw-alias-button-info-fill))}' +
       '.dms-actions{display:flex;align-items:center;flex-wrap:wrap;gap:7px}' +
-      '.dms-wrap>.dms-actions{padding:10px 14px;border:1px solid var(--dsw-alias-border-l2,var(--dsw-alias-border-primary,rgba(255,255,255,.14)));border-radius:10px;background:var(--dsw-alias-bg-layer-1,transparent)}' +
+      '.dms-wrap>.dms-actions{padding:10px 14px;border:1px solid var(--dsw-alias-border-l2,var(--dsw-alias-border-primary));border-radius:10px;background:var(--dsw-alias-bg-layer-1,transparent)}' +
       '.dms-btn{margin:0!important;border:1px solid var(--dsw-alias-border-l2,var(--dsw-alias-border-primary));border-radius:6px;background:transparent;color:var(--dsw-alias-label-primary);font:inherit;font-size:12px;line-height:1.35;padding:6px 10px;cursor:pointer;white-space:normal}' +
-      '.dms-btn:hover:not(:disabled){border-color:var(--dsw-alias-brand-primary);background:var(--dsw-alias-bg-layer-2,rgba(255,255,255,.05))}' +
+      '.dms-btn:hover:not(:disabled){border-color:var(--dsw-alias-brand-primary);background:var(--dsw-alias-bg-layer-2)}' +
       '.dms-btn:disabled{opacity:.45;cursor:default}' +
       '.dms-section>strong{display:block;font-size:13px;font-weight:650}' +
       '.dms-provider-wrap{margin:0 0 7px}' +
@@ -44,18 +44,18 @@ window.__ModuleLoader__.load({
       '.dms-row{display:flex;flex-wrap:wrap;gap:8px;align-items:center}' +
       '.dms-grid-2{display:grid;grid-template-columns:repeat(auto-fit,minmax(280px,1fr));gap:12px}' +
       '.dms-badge{font-size:11px;padding:2px 8px;border-radius:999px;border:1px solid var(--dsw-alias-border-l2);display:inline-flex;align-items:center;gap:4px;font-weight:500}' +
-      '.dms-badge-ok{border-color:var(--dsw-alias-state-success-primary);color:var(--dsw-alias-state-success-primary);background:rgba(16,185,129,0.08)}' +
-      '.dms-badge-warn{border-color:var(--dsw-alias-state-warning-primary);color:var(--dsw-alias-state-warning-primary);background:rgba(245,158,11,0.08)}' +
-      '.dms-badge-bad{border-color:var(--dsw-alias-state-error-primary);color:var(--dsw-alias-state-error-primary);background:rgba(239,68,68,0.08)}' +
+      '.dms-badge-ok{border-color:var(--dsw-alias-state-success-primary);color:var(--dsw-alias-state-success-primary);background:var(--dsw-alias-state-success-secondary,var(--dsw-alias-bg-layer-2))}' +
+      '.dms-badge-warn{border-color:var(--dsw-alias-state-warning-primary);color:var(--dsw-alias-state-warning-primary);background:var(--dsw-alias-state-warning-secondary,var(--dsw-alias-bg-layer-2))}' +
+      '.dms-badge-bad{border-color:var(--dsw-alias-state-error-primary);color:var(--dsw-alias-state-error-primary);background:var(--dsw-alias-state-error-secondary,var(--dsw-alias-bg-layer-2))}' +
       '.dms-input{height:34px;border:1px solid var(--dsw-alias-border-l2);background:var(--dsw-alias-bg-layer-2);color:var(--dsw-alias-label-primary);border-radius:6px;padding:0 10px;font-size:13px;box-sizing:border-box}' +
       '.dms-input:focus{outline:none;border-color:var(--dsw-alias-state-brand-primary)}' +
       '.dms-btn-primary{background:var(--dsw-alias-label-primary)!important;color:var(--dsw-alias-bg-layer-3)!important;border-color:transparent!important;font-weight:600}' +
       '.dms-btn-primary:hover:not(:disabled){opacity:0.88}' +
-      '.dms-btn-danger{color:var(--dsw-alias-state-error-primary)!important;border-color:rgba(239,68,68,0.3)!important}' +
-      '.dms-btn-danger:hover:not(:disabled){background:rgba(239,68,68,0.12)!important;border-color:rgba(239,68,68,0.5)!important}' +
+      '.dms-btn-danger{color:var(--dsw-alias-state-error-primary)!important;border-color:var(--dsw-alias-state-error-primary)!important}' +
+      '.dms-btn-danger:hover:not(:disabled){background:var(--dsw-alias-state-error-secondary,var(--dsw-alias-bg-layer-2))!important;border-color:var(--dsw-alias-state-error-primary)!important}' +
       '.dms-alert{padding:10px 14px;border-radius:8px;font-size:13px}' +
-      '.dms-alert-ok{background:rgba(16,185,129,0.1);color:var(--dsw-alias-state-success-primary)}' +
-      '.dms-alert-bad{background:rgba(239,68,68,0.1);color:var(--dsw-alias-state-error-primary)}' +
+      '.dms-alert-ok{background:var(--dsw-alias-state-success-secondary,var(--dsw-alias-bg-layer-2));color:var(--dsw-alias-state-success-primary)}' +
+      '.dms-alert-bad{background:var(--dsw-alias-state-error-secondary,var(--dsw-alias-bg-layer-2));color:var(--dsw-alias-state-error-primary)}' +
       '.dms-probe-result{padding:2px 6px;border-radius:4px;font-family:monospace;font-size:11px;border:1px solid var(--dsw-alias-border-l2);display:inline-flex;align-items:center;gap:4px}' +
       '@media (max-width:540px){.dms-provider{grid-template-columns:1fr!important}.dms-provider .dms-btn{justify-self:start}.dms-toolbar>div:first-child{align-items:stretch;flex-direction:column}.dms-toolbar>div:first-child select{width:100%}.dms-toolbar,.dms-section,.dms-section-card,.dms-editor{padding:11px 12px}}'
 
@@ -227,6 +227,17 @@ window.__ModuleLoader__.load({
       addAlias: 'Save alias',
       removeAlias: 'Delete alias',
       noAliases: 'No model aliases defined.',
+      updaterTitle: 'Plugin Updates',
+      checkForUpdates: 'Check for updates',
+      checkingUpdates: 'Checking…',
+      updateAvailable: 'Update available: ',
+      upToDate: 'Up to date',
+      updateNow: 'Update now',
+      updating: 'Updating…',
+      updateSuccess: 'Updated to ',
+      restartRequired: ' (restart required)',
+      updateFailed: 'Update failed: ',
+      checkUpdateFailed: 'Failed to check for updates',
       targetProvider: 'Provider',
     }
 
@@ -347,6 +358,17 @@ window.__ModuleLoader__.load({
       addAlias: '保存别名',
       removeAlias: '删除别名',
       noAliases: '未定义任何模型别名。',
+      updaterTitle: '插件更新',
+      checkForUpdates: '检查更新',
+      checkingUpdates: '正在检查…',
+      updateAvailable: '发现新版本: ',
+      upToDate: '已是最新版本',
+      updateNow: '立即更新',
+      updating: '正在更新…',
+      updateSuccess: '已成功更新至 ',
+      restartRequired: ' (需重启 DSH)',
+      updateFailed: '更新失败: ',
+      checkUpdateFailed: '检查更新失败',
       targetProvider: '服务商',
     }
 
@@ -372,6 +394,84 @@ window.__ModuleLoader__.load({
       )
     }
 
+
+    function UpdaterSection({ t, api }) {
+      const [updaterStatus, setUpdaterStatus] = React.useState(null)
+      const [updaterChecking, setUpdaterChecking] = React.useState(false)
+      const [updaterUpdating, setUpdaterUpdating] = React.useState(false)
+      const [updaterNotice, setUpdaterNotice] = React.useState('')
+      const [updaterError, setUpdaterError] = React.useState('')
+
+      const checkUpdates = () => {
+        setUpdaterChecking(true)
+        setUpdaterError('')
+        setUpdaterNotice('')
+        fetch(`${api}/update`)
+          .then((res) => {
+            if (!res.ok) throw new Error(`HTTP ${res.status}`)
+            return res.json()
+          })
+          .then((data) => {
+            setUpdaterStatus(data)
+            setUpdaterChecking(false)
+          })
+          .catch(() => {
+            setUpdaterChecking(false)
+            setUpdaterError(t.checkUpdateFailed)
+          })
+      }
+
+      const runUpdate = () => {
+        if (updaterUpdating) return
+        setUpdaterUpdating(true)
+        setUpdaterError('')
+        setUpdaterNotice('')
+        fetch(`${api}/update`, {
+          method: 'POST',
+          headers: { 'x-dsh-plugin-update': '1', 'content-type': 'application/json' },
+        })
+          .then((res) => res.json())
+          .then((resData) => {
+            if (resData.error) throw new Error(resData.error.message || resData.error)
+            const cur = resData.updatedVersion || (updaterStatus && updaterStatus.latestVersion) || ''
+            const nextData = Object.assign({}, updaterStatus, { currentVersion: cur, updateAvailable: false })
+            setUpdaterUpdating(false)
+            setUpdaterStatus(nextData)
+            setUpdaterNotice(t.updateSuccess + cur + (resData.restartRequired ? t.restartRequired : ''))
+          })
+          .catch((err) => {
+            setUpdaterUpdating(false)
+            setUpdaterError(t.updateFailed + (err.message || String(err)))
+          })
+      }
+
+      return React.createElement('div', { style: { marginTop: 8 } },
+        React.createElement('div', { style: { display: 'flex', alignItems: 'center', justifyContent: 'space-between' } },
+          React.createElement('div', { style: { fontSize: 13, color: 'var(--dsw-alias-label-primary)' } },
+            updaterStatus ? `v${updaterStatus.currentVersion}` : '',
+            updaterStatus && updaterStatus.updateAvailable ? ` → v${updaterStatus.latestVersion}` : ''
+          ),
+          React.createElement('div', null,
+            updaterStatus && updaterStatus.updateAvailable
+              ? React.createElement('button', {
+                  type: 'button',
+                  className: 'dms-btn dms-btn-primary',
+                  disabled: updaterUpdating,
+                  onClick: runUpdate,
+                }, updaterUpdating ? t.updating : t.updateNow)
+              : React.createElement('button', {
+                  type: 'button',
+                  className: 'dms-btn',
+                  disabled: updaterChecking,
+                  onClick: checkUpdates,
+                }, updaterChecking ? t.checkingUpdates : (updaterStatus ? t.upToDate : t.checkForUpdates))
+          )
+        ),
+        updaterNotice ? React.createElement('div', { style: { color: 'var(--dsw-alias-state-success)', marginTop: 8, fontSize: 12 } }, updaterNotice) : null,
+        updaterError ? React.createElement('div', { style: { color: 'var(--dsw-alias-state-error-primary)', marginTop: 8, fontSize: 12 } }, updaterError) : null
+      )
+    }
+
     function ModelSyncSection({ ctx, includeIntro = true }) {
       const locale = useLocale(ctx)
       const t = locale === 'zh' ? zh : en
@@ -1119,6 +1219,10 @@ window.__ModuleLoader__.load({
         React.createElement('div', { className: 'dms-section-card dms-section' },
           React.createElement('div', { className: 'dms-section-title' }, React.createElement('strong', null, t.history)),
           renderHistory()
+        ),
+        React.createElement('div', { className: 'dms-section-card dms-section' },
+          React.createElement('div', { className: 'dms-section-title' }, React.createElement('strong', null, t.updaterTitle)),
+          React.createElement(UpdaterSection, { t, api: API })
         )
       )
     }
@@ -1157,12 +1261,16 @@ window.__ModuleLoader__.load({
 
     function apply(ctx) {
       ctx.effect(() => {
-        try { ctx.locale?.register?.(NS, { en, zh }) } catch {}
+        try { ctx.locale?.register?.(NS, { en, zh }) } catch (err) {
+          try { console.debug('[dsh-model-sync] locale register best-effort:', err) } catch { /* console unavailable */ }
+        }
         return () => {}
       }, 'dsh-model-sync: dictionaries')
       try {
         ctx.slots.inject('settings.plugin.item', () => ctx.slots.register({ name: 'settings.plugin.item', key: NS, locale: NS, inject: () => ({ ctx }) }, (props) => React.createElement(ErrorBoundary, null, React.createElement(ModelSyncCard, { ...props, ctx }))))
-      } catch {}
+      } catch (err) {
+        try { console.debug('[dsh-model-sync] slots inject best-effort:', err) } catch { /* console unavailable */ }
+      }
     }
 
     module.exports = { apply, inject: ['slots', 'locale', 'settingsScope'], filterModelsByCapabilities }

package/lib/http.js

@@ -8,24 +8,50 @@ function json(res, status, body) {
   res.end(JSON.stringify(body))
 }
 
-function trusted(req) {
+export function isLoopbackAddress(ip) {
+  if (!ip || typeof ip !== 'string') return false
+  const clean = ip.toLowerCase().replace(/^\[|\]$/g, '')
+  if (clean === '127.0.0.1' || clean === '::1' || clean === '::ffff:127.0.0.1' || clean === 'localhost') return true
+  if (clean.startsWith('127.') || clean.startsWith('::ffff:127.')) return true
+  return false
+}
+
+export function trusted(req, { requireLoopback = false } = {}) {
+  const remoteAddress = req?.socket?.remoteAddress
+  if (requireLoopback || req?.method === 'POST') {
+    if (!isLoopbackAddress(remoteAddress)) return false
+  }
   const fetchSite = req.headers?.['sec-fetch-site']
   if (fetchSite === 'cross-site') return false
   const host = req.headers?.host
   const origin = req.headers?.origin
   if (origin) {
     if (!host) return false
-    try { return new URL(origin).host === host } catch { return false }
+    try {
+      const url = new URL(origin)
+      if (url.host !== host) return false
+      if (requireLoopback || req?.method === 'POST') {
+        if (!isLoopbackAddress(url.hostname) && url.hostname !== 'localhost') return false
+      }
+    } catch { return false }
   }
   const referer = req.headers?.referer
   if (referer) {
     if (!host) return false
-    try { return new URL(referer).host === host } catch { return false }
+    try {
+      const url = new URL(referer)
+      if (url.host !== host) return false
+      if (requireLoopback || req?.method === 'POST') {
+        if (!isLoopbackAddress(url.hostname) && url.hostname !== 'localhost') return false
+      }
+    } catch { return false }
   }
   // If sec-fetch-site is same-origin or same-site, allow
   if (fetchSite === 'same-origin' || fetchSite === 'same-site') return true
   // If sec-fetch-mode is present but origin/referer missing on a cross-site request, reject
   if (req.headers?.['sec-fetch-mode'] && !host) return false
+  // For POST write requests without any browser origin/referer headers, require explicit loopback remoteAddress
+  if (req?.method === 'POST' && !origin && !referer && !isLoopbackAddress(remoteAddress)) return false
   return true
 }
 
@@ -188,7 +214,7 @@ export function normalizeSelectionRequest(body) {
 
 export function registerHttpApi(ctx, synchronizer, { getSchedulerStatus = () => null } = {}) {
   const makeHandler = (route) => async (req, res) => {
-    if (!trusted(req)) return json(res, 403, { error: { code: 'forbidden', message: 'dsh-model-sync: cross-origin request rejected' } })
+    if (!trusted(req, { requireLoopback: req.method === 'POST' })) return json(res, 403, { error: { code: 'forbidden', message: 'dsh-model-sync: cross-origin or non-loopback request rejected' } })
     if (route === 'status') {
       if (req.method !== 'GET') return json(res, 405, { error: { code: 'method', message: 'GET only' } })
       const payload = { ...synchronizer.status(), scheduler: getSchedulerStatus(), providers: synchronizer.listProviders() }