@goodandready/dsh-usage-guard 0.1.6 → 0.1.9

package/README.md

@@ -21,6 +21,16 @@
   <a href="README.zh.md"><b>🇨🇳 中文说明</b></a>
 </p>
 
+<table align="center">
+  <tr>
+    <td align="center">
+      ⭐ <strong>If you like this plugin, please star it on GitHub</strong> — it shows me that the plugin is useful to you and motivates me to keep developing it.
+      <br><br>
+      🐛 <strong>If you find a bug or would like to request a feature</strong>, open a GitHub issue in any language — I will review your proposal and implement useful suggestions in a future plugin version.
+    </td>
+  </tr>
+</table>
+
 </div>
 
 ---
@@ -108,11 +118,43 @@ If a counter cannot be resolved from aliases, it is safely initialized to `0`. F
 Logs informative diagnostic warnings naming the exact session, turn, step, raw payload, and recovery action (e.g. `inputTokens borrowed from alias` vs `inputTokens zeroed`). Incidents are deduplicated in memory so logs are not flooded during replays, and the cache is bounded to 1,000 entries with O(1) FIFO eviction.
 
 ### 7. Native Web UI Settings Card (`lib/client.js`)
-* Mounts into the native Settings tab under `Settings → Plugins → Plugin Settings` (`settings.plugin.item`) with real-time status badge, auto-dismissing save feedback, and full localization.
+* Mounts into the native Settings tab under `Settings → Plugins → Plugin Settings` (`settings.plugin.item`) with real-time status badge, auto-dismissing save feedback, and full English / Chinese localization.
+
+### 8. Token Spike Clamping (`maxStepTokens`)
+* Restricts abnormally huge step usage counters (e.g. > 1,000,000) before projection calculation to prevent integer overflow and corrupted session summaries. Can be configured in settings or set to `0` to disable.
+
+### 9. Live In-Memory Telemetry & Diagnostic Endpoint (`/api/dsh-usage-guard/telemetry`)
+* Tracks rescued malformed samples, total fixed tokens, clamped spikes, and maintains a FIFO circular buffer of recent incidents with exact timestamps and coordinates. Rendered live in the settings UI.
+
+### 10. Host-Side One-Click Updater (`/api/dsh-usage-guard/update`)
+* Implements the canonical DSH plugin-updater specification with loopback verification, `same-origin` checks, and `x-dsh-plugin-update: 1` security token. Allows updating the plugin directly from the settings interface.
 
 ---
 
-## 🚀 Changed in v0.1.6
+## 🚀 Changed in v0.1.9
+
+* **Fix Schemastery Config Validation (`z.natural()`)**:
+  - Replaced incompatible Zod chaining `z.number().int().nonnegative()` in `Config` with Cordis Schemastery's native `z.natural()`.
+  - Fixes `TypeError: z.number(...).int is not a function` preventing Cordis loader crash upon importing `dsh-usage-guard`.
+  - Added regression unit test `test/config.test.mjs`.
+
+## 🚀 Changed in v0.1.8
+
+* **Canonical Localization Standard (en/zh)**:
+  - Client bundle `lib/client.js` now strictly provides canonical `en` (English fallback) and `zh` (Simplified Chinese) dictionaries.
+  - Russian localization is fully decoupled from the core bundle and maintained through `@goodandready/dsh-russian-lang` (Issue #196).
+  - Enforced zero hardcoded Cyrillic strings in client frontend bundle via automated tests.
+* **Live In-Memory Telemetry & Endpoint (`/api/dsh-usage-guard/telemetry`)**:
+  - Real-time tracking of `rescuedEvents`, `fixedTokens`, `clampedSpikes`, and a FIFO circular buffer of recent incidents.
+  - Integrated `TelemetrySection` in the Settings Card displaying 3 metric cards and latest incident context.
+* **Host-Side One-Click Plugin Updater (`/api/dsh-usage-guard/update`)**:
+  - Built-in updater supporting status checks and in-place updates via DSH CLI.
+  - Multi-layer security via `isTrustedUpdateRequest`: loopback IP check, `sec-fetch-site: same-origin`, matching `host`/`origin`, and `x-dsh-plugin-update: 1` header.
+* **Token Spike Clamping (`maxStepTokens`)**:
+  - Added configurable ceiling in `Config` and UI to clamp abnormally large step metrics (> 1,000,000) before projection calculation.
+  - Distinct diagnostic logging and telemetry tracking for clamped token spikes.
+
+## 🚀 Changed in v0.1.7
 
 * **Design Alignment with `dsh-clinebot` (#6)**:
   - Idempotent `ensureCss()` outside component render with `<style id="dsh-usage-guard-full-css" data-dsh-plugin="dsh-usage-guard">`.
@@ -212,12 +254,14 @@ dsh plugin --profile web add @goodandready/dsh-usage-guard
 dsh-usage-guard:
   repair: true
   report: true
+  maxStepTokens: 1000000
 ```
 
 | Parameter | Type | Default | Description |
 |---|---|---|---|
 | `repair` | `boolean` | `true` | Replace missing or non-numeric token counters with zero before arithmetic accumulation |
 | `report` | `boolean` | `true` | Log diagnostic warning lines naming turn, step, and raw sample when damaged metrics arrive |
+| `maxStepTokens` | `number` | `0` | Clamp abnormally large step usage values (e.g. > 1,000,000) to prevent integer overflows. Set 0 to disable |
 
 ---
 

package/README.ru.md

@@ -21,6 +21,16 @@
   <a href="README.zh.md"><b>🇨🇳 中文说明</b></a>
 </p>
 
+<table align="center">
+  <tr>
+    <td align="center">
+      ⭐ <strong>Если вам нравится этот плагин, поставьте ему звезду на GitHub</strong> — это покажет мне, что плагин вам полезен, и будет мотивировать меня развивать его дальше.
+      <br><br>
+      🐛 <strong>Если вы нашли баг или хотите предложить новый функционал</strong>, создайте issue на GitHub на любом языке — я рассмотрю ваше предложение и реализую полезные идеи в одной из следующих версий плагина.
+    </td>
+  </tr>
+</table>
+
 </div>
 
 ---
@@ -112,7 +122,30 @@ graph LR
 
 ---
 
-## 🚀 Изменения в версии v0.1.6 (Changed in v0.1.6)
+## 🚀 Изменения в версии v0.1.9 (Changed in v0.1.9)
+
+* **Исправление валидации схемы Cordis Schemastery (`z.natural()`)**:
+  - Заменена несовместимая цепочка Zod `z.number().int().nonnegative()` в схеме `Config` на нативный метод Cordis Schemastery `z.natural()`.
+  - Устранена критическая ошибка `TypeError: z.number(...).int is not a function`, вызывавшая аварийную остановку лоадера Cordis при запуске `dsh-web.service`.
+  - Добавлен регрессионный юнит-тест `test/config.test.mjs`.
+
+## 🚀 Изменения в версии v0.1.8 (Changed in v0.1.8)
+
+* **Канонизация локалей (en/zh) и делегирование русского перевода**:
+  - Бандл `lib/client.js` поставляет исключительно канонический английский (`en`) и китайский (`zh`) словари.
+  - Русская локализация вынесена и поддерживается централизованно через `@goodandready/dsh-russian-lang` (Issue #196).
+  - Автотесты строго контролируют отсутствие кириллических строк в клиентском бандле.
+* **Живая телеметрия перехватов (`/api/dsh-usage-guard/telemetry`)**:
+  - Накапливает в оперативной памяти счётчики `rescuedEvents`, `fixedTokens`, `clampedSpikes` и кольцевой FIFO-буфер недавних инцидентов.
+  - Добавлен блок `TelemetrySection` в карточке настроек с отображением 3 показателей и деталей последнего инцидента.
+* **Встроенный One-Click Updater (`/api/dsh-usage-guard/update`)**:
+  - Реализован протокол обновления плагинов DSH (проверка версий и вызов DSH CLI).
+  - Защита от SSRF/CSRF через `isTrustedUpdateRequest`: проверка Loopback, Same-Origin, совпадения `host`/`origin` и токена `x-dsh-plugin-update: 1`.
+* **Срезание аномальных спайков токенов (`maxStepTokens`)**:
+  - Конфигурируемый порог в схеме ядра и UI для ограничения аномальных счетчиков шага (> 1 000 000).
+  - Отдельное логирование и учёт в телеметрии для срезанных спайков.
+
+## 🚀 Изменения в версии v0.1.7 (Changed in v0.1.7)
 
 * **Единый стиль по референсу `dsh-clinebot` (#6)**:
   - Идемпотентный вызов `ensureCss()` вынесен за пределы цикла рендера (`#dsh-usage-guard-full-css` с атрибутом `data-dsh-plugin="dsh-usage-guard"`).

package/README.zh.md

@@ -21,6 +21,16 @@
   <a href="README.zh.md"><b>🇨🇳 中文说明</b></a>
 </p>
 
+<table align="center">
+  <tr>
+    <td align="center">
+      ⭐ <strong>如果您喜欢这个插件，请在 GitHub 上为它点亮 Star</strong> — 这能让我知道插件对您有用，并鼓励我继续开发和维护它。
+      <br><br>
+      🐛 <strong>如果您发现 Bug 或希望增加功能</strong>，请使用任意语言在 GitHub 上提交 Issue — 我会评估您的建议，并在后续版本中实现有价值的改进。
+    </td>
+  </tr>
+</table>
+
 </div>
 
 ---