@logictan/dsh-config-manager 0.1.60

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 xiajiajun516
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,105 @@
+# 🔄 DSH Config Manager
+
+**DeepSeek Harness 配置远程同步插件。**
+
+在你的多台机器之间，通过**自有的私有通道**（Git 仓库或 WebDAV）同步完整的 DSH 配置 ——
+设置、模型 provider、插件清单、MCP server、技能、Agent 预设、工作区，以及 provider 密钥。
+
+- ☁️ **Git / WebDAV** 双通道，各自独立配置与排期
+- ⏰ **自动同步** —— 事件驱动：远端有新快照才拉，本地有改动才推
+- 📄 **明文快照** —— 私有通道自用，勾选即同步，不加密、不脱敏、不做 diff/合并
+- 🧩 分区可勾选：设置 / provider / 插件 / MCP / 技能 / 预设 / 工作区 / 凭据状态 等
+- ↩️ 应用前自动落回滚快照，失败整体回滚
+- 🔐 通道凭据走 DSH credentials 槽位，值永不回传浏览器
+
+---
+
+## 它解决什么
+
+DSH 把配置散落在 `$DSH_HOME` 的多个文件里（`settings.yaml`、`.credentials.yaml`、
+`cordis.patch.yml`、插件清单、技能目录…）。换一台机器就要重配一遍。
+
+本插件把这些分区打包成**快照**推到你自己配置的私有通道，另一台机器拉下来覆盖写入。
+**不加密、不脱敏** —— 这是刻意的产品选择：通道是你自己的私有仓库，明文自用比丢配置更划算。
+因此**绝不要**把同步通道指向公开仓库。
+
+---
+
+## 安装
+
+```sh
+dsh plugin --profile web add @logictan/dsh-config-manager@latest
+```
+
+> 也可通过聚合包一次装上本仓库的全部插件：`@logictan/dsh-plugins-all`。
+
+## 使用
+
+设置 → 插件 → **DSH Config Manager**（只有一个「同步」标签页）：
+
+1. **通道**：选 Git（私有仓库地址 + token）或 WebDAV（地址 + 用户名 + 口令）；
+   两者配置与自动同步排期**互相独立**。
+2. **同步范围**：默认模式同步全部推荐分区；高级模式手动勾选。
+3. **推送 / 拉取**：手动推送前会先给出「将推送什么」的只读预览。
+4. **一键同步**：拉远端最新快照 → 差异确认 → 逐项采纳 → 写入本地（应用前自动落快照）。
+5. **自动同步**：开启后后台按间隔兜底轮询，真正驱动是「远端有新快照」/「本地有改动」。
+
+---
+
+## 安全边界
+
+| 项 | 说明 |
+|---|---|
+| 快照内容 | **明文**，含 provider 密钥等一切隐私信息（`manifest.security.containsSecrets` 按实际内容如实标注） |
+| 通道要求 | 必须是你自有的**私有**仓库；本插件不会、也无法阻止你把它指向公开仓库 |
+| 通道凭据 | 存于 DSH credentials（Git 用 `DSH_CONFIG_MANAGER_SYNC_TOKEN`，WebDAV 用 `DSH_CONFIG_MANAGER_SYNC_WEBDAV_PASSWORD`），值只在宿主内部读取，绝不落盘到快照/日志/浏览器 |
+| 日志 | 全程脱敏（`security/redaction.ts`） |
+| 导入 | 应用前强制落回滚快照；任一失败整体回滚 |
+
+---
+
+## 架构
+
+双面 Cordis 插件：
+
+- **宿主半边** `src/index.ts` —— `/api/dsh-config-manager/sync/*` 路由族 + 同步引擎
+  （`src/sync/sync-engine.ts`）+ 自动同步调度器 + Agent 工具（`config_sync_push` / `config_sync_pull`）
+- **浏览器半边** `src/client/` —— 设置页里唯一的「同步」标签
+
+`src/core/` 与 DSH 解耦（`ConfigAdapter` / `HostContext` + 内存 mock），
+业务逻辑放 `src/ui/`，React 壳只做装配。
+
+传输通道：`src/sync/git/` 与 `src/sync/webdav/`，共同的 `SyncTransport` 契约在 `src/sync/transport.ts`。
+
+---
+
+## 开发
+
+```bash
+npm install --legacy-peer-deps   # 部分 DSH 核心只在 peerDependencies
+npm run typecheck                # tsc --noEmit
+npm test                         # node --test
+npm run build                    # tsc(host lib/) + tsdown(client lib/client.js)
+npm run dev:watch                # 改 src/client/** 自动重建产物（浏览器原位替换）
+```
+
+- 无 lint/format 脚本，只以 typecheck 兜底。
+- 样式全在 `src/client/config-manager.module.css`（CSS Modules，tsdown 编译为内联注入）。
+- **import 一律带 `.ts` 后缀**（Deno-style）。
+
+### 测试的 TMPDIR 陷阱（macOS）
+
+`src/utils/recursive-walk.test.ts` 建真实符号链接，而 macOS 的 `/var/folders/...` 是
+`/private/var/...` 的符号链接 —— `realpath` 会把 home 解析到 `/private/...`，导致
+「home 内」判定失败。跑测试前：
+
+```bash
+mkdir -p /private/tmp/realhome
+TMPDIR=/private/tmp/realhome/ node --test "src/**/*.test.ts" "tests/**/*.test.ts"
+```
+
+---
+
+## 许可证
+
+MIT

package/cordis.patch.yml

@@ -0,0 +1,21 @@
+# dsh-config-manager bundle patch: inserts the dual-face plugin row into the
+# profile roster. Applied as a profile bundle layer (the `dsh.bundle.patch`
+# manifest field in package.json) over dsh-base; activate with
+#   dsh plugin --profile <name> add @logictan/dsh-config-manager@latest   # published
+#   dsh plugin --profile <name> add link:<abs-or-~-path>                  # local dev
+# (the CLI forwards to pnpm inside the profile directory).
+#
+# CLI hard criterion: a package is appended to the target profile's
+# `dsh.profile.bundles` only when its manifest carries `dsh.bundle.patch`
+# (package.json does — it points at this file); without that field the CLI
+# treats the package as a plain dependency and warns. So this file plus the
+# package.json `dsh.bundle.patch` key are what make the package a real bundle.
+#
+# One bare plugin row by package name: the node half (exports ".") runs in the
+# host process (/api/dsh-config-manager routes, sync engine, agent tools), and
+# the `dsh.client` declaration in package.json makes the browser half
+# (exports "./client") load in the web GUI. Row id equals the host plugin's
+# `export const name` in src/index.ts.
+- insert:
+    - id: config-manager
+      name: '@logictan/dsh-config-manager'

package/lib/adapters/agent-instructions.d.ts

@@ -0,0 +1,13 @@
+import { FileCollectionAdapter } from './file-collection.ts';
+import type { FilesSection } from '../schema/types.ts';
+import type { ExportOptions, ExportSection, HostContext } from '../core/types.ts';
+export declare class AgentInstructionsAdapter extends FileCollectionAdapter {
+    readonly id: 'agentInstructions';
+    readonly displayName = "Agent Instructions";
+    readonly defaultIncluded = true;
+    readonly portability: 'portable';
+    readonly baseDir = "";
+    /** 用户全局指令文件（相对 homeDir；同时是 schema 端该分区唯一的文件） */
+    static readonly FILE = "AGENTS.md";
+    export(ctx: HostContext, _options: ExportOptions): Promise<ExportSection<FilesSection>>;
+}

package/lib/adapters/agent-instructions.js

@@ -0,0 +1,46 @@
+/**
+ * agentInstructions 分区 adapter（设计 §3.3 / dsh-agent-instructions 插件）：
+ * 数据源 = ~/.dsh/AGENTS.md（用户全局指令文件，dsh-agent-instructions 固定读取 $DSH_HOME/AGENTS.md，
+ * 注入每个会话的基线指令）。
+ *
+ * 与 skills/agentPresets 的差异：AGENTS.md 位于 $DSH_HOME 根目录，不能对 homeDir 整目录递归枚举，
+ * 因此不复用 FileCollectionAdapter 的目录扫描，而是白名单固定收集单文件 AGENTS.md。
+ * 仅迁移全局文件；项目级 AGENTS.md / CLAUDE.md 属于各项目仓库，默认不迁（研究报告 §2.2 同策略）。
+ * baseDir = ''（homeDir 根），与 core/backup.ts FILE_BASES 的 '' 基准一致，保证通用快照/回滚路径正确。
+ */
+import { sha256Hex } from '../utils/hashing.js';
+import { msgOf } from '../core/messages.js';
+import { FileCollectionAdapter } from './file-collection.js';
+export class AgentInstructionsAdapter extends FileCollectionAdapter {
+    id = 'agentInstructions';
+    displayName = 'Agent Instructions';
+    defaultIncluded = true;
+    portability = 'portable';
+    baseDir = '';
+    /** 用户全局指令文件（相对 homeDir；同时是 schema 端该分区唯一的文件） */
+    static FILE = 'AGENTS.md';
+    async export(ctx, _options) {
+        const files = [];
+        try {
+            const data = await ctx.fs.readFile(AgentInstructionsAdapter.FILE);
+            files.push({
+                relativePath: AgentInstructionsAdapter.FILE,
+                data,
+                contentHash: sha256Hex(data),
+            });
+        }
+        catch {
+            // 文件不存在 → 空分区（与 skills 目录不存在视为空一致），下方归档 dirEmpty 提示
+        }
+        const warnings = [];
+        if (files.length === 0)
+            warnings.push(msgOf(ctx)('adapter.dirEmpty', { type: this.displayName }));
+        return {
+            sectionId: this.id,
+            data: { version: 1, files },
+            counts: { files: files.length },
+            warnings,
+        };
+    }
+}
+//# sourceMappingURL=agent-instructions.js.map

package/lib/adapters/agent-presets.d.ts

@@ -0,0 +1,13 @@
+/**
+ * agentPresets 分区 adapter（设计 §3.3）：
+ * 数据源 = ~/.dsh/.agent-presets/（用户可写目录，每预设一个目录：agent.cordis.yml + preset.yml）。
+ * system 预设（安装目录）只记引用不复制（本 adapter 只读用户目录）。
+ */
+import { FileCollectionAdapter } from './file-collection.ts';
+export declare class AgentPresetsAdapter extends FileCollectionAdapter {
+    readonly id: 'agentPresets';
+    readonly displayName = "Agent Presets";
+    readonly defaultIncluded = true;
+    readonly portability: 'portable';
+    readonly baseDir = ".agent-presets";
+}

package/lib/adapters/agent-presets.js

@@ -0,0 +1,14 @@
+/**
+ * agentPresets 分区 adapter（设计 §3.3）：
+ * 数据源 = ~/.dsh/.agent-presets/（用户可写目录，每预设一个目录：agent.cordis.yml + preset.yml）。
+ * system 预设（安装目录）只记引用不复制（本 adapter 只读用户目录）。
+ */
+import { FileCollectionAdapter } from './file-collection.js';
+export class AgentPresetsAdapter extends FileCollectionAdapter {
+    id = 'agentPresets';
+    displayName = 'Agent Presets';
+    defaultIncluded = true;
+    portability = 'portable';
+    baseDir = '.agent-presets';
+}
+//# sourceMappingURL=agent-presets.js.map

package/lib/adapters/credentials.d.ts

@@ -0,0 +1,37 @@
+/**
+ * credentialsStatus 分区 adapter（设计 §3.3/§7.1）：
+ * 数据源 = ctx.credentials.describe(ref) 的状态（configured/source/writable），
+ * 以及 settings secrets 标记 / llm apiKeyEnv 中引用的凭据 ref 名。
+ *
+ * 安全不变量：永不导出值（hasValue 恒 false）；导入生成 MissingSecret 清单，
+ * 用户补录值经 ctx.secretInputs / decryptedCredentials（仅内存）→ credentials.set()。
+ * .credentials.yaml 文件字节交由 m4 加密层处理，本 adapter 不触碰。
+ */
+import type { CredentialsSection } from '../schema/types.ts';
+import type { MsgFunc } from '../core/messages.ts';
+import type { ApplyResult, ConfigAdapter, ExportOptions, ExportSection, HostContext, ImportContext, PlanItem, ValidationResult } from '../core/types.ts';
+import { type NamespaceProvider } from './settings.ts';
+export type CredentialRefsProvider = (ctx: HostContext) => Promise<string[]>;
+/** 缺省 ref 收集：遍历 settings namespace，收集 llm apiKeyEnv / providers[].apiKeyEnv，
+ * 以及 secrets 标记中「引用类字段」（apiKeyEnv/tokenEnv…）的字段值。
+ * 注意 secrets[].path[0] 是 settings 文档内的字段路径（如 ['apiKey']），本身不是凭据 ref（设计 §4.2），
+ * 只有指向 env 名的引用字段才值得收集。 */
+export declare function defaultCredentialRefs(namespaces: string[] | NamespaceProvider): CredentialRefsProvider;
+export interface CredentialsAdapterOptions {
+    /** 凭据 ref 名收集器（缺省从 settings 推断） */
+    refs?: CredentialRefsProvider;
+    /** 供缺省 refs 使用的 namespace 清单 */
+    namespaces?: string[] | NamespaceProvider;
+}
+export declare class CredentialsAdapter implements ConfigAdapter<CredentialsSection> {
+    readonly id: 'credentialsStatus';
+    readonly displayName = "Credentials";
+    readonly defaultIncluded = true;
+    readonly portability: 'deviceSpecific';
+    private readonly refs;
+    constructor(options?: CredentialsAdapterOptions);
+    export(ctx: HostContext, _options: ExportOptions): Promise<ExportSection<CredentialsSection>>;
+    analyzeImport(_data: CredentialsSection, _ctx: ImportContext): Promise<PlanItem[]>;
+    applyItem(item: PlanItem, ctx: ImportContext): Promise<ApplyResult>;
+    validate(data: CredentialsSection, msg?: MsgFunc): Promise<ValidationResult>;
+}

package/lib/adapters/credentials.js

@@ -0,0 +1,122 @@
+import { msgOf, zhMsg } from '../core/messages.js';
+import { resolveNamespaces } from './settings.js';
+/** 缺省 ref 收集：遍历 settings namespace，收集 llm apiKeyEnv / providers[].apiKeyEnv，
+ * 以及 secrets 标记中「引用类字段」（apiKeyEnv/tokenEnv…）的字段值。
+ * 注意 secrets[].path[0] 是 settings 文档内的字段路径（如 ['apiKey']），本身不是凭据 ref（设计 §4.2），
+ * 只有指向 env 名的引用字段才值得收集。 */
+export function defaultCredentialRefs(namespaces) {
+    return async (ctx) => {
+        const refs = new Set();
+        for (const ns of await resolveNamespaces(namespaces, ctx)) {
+            try {
+                const info = await ctx.settings.describe(ns, { redactSecrets: true });
+                const value = (info.value ?? {});
+                // 引用类字段名（值 = env/凭据引用名，非秘密本身）
+                const REFERENCE_REF_FIELDS = new Set([
+                    'apikeyenv', 'api_key_env', 'apikeyname', 'tokenenv', 'accesstokenenv',
+                    'refreshtokenenv', 'clientsecretenv', 'passwordenv',
+                ]);
+                for (const s of info.secrets) {
+                    const first = s.path?.[0];
+                    if (typeof first !== 'string' || first === '')
+                        continue;
+                    const norm = first.toLowerCase().replace(/[^a-z0-9]/g, '');
+                    if (!REFERENCE_REF_FIELDS.has(norm))
+                        continue;
+                    const val = value[first];
+                    if (typeof val === 'string' && val !== '')
+                        refs.add(val);
+                }
+                if (typeof value['apiKeyEnv'] === 'string' && value['apiKeyEnv'] !== '')
+                    refs.add(value['apiKeyEnv']);
+                const providers = value['providers'];
+                if (providers !== null && typeof providers === 'object') {
+                    for (const pv of Object.values(providers)) {
+                        if (pv !== null && typeof pv === 'object' && typeof pv.apiKeyEnv === 'string' && pv.apiKeyEnv !== '') {
+                            refs.add(pv.apiKeyEnv);
+                        }
+                    }
+                }
+            }
+            catch {
+                // namespace 不存在则跳过
+            }
+        }
+        return [...refs];
+    };
+}
+export class CredentialsAdapter {
+    id = 'credentialsStatus';
+    displayName = 'Credentials';
+    defaultIncluded = true;
+    portability = 'deviceSpecific';
+    refs;
+    constructor(options = {}) {
+        this.refs = options.refs ?? defaultCredentialRefs(options.namespaces ?? []);
+    }
+    async export(ctx, _options) {
+        const credentials = [];
+        const warnings = [];
+        for (const ref of await this.refs(ctx)) {
+            try {
+                const status = await ctx.credentials.describe(ref);
+                credentials.push({
+                    ref,
+                    required: true,
+                    configured: status.configured,
+                    source: status.source ?? 'file',
+                    hasValue: false, // 值未导出（安全不变量）
+                });
+            }
+            catch (err) {
+                warnings.push(msgOf(ctx)('adapter.credStatusReadFailed', { ref, reason: err instanceof Error ? err.message : String(err) }));
+            }
+        }
+        return {
+            sectionId: 'credentialsStatus',
+            data: { version: 1, credentials },
+            counts: { credentials: credentials.length },
+            warnings,
+        };
+    }
+    async analyzeImport(_data, _ctx) {
+        // MissingSecret 计划项由引擎在 createImportPlan 兜底生成（analyzer.ensureMissingSecrets），
+        // 依据 = 本分区里 configured=true 的凭据 → 用户补录清单。这里保持零写入纯计算。
+        return [];
+    }
+    async applyItem(item, ctx) {
+        const ref = item.target?.ref;
+        if (!ref)
+            return { ok: false, message: ctx.msg('adapter.missingTargetRef') };
+        const value = ctx.secretInputs[ref] ?? ctx.decryptedCredentials?.get(ref);
+        if (value === undefined || value === '')
+            return { ok: false, message: ctx.msg('adapter.credentialValueMissing') };
+        await ctx.target.credentials.set(ref, value);
+        return { ok: true };
+    }
+    async validate(data, msg = zhMsg) {
+        const issues = [];
+        if (data === null || typeof data !== 'object') {
+            return { valid: false, issues: [{ path: '$', message: msg('adapter.validate.object', { subject: 'credentials' }), severity: 'error' }] };
+        }
+        if (data.version !== 1) {
+            issues.push({ path: 'version', message: msg('adapter.validate.version', { value: String(data.version) }), severity: 'error' });
+        }
+        if (!Array.isArray(data.credentials)) {
+            issues.push({ path: 'credentials', message: msg('adapter.validate.array', { subject: 'credentials' }), severity: 'error' });
+        }
+        else {
+            for (const c of data.credentials) {
+                if (c === null || typeof c !== 'object' || typeof c.ref !== 'string' || c.ref === '') {
+                    issues.push({ path: 'credentials[]', message: msg('adapter.validate.credentialRef'), severity: 'error' });
+                }
+                if (c.hasValue === true) {
+                    // 安全不变量：普通导出恒不携带值；若备份声称有值，视为结构异常
+                    issues.push({ path: `credentials.${c.ref}.hasValue`, message: msg('adapter.validate.hasValueFalse'), severity: 'error' });
+                }
+            }
+        }
+        return { valid: issues.filter((i) => i.severity === 'error').length === 0, issues };
+    }
+}
+//# sourceMappingURL=credentials.js.map

package/lib/adapters/file-collection.d.ts

@@ -0,0 +1,15 @@
+import type { MsgFunc } from '../core/messages.ts';
+import type { FilesSection, SectionId } from '../schema/types.ts';
+import type { ApplyResult, ConfigAdapter, ExportOptions, ExportSection, HostContext, ImportContext, PlanItem, Portability, ValidationResult } from '../core/types.ts';
+export declare abstract class FileCollectionAdapter implements ConfigAdapter<FilesSection> {
+    abstract readonly id: SectionId;
+    abstract readonly displayName: string;
+    abstract readonly defaultIncluded: boolean;
+    abstract readonly portability: Portability;
+    /** 相对 homeDir 的基准目录（与 core/backup.ts FILE_BASES 一致） */
+    abstract readonly baseDir: string;
+    export(ctx: HostContext, _options: ExportOptions): Promise<ExportSection<FilesSection>>;
+    analyzeImport(data: FilesSection, ctx: ImportContext): Promise<PlanItem[]>;
+    applyItem(item: PlanItem, ctx: ImportContext): Promise<ApplyResult>;
+    validate(data: FilesSection, msg?: MsgFunc): Promise<ValidationResult>;
+}

package/lib/adapters/file-collection.js

@@ -0,0 +1,127 @@
+/**
+ * 文件类分区共享 adapter 基类（skills / agentPresets / sessions 复用；
+ * agentInstructions 因位于 homeDir 根、只能白名单收集，覆写 export 后复用本类其余逻辑）。
+ * 基准目录与 core/backup.ts 的 FILE_BASES 保持一致（skills→'skills'、agentPresets→'.agent-presets'、sessions→'sessions'），
+ * 保证引擎通用快照/回滚（resolveFileTarget）与 applyItem 的写入路径完全一致。
+ *
+ * 文件内容以真实文件进入 ZIP（custom/skills/… 等前缀由 exporter 按 SECTION_FILE_PREFIXES 处理）。
+ * 幂等：相对路径 + 内容 SHA-256 hash 比对（重复导入 → Skip）。
+ */
+import path from 'node:path';
+import { sha256Hex } from '../utils/hashing.js';
+import { isReservedInternalRel, normalizePath } from '../utils/paths.js';
+import { msgOf, zhMsg } from '../core/messages.js';
+import { linkWarnings, listFilesDetailed } from './link-report.js';
+export class FileCollectionAdapter {
+    async export(ctx, _options) {
+        const files = [];
+        const warnings = [];
+        // issue #37：用「跟随 junction/符号链接」的遍历，并把跟随/跳过的链接写进告警——
+        // 此前链接目录及其全部内容被静默排除，备份仍报成功。
+        let listing = { paths: [], skippedLinks: [], followedLinks: 0, unreadableDirs: [] };
+        try {
+            listing = await listFilesDetailed(ctx.fs, this.baseDir);
+        }
+        catch {
+            // 目录不存在视为空
+        }
+        const rels = listing.paths;
+        for (const rel of rels) {
+            const data = await ctx.fs.readFile(rel);
+            const relPath = this.baseDir === '' ? rel : rel.replace(new RegExp(`^${escapeRegExp(this.baseDir)}[\\/]`), '');
+            files.push({ relativePath: relPath, data, contentHash: sha256Hex(data) });
+        }
+        if (rels.length === 0)
+            warnings.push(msgOf(ctx)('adapter.dirEmpty', { type: this.displayName }));
+        warnings.push(...linkWarnings(msgOf(ctx), this.displayName, listing));
+        return {
+            sectionId: this.id,
+            data: { version: 1, files },
+            counts: { files: files.length },
+            warnings,
+        };
+    }
+    async analyzeImport(data, ctx) {
+        const msg = ctx.msg;
+        const items = [];
+        for (const file of data.files) {
+            const id = `${this.id}:${file.relativePath}`;
+            // F23 修复：不可信 import 不得写内部 control-plane namespace。
+            // 检查 baseDir+ref 解析后的 homeDir 相对路径（self 适配器 baseDir='dsh-config-manager' 是主投毒向量）。
+            const resolvedRel = normalizePath(path.join(this.baseDir, file.relativePath));
+            if (isReservedInternalRel(resolvedRel)) {
+                items.push({
+                    id, kind: 'Error', adapter: this.id,
+                    description: msg('adapter.fileReserved', { path: file.relativePath }), severity: 'error',
+                });
+                continue;
+            }
+            let current = null;
+            try {
+                current = await ctx.target.fs.readFile(path.join(this.baseDir, file.relativePath));
+            }
+            catch {
+                current = null;
+            }
+            if (current === null) {
+                items.push({
+                    id, kind: 'Create', adapter: this.id,
+                    description: msg('adapter.fileCreate', { type: this.displayName, path: file.relativePath }), severity: 'info',
+                    target: { adapter: this.id, ref: file.relativePath },
+                });
+            }
+            else if (sha256Hex(current) === file.contentHash) {
+                items.push({ id, kind: 'Skip', adapter: this.id, description: msg('adapter.fileSame', { path: file.relativePath }), severity: 'info' });
+            }
+            else {
+                items.push({
+                    id, kind: 'Conflict', adapter: this.id,
+                    description: msg('adapter.fileDiff', { path: file.relativePath }), severity: 'warning',
+                    target: { adapter: this.id, ref: file.relativePath },
+                });
+            }
+        }
+        return items;
+    }
+    async applyItem(item, ctx) {
+        const msg = ctx.msg;
+        const ref = item.target?.ref;
+        if (!ref)
+            return { ok: false, message: msg('adapter.missingTargetRef') };
+        // F23 修复：apply 前拒绝写内部 control-plane namespace（纵深防御，analyzeImport 已标 Error）
+        const resolvedRel = normalizePath(path.join(this.baseDir, ref));
+        if (isReservedInternalRel(resolvedRel)) {
+            return { ok: false, message: msg('adapter.fileReserved', { path: ref }) };
+        }
+        const data = ctx.sections.get(this.id);
+        const file = data?.files.find((f) => f.relativePath === ref);
+        if (!file)
+            return { ok: false, message: msg('adapter.dataMissingFile', { ref }) };
+        await ctx.target.fs.writeFile(path.join(this.baseDir, ref), file.data);
+        return { ok: true };
+    }
+    async validate(data, msg = zhMsg) {
+        const issues = [];
+        if (data === null || typeof data !== 'object') {
+            return { valid: false, issues: [{ path: '$', message: msg('adapter.validate.fileSection'), severity: 'error' }] };
+        }
+        if (data.version !== 1) {
+            issues.push({ path: 'version', message: msg('adapter.validate.version', { value: String(data.version) }), severity: 'error' });
+        }
+        if (!Array.isArray(data.files)) {
+            issues.push({ path: 'files', message: msg('adapter.validate.array', { subject: 'files' }), severity: 'error' });
+        }
+        else {
+            for (const f of data.files) {
+                if (f === null || typeof f !== 'object' || typeof f.relativePath !== 'string' || f.relativePath === '') {
+                    issues.push({ path: 'files[]', message: msg('adapter.validate.fileRelativePath'), severity: 'error' });
+                }
+            }
+        }
+        return { valid: issues.filter((i) => i.severity === 'error').length === 0, issues };
+    }
+}
+function escapeRegExp(s) {
+    return s.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+}
+//# sourceMappingURL=file-collection.js.map

package/lib/adapters/index.d.ts

@@ -0,0 +1,57 @@
+/**
+ * 适配器 registry（设计 §12.1 / §3.3）：
+ * 组装全部 ConfigAdapter（导出顺序参考 APPLY_ORDER：settings → ui → providers → prompts
+ * → skills → agentPresets → agentInstructions → workspaces → pluginFiles → mcp → plugins → credentialsStatus）。
+ *
+ * 明确不实现的 adapter（研究报告 §2.2 确认 DSH 无对应概念）：keybindings / workflows / commands ——
+ * manifest 中不出现这些 section，产品 UI 说明「DSH 当前无此配置」；
+ * rules 概念已由 agentInstructions（~/.dsh/AGENTS.md）承接。
+ */
+import type { ConfigAdapter } from '../core/types.ts';
+import { type NamespaceProvider } from './settings.ts';
+import { type LocalPluginPackHook } from './plugins.ts';
+import { type CredentialRefsProvider } from './credentials.ts';
+export interface AdapterRegistryOptions {
+    /** settings namespace 清单（宿主从 settings.yaml 顶层 key 解析注入；缺省 [] → settings/ui/credentials 为空） */
+    namespaces?: string[] | NamespaceProvider;
+    /** 凭据 ref 收集器（缺省从 settings secrets 标记 + llm apiKeyEnv 推断） */
+    credentialsRefs?: CredentialRefsProvider;
+    /** pluginFiles 白名单（相对 ~/.dsh 根；缺省 dsh-ssh.json + pet.json） */
+    pluginFiles?: string[];
+    /** pluginFiles 约定的配置目录（相对 ~/.dsh 根），递归收集其下所有插件配置文件 */
+    pluginFilesDir?: string;
+    /** 是否包含 sessions 分区（默认关，研究报告 §4.9） */
+    includeSessions?: boolean;
+    /** 插件自身包名：导出 plugins 分区时不列自己（避免自引用；缺省 dsh-config-manager） */
+    selfPluginName?: string;
+    /**
+     * T1：本地源（link:/file:）插件打包钩子。注入后，导出 plugins 分区时会为这类插件
+     * 执行 `npm pack` 并把 tarball 随备份带走；不注入 = 保持改造前行为（本地插件换机丢失）。
+     */
+    localPluginPack?: LocalPluginPackHook;
+    /**
+     * self 分区：插件自身配置目录（相对 ~/.dsh 根，如 'dsh-config-manager'）。
+     * 缺省 'dsh-config-manager'；传入 '' 表示不挂载（宿主自定义 dataDir 在 homeDir 外时）。
+     */
+    selfDir?: string;
+}
+/** 组装默认 adapter 列表（pluginFiles/sessions 恒挂载但 defaultIncluded=false，用户勾选才导出） */
+export declare function createAdapters(options?: AdapterRegistryOptions): ConfigAdapter[];
+export type { NamespaceProvider } from './settings.ts';
+export type { CredentialRefsProvider } from './credentials.ts';
+export { SettingsAdapter } from './settings.ts';
+export { UiAdapter, isUiNamespace, KNOWN_UI_NAMESPACE_PREFIXES, UI_MIGRATION_NOTES } from './ui.ts';
+export { ProvidersAdapter, DEFAULT_PROVIDER_NAMESPACES, type ProviderExportEntry, type ProviderExportSection } from './providers.ts';
+export { PluginsAdapter, USER_PATCH_FILE } from './plugins.ts';
+export type { LocalPluginPackHook } from './plugins.ts';
+export { McpAdapter, extractMcpServers, buildMcpPatchLine, type McpExportEntry, type McpExportSection } from './mcp.ts';
+export { PromptsAdapter, extractPrompts, mergePromptIntoLine, buildPromptLine, type PromptExportEntry, type PromptsExportSection } from './prompts.ts';
+export { SkillsAdapter } from './skills.ts';
+export { AgentPresetsAdapter } from './agent-presets.ts';
+export { AgentInstructionsAdapter } from './agent-instructions.ts';
+export { WorkspacesAdapter } from './workspaces.ts';
+export { CredentialsAdapter, defaultCredentialRefs } from './credentials.ts';
+export { PluginFilesAdapter, DEFAULT_PLUGIN_FILE_WHITELIST } from './plugin-files.ts';
+export { SessionsAdapter } from './sessions.ts';
+export { SelfAdapter, SELF_CONFIG_FILES } from './self.ts';
+export { FileCollectionAdapter } from './file-collection.ts';