@noob-stupid/dsh-plugin-console 0.3.24 → 0.3.26

package/README.md

@@ -20,13 +20,16 @@
 
 
 
-> ## 🎉 v0.3.24 — AI Empower released (2026-08-31)
+> ## 🎉 v0.3.25 released — framework-upgrade safety & plugin adapt gate (2026-09-04)
 >
-> Give the Plugin Console a package name or GitHub repo: the local AI reads its docs,
-> drafts a **deployment plan** (install / write config / start service / health check),
-> and — after your confirmation — executes it safely. Server-type components get an
-> automatic control card (start/stop/status/open + dropdown). An OpenViking template
-> deploys a local memory server in one flow.
+> **Upgrade safety trio**: framework root detection (fixes the `.pnpm` realpath
+> mixed-version root cause), a **full-tree checkpoint** before upgrade, and
+> **automatic full-tree rollback** on install/relaunch failure — plus a
+> **one-click rollback** button on the framework card.
+> **Plugin adapt gate**: plugins incompatible with the new framework are
+> force-disabled (enable locked); 「Check update → Update & adapt」auto-verifies
+> declarations/dependencies and unlocks on success; AI Empower pre-checks
+> framework compatibility during planning.
 >
 > **Install:**
 > ```bash
@@ -81,13 +84,59 @@ auto-rollback).
 
 | | Benefit | Detail |
 |---|---|---|
+| 🤖 | **AI Empower (v0.3.24)** | Give the console a package name or GitHub repo — the local AI reads docs, drafts a **deployment plan** (install / write config / start service / health check) and executes it safely after your confirmation; server-type components get an automatic control card |
+| 🛡️ | **Framework upgrade safety & adapt gate (v0.3.25)** | Force-disables plugins incompatible with the new framework (enable locked; 「Check update → Update & adapt」auto-verifies and unlocks); full-tree checkpoint before upgrade, automatic rollback on relaunch failure, one-click rollback to the previous version |
+| 🚀 | **Server component cards** | Left-side floating card auto-aligned to the main panel: start / stop / status / **open Web UI** buttons, multi-server dropdown, collapsible |
 | 🧩 | **Plugin & skill hub** | Auto-collected index of `dsh-plugin` topic repos (**500+** by stars) plus a **Skills tab** (`agent-skills` ∪ `claude-skills` ∪ `dsh-skill`, up to 300) — browse, search, one-click install, no GitHub API calls |
 | 🤖 | **Auto-collection CI** | GitHub Actions reruns `build-index` every 6 hours (manual trigger available); authors just add the `dsh-plugin` / `agent-skills` / `claude-skills` / `dsh-skill` topic — no application needed |
 | ⚡ | **Instant, rate-limit-free** | The index is served as a static `marketplace/index.json` via jsDelivr CDN (10-min host cache); terminal users make **zero GitHub API calls** |
-| 🔄 | **Version detection & one-click update** | Installed entries are matched against npm `dist-tags.latest` automatically; cards show **「更新 → vX」**; subpackage mismatch warnings prevent mixed-version breakage |
+| 🔄 | **Version detection & one-click update** | Semver-based; installed entries match npm `dist-tags.latest` / `beta`; subpackage mismatch warnings prevent mixed-version breakage |
 | 🔀 | **Multi-source** | GitHub / Gitee (direct-repo mode) / custom search sources (URL template + header auth + private http); `⊞` merges GitHub + all custom sources in parallel |
 | 🔒 | **Safe by default** | Loopback-only routes; AI fallback behind an explicit cost-consent modal; infrastructure rows are toggle-protected |
 
+<details>
+<summary><b>📑 目录 / Table of Contents</b></summary>
+
+- [Highlights](#highlights)
+- [AI 赋能与服务器组件控制](#ai-赋能与服务器组件控制)
+- [One-click install](#one-click-install)
+- [Usage](#usage)
+- [Features](#features)
+- [How it works](#how-it-works)
+- [Compatibility](#compatibility)
+- [Project layout](#project-layout)
+- [HTTP endpoints](#http-endpoints)
+- [Security](#security)
+- [Known limitations](#known-limitations)
+- [Help & Ecosystem](#help--ecosystem)
+- [Contributing](#contributing)
+- [Changelog](#changelog)
+- [License](#license)
+</details>
+
+---
+
+## AI 赋能与服务器组件控制
+
+> **AI Empower** — v0.3.24 正式版核心功能。
+
+在插件控制台输入 **npm 包名或 GitHub 仓库**（如 `OpenViking`、`@noob-stupid/dsh-plugin-console`）：
+
+1. **AI 读文档出计划**：子代理调研 README/docs，产出结构化计划（类型：纯插件 / 服务器组件 / 仅配置；步骤：安装 / 写配置 / 下载 / 启动服务 / 健康检查）；
+2. **你确认**（计划在弹窗里逐步骤勾选）——安全护栏：命令/路径白名单、破坏性命令拦截、日志脱敏；
+3. **安全执行**：实时回显日志、可中断、幂等（已装/已下载/服务健康则复用）；
+4. **自动生成组件卡片**：服务器类组件注册到组件清单，卡片出现在主面板左侧（启动/停止/状态/【打开】直达 Web UI；多服务器时 ▾ 下拉；打开详情时自动隐藏；可折叠并有状态记忆）。
+
+**内置 OpenViking 模板**：输入 `OpenViking` 秒出计划（pip 装 `openviking[local-embed]` → 下载中文嵌入模型 → 写 `ov.conf`（复用 DSH 的 DeepSeek 凭据，支持独立区块覆盖）→ 启动服务器 → 健康检查）。
+
+**模型配置**：默认跟随 DSH（`settings.yaml` + `.credentials.yaml`）；可建 `~/.dsh/plugin-console/ai-empower.json` 独立覆盖：
+
+```json
+{ "vlm": { "provider": "openai", "api_base": "https://api.deepseek.com", "model": "deepseek-v4-flash-vision-exp" }, "api_key": "sk-..." }
+```
+
+---
+
 > **For plugin authors**: add the `dsh-plugin` topic to your repo — the official
 > [topic list](https://github.com/topics/dsh-plugin) is how both the ecosystem and this
 > hub discover you. For skills, add `agent-skills` / `claude-skills` / `dsh-skill`.
@@ -201,6 +250,47 @@ Requires: DSH ≥ 0.1.0-rc.6 (web profile, with `dsh-client-modules` / `dsh-host
 - **Card dismiss semantics**: terminal states (done/failed) are permanently dismissed on ✕
   (persisted); in-progress dismissal is session-only and the card returns after a refresh.
 
+### Framework upgrade safety & plugin adapt gate (v0.3.25)
+
+> Origin: the 2026-09-04 DSH `0.1.1-rc.2 → 0.1.2-rc.1` incident — the upgrade script ran in
+> the wrong working directory, overwrote the new CLI into the old `.pnpm` entry, left a
+> mixed-version tree, and the service could not start. This version makes upgrade safety
+> and plugin compatibility detection first-class console mechanisms.
+
+**Upgrade safety trio**
+
+1. **Framework root detection**: locates the real install root (the top-level `node_modules`
+   containing `.pnpm`), fixing the `require.resolve`-returns-`.pnpm`-realpath root cause
+   (relink no-op / new package overwriting the old tree); refuses to upgrade when the root
+   cannot be identified (service stays running);
+2. **Full-tree checkpoint before upgrade**: mirrors every `@deepseek-ai` version package in
+   `.pnpm` + the top-level scope + `lock.yaml`
+   (under `~/.dsh/plugin-console/framework-backups/<version>/fw-tree/`);
+3. **Automatic full-tree rollback + retry**: install failure or relaunch failure restores
+   the pre-upgrade tree and relaunches automatically — no more "please run it manually"
+   dead-ends; after rollback, relink/repair steps are skipped to avoid damaging the
+   restored tree a second time.
+
+**One-click rollback**: after an upgrade the framework card shows a **「回滚到上一版」** button
+(`/plugin-console/framework-rollback`): stop service → restore full tree → relaunch →
+health check, state visible throughout.
+
+**Plugin adapt gate (compatibility detection)**
+
+- After an upgrade, plugin entries recorded in `~/.dsh/plugin-console/compat-pending.json`
+  are **force-disabled**; the enable button is locked and the server rejects `/toggle` with
+  409 (unbypassable). The enabled-button label itself shows「待适配」as the state hint;
+- The **details** panel explains the flow: **Check update → Update & adapt**;
+- **Post-update auto-verification**: scans the latest `package.json` for an explicit
+  `dsh.engines.framework` / `engines.dsh` declaration plus `@deepseek-ai/*` dependency
+  ranges (built-in zero-dependency semver engine — strict npm prerelease rules for
+  dependencies, loose for explicit declarations); if the version changed and no
+  incompatibility was found, the `disabled` block is **removed automatically** and the row
+  unlocks; aggregator updates validate all synced subpackages too;
+- **AI Empower pre-check**: during planning the server pre-checks the registry's latest
+  declaration and adapt-gate hits, injects them into the subagent prompt (the plan must
+  explain the conclusion to the user) and marks it on the plan panel (red for incompatible).
+
 ### Marketplace (multi-source)
 
 - **Source switcher**: click the login pill to switch between **GitHub / Gitee / custom
@@ -304,6 +394,10 @@ GitHub Actions (every 6h, repo token)
 - Supports the **DSH 0.1.0 series** (`0.1.0-rc.6` and siblings).
 - The panel reads the running `@deepseek-ai/dsh-web-app` version: after a breaking upgrade
   (0.2 / 1.0) a compatibility warning appears instead of silent failure.
+- **Plugin adapt gate (v0.3.25)**: third-party plugins incompatible with the current
+  framework are force-disabled after an upgrade (enable locked); run 「Check update」to
+  upgrade the plugin first — it unlocks automatically after the auto-verification passes.
+  See 「Framework upgrade safety & plugin adapt gate」.
 - Likely breaking seams: patch semantics, `webServer.register`, loader entry shape,
   `dsh.client` bundle format, `settings.plugins.tab` slot.
 - Deploy scripts do not check versions; the in-panel warning is authoritative.
@@ -345,6 +439,11 @@ test-harness.mjs   Logic self-test (state/toggle/validation/loopback; search SKI
 | `/plugin-console/gitee-oauth-url` / `gitee-oauth-callback` | GET | Gitee OAuth flow |
 | `/plugin-console/ai-consent` | POST | Approve/cancel the AI-fallback step |
 | `/plugin-console/restart` | POST | Watchdog-safe self-restart (panel button equivalent) |
+| `/plugin-console/framework-upgrade` | POST | One-click framework upgrade (full-tree checkpoint → online install → rollback protection) |
+| `/plugin-console/framework-rollback` | POST | One-click rollback to the previous version (stop → full-tree restore → auto relaunch → health check) |
+| `/plugin-console/self-update` | POST | Update the console itself (latest npm tarball into the profile) |
+| `/plugin-console/ai-empower/plan` / `status` / `run` / `cancel` | POST | AI Empower: plan (with framework compat pre-check) → status polling → confirmed run → cancel |
+| `/plugin-console/components` / `component/start` / `stop` / `status` | GET/POST | Server component registry and start/stop/status |
 
 ---
 
@@ -470,6 +569,17 @@ If this panel saves you time or makes DSH more fun to use:
 
 ---
 
+## Contributing
+
+Contributions of all kinds are welcome — issues, PRs, docs, translations.
+
+- **Guidelines**: [CONTRIBUTING.md](CONTRIBUTING.md)
+- **Code of Conduct**: [CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md)
+- **Security policy**: [SECURITY.md](SECURITY.md) (report vulnerabilities privately)
+- **Issue templates**: bug reports & feature requests via the [new issue](https://github.com/Noob-stupid/dsh-plugin-hub/issues/new/choose) page
+
+---
+
 ## Changelog
 
 See [CHANGELOG.md](CHANGELOG.md).

package/README.zh.md

@@ -6,11 +6,12 @@
 
 # DSH 插件中心（dsh-plugin-hub）
 
-> ## 🎉 v0.3.24 正式发布 — AI 赋能一键部署（2026-08-31）
+> ## 🎉 v0.3.25 正式发布 — 框架升级安全与插件适配门（2026-09-04）
 >
-> 在插件控制台输入 npm 包名或 GitHub 仓库，本地 AI 读取文档自动生成**部署计划**，
-> 你确认后安全执行；服务器类组件自动生成控制卡片（启动/停止/状态/打开 + 下拉）。
-> 内置 OpenViking 模板，一条指令部署本地记忆服务器。
+> **升级安全三件套**：框架安装根识别（修复 `.pnpm` realpath 混版本根因）、升级前**全树 checkpoint**、
+> 拉起失败**自动全树回滚**；升级后框架卡片**一键回滚到上一版**。
+> **插件适配门**：升级后不兼容插件强制禁用（启用锁定），「检测更新 → 更新并适配」→
+> 自动校验声明/依赖，通过即解锁；AI 赋能规划时自动预检框架适配并给出说明。
 >
 > **安装：**
 > ```bash
@@ -74,12 +75,58 @@
 
 | | 优势 | 说明 |
 |---|---|---|
-| 🧩 | **插件 + 技能双市场** | 自动收录 `dsh-plugin` topic 仓库（按 star **500+**），另有**技能 tab**（`agent-skills` ∪ `claude-skills` ∪ `dsh-skill`，最多 300）——浏览、搜索、一键安装，零 GitHub API 调用 |
+| 🤖 | **AI 赋能（v0.3.24）** | 输入 npm 包名 / GitHub 仓库，本地 AI 读文档生成**部署计划**（安装/写配置/启动服务/健康检查），你确认后安全执行；服务器类组件自动生成控制卡片 |
+| 🛡️ | **框架升级适配门与安全（v0.3.25）** | 升级后不兼容插件强制禁用（适配门锁定，「检测更新 → 更新并适配 → 自动校验解锁」）；升级前全树 checkpoint、拉起失败自动全树回滚、框架卡片一键回滚到上一版 |
+| 🚀 | **服务器组件卡片** | 左侧浮卡与主面板顶边对齐：启动 / 停止 / 状态 / 【打开】直达 Web UI，多服务器下拉、可折叠（状态记忆） |
+| 🧩 | **插件 + 技能双市场** | 自动收录 `dsh-plugin` topic 仓库（按 star **500+**），另有**技能 tab**（`agent-skills` ∪ `claude-skills` ∪ `dsh-skill`，最多 300）——浏览、搜索、一键安装，零 GitHub API 调用；插件自带技能（如 openviking-memory）只读展示 |
 | 🤖 | **自动收录 CI** | GitHub Actions 每 6 小时自动重跑 `build-index`（也支持手动触发）；作者只需给自己的仓库打 `dsh-plugin` / `agent-skills` / `claude-skills` / `dsh-skill` 标签，**无需申请、无需审核** |
 | ⚡ | **秒开、零限流** | 索引以静态 `marketplace/index.json` 提交仓库，经 jsDelivr CDN 分发（宿主 10 分钟缓存）——终端用户**零 GitHub API 调用、零限流** |
-| 🔄 | **版本检测与一键更新** | 已安装条目自动比对 npm `dist-tags.latest`，卡片出现「更新 → vX」；聚合包子包版本不配套时给出 depsOutdated 提示，避免版本混搭启动冲突 |
+| 🔄 | **版本检测与一键更新** | semver 比较 + beta/next 识别（本地已是测试版最新时不误报）；已安装条目自动比对 npm `dist-tags`，聚合包子包版本不配套时给出 depsOutdated 提示 |
 | 🔀 | **多源检索** | GitHub / Gitee（仓库直装模式）/ 自定义搜索源（URL 模板 + 请求头认证 + 私网 http）；「⊞」并行合并 GitHub + 全部自定义源 |
-| 🔒 | **安全默认** | 全部路由仅环回；AI 兜底置于明确费用授权弹窗之后；基础设施行禁止开关（受保护） |
+| 🔒 | **安全默认** | 全部路由仅环回；AI 兜底置于明确费用授权弹窗之后；AI 赋能执行器命令/路径白名单；基础设施行禁止开关（受保护） |
+
+<details>
+<summary><b>📑 目录</b></summary>
+
+- [核心优势](#核心优势)
+- [AI 赋能与服务器组件控制](#ai-赋能与服务器组件控制)
+- [一键部署](#一键部署)
+- [使用方法](#使用方法)
+- [功能](#功能)
+- [原理](#原理)
+- [兼容性策略](#兼容性策略)
+- [项目结构](#项目结构)
+- [HTTP 接口](#http-接口)
+- [安全说明](#安全说明)
+- [已知限制](#已知限制)
+- [帮助 / Help](#帮助--help)
+- [生态与收录](#生态与收录)
+- [参与贡献](#参与贡献)
+- [许可证](#许可证)
+</details>
+
+---
+
+## AI 赋能与服务器组件控制
+
+> **AI 赋能** — v0.3.24 正式版核心功能。
+
+在插件控制台输入 **npm 包名或 GitHub 仓库**（如 `OpenViking`、`@noob-stupid/dsh-plugin-console`）：
+
+1. **AI 读文档出计划**：子代理调研 README/docs，产出结构化计划（类型：纯插件 / 服务器组件 / 仅配置；步骤：安装 / 写配置 / 下载 / 启动服务 / 健康检查）；
+2. **你确认**（计划弹窗里逐步骤勾选）——安全护栏：命令/路径白名单、破坏性命令拦截、日志脱敏；
+3. **安全执行**：实时回显日志、可中断、幂等（已装 / 已下载 / 服务健康则复用）；
+4. **自动生成组件卡片**：服务器类组件注册到组件清单，卡片出现在主面板左侧（启动/停止/状态/【打开】直达 Web UI；多服务器时 ▾ 下拉；打开详情时自动隐藏；可折叠并有状态记忆）。
+
+**内置 OpenViking 模板**：输入 `OpenViking` 秒出计划（pip 装 `openviking[local-embed]` → 下载中文嵌入模型 → 写 `ov.conf`（复用 DSH 的 DeepSeek 凭据）→ 启动服务器 → 健康检查）。
+
+**模型配置**：默认跟随 DSH（`settings.yaml` + `.credentials.yaml`）；可建 `~/.dsh/plugin-console/ai-empower.json` 独立覆盖：
+
+```json
+{ "vlm": { "provider": "openai", "api_base": "https://api.deepseek.com", "model": "deepseek-v4-flash-vision-exp" }, "api_key": "sk-..." }
+```
+
+---
 
 > **给插件作者**：给仓库打上 `dsh-plugin` 标签即可被官方 [topic 列表](https://github.com/topics/dsh-plugin)
 > 与本中心自动收录；技能类仓库请打 `agent-skills` / `claude-skills` / `dsh-skill`。
@@ -182,6 +229,37 @@ git clone https://github.com/Noob-stupid/dsh-plugin-hub /tmp/dsh-plugin-console
 - **卡片关闭语义**：终态（成功/失败）点叉号永久关闭（持久化）；进行中点叉号仅本次会话
   隐藏，刷新后恢复显示。
 
+### 框架升级适配门与升级安全（v0.3.25）
+
+> 缘起：2026-09-04 DSH `0.1.1-rc.2 → 0.1.2-rc.1` 升级事故——升级脚本在错误的工作目录执行，
+> 把新 CLI 原位覆盖进旧 `.pnpm` 目录、依赖树混版本，服务无法拉起。本版本把「升级安全」与
+> 「插件兼容检测」固化为控制台机制。
+
+**升级安全三件套**
+
+1. **框架安装根识别**：定位真正的框架安装根（含 `.pnpm` 的顶层 `node_modules`），修复
+   `require.resolve` 返回 `.pnpm` 内部 realpath 导致的「重链空转 / 新包覆盖旧目录」根因；
+   定位不到时**拒绝升级**（不 kill 服务、服务保持运行）；
+2. **升级前全树 checkpoint**：镜像 `.pnpm` 全部 `@deepseek-ai` 版本包 + 顶层 scope +
+   `lock.yaml`（写入 `~/.dsh/plugin-console/framework-backups/<版本>/fw-tree/`）；
+3. **拉起失败自动全树回滚并重试**：安装失败或服务拉起失败都会自动恢复升级前全树并再次拉起，
+   不再只留「请手动运行」提示；回滚后跳过重链/修复（避免对已恢复旧树二次破坏）。
+
+**一键回滚**：升级后框架卡片出现「回滚到上一版」按钮（`/plugin-console/framework-rollback`）：
+停服 → 全树恢复 → 自动拉起 → 健康检测，全程状态可见。
+
+**插件适配门（插件检测）**
+
+- 升级后写入 `~/.dsh/plugin-console/compat-pending.json` 的插件行被**强制禁用**，启用按钮
+  锁定（服务端 `/toggle` 直接 409，无法绕过）；行状态以按钮文案「待适配」提示；
+- 「详情」面板给出说明与入口：**检测更新 → 更新并适配**；
+- **更新后自动校验**：扫描最新版 `package.json` 的 `dsh.engines.framework` / `engines.dsh`
+  显式声明 + `@deepseek-ai/*` 依赖范围（内置零依赖 semver 判定器：依赖判定遵循 npm
+  prerelease 严格规则、声明判定宽松）；版本已变化且未判定不兼容 → **自动移除禁用块解锁**；
+  聚合包更新连带校验同步的子包；
+- **AI 赋能适配预检**：规划时服务端预检 registry 最新版声明与适配门命中情况，注入子代理
+  提示词（要求计划向用户解释适配结论），并在计划面板标注（不兼容标红）。
+
 ### 插件市场（多搜索源）
 
 - **搜索源切换**：点击顶部登录态标识弹出菜单，在 **GitHub / Gitee / 自定义源** 间切换（选择持久化）；
@@ -278,6 +356,9 @@ GitHub Actions（每 6 小时，仓库自带 token）
 - 当前支持 **DSH 0.1.0 系列**（`0.1.0-rc.6` 及同系列版本）。
 - 面板会读取运行中的 `@deepseek-ai/dsh-web-app` 版本：官方发布破坏性升级
   （0.2 / 1.0 等）后，面板顶部会显示兼容性警告并给出本仓库地址，而不是默默失效。
+- **插件适配门（v0.3.25）**：框架升级后不兼容的第三方插件会被**强制禁用**（启用按钮锁定）；
+  请先「检测更新」升级该插件，更新并通过自动校验后才会解锁——详见
+  「框架升级适配门与升级安全」。
 - 官方破坏性更新可能改动的接口：补丁层语义、`webServer.register`、
   加载器条目结构、`dsh.client` bundle 格式、`settings.plugins.tab` 插槽。
   届时随官方版本更新本仓库即可（依赖面已收窄到上述几个点）。
@@ -296,6 +377,7 @@ scripts/apply-framework-patch.cjs   框架层补丁（issue #5，幂等，可重
 marketplace/index.json         生成的静态索引（jsDelivr CDN 分发）
 deploy.ps1 / deploy.sh   一键部署脚本（Windows / Linux·macOS）
 test-harness.mjs   逻辑自检（state/toggle/校验/环回保护；搜索视网络环境 SKIP）
+test-compat-gate.mjs   适配门单元测试（内置 semver 判定器：声明/依赖兼容规则）
 ```
 <img width="1878" height="945" alt="image" src="https://github.com/user-attachments/assets/b26f2f19-0ba4-4be7-9ca1-b3fd4c51a7a8" />
 
@@ -320,6 +402,11 @@ test-harness.mjs   逻辑自检（state/toggle/校验/环回保护；搜索视
 | `/plugin-console/gitee-oauth-url` / `gitee-oauth-callback` | GET | Gitee OAuth 流程 |
 | `/plugin-console/ai-consent` | POST | 同意/取消 AI 兜底步骤 |
 | `/plugin-console/restart` | POST | 自带守护的安全自重启（等同面板按钮） |
+| `/plugin-console/framework-upgrade` | POST | 框架一键升级（全树 checkpoint → 在线安装 → 全树回滚保护） |
+| `/plugin-console/framework-rollback` | POST | 一键回滚到升级前版本（停服 → 全树恢复 → 自动拉起 → 健康检测） |
+| `/plugin-console/self-update` | POST | 控制台自身一键更新（npm 最新 tarball 到当前 profile） |
+| `/plugin-console/ai-empower/plan` / `status` / `run` / `cancel` | POST | AI 赋能：规划（含框架适配预检）→ 状态轮询 → 确认执行 → 取消 |
+| `/plugin-console/components` / `component/start` / `stop` / `status` | GET/POST | 服务器组件清单与启动/停止/状态 |
 
 ---
 
@@ -423,6 +510,17 @@ node scripts/apply-framework-patch.cjs
 
 ---
 
+## 参与贡献
+
+欢迎各种形式的贡献——Issue、PR、文档、翻译：
+
+- **贡献指南**：[CONTRIBUTING.md](CONTRIBUTING.md)
+- **行为准则**：[CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md)
+- **安全政策**：[SECURITY.md](SECURITY.md)（漏洞私下报告）
+- **Issue 模板**：从 [新建 Issue](https://github.com/Noob-stupid/dsh-plugin-hub/issues/new/choose) 页面选择 Bug / 功能建议
+
+---
+
 ## 更新日志
 
 版本记录见 [CHANGELOG.md](CHANGELOG.md)。