@mrrisega/dsh-remote 0.7.7 → 0.7.9

package/dsh-setup.mjs

@@ -50,7 +50,16 @@ const DEFAULT_APP_URL = "https://n.risegao.cn:13443/app/";
 const REPO_URL = "https://github.com/mrRisega/dsh-remote";
 
 // ---------- 平台（0.6.7 起支持 Windows） ----------
-const IS_WIN = process.platform === "win32";
+/**
+ * 有效平台：`DSH_SETUP_PLATFORM` 可覆盖（**只用于测试**，让 win32 分支能在 macOS/Linux 上被
+ * 行为级跑一遍；生产不设置 → 与 `process.platform` 完全一致，行为不变）。
+ *
+ * 为什么值得开这个口子：Windows 的进程发现 / 自检扫描在开发机上根本跑不到，而它们恰恰是
+ * 最贵的一类 bug —— 2026-10 那次「活着的 bridge 被判成没运行 → 反复 taskkill → bridge_wedged」
+ * 里，win32 的两条扫描分支（`Name='node.exe'` 过滤 + doctor 的 tasklist 无命令行）**从来没被真正执行过**。
+ */
+const SETUP_PLATFORM = String(process.env.DSH_SETUP_PLATFORM || process.platform).toLowerCase();
+const IS_WIN = SETUP_PLATFORM === "win32";
 /**
  * Windows 自启动 = 任务计划程序（Task Scheduler）里的登录任务。
  * 为什么不是「启动文件夹快捷方式」：生成 .lnk 需要额外依赖或 COM 调用，而 schtasks 系统自带，
@@ -587,17 +596,55 @@ function schtasks(args, timeoutMs = 15000) {
   }
 }
 
-/** 写 pid 文件（Windows 进程发现用；失败不致命，插件半还有 PowerShell 兜底扫描）。 */
+/**
+ * 运行期留痕：写/删 pid 文件这类"非关键"动作失败时**必须留一行**（追加到安装日志）。
+ *
+ * 为什么不再静默 `catch {}`：pid 文件是插件半发现进程的唯一入口（Windows 无 pgrep/ps）。
+ * 它一旦"莫名消失"，现场能看到的只有「bridge 未运行」——而**为什么**消失（EBUSY / 杀软 /
+ * 权限 / 并发截断）一点线索都没有。2026-10 那次排查里，这一层缺失直接把方向带偏。
+ * 日志本身写失败也不得影响业务（磁盘满/目录不可写 → 静默放弃）。
+ */
+function logSetupIssue(line) {
+  try {
+    fs.mkdirSync(CONFIG_DIR, { recursive: true });
+    fs.appendFileSync(path.join(CONFIG_DIR, ".dsh-setup-install.log"),
+      `\n[${new Date().toISOString()}] [dsh-setup] ${line}\n`);
+  } catch { /* 日志失败不得影响业务 */ }
+}
+
+/** 写 pid 文件（Windows 进程发现用；失败不致命，插件半还有 PowerShell 兜底扫描，但必须留痕）。 */
 function writePidFile(name, pid) {
   if (!Number.isInteger(pid) || pid <= 0) return;
   try {
     fs.mkdirSync(CONFIG_DIR, { recursive: true });
     fs.writeFileSync(path.join(CONFIG_DIR, name), String(pid));
-  } catch { /* 非关键 */ }
+  } catch (e) {
+    logSetupIssue(`写 pid 文件失败（${name}，pid=${pid}）：${e && (e.code || e.message)}`);
+  }
 }
 
-function removePidFile(name) {
-  try { fs.rmSync(path.join(CONFIG_DIR, name), { force: true }); } catch { /* 非关键 */ }
+/**
+ * 删除 pid 文件。
+ *
+ * `expectPid`：**只在文件内容等于它时才删**（不传 = 旧语义「无条件删」，仅留给确实要清理
+ * 整份残留的场景；本文件 `run()` 里的所有调用点都必须传）。
+ *
+ * 为什么必须校验归属：pid 文件是"谁持有谁负责"的：父进程无条件删会把**别的实例（或孤儿）**
+ * 的 pid 文件删掉，状态立刻变成「进程还活着、pid 文件没了」。2026-10 事故的根因链第 2 步
+ * 正是这个：新 bridge 撞本地实例锁秒退 → watcher 的 exit 钩子无条件删 `.dsh-bridge.pid` →
+ * 真正持有隧道的孤儿 bridge 从面板上"消失" → 被判成"没运行" → 反复重启 → `bridge_wedged`。
+ */
+function removePidFile(name, expectPid = null) {
+  const file = path.join(CONFIG_DIR, name);
+  try {
+    if (expectPid != null) {
+      const cur = readPidFile(name);
+      if (cur !== expectPid) return; // 不是我们的（或已被别人改写/删除）→ 一个字节都不动
+    }
+    fs.rmSync(file, { force: true });
+  } catch (e) {
+    logSetupIssue(`删除 pid 文件失败（${name}）：${e && (e.code || e.message)}`);
+  }
 }
 
 function readPidFile(name) {
@@ -607,6 +654,22 @@ function readPidFile(name) {
   } catch { return null; }
 }
 
+/**
+ * 取某 pid 的**完整命令行**（跨平台）。取不到 → 空串（调用方一律按"不认识这个进程"处理）。
+ *
+ * Windows 分支是本次修复的关键之一：旧实现只有 `ps -p <pid> -o command=`，而 Windows
+ * 没有 `ps`（`sh()` 走 cmd.exe）⇒ `looksLikeWatcher/looksLikeBridge` 在 Windows 上**恒 false**
+ * ⇒ 接管/回收上一任进程这两条安全回收路径在 Windows 上**从不生效**。这里改用
+ * `windowsProcessCommandLine()`（PowerShell CIM 按 ProcessId 点查，与 bridge 自己
+ * `instanceLockVerdict` 用的是同族手法）。
+ */
+function processCommandLine(pid) {
+  if (!Number.isInteger(pid) || pid <= 0) return "";
+  if (IS_WIN) return windowsProcessCommandLine(pid);
+  const r = sh(`ps -p ${pid} -o command=`);
+  return r.ok ? String(r.stdout || "") : "";
+}
+
 /**
  * 这个 pid 看起来**真的**是 watcher 吗？
  *
@@ -616,22 +679,21 @@ function readPidFile(name) {
  */
 function looksLikeWatcher(pid) {
   if (!Number.isInteger(pid) || pid <= 0) return false;
-  const r = sh(`ps -p ${pid} -o command=`);
-  return Boolean(r.ok && /dsh-setup\.mjs/.test(r.stdout));
+  return /dsh-setup\.mjs/.test(processCommandLine(pid));
 }
 
 /**
  * 这个 pid 是不是我们的 **bridge 子进程**（不是 watcher、也不是别的 node）。
  *
  * 为什么要单独判：接管时我们要回收"上一任遗留的 bridge"，而 pid 可能已被系统回收给无关进程 ——
- * 对无关进程发 SIGKILL 是不可接受的。所以对 `ps` 出来的命令行做**双重**校验：
+ * 对无关进程发 SIGKILL 是不可接受的。所以对命令行做**双重**校验：
  * 必须同时出现 bridge 脚本名与 clients/dsh-remote 路径片段。
+ * （Windows 分支见 `processCommandLine`：Electron 宿主下拉起的 bridge 可能不叫 node.exe，
+ * 所以**不能**靠镜像名判断，只能靠命令行。）
  */
 function looksLikeBridge(pid) {
   if (!Number.isInteger(pid) || pid <= 0) return false;
-  const r = sh(`ps -p ${pid} -o command=`);
-  if (!r.ok) return false;
-  const cmd = String(r.stdout || "");
+  const cmd = processCommandLine(pid);
   return /dsh-bridge\.mjs/.test(cmd) && /clients[\\/]dsh-remote/.test(cmd);
 }
 
@@ -692,29 +754,60 @@ function isThisRuntimeBridgeCmd(cmd) {
   return norm(c).includes(norm(needle));
 }
 
-/** 列出本机属于**本运行时**的 bridge 进程 pid（命令行校验；取不到命令行 → 空数组）。 */
+/**
+ * Windows：一次性 PowerShell CIM **全量枚举**进程的 {pid, name, cmd}。
+ *
+ * 返回值的三态是**契约**（doctor 的"假证据"就是被两态混用坑出来的）：
+ *   · `null`  → **扫描不可用**（无 PowerShell / 超时 / 退出码非 0 / JSON 解析失败）
+ *   · `[]`    → 扫描成功，但确实一个进程都没有（或输出为空）
+ *   · 数组    → 扫描成功，逐项 `{ pid, name, cmd }`
+ *
+ * 🔴 为什么不按镜像名过滤（旧实现是 `-Filter "Name='node.exe'"`）：
+ *   桌面端（Electron）宿主起的 watcher 镜像名**一定不是** node.exe
+ *（`process.execPath` = 桌面端 exe），bridge 的镜像名则取决于本机有没有真 node
+ *（`preferredNode()` 回落 Electron 时为桌面端 exe）。按 node.exe 过滤 ⇒ 这类进程
+ * **永远扫不到** ⇒ 活着的孤儿 bridge 清不掉、doctor 恒报 0/0。
+ *   全量枚举 + 命令行匹配的代价是 PowerShell 多返回一些行（一次性 8s 上限），换来
+ * "与镜像名彻底解耦"——与 bridge 自己的单实例锁判定（按 ProcessId 查 CommandLine）同族手法。
+ */
+function windowsCimProcesses() {
+  if (!IS_WIN) return null;
+  const script = [
+    "try { $p = Get-CimInstance Win32_Process }",
+    "catch { $p = Get-WmiObject Win32_Process }",
+    "$p | Select-Object ProcessId,Name,CommandLine | ConvertTo-Json -Compress",
+  ].join("; ");
+  const encoded = Buffer.from(script, "utf16le").toString("base64");
+  try {
+    const r = spawnSync("powershell.exe", ["-NoProfile", "-NonInteractive", "-EncodedCommand", encoded],
+      { encoding: "utf8", timeout: 8000, windowsHide: true, maxBuffer: 8 * 1024 * 1024 });
+    if (r && r.error) return null;                                          // ENOENT（没 PowerShell）等
+    if (r && typeof r.status === "number" && r.status !== 0) return null;   // 命令失败 ≠ 没有进程
+    const raw = String((r && r.stdout) || "").trim();
+    if (!raw) return [];
+    const parsed = JSON.parse(raw);
+    const out = [];
+    for (const p of Array.isArray(parsed) ? parsed : [parsed]) {
+      const pid = Number(p && p.ProcessId);
+      if (!Number.isInteger(pid) || pid <= 0) continue;
+      out.push({ pid, name: String((p && p.Name) || ""), cmd: String((p && p.CommandLine) || "") });
+    }
+    return out;
+  } catch { return null; } // 无 PowerShell / 解析失败 → 调用方按"扫描不可用"处理，绝不输出 0
+}
+
+/** 列出本机属于**本运行时**的 bridge 进程 pid（命令行校验；扫描不可用/取不到命令行 → 空数组）。 */
 function listRuntimeBridgePids() {
   const pids = [];
   if (IS_WIN) {
-    // 一次性 PowerShell CIM 枚举（逐个 windowsProcessCommandLine 会起 N 个进程，太贵）
-    const script = [
-      "try { $p = Get-CimInstance Win32_Process -Filter \"Name='node.exe'\" }",
-      "catch { $p = Get-WmiObject Win32_Process -Filter \"Name='node.exe'\" }",
-      "$p | Select-Object ProcessId,CommandLine | ConvertTo-Json -Compress",
-    ].join("; ");
-    const encoded = Buffer.from(script, "utf16le").toString("base64");
-    try {
-      const r = spawnSync("powershell.exe", ["-NoProfile", "-NonInteractive", "-EncodedCommand", encoded],
-        { encoding: "utf8", timeout: 8000, windowsHide: true, maxBuffer: 8 * 1024 * 1024 });
-      const raw = String(r.stdout || "").trim();
-      if (raw) {
-        const parsed = JSON.parse(raw);
-        for (const p of Array.isArray(parsed) ? parsed : [parsed]) {
-          const pid = Number(p && p.ProcessId);
-          if (Number.isInteger(pid) && pid > 0 && isThisRuntimeBridgeCmd(p.CommandLine)) pids.push(pid);
-        }
-      }
-    } catch { /* 无 PowerShell / 解析失败 → 不杀任何进程 */ }
+    // 全量 CIM 枚举（**不按镜像名过滤**：Electron 宿主拉起的进程可能不叫 node.exe）
+    const procs = windowsCimProcesses();
+    if (!procs) return pids; // 扫描不可用 → 一个都不杀（失败方向必须是漏杀，不能误杀）
+    for (const p of procs) {
+      // isThisRuntimeBridgeCmd 的严格性保持不变：命令行必须同时含 dsh-bridge.mjs 与
+      // **本运行时**的 clients/dsh-remote 路径（另一个运行时目录的进程不动，避免跨配置目录误杀）
+      if (isThisRuntimeBridgeCmd(p.cmd)) pids.push(p.pid);
+    }
     return pids;
   }
   const r = sh("pgrep -fl 'dsh-bridge\\.mjs'");
@@ -1811,7 +1904,8 @@ async function runBridge() {
         if (pidAlive(leftover) && looksLikeBridge(leftover)) {
           try { process.kill(leftover, "SIGKILL"); } catch { /* 已退出 */ }
         }
-        removePidFile(BRIDGE_PID_FILE);
+        // 只删**刚才确认属于我们的**那个 pid（内容已核对过是 leftover）；不无条件删整份文件
+        removePidFile(BRIDGE_PID_FILE, leftover);
       }
     }
     // ── C2：清扫「pid 文件之外的孤儿 bridge」（命令行校验，绝不误杀）──────────────
@@ -1999,8 +2093,16 @@ async function runBridge() {
           // POSIX 上该选项被忽略。
           windowsHide: true
         });
+      // 记下这个子进程的 pid：退出钩子删 pid 文件时必须核对归属（见 removePidFile 注释）。
+      // 为什么不能直接用 bridgeProc.pid：bridgeProc 之后会被下一次 spawn 覆盖，而旧子进程的
+      // exit 回调仍会跑 —— 那时若去删"当前"pid 文件，就会把新实例的 pid 文件删掉。
+      const spawnedBridgePid = bridgeProc.pid;
       bridgeProc.on("exit", (code) => {
-        removePidFile(BRIDGE_PID_FILE);
+        // ⚠️ 只删**属于这个子进程**的 pid 文件（内容 == 它的 pid）。
+        // 旧实现无条件删：新 bridge 撞本地实例锁秒退（code=4）是**常态事件**，每次都把
+        // 真正活着的那条 bridge（孤儿）的 pid 文件删掉 → 面板「bridge 未运行」→ 反复重启
+        // → bridge_wedged。这是 2026-10 事故根因链的第 2 步。
+        removePidFile(BRIDGE_PID_FILE, spawnedBridgePid);
         // C2 互踢根治的 watcher 半边：bridge 连续 2 次收到 code=4000（= 本机已有同 deviceId 的
         // 另一个 bridge 把本连接顶掉）后会以"重复实例"退出码优雅退出（见 dsh-bridge.mjs）。
         // 这种退出**绝不能**照常 10s 重拉：本机已经有另一个实例在跑，重拉只会继续乒乓互踢。
@@ -2056,7 +2158,18 @@ async function runBridge() {
   // watcher 自身的 pid 也要落盘（插件半据此判断"守护在跑"并避免重复拉起）
   {
     writePidFile(WATCHER_PID_FILE, process.pid);
-    const cleanup = () => { removePidFile(WATCHER_PID_FILE); removePidFile(BRIDGE_PID_FILE); };
+    /**
+     * 退出清理：**只删属于自己的 pid 文件**。
+     * watcher 文件属于本进程；bridge 文件属于**本进程拉起的那个子进程**。
+     * 无条件删（旧行为）会把孤儿/别的实例的 pid 文件删掉 → 状态变成「进程还活着、pid 文件没了」，
+     * 正是本次事故根因链的第 2 步；失败方向必须是"残留一份过期文件"（插件按 pidAlive 会判掉），
+     * 而不是"删掉别人活着的证据"。
+     */
+    const cleanup = () => {
+      removePidFile(WATCHER_PID_FILE, process.pid);
+      const childPid = bridgeProc && bridgeProc.pid;
+      if (Number.isInteger(childPid) && childPid > 0) removePidFile(BRIDGE_PID_FILE, childPid);
+    };
     process.on("exit", cleanup);
     for (const sig of ["SIGINT", "SIGTERM", "SIGHUP", "SIGBREAK"]) {
       try {
@@ -3341,7 +3454,11 @@ async function doctorCmd(argv = []) {
   };
 
   console.log("dsh-remote 自检（doctor，只读，不改任何东西）");
-  console.log("时间:", new Date().toISOString(), "| 平台:", `${process.platform}/${process.arch}`, "| node:", process.version);
+  // 平台：若被 DSH_SETUP_PLATFORM 覆盖（仅测试用），如实标注 —— 否则"平台 darwin 却走了 win32 扫描"会非常难解释
+  const platformLabel = SETUP_PLATFORM === process.platform
+    ? `${process.platform}/${process.arch}`
+    : `${SETUP_PLATFORM}/${process.arch}（DSH_SETUP_PLATFORM 覆盖；实际 ${process.platform}）`;
+  console.log("时间:", new Date().toISOString(), "| 平台:", platformLabel, "| node:", process.version);
   console.log("配置目录:", CONFIG_DIR);
 
   // ── ① 插件与运行环境版本 ────────────────────────────────────────────────
@@ -3373,20 +3490,55 @@ async function doctorCmd(argv = []) {
   const bridgePid = readPidFile(BRIDGE_PID_FILE);
   console.log(`   watcher pid  : ${watcherPid || "-"}${watcherPid ? (alive(watcherPid) ? "（在跑）" : "（已死，pid 文件过期）") : ""}`);
   console.log(`   bridge pid   : ${bridgePid || "-"}${bridgePid ? (alive(bridgePid) ? "（在跑）" : "（已死，pid 文件过期）") : ""}`);
-  // 进程扫描（平台各自的方式）：只报数量，不猜
+  // 进程扫描（平台各自的方式）：只报**扫描拿到的真实数据**；扫不到就说"扫描不可用"。
+  //
+  // 🔴 旧实现是本次「假证据」的直接来源：Windows 侧用
+  //   `tasklist /FI "IMAGENAME eq node.exe" /FO CSV` 拿镜像名列表，再用
+  //   /dsh-setup\.mjs/、/dsh-bridge\.mjs/ 去过滤 **CSV 行** —— 而 tasklist 的输出里
+  //   **根本没有命令行**，于是两个计数在 Windows 上**恒为 0/0**，与真实情况毫无关系。
+  //   2026-10 那次排查正是被这条"证据"带向「进程真的没起来」的错误方向。
+  // 现在：Windows 复用 CIM 全量枚举（windowsCimProcesses，**带 CommandLine、不按镜像名过滤**），
+  //   按命令行分别统计 watcher / bridge，并打出 pid + 解释器名 + 命令行摘要；
+  //   扫描不可用（没 PowerShell / 超时 / 命令失败）时**显式打印「扫描不可用」**，
+  //   绝不输出一个会被误读成"没有进程"的 0。
   try {
-    const r = process.platform === "win32"
-      ? sh("tasklist /FI \"IMAGENAME eq node.exe\" /FO CSV 2>NUL")
-      : sh("pgrep -fl 'dsh-setup.mjs|dsh-bridge.mjs' 2>/dev/null");
-    const lines = String(r.stdout || "").split("\n").map((l) => l.trim()).filter((l) => l && !/pgrep/.test(l));
-    const watchers = lines.filter((l) => /dsh-setup\.mjs/.test(l));
-    const bridges = lines.filter((l) => /dsh-bridge\.mjs/.test(l)).filter((l) => !/dsh-setup/.test(l));
-    console.log(`   实测进程     : watcher ${watchers.length} 个 / bridge ${bridges.length} 个`);
-    if (watchers.length && !bridges.length) console.log("   ⚠️ 守护在跑、bridge 没起来 —— 这类情况看日志尾部（通常是在等 dsh web 或登录限流）");
-    if (!watchers.length && !bridges.length) {
-      console.log("   ⚠️ 一个进程都没在跑。手动起一次看报错：`dsh-remote run`（前台，能直接看到输出）");
-    }
-  } catch (e) { console.log(`   实测进程     : 扫描失败（${e.message}）`); }
+    if (IS_WIN) {
+      const procs = windowsCimProcesses();
+      if (!procs) {
+        console.log("   实测进程     : 扫描不可用（PowerShell/CIM 取不到进程列表：可能没装 PowerShell、被策略禁用或超时）");
+        console.log("   ⚠️ 这条**不能**当作「进程没在跑」的证据 —— 只看上面的 pid 文件结论与日志尾部。");
+      } else {
+        const watchers = procs.filter((p) => /dsh-setup\.mjs/.test(p.cmd));
+        const bridges = procs.filter((p) => /dsh-bridge\.mjs/.test(p.cmd)).filter((p) => !/dsh-setup/.test(p.cmd));
+        console.log(`   实测进程     : watcher ${watchers.length} 个 / bridge ${bridges.length} 个（CIM 全量扫描，按命令行识别）`);
+        for (const [kind, list] of [["watcher", watchers], ["bridge", bridges]]) {
+          for (const p of list) {
+            const brief = p.cmd.length > 160 ? `${p.cmd.slice(0, 157)}...` : p.cmd;
+            console.log(`   · ${kind} pid=${p.pid} 解释器=${p.name || "?"} 命令行=${brief || "（取不到）"}`);
+          }
+        }
+        if (watchers.length && !bridges.length) console.log("   ⚠️ 守护在跑、bridge 没起来 —— 这类情况看日志尾部（通常是在等 dsh web 或登录限流）");
+        if (!watchers.length && !bridges.length) {
+          console.log("   ⚠️ 一个进程都没在跑。手动起一次看报错：`dsh-remote run`（前台，能直接看到输出）");
+        }
+      }
+    } else {
+      const r = sh("pgrep -fl 'dsh-setup.mjs|dsh-bridge.mjs' 2>/dev/null");
+      if (!r.ok && r.code !== 1) {
+        // pgrep 退出码 1 = "没有匹配的进程"（合法的 0），其它码 = 工具不可用（不能当 0 读）
+        console.log(`   实测进程     : 扫描不可用（pgrep 退出码 ${r.code}：本机没有 pgrep 或被禁用）`);
+      } else {
+        const lines = String(r.stdout || "").split("\n").map((l) => l.trim()).filter((l) => l && !/pgrep/.test(l));
+        const watchers = lines.filter((l) => /dsh-setup\.mjs/.test(l));
+        const bridges = lines.filter((l) => /dsh-bridge\.mjs/.test(l)).filter((l) => !/dsh-setup/.test(l));
+        console.log(`   实测进程     : watcher ${watchers.length} 个 / bridge ${bridges.length} 个`);
+        if (watchers.length && !bridges.length) console.log("   ⚠️ 守护在跑、bridge 没起来 —— 这类情况看日志尾部（通常是在等 dsh web 或登录限流）");
+        if (!watchers.length && !bridges.length) {
+          console.log("   ⚠️ 一个进程都没在跑。手动起一次看报错：`dsh-remote run`（前台，能直接看到输出）");
+        }
+      }
+    }
+  } catch (e) { console.log(`   实测进程     : 扫描不可用（${e.message}）`); }
   if (process.platform === "linux") {
     const hasUser = Boolean(process.env.XDG_RUNTIME_DIR);
     console.log(`   自启动       : systemd --user ${hasUser ? "（有 runtime dir）" : "（无 XDG_RUNTIME_DIR → 本机没有 user systemd，插件会用后台进程兜底）"}`);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mrrisega/dsh-remote",
-  "version": "0.7.7",
+  "version": "0.7.9",
   "description": "手机远程控制 DeepSeek Harness · Remote control DeepSeek Harness (dsh web) from any phone browser — 100% 全功能 App 级体验：发消息、看工具执行、审批权限、改设置、管凭据，含特权操作，免内网穿透。一条命令安装 npx @mrrisega/dsh-remote。Mobile remote control for DSH, self-host or SaaS, no server needed on LAN.",
   "keywords": [
     "deepseek-harness",

package/packages/dsh-remote-web/lib/client.js

@@ -5706,6 +5706,19 @@ window.__ModuleLoader__.load({
       return "约 " + Math.round(n / 60_000) + " 分钟";
     }
 
+    /**
+     * 宽松读一个「条数」字段：只有真正的数字（JSON number / 纯数字串）才算权威，
+     * null / "" / undefined / true 一律视为**这个字段没有** → 用 fallback。
+     * 为什么要较真：旧 bridge 不认这个键时若把它当 0，面板会**藏起**真实积压（用户以为通知丢了）；
+     * 反过来把字段缺失当"有积压"同样不行 —— 那会平白吓人。
+     */
+    function wechatCountOf(value, fallback) {
+      var numeric = typeof value === "number" || (typeof value === "string" && value.trim() !== "");
+      var n = numeric ? Number(value) : NaN;
+      if (!Number.isFinite(n) || n < 0) return fallback;
+      return Math.floor(n);
+    }
+
     /**
      * 🤖 微信机器人绑定面板。
      * @param {{embedded?: boolean}} [props] embedded=true（远程访问面板里的「微信机器人通道」tab）
@@ -6085,6 +6098,16 @@ window.__ModuleLoader__.load({
         // 规格 §9：**只有两态**。这一行是「已绑定 · 健康提示」，两种取值都明确带「已绑定」；
         // 健康只由「最近一次推送是否失败」决定，**不参与绑定状态**（通道没在跑等情形另起一行说明，不冒充第三种状态）。
         var healthy = !wx.last_error;
+        // 🛑 推送静默（2026-10-29）：微信只在「你最近发过消息」的很短窗口内允许机器人主动发言，
+        // 窗口外平台没有续期接口（契约 §2.4/§3.4）→ bridge 识别出令牌过期后会**暂停主动推送**
+        // （不再每小时猛打 60 次），并把没送出去的通知留在待补发队列，等你下次说话再补。
+        // 面板这里只做两件事：① 如实说明「为什么暂时收不到推送」；② 给出唯一一条恢复动作（回一句话）。
+        // ⚠️ 它只是**提示**：不参与两态绑定判定，也不隐藏绑定/解绑按钮（规格 §9）。
+        // 字段缺失（旧 bridge 没有这个键）= 没开启静默 → 一律不渲染，绝不能把 undefined 当成"已静默"。
+        var pushPaused = wx.push_paused === true;
+        // 待补发条数：新 bridge 下发 pending_outbox_count（契约 §3.7），旧 bridge 只有 pending_outbox。
+        // 两个字段都在时**只认优先的那一个**，避免同一件事在卡片上提示两遍。
+        var outboxCount = wechatCountOf(wx.pending_outbox_count, wechatCountOf(wx.pending_outbox, 0));
         body.push(h("div", { className: "dru-card" },
           h("h3", null, "已绑定"),
           h("div", { className: "dru-status-line" },
@@ -6098,6 +6121,16 @@ window.__ModuleLoader__.load({
           wechatTimeText(wx.connected_at) ? h("div", { className: "dru-meta" }, "最近上线：" + wechatTimeText(wx.connected_at)) : null,
           Number(wx.pending_replies) > 0 ? h("div", { className: "dru-meta" }, "等待你回复的通知：" + Number(wx.pending_replies) + " 条") : null,
           wx.last_error ? h("div", { className: "dru-msg dru-msg-warn", role: "status", "aria-live": "polite" }, "⚠️ 最近一次推送失败：" + String(wx.last_error)) : null,
+          // 静默提示紧跟 last_error：两者是**两回事**（上面是单次发送失败，这里是"平台侧窗口关了"），
+          // 但都只是健康提示。文案刻意给出可执行的恢复动作，避免用户以为要重新绑定。
+          pushPaused
+            ? h("div", { className: "dru-msg dru-msg-warn", role: "status", "aria-live": "polite" },
+                "⚠️ 微信推送已静默：微信通道只在你最近发过消息后的一小段时间内允许机器人主动发消息。给机器人回任意一条消息即可恢复，未送达的通知会补发。")
+            : null,
+          // 静默期间给一个**简短**的待补发数字（详细说明已由上面的静默提示承担，不再重复一整段）。
+          pushPaused && outboxCount > 0
+            ? h("div", { className: "dru-meta" }, "待补发 " + outboxCount + " 条：你回任意一条消息后会一起补给你。")
+            : null,
           Number(wx.cooldown_ms) > 0
             ? h("div", { className: "dru-msg dru-msg-warn" }, [
                 "⏳ 微信侧会话超时，后台已按官方做法退避（还剩 " + wechatCooldownText(wx.cooldown_ms) + "）。",
@@ -6122,9 +6155,11 @@ window.__ModuleLoader__.load({
             ? h("div", { className: "dru-msg dru-msg-warn" },
                 "提示：任务事件订阅未就绪（状态 " + String(wx.events_state) + "），这段时间任务跑完可能不会推给你。稍候会自动重连；持续如此请到「📱 远程访问」重启后台服务。")
             : null,
-          (Number(wx.pending_outbox) || 0) > 0
+          // 静默态下这条长文案与上面的「静默提示 + 待补发 N 条」重复，故只在**未静默**时显示：
+          // 条数统一走 outboxCount（新 bridge 用 pending_outbox_count，旧 bridge 回落 pending_outbox）。
+          !pushPaused && outboxCount > 0
             ? h("div", { className: "dru-msg dru-msg-warn" },
-                "有 " + Number(wx.pending_outbox) + " 条通知刚才没能发出去（微信侧发送失败），已排在待补发队列里 —— 你下次在微信里任意发一句话，就会自动补给你。")
+                "有 " + outboxCount + " 条通知刚才没能发出去（微信侧发送失败），已排在待补发队列里 —— 你下次在微信里任意发一句话，就会自动补给你。")
             : null,
           wx.last_fault && wx.last_fault.code
             ? h("div", { className: "dru-hint" },