@max-null/dsh-plugin-center 0.2.13 → 0.2.14

package/dist/engine.d.ts

@@ -8,7 +8,8 @@
 import { Service, type Context } from '@deepseek-ai/cordis';
 import { type InstalledPlugin } from './meta.ts';
 import { type MarketPlugin } from './market.ts';
-import { type PnpmResult, type UpdateDigest } from './update.ts';
+import { type LlmUpdatePackage, type PnpmResult, type UpdateDigest } from './update.ts';
+import { type LlmLogRecord } from './llm-log.ts';
 declare module '@deepseek-ai/cordis' {
     interface Context {
         /** The plugin-center engine (provided by this package's host half). */
@@ -75,6 +76,11 @@ export declare class PluginCenterEngine extends Service {
     readVersions(): Promise<Record<string, string>>;
     /** Persist the read-mark (best-effort; a quota/IO failure just loses the mark). */
     markRead(versions: Record<string, string>): Promise<void>;
+    /** 弹窗当天已展示标记（2026-08-27）：host 文件（DSH web 端口随机，
+     *  localStorage 按 origin 隔离会丢；文件侧稳定）。 */
+    private get whatsNewDailyPath();
+    whatsNewDaily(): Promise<string>;
+    markWhatsNewDaily(day: string): Promise<void>;
     /** Current DSH version, read from the installed @deepseek-ai/dsh package. */
     dshVersion(): Promise<string>;
     /** Non-group Loader entries, cross-matched with market categories. */
@@ -105,6 +111,20 @@ export declare class PluginCenterEngine extends Service {
      *     - 官方 dsh web（无消费方）→ 仿社区市场返回可复制 CLI 指令；
      *  3. 非锁失败（网络/版本）→ 原样报错。 */
     update(name: string, version: string): Promise<PnpmResult>;
+    /** LLM 驱动更新准备：采集信息包供确认面板/会话 prompt 使用（2026-08-28）。
+     *  只读采集（npm/GitHub/本地 package.json），不执行任何安装——执行由 LLM
+     *  Agent 在「插件更新」会话中按 skill 决策后完成。 */
+    llmUpdatePrepare(name: string): Promise<LlmUpdatePackage | null>;
+    /** 追加一条 LLM 更新动作日志(JSONL,供 client 轮询结果展示)。 */
+    appendLlmUpdateLog(entry: {
+        name: string;
+        action: string;
+        detail: string;
+        status: 'pending' | 'running' | 'success' | 'failed';
+    }): Promise<void>;
+    /** 读取某个插件最近一条 LLM 更新动作(JSONL 逆序找 name 匹配);
+     *  无记录返回 null。client 轮询据此做三态(进行中/成功/失败)。 */
+    readLlmUpdateResult(name: string): Promise<LlmLogRecord | null>;
     /** 串行执行一次 pnpm 操作并失效缓存（无论成败都放行链条后续任务）。 */
     private enqueuePnpm;
     /** Temporary diagnostics for the empty-update bug; removed once root-caused. */

package/dist/engine.js

@@ -12,9 +12,10 @@ import { mkdir, readFile, writeFile } from 'node:fs/promises';
 import { existsSync, readFileSync } from 'node:fs';
 import { buildInstalledPlugin, clearPackageCache, resolvePackage } from "./meta.js";
 import { fetchAwesomePluginsJson, fetchDshMarketPlugins, fetchOhMyDshOverrides, fetchOhMyDshPlugins, mapConcurrent, mergePlugins, } from "./market.js";
-import { detectUpdate, installPlugin, preparePluginUpdate, updatePlugin } from "./update.js";
+import { detectUpdate, installPlugin, preparePluginUpdate, updatePlugin, buildLlmPackage, dependencySpecifierOf, isSameUpstream, sourceOf, } from "./update.js";
 import { reconcileInstalled, readDependencyKeys } from "./reconcile.js";
 import { readDisabledState, setDisabled, escapeRegExp } from "./toggle.js";
+import { appendLlmLog, readLlmLogLatest } from "./llm-log.js";
 /** Runtime mirror of cordis FiberState (a cross-package const enum). */
 const FIBER_PHASE = {
     0: 'pending',
@@ -135,6 +136,30 @@ export class PluginCenterEngine extends Service {
         }
         catch { /* best-effort */ }
     }
+    /** 弹窗当天已展示标记（2026-08-27）：host 文件（DSH web 端口随机，
+     *  localStorage 按 origin 隔离会丢；文件侧稳定）。 */
+    get whatsNewDailyPath() {
+        return join(this.dshHome, 'plugin-center-whatsnew-daily.json');
+    }
+    async whatsNewDaily() {
+        try {
+            const parsed = JSON.parse(await readFile(this.whatsNewDailyPath, 'utf8'));
+            return typeof parsed === 'object' && parsed !== null && typeof parsed.day === 'string'
+                ? parsed.day
+                : '';
+        }
+        catch {
+            return '';
+        }
+    }
+    async markWhatsNewDaily(day) {
+        try {
+            const path = this.whatsNewDailyPath;
+            await mkdir(dirname(path), { recursive: true });
+            await writeFile(path, JSON.stringify({ day, at: new Date().toISOString() }), 'utf8');
+        }
+        catch { /* best-effort */ }
+    }
     /** Current DSH version, read from the installed @deepseek-ai/dsh package. */
     async dshVersion() {
         const resolved = await resolvePackage(this.baseUrl, '@deepseek-ai/dsh');
@@ -310,7 +335,22 @@ export class PluginCenterEngine extends Service {
             return hit.digests;
         const [installed, localDsh] = await Promise.all([this.listInstalled(), this.dshVersion()]);
         const candidates = installed.filter(p => UPDATABLE.has(p.source) && p.version !== null);
-        const digests = await Promise.all(candidates.map(p => detectUpdate(p.name, p.version, p.repoUrl, p.compatRange, localDsh, sinceIso)));
+        const digests = await Promise.all(candidates.map(async (p) => {
+            // 同名异源保护(2026-08-29):本地自定义来源(依赖声明 vendor/tarball/
+            // local-file)时,校验 npm 同名包是否同一上游——不一致(如 dream12347
+            // 定制 vs hkkz9522 独立同名项目)排除出更新列表,防误报与覆盖定制。
+            // 无法判定(任一侧缺 repository,如 dsh-session-manager 0.2.2 作者未
+            // 声明)同样排除:宁少报不漏报——漏报只少一个提示,误报是 LLM 白跑 +
+            // 用户被误导;人工核对入口见 InstalledView/LLM 会话。
+            const spec = dependencySpecifierOf(this.baseUrl, p.name);
+            const src = spec === null ? 'npm' : sourceOf(spec, this.baseUrl);
+            if (src === 'vendor' || src === 'tarball' || src === 'local-file') {
+                const same = await isSameUpstream(p.repoUrl, p.name);
+                if (same !== true)
+                    return null;
+            }
+            return detectUpdate(p.name, p.version, p.repoUrl, p.compatRange, localDsh, sinceIso);
+        }));
         this.updatesCache = { since: sinceIso, at: now, digests: digests.filter((d) => d !== null) };
         return this.updatesCache.digests;
     }
@@ -357,6 +397,29 @@ export class PluginCenterEngine extends Service {
         const profileName = basename(this.baseUrl) || 'web';
         return { ok: true, detail: '', durationMs: direct.durationMs, command: `dsh plugin --profile ${profileName} add ${name}@${version}` };
     }
+    /** LLM 驱动更新准备：采集信息包供确认面板/会话 prompt 使用（2026-08-28）。
+     *  只读采集（npm/GitHub/本地 package.json），不执行任何安装——执行由 LLM
+     *  Agent 在「插件更新」会话中按 skill 决策后完成。 */
+    async llmUpdatePrepare(name) {
+        // 从已安装列表找该插件的元数据（版本/repo/兼容范围）
+        const installed = await this.listInstalled();
+        const p = installed.find(i => i.name === name);
+        if (p === undefined || p.version === null)
+            return null;
+        const localDsh = await this.dshVersion();
+        const since = new Date(Date.now() - 30 * 24 * 3600 * 1000).toISOString();
+        // detectUpdate 同款采集参数,复用 buildLlmPackage
+        return buildLlmPackage(p.name, p.version, p.repoUrl, p.compatRange, localDsh, since, this.baseUrl);
+    }
+    /** 追加一条 LLM 更新动作日志(JSONL,供 client 轮询结果展示)。 */
+    async appendLlmUpdateLog(entry) {
+        await appendLlmLog(entry);
+    }
+    /** 读取某个插件最近一条 LLM 更新动作(JSONL 逆序找 name 匹配);
+     *  无记录返回 null。client 轮询据此做三态(进行中/成功/失败)。 */
+    async readLlmUpdateResult(name) {
+        return readLlmLogLatest(name);
+    }
     /** 串行执行一次 pnpm 操作并失效缓存（无论成败都放行链条后续任务）。 */
     enqueuePnpm(op) {
         const run = this.pnpmChain.then(async () => {

package/dist/llm-log.d.ts

@@ -0,0 +1,25 @@
+export type LlmLogStatus = 'pending' | 'running' | 'success' | 'failed';
+export interface LlmLogEntry {
+    name: string;
+    action: string;
+    detail: string;
+    status: LlmLogStatus;
+}
+/** 最近一条记录(JSONL 逆序找 name 匹配;坏行跳过;无记录/文件缺失 → null)。 */
+export interface LlmLogRecord {
+    at: number;
+    name: string;
+    action: string;
+    detail: string;
+    status: LlmLogStatus;
+}
+/** 日志文件路径(DSH_HOME 未设时回退 ~/.dsh)。 */
+export declare function llmLogPath(dshHome?: string | undefined): string;
+/** 追加一条记录(目录自动创建;失败静默——日志绝不阻断主流程)。 */
+export declare function appendLlmLog(entry: LlmLogEntry, dshHome?: string | undefined): Promise<void>;
+/** 解析一行 JSON:合法且 name 匹配 → 记录;其他 → null。 */
+export declare function parseLlmLogLine(line: string, name: string): LlmLogRecord | null;
+/** 读取某插件最近一条记录(逆序;文件缺失/全坏行 → null)。 */
+export declare function readLlmLogLatest(name: string, dshHome?: string | undefined): Promise<LlmLogRecord | null>;
+/** 按文本扫最后一行含 name 的 JSON(提取解析出的 attr——测试断言用)。 */
+export declare function extractLlmLogField(line: string): Record<string, unknown> | null;

package/dist/llm-log.js

@@ -0,0 +1,70 @@
+/**
+ * LLM 更新动作日志(JSONL)——纯文件读写模块(无 engine 依赖,可单测)。
+ * 文件位置:$DSH_HOME/plugin-center/llm-update-log.jsonl
+ * 行格式:{"at":number,"name":string,"action":string,"detail":string,"status":...}
+ * client 侧轮询 llm-update.result 依赖此文件做三态(执行中/成功/失败)。
+ */
+import { appendFile, mkdir, readFile } from 'node:fs/promises';
+import { dirname, join } from 'node:path';
+import { homedir } from 'node:os';
+/** 日志文件路径(DSH_HOME 未设时回退 ~/.dsh)。 */
+export function llmLogPath(dshHome = process.env.DSH_HOME) {
+    return join(dshHome ?? join(homedir(), '.dsh'), 'plugin-center', 'llm-update-log.jsonl');
+}
+/** 追加一条记录(目录自动创建;失败静默——日志绝不阻断主流程)。 */
+export async function appendLlmLog(entry, dshHome) {
+    try {
+        const file = llmLogPath(dshHome);
+        await mkdir(dirname(file), { recursive: true });
+        const line = JSON.stringify({ at: Date.now(), ...entry }) + '\n';
+        await appendFile(file, line, 'utf8');
+    }
+    catch { /* best-effort */ }
+}
+/** 解析一行 JSON:合法且 name 匹配 → 记录;其他 → null。 */
+export function parseLlmLogLine(line, name) {
+    try {
+        const rec = JSON.parse(line);
+        if (rec.name !== name)
+            return null;
+        const status = rec.status === 'pending' || rec.status === 'running' || rec.status === 'success' || rec.status === 'failed' ? rec.status : 'running';
+        return {
+            at: typeof rec.at === 'number' ? rec.at : 0,
+            name,
+            action: typeof rec.action === 'string' ? rec.action : '',
+            detail: typeof rec.detail === 'string' ? rec.detail : '',
+            status,
+        };
+    }
+    catch {
+        return null;
+    }
+}
+/** 读取某插件最近一条记录(逆序;文件缺失/全坏行 → null)。 */
+export async function readLlmLogLatest(name, dshHome) {
+    try {
+        const text = await readFile(llmLogPath(dshHome), 'utf8');
+        const lines = text.split('\n');
+        for (let i = lines.length - 1; i >= 0; i--) {
+            const line = lines[i]?.trim();
+            if (line === undefined || line === '')
+                continue;
+            const rec = parseLlmLogLine(line, name);
+            if (rec !== null)
+                return rec;
+        }
+        return null;
+    }
+    catch {
+        return null;
+    }
+}
+/** 按文本扫最后一行含 name 的 JSON(提取解析出的 attr——测试断言用)。 */
+export function extractLlmLogField(line) {
+    try {
+        return JSON.parse(line);
+    }
+    catch {
+        return null;
+    }
+}

package/dist/rpc.js

@@ -54,6 +54,37 @@ export class PluginCenterRpc extends Service {
                             },
                         };
                     }
+                    case 'llm-update.prepare': {
+                        // LLM 驱动更新信息包(只读采集):来源/版本/兼容/变更,供确认面板与
+                        // 会话 prompt。执行由 LLM Agent 在插件更新会话中按 skill 决策完成。
+                        const name = payload?.name;
+                        if (typeof name !== 'string' || name === '')
+                            return internal('llm-update.prepare: name is required');
+                        const pkg = await ctx.pluginCenter.llmUpdatePrepare(name);
+                        if (pkg === null)
+                            return internal('llm-update.prepare: 插件不存在或版本未知');
+                        return { ok: true, value: pkg };
+                    }
+                    case 'llm-update.log': {
+                        // 追加一条 LLM 更新动作日志(host JSONL,client 轮询结果展示)。
+                        const p = payload;
+                        if (typeof p?.name !== 'string' || typeof p.status !== 'string')
+                            return internal('llm-update.log: bad payload');
+                        await ctx.pluginCenter.appendLlmUpdateLog({
+                            name: p.name,
+                            action: typeof p.action === 'string' ? p.action : '',
+                            detail: typeof p.detail === 'string' ? p.detail : '',
+                            status: p.status,
+                        });
+                        return { ok: true, value: null };
+                    }
+                    case 'llm-update.result': {
+                        // 读某插件最近一条 LLM 更新动作(轮询三态:running/success/failed)。
+                        const name = payload?.name;
+                        if (typeof name !== 'string' || name === '')
+                            return internal('llm-update.result: name is required');
+                        return { ok: true, value: await ctx.pluginCenter.readLlmUpdateResult(name) };
+                    }
                     case 'toggle': {
                         const payload2 = payload;
                         const id = payload2?.id;
@@ -89,6 +120,14 @@ export class PluginCenterRpc extends Service {
                         const versions = payload?.versions ?? {};
                         return { ok: true, value: await ctx.pluginCenter.markRead(versions) };
                     }
+                    case 'whatsNewDaily':
+                        return { ok: true, value: await ctx.pluginCenter.whatsNewDaily() };
+                    case 'markWhatsNewDaily': {
+                        const day = payload?.day;
+                        if (typeof day !== 'string' || day === '')
+                            return internal('markWhatsNewDaily: day is required');
+                        return { ok: true, value: await ctx.pluginCenter.markWhatsNewDaily(day) };
+                    }
                     default:
                         return internal(`unknown endpoint "${endpoint}"`);
                 }

package/dist/update.d.ts

@@ -7,8 +7,24 @@ export interface UpdateDigest {
     compat: 'compatible' | 'incompatible' | 'unknown';
     compatRange: string | null;
 }
+/** 服务面判定:目标客户端 bundle 是否深度依赖 Remote BFF(ctx.remote.*)。
+ *  SSiD 内核(0.1.x)无 remote BFF 服务(走 /plugin-center RPC channel),
+ *  这类版本在 SSiD 上必然「pending waiting for service: remote.session」。
+ *  案例: dsh-sidebar-qa 0.4.1/0.4.2(2026-08-29 两次实崩)。 */
+export declare function clientBundleUsesRemote(content: string): boolean;
+/** 下载目标 tgz 并抽取 client bundle,判定 remote 服务依赖。
+ *  仅返回 boolean 不用 pnpm(直接 registry 下载 tgz + bsdtar 抽文件)。 */
+export declare function targetClientUsesRemote(name: string, version: string): Promise<boolean>;
 /** Latest published version on the npm registry; null when unreachable/unpublished. */
 export declare function npmLatest(packageName: string): Promise<string | null>;
+/** 测试用:清空 repository 缓存(生产无调用)。 */
+export declare function clearNpmRepoCache(): void;
+/** 读 npm 包根级 repository.url(带 24h 缓存;失败/缺失 null)。 */
+export declare function npmRepository(packageName: string): Promise<string | null>;
+/** 仓库 URL 归一化(去 scheme/git+ 前缀/尾 .git/尾斜杠/大小写)用于同源比较。 */
+export declare function normalizeRepoUrl(url: string): string;
+/** 同源判定:true=同一上游;false=同名异源;null=无法判定(任一侧缺 repo)。 */
+export declare function isSameUpstream(localRepoUrl: string | null, packageName: string): Promise<boolean | null>;
 /** Commit-message changelog: the reliable source for repos without release notes. */
 export declare function fetchCommitChangelog(repoUrl: string | null, sinceIso: string): Promise<string[]>;
 /**
@@ -122,3 +138,44 @@ export declare function hostFilesChanged(before: FileIdentity[], after: FileIden
  * `minimumReleaseAgeExclude` itself (2026-08-18, reproduced in-process).
  */
 export declare function updatePlugin(packageName: string, version: string, profileDir: string): Promise<PnpmResult>;
+/** 插件来源判定：依据依赖声明形态 + profile 目录（复用前置设计 §4.2 算法）。
+ *  vendor 定制是 SSiD 生态核心（open-sea-skin/genui/panels 均本地魔改），
+ *  机械更新会把 file: 覆盖回 npm —— 来源标记给 LLM 决策「保持 vendor」。 */
+export type PluginSource = 'official' | 'npm' | 'vendor' | 'tarball' | 'local-file';
+export declare function sourceOf(specifier: string, profileDir: string): PluginSource;
+/** 读 profile dependencies 里该插件的声明形态（npm 纯净 / file: vendor / link: 等）。 */
+export declare function dependencySpecifierOf(profileDir: string, name: string): string | null;
+/** LLM 更新信息包:在 UpdateDigest 基础上补充来源/定制标记,驱动 Agent 决策。 */
+export interface LlmUpdatePackage {
+    name: string;
+    /** 当前本地版本(实体 package.json)。 */
+    fromVersion: string;
+    /** npm latest(可 null=未发布/不可达,LLM 走 GitHub commit 路径)。 */
+    toVersion: string | null;
+    /** GitHub commit changelog(更新前后差异,截前 10 条)。 */
+    changelog: string[];
+    /** DSH 兼容性(peer 检查)。 */
+    compat: 'compatible' | 'incompatible' | 'unknown';
+    /** peer 声明的 DSH 版本范围。 */
+    compatRange: string | null;
+    /** 来源判定。 */
+    source: PluginSource;
+    /** 依赖声明形态(file:/github:等等),机械更新可能覆盖定制的线索。 */
+    specifier: string | null;
+    /** 是否本地定制(vendor/tarball/local-file)。 */
+    isVendorModified: boolean;
+    /** 插件所在 profile 目录(host 运行时锚点;LLM 只允许在此目录内操作)。
+     *  内部技术字段——不直接展示给用户,由 runtimeLabel 承担语义化表达。 */
+    profileDir: string;
+    /** 同名异源警告:npm 同名包与本地上游不是同一项目(repository 不一致)。
+     *  真机案例: dsh-session-manager(dream12347 定制)vs npm 0.4.1(独立项目)。 */
+    upstreamMismatch: boolean;
+    /** 用户可读的环境标签(小白视角):'SSID'(思灵应用内)/'DSH-WEB'。 */
+    runtimeLabel: string;
+    /** 已组装的 Agent prompt(host 单一来源,client 直接注入会话)。 */
+    prompt: string;
+}
+/** 采集一个插件用于 LLM 更新的完整信息包。 */
+export declare function buildLlmPackage(name: string, localVersion: string, repoUrl: string | null, compatRange: string | null, localDshVersion: string, sinceIso: string, profileDir: string): Promise<LlmUpdatePackage>;
+/** 组装发给 LLM 会话的 prompt(角色设定 + 信息包 + 规则引用)。 */
+export declare function buildLlmPrompt(pkg: LlmUpdatePackage): string;

package/dist/update.js

@@ -3,12 +3,63 @@
  * npm registry is the primary version source; changelog is commit-history
  * first (many community repos ship no release/tag/CHANGELOG — verified §7.2).
  */
-import { spawn } from 'node:child_process';
-import { appendFileSync, existsSync, mkdirSync, readdirSync, readFileSync, rmSync, statSync, writeFileSync } from 'node:fs';
+import { execFileSync, spawn } from 'node:child_process';
+import { appendFileSync, existsSync, mkdirSync, mkdtempSync, readdirSync, readFileSync, rmSync, statSync, writeFileSync } from 'node:fs';
 import { createHash } from 'node:crypto';
 import { homedir } from 'node:os';
 import { join } from 'node:path';
 import { compareVersions, satisfies } from "./semver.js";
+/** 服务面判定:目标客户端 bundle 是否深度依赖 Remote BFF(ctx.remote.*)。
+ *  SSiD 内核(0.1.x)无 remote BFF 服务(走 /plugin-center RPC channel),
+ *  这类版本在 SSiD 上必然「pending waiting for service: remote.session」。
+ *  案例: dsh-sidebar-qa 0.4.1/0.4.2(2026-08-29 两次实崩)。 */
+export function clientBundleUsesRemote(content) {
+    return /ctx\.remote\.[a-zA-Z_$]+\./.test(content);
+}
+/** 目标版本客户端 bundle 缓存:name@version → true/false。 */
+const remoteUseCache = new Map();
+/** 下载目标 tgz 并抽取 client bundle,判定 remote 服务依赖。
+ *  仅返回 boolean 不用 pnpm(直接 registry 下载 tgz + bsdtar 抽文件)。 */
+export async function targetClientUsesRemote(name, version) {
+    const key = `${name}@${version}`;
+    const hit = remoteUseCache.get(key);
+    if (hit !== undefined)
+        return hit;
+    let result = false;
+    const tmp = mkdtempSync(join(homedir(), '.dsh', 'tmp-remoteprobe-'));
+    try {
+        const tarballName = `${name.replace(/^@.*\//, '')}-${version}.tgz`;
+        for (const registry of ['https://registry.npmjs.org', 'https://registry.npmmirror.com']) {
+            try {
+                const res = await fetch(`${registry}/${name}/-/${tarballName}`, { signal: AbortSignal.timeout(15000) });
+                if (!res.ok)
+                    continue;
+                const tgz = join(tmp, tarballName);
+                writeFileSync(tgz, Buffer.from(await res.arrayBuffer()));
+                // 找 client bundle 文件(约定 client.js / lib/client.js / client/*.js)
+                const listing = execFileSync('tar', ['-tzf', tgz], { encoding: 'utf8', timeout: 30000 });
+                const lines = (listing ?? '').split('\n').map(l => l.trim()).filter(l => l.endsWith('.js'));
+                const candidates = lines.filter(l => /(^|\/)client(\.js|\/)|\/client\//.test(l) || l.includes('/client.js'));
+                const file = candidates.find(l => l.endsWith('client.js'));
+                if (file !== undefined) {
+                    const bundle = execFileSync('tar', ['-xzOf', tgz, file], { encoding: 'utf8', timeout: 30000 });
+                    result = clientBundleUsesRemote(String(bundle));
+                }
+                break;
+            }
+            catch { /* next registry */ }
+        }
+    }
+    catch { /* 任何失败保持 false(不误伤) */ }
+    finally {
+        try {
+            rmSync(tmp, { recursive: true, force: true });
+        }
+        catch { /* best-effort */ }
+    }
+    remoteUseCache.set(key, result);
+    return result;
+}
 const UA = { 'User-Agent': 'dsh-plugin-center' };
 /** Latest published version on the npm registry; null when unreachable/unpublished. */
 export async function npmLatest(packageName) {
@@ -24,6 +75,62 @@ export async function npmLatest(packageName) {
     }
     return null;
 }
+// ---- 上游同源判定(2026-08-29):包名相同 ≠ 同一项目 ---------------
+// 案例: dsh-session-manager 本地 0.2.2(dream12347 定制)vs npm 0.4.1
+// (hkkz9522 独立同名项目)——机械升级按包名匹配会误报并覆盖定制。
+// 本地为 vendor/tarball/local-file 来源时,校验两边 repository 是否一致。
+const npmRepoCache = new Map();
+const NPM_REPO_TTL = 24 * 3600_000;
+/** 测试用:清空 repository 缓存(生产无调用)。 */
+export function clearNpmRepoCache() { npmRepoCache.clear(); }
+/** 读 npm 包根级 repository.url(带 24h 缓存;失败/缺失 null)。 */
+export async function npmRepository(packageName) {
+    const hit = npmRepoCache.get(packageName);
+    if (hit !== undefined && Date.now() - hit.at < NPM_REPO_TTL)
+        return hit.repo;
+    let repo = null;
+    for (const registry of ['https://registry.npmjs.org', 'https://registry.npmmirror.com']) {
+        try {
+            const res = await fetch(`${registry}/${packageName}`, { signal: AbortSignal.timeout(8000) });
+            if (res.ok) {
+                const doc = await res.json();
+                repo = typeof doc.repository === 'object' && doc.repository !== null ? doc.repository.url ?? null : typeof doc.repository === 'string' ? doc.repository : null;
+                break;
+            }
+        }
+        catch { /* next registry */ }
+    }
+    const entry = { at: Date.now(), repo };
+    npmRepoCache.set(packageName, entry);
+    return repo;
+}
+/** 仓库 URL 归一化(去 scheme/git+ 前缀/尾 .git/尾斜杠/大小写)用于同源比较。 */
+export function normalizeRepoUrl(url) {
+    return url
+        .trim()
+        .replace(/^git\+/, '')
+        .replace(/^https?:\/\//, '')
+        .replace(/^git:\/\//, '')
+        .replace(/^ssh:\/\/git@/, '')
+        .replace(/\.git$/, '')
+        .replace(/\/$/, '')
+        .replace(/^github\.com\//, '')
+        .replace(/@/g, '')
+        .toLowerCase();
+}
+/** 同源判定:true=同一上游;false=同名异源;null=无法判定(任一侧缺 repo)。 */
+export async function isSameUpstream(localRepoUrl, packageName) {
+    if (localRepoUrl === null)
+        return null;
+    const npmRepo = await npmRepository(packageName);
+    if (npmRepo === null)
+        return null;
+    const a = normalizeRepoUrl(localRepoUrl);
+    const b = normalizeRepoUrl(npmRepo);
+    if (a === '' || b === '')
+        return null;
+    return a === b;
+}
 /** Extract owner/repo from a package.json repository field. */
 function repoOf(repoUrl) {
     if (repoUrl === null)
@@ -62,6 +169,12 @@ export async function detectUpdate(name, localVersion, repoUrl, compatRange, loc
     if (compatRange !== null) {
         compat = satisfies(localDshVersion, compatRange) ? 'compatible' : 'incompatible';
     }
+    // 服务面校验(SSiD 专用):目标版本客户端依赖 Remote BFF(ctx.remote.*)而
+    // SSiD 内核无该服务 → 标不兼容(否则升级后内核启动即 failed)。
+    if (compat !== 'incompatible' && process.env.SSID_PENDING_CONSUMER === '1') {
+        if (await targetClientUsesRemote(name, latest))
+            compat = 'incompatible';
+    }
     return {
         name,
         fromVersion: localVersion,
@@ -475,3 +588,93 @@ export async function updatePlugin(packageName, version, profileDir) {
     }
     return result;
 }
+export function sourceOf(specifier, profileDir) {
+    if (specifier.startsWith('@deepseek-ai/dsh-'))
+        return 'official';
+    // tarball 判定必须在 vendor 之前(否则 'file:./vendor/x.tgz' 被 vendor 分支截胡)。
+    if (specifier.startsWith('file:./vendor/') && specifier.endsWith('.tgz'))
+        return 'tarball';
+    if (specifier.startsWith('file:./vendor/'))
+        return 'vendor';
+    if (specifier.startsWith('file:') || specifier.startsWith('link:'))
+        return 'local-file';
+    if (specifier.startsWith('github:') || specifier.startsWith('git+'))
+        return 'tarball';
+    // ^x.y.z / x.y.z / ~x.y.z → npm 源
+    return 'npm';
+}
+/** 读 profile dependencies 里该插件的声明形态（npm 纯净 / file: vendor / link: 等）。 */
+export function dependencySpecifierOf(profileDir, name) {
+    try {
+        const pkg = JSON.parse(readFileSync(join(profileDir, 'package.json'), 'utf8'));
+        return pkg.dependencies?.[name] ?? null;
+    }
+    catch {
+        return null;
+    }
+}
+/** 采集一个插件用于 LLM 更新的完整信息包。 */
+export async function buildLlmPackage(name, localVersion, repoUrl, compatRange, localDshVersion, sinceIso, profileDir) {
+    const latest = await npmLatest(name);
+    const specifier = dependencySpecifierOf(profileDir, name);
+    const source = specifier === null ? 'npm' : sourceOf(specifier, profileDir);
+    const isVendorModified = source === 'vendor' || source === 'tarball' || source === 'local-file';
+    // 同名异源:本地非 npm 来源时校验 npm 同名包上游是否一致(不一致 → 警告)。
+    const upstreamMismatch = (source === 'vendor' || source === 'tarball' || source === 'local-file')
+        ? (await isSameUpstream(repoUrl, name)) === false
+        : false;
+    let compat = 'unknown';
+    if (compatRange !== null) {
+        compat = satisfies(localDshVersion, compatRange) ? 'compatible' : 'incompatible';
+    }
+    // 服务面校验(SSiD 专用):目标版本依赖 Remote BFF 服务 → 不兼容(LLM 直接 keep)。
+    if (compat !== 'incompatible' && latest !== null && process.env.SSID_PENDING_CONSUMER === '1') {
+        if (await targetClientUsesRemote(name, latest))
+            compat = 'incompatible';
+    }
+    const pkg = {
+        name,
+        fromVersion: localVersion,
+        toVersion: latest,
+        // 变更取 commit changelog(与 detectUpdate 一致,社区 repo 常无 release notes)
+        changelog: (await fetchCommitChangelog(repoUrl, sinceIso)).slice(0, 10),
+        compat,
+        compatRange,
+        source,
+        specifier,
+        isVendorModified,
+        profileDir,
+        upstreamMismatch,
+        // 小白视角环境标签:SSiD 内核(kernel.ts)在 boot 时设置该变量;官方 DSH web 无。
+        runtimeLabel: process.env.SSID_PENDING_CONSUMER === '1' ? 'SSID' : 'DSH-WEB',
+        prompt: '',
+    };
+    return { ...pkg, prompt: buildLlmPrompt(pkg) };
+}
+/** 组装发给 LLM 会话的 prompt(角色设定 + 信息包 + 规则引用)。 */
+export function buildLlmPrompt(pkg) {
+    const srcBadge = pkg.source.toUpperCase();
+    return [
+        '你是 dsh 插件更新决策 Agent。请严格按「dsh-plugin-upgrade」skill 的规则决策并执行本插件更新。',
+        '',
+        `插件: ${pkg.name}`,
+        `当前版本: ${pkg.fromVersion}`,
+        `npm 最新: ${pkg.toVersion ?? '(未发布或不可达)'}`,
+        `来源: ${srcBadge}${pkg.isVendorModified ? '(本地定制!机械更新会覆盖,需核对作者是否已采纳)' : ''}`,
+        ...(pkg.upstreamMismatch ? [`同名异源警告: npm 上的 ${pkg.name} 与本地上游不是同一项目(repository 不一致,如独立同名项目),升级将丢失本地定制——执行前务必核实来源。`] : []),
+        `依赖声明: ${pkg.specifier ?? '(非 npm 依赖)'}`,
+        `安装位置: ${pkg.profileDir}(唯一允许操作目录!本会话工作区与之不同,严禁按会话 cwd 操作)`,
+        `DSH 兼容: ${pkg.compat} (要求 ${pkg.compatRange ?? '未知'})`,
+        `变更: ${pkg.changelog.join('; ') || '(无 changelog,查 GitHub release/tag)'}`,
+        '',
+        '规则要点(详见 skill): ',
+        '1. 本地超前于 npm → 保持本地,不升级(vendor 魔改第一优先)。',
+        '2. vendor/定制 → 下载 npm 版对比是否已被作者采纳;采纳后切 npm 版,未采纳保持 vendor。',
+        '3. peer 缺失/不兼容 → 检查依赖树,先修复或回退,禁止让 DSH 启动失败。',
+        '4. Windows EPERM 锁 → 走两段式(pending 预下载)或 CLI 指令。',
+        '5. pnpm exit 0 假执行 → 校验实体版本,不符则重试或给手动命令。',
+        '6. SSiD 预置插件升级 → 注意同步归档(profile-template/vendor)。',
+        '',
+        '完成后回传: 决策(action) + 执行摘要(detail) + 状态(upgrade/keep/switch-npm/failed)。',
+    ].join('\n');
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@max-null/dsh-plugin-center",
-  "version": "0.2.13",
+  "version": "0.2.14",
   "description": "Plugin center for DeepSeek Harness 閳?installed metadata, community market, update detection, and What's New",
   "license": "MIT",
   "publishConfig": {
@@ -22,7 +22,8 @@
     "dist",
     "client.js",
     "cordis.patch.yml",
-    "assets"
+    "assets",
+    "skills"
   ],
   "dsh": {
     "bundle": {
@@ -59,7 +60,8 @@
   },
   "scripts": {
     "build": "tsc -p tsconfig.json && node build-client.mjs",
-    "typecheck": "tsc --noEmit -p tsconfig.json"
+    "typecheck": "tsc --noEmit -p tsconfig.json",
+    "test": "vitest run"
   },
   "dependencies": {
     "js-yaml": "^4.1.0"
@@ -80,6 +82,7 @@
     "@types/react": "~18.3.1",
     "esbuild": "^0.24.0",
     "react": "^18.2.0",
-    "typescript": "^5.5.0"
+    "typescript": "^5.5.0",
+    "vitest": "^4.1.11"
   }
 }