@noob-stupid/dsh-plugin-console 0.3.48 → 0.3.50

package/README.md

@@ -308,7 +308,7 @@ MIT
 
 The layered-refactor preview lives in its **own repository**: [**`Noob-stupid/dsh-plugin-hub-refactor`**](https://github.com/Noob-stupid/dsh-plugin-hub-refactor)
 
-- **What it is**: the monolithic `lib/index.js` (7637 lines) split into layers — `lib/index.js` **142 lines** + `lib/server/**` **36 modules**; **feature-equivalent to `0.3.48`**, maintainability only;
+- **What it is**: the monolithic `lib/index.js` (7637 lines) split into layers — `lib/index.js` **142 lines** + `lib/server/**` **36 modules**; **feature-equivalent to `0.3.50`**, maintainability only;
 - **Verified**: 18 test suites green · 8 architecture-guard assertions · **47/47 routes identical** (`status` + response fields) against the stable build;
 - **Not yet exercised**: real framework upgrade / rollback, restart guardian, real install/uninstall, component start/stop, real AI run, Gitee OAuth (~10–25% long-tail risk, subjective);
-- **For everyday use** stick to npm `@noob-stupid/dsh-plugin-console@0.3.48`, or `main` of this repo.
+- **For everyday use** stick to npm `@noob-stupid/dsh-plugin-console@0.3.50`, or `main` of this repo.

package/README.zh.md

@@ -275,8 +275,8 @@ MIT
 
 分层重构预览线在**独立仓库**：[**`Noob-stupid/dsh-plugin-hub-refactor`**](https://github.com/Noob-stupid/dsh-plugin-hub-refactor)
 
-- **它是什么**：把单体 `lib/index.js`（7637 行）拆成分层结构 —— `lib/index.js` **142 行** + `lib/server/**` **36 个模块**，**功能与 `0.3.48` 等价**，只为可维护性；
+- **它是什么**：把单体 `lib/index.js`（7637 行）拆成分层结构 —— `lib/index.js` **142 行** + `lib/server/**` **36 个模块**，**功能与 `0.3.50` 等价**，只为可维护性；
 - **已验证**：18 套测试全绿 · 8 条架构守卫断言 · 与稳定版逐条对打 **47 条路由，`status` + 响应字段 47/47 一致**；
 - **尚未实测**：真框架升级 / 真回滚、重启守护链路、真装真卸、组件进程启停、AI 真跑、Gitee OAuth 回调（长尾风险主观估计 **10%~25%**）；
-- **日常使用请继续用**：npm `@noob-stupid/dsh-plugin-console@0.3.48`，或本仓库 `main`。
+- **日常使用请继续用**：npm `@noob-stupid/dsh-plugin-console@0.3.50`，或本仓库 `main`。
 - 请多反馈问题

package/lib/client.js

@@ -338,6 +338,9 @@ window.__ModuleLoader__.load({
 			gitUrlPlaceholder: "如 https://gitee.com/{owner}/{repo}.git",
 			gitSourceBtn: "Git 源",
 			marketIndexOffline: "离线数据 · 缓存于 {time}（索引源不可达，已回退上次成功结果）",
+			marketIndexStale: "市场索引未加载：搜索只覆盖 GitHub 实时结果（仓库名/描述/topics），收录条目与本地索引模糊匹配都用不上",
+			marketIndexRetry: "重试加载索引",
+			searchLoginHint: "未登录 GitHub：代码搜索不可用（按子包名搜索需要登录）；仓库搜索仍可用",
 			marketIndexFrom: "索引来源：{source}",
 			marketIndexFailed: "市场索引加载失败",
 			unknown: "未知",
@@ -709,6 +712,9 @@ window.__ModuleLoader__.load({
 			gitUrlPlaceholder: "e.g. https://gitee.com/{owner}/{repo}.git",
 			gitSourceBtn: "Git sources",
 			marketIndexOffline: "Offline data · cached {time} (index sources unreachable, showing last successful result)",
+			marketIndexStale: "Market index not loaded: search only covers live GitHub results (name/description/topics); curated entries and local fuzzy matching are unavailable",
+			marketIndexRetry: "Retry loading index",
+			searchLoginHint: "GitHub not signed in: code search is unavailable (searching by subpackage name needs sign-in); repository search still works",
 			marketIndexFrom: "Index source: {source}",
 			marketIndexFailed: "Failed to load market index",
 			unknown: "unknown",
@@ -1152,6 +1158,8 @@ window.__ModuleLoader__.load({
 			const [updateCheck, setUpdateCheck] = react.useState(null);
 			// 静态插件索引（dsh-plugin topic 全量浏览）：null=未加载 / {items, skills, loaded}
 			const [indexData, setIndexData] = react.useState(null);
+			// 索引加载失败原因：null = 还没失败过（用于市场页顶部"索引未加载 + 重试"提示）
+			const [indexError, setIndexError] = react.useState(null);
 			// 索引浏览当前展示条数（分页展示，避免一次渲染 500 条）
 			const [indexShown, setIndexShown] = react.useState(50);
 			// 已补标（官方/聚合标记）到的索引位置：随「加载更多」增量推进，避免一次性发上千请求
@@ -1725,11 +1733,15 @@ window.__ModuleLoader__.load({
 					() => {},
 				);
 			}, []);
-			// 挂载时加载静态插件索引（GitHub 源空查询时秒开浏览，零 API 调用）
-			react.useEffect(() => {
+			// 加载静态插件索引（GitHub 源空查询时秒开浏览，零 API 调用）。
+			// 失败时记下原因：市场页顶部给出"索引未加载 → 只能搜 GitHub 实时结果"的提示 + 重试按钮
+			//（2026-09-20 事故：另一位用户索引源全挂 + 未登录，三条检索路全断，搜 web-all 搜不到 dsh-web，
+			//  而界面上只有一句"市场索引加载失败"，看不出后果也没有重试入口）
+			const loadMarketIndex = () => {
 				call("/plugin-console/market-index", {}).then(
 					(data) => {
 						if (data && Array.isArray(data.items)) {
+							setIndexError(null);
 							setIndexData({
 								items: data.items,
 								skills: Array.isArray(data.skills) ? data.skills : [],
@@ -1748,8 +1760,15 @@ window.__ModuleLoader__.load({
 							}
 						}
 					},
-					(error) => setMessage(t("marketIndexFailed") + "：" + (error?.message ?? t("unknown"))),
+					(error) => {
+						const text = error?.message ?? t("unknown");
+						setIndexError(text);
+						setMessage(t("marketIndexFailed") + "：" + text);
+					},
 				);
+			};
+			react.useEffect(() => {
+				loadMarketIndex();
 				// 市场状态记忆：关闭前搜索过 → 重开时自动恢复该搜索（query 已从 localStorage 初始化）
 				if (query !== "") {
 					search();
@@ -1994,6 +2013,36 @@ window.__ModuleLoader__.load({
 				scored.sort((a, b) => b.s - a.s);
 				return scored.slice(0, 12).map((x) => x.it);
 			};
+			/** 合并服务端"增量检索"结果（npm 包名映射 / in:readme 重查 / 代码搜索子包）：
+			 * npm 命中置顶，其余按增量顺序追加，最后接原有直连结果，全部按 fullName 去重。
+			 * 背景（2026-09-20）：浏览器直连 GitHub 搜索成功时不会走服务端路由，而未登录用户恰恰只能走直连
+			 * →「只存在于 npm 包名 / README / 仓库文件里」的名字（如 web-all）永远补不上。 */
+			function mergeSearchExtras(base, extras) {
+				const seen = new Set();
+				const npm = [];
+				const rest = [];
+				for (const it of extras) {
+					const key = it.fullName ?? JSON.stringify(it);
+					if (seen.has(key)) continue;
+					seen.add(key);
+					if (it.npmPackage === true) npm.push(it); else rest.push(it);
+				}
+				const out = [...npm, ...rest];
+				for (const it of base) {
+					const key = it.fullName ?? JSON.stringify(it);
+					if (seen.has(key)) continue;
+					seen.add(key);
+					out.push(it);
+				}
+				return out;
+			}
+			/** 用 enrich 结果**就地更新**市场列表（按 fullName 打补丁），而不是整表替换——
+			 * 否则并行补进来的「增量检索」条目（npm 包名/子包）会被 enrich 回调冲掉。 */
+			const applyEnriched = (enriched) => setMarket((m) => {
+				if (m === null || m.status !== "ready" || !Array.isArray(enriched)) return m;
+				const byName = new Map(enriched.map((x) => [x.fullName, x]));
+				return { ...m, data: m.data.map((x) => byName.get(x.fullName) ?? x) };
+			});
 			const search = () => {
 				setMarket({ status: "loading" });
 				setRepoInfo(null);
@@ -2044,7 +2093,7 @@ window.__ModuleLoader__.load({
 						(data) => {
 							setMarket({ status: "ready", data: data.items, direct: false, source: searchSource });
 							enrichOfficialBundle(data.items).then((enriched) => {
-								setMarket((m) => (m !== null && m.status === "ready" ? { ...m, data: enriched } : m));
+								applyEnriched(enriched);
 							});
 						},
 						(error) => setMarket({ status: "error", error: friendlyGithubError(error) }),
@@ -2058,20 +2107,32 @@ window.__ModuleLoader__.load({
 						// 并行补标记：
 						// ① 客户端浏览器直连读根包 package.json（快，官方/聚合标记立即可筛）
 						enrichOfficialBundle(data).then((enriched) => {
-							setMarket((m) => (m !== null && m.status === "ready" ? { ...m, data: enriched } : m));
+							applyEnriched(enriched);
 						});
 						// ② 服务端 curl 双通道 enrich（聚合子包 dsh.bundle 检查 → aggregateInstallable），后台补更精确标记
 						call("/plugin-console/enrich", { items: data }).then(
-							(r) => { if (r && Array.isArray(r.items)) setMarket((m) => (m !== null && m.status === "ready" ? { ...m, data: r.items } : m)); },
+							(r) => { if (r && Array.isArray(r.items)) applyEnriched(r.items); },
 							() => {},
 						);
+						// ③ 服务端"增量检索"（并行、不阻塞首屏）：npm 包名映射 + in:readme 重查 + 代码搜索子包。
+						// 直连搜索只覆盖 仓库名/描述/topics，包名与 README/文件里的名字补不上（2026-09-20 事故）
+						if (query.trim() !== "") {
+							call("/plugin-console/search", { q: query, page: 1, extras: true, all: repoLandOn === true }).then(
+								(r) => {
+									if (r !== null && r.codeSearchSkipped === true) setMessage(t("searchLoginHint"));
+									if (r === null || !Array.isArray(r.items) || r.items.length === 0) return;
+									setMarket((m) => (m !== null && m.status === "ready" ? { ...m, data: mergeSearchExtras(m.data, r.items) } : m));
+								},
+								() => {},
+							);
+						}
 					},
 					() => call("/plugin-console/search", { q: query, page: 1 }).then(
 						(data) => {
 							const items = data.items;
 							setMarket({ status: "ready", data: items, direct: false });
 							enrichOfficialBundle(items).then((enriched) => {
-								setMarket((m) => (m !== null && m.status === "ready" ? { ...m, data: enriched } : m));
+								applyEnriched(enriched);
 							});
 						},
 						(error) => setMarket({ status: "error", error: friendlyGithubError(error) }),
@@ -2561,7 +2622,7 @@ window.__ModuleLoader__.load({
 					startSuiteJob(item);
 					return;
 				}
-				if (item.subpackagePath && typeof item.packageName === "string" && item.packageName !== "") {
+				if ((item.subpackagePath || item.npmPackage === true) && typeof item.packageName === "string" && item.packageName !== "") {
 					// monorepo 子包：搜索结果带 packageName，按 npm 包名安装
 					startJob(item.fullName, item.packageName, item.source ?? "github");
 					return;
@@ -3796,6 +3857,17 @@ setMessage(t("failed") + "：" + (data?.reason ?? "未知"));
 						t("marketIndexOffline").replace("{time}", indexData.cachedAt !== null ? new Date(indexData.cachedAt).toLocaleString() : "—")
 						+ (indexData.sourceName !== null ? " · " + t("marketIndexFrom").replace("{source}", indexData.sourceName) : ""))
 					: null,
+				// 索引彻底没加载成功：说清后果（只剩 GitHub 实时结果）+ 给重试入口。
+				// 2026-09-20 事故：这种状态下"包名/README/子包里的名字"搜不到，而界面上只有一句加载失败
+				indexData === null && indexError !== null
+					? el("p", { className: styles.message, "data-warn": "true" },
+						t("marketIndexStale") + " ",
+						el("button", {
+							type: "button",
+							className: styles.toggle,
+							onClick: () => loadMarketIndex(),
+						}, t("marketIndexRetry")))
+					: null,
 				el("div", { className: styles.search, id: "pc-market-search" },
 					el("div", { className: styles.searchInner },
 						el("input", {

package/lib/index.js

@@ -593,7 +593,7 @@ async function removeBundleFromManifest(profileDir, bundlePkg) {
 
 /** 用 corepack pnpm 移除包（与安装同一管理器与凭据抑制环境）。
  * 注意：pnpm remove 不支持 --registry 选项，去掉避免静默失败。 */
-async function pnpmRemove(profileDir, packageName) {
+export async function pnpmRemove(profileDir, packageName) {
   const args = ['remove', packageName]
   const opts = {
     cwd: profileDir,
@@ -636,7 +636,7 @@ function cleanupStalePackageDir(profileDir, packageName) {
 const SOURCES_FILE = join(dshHome(), 'plugin-console-sources.json')
 /** 敏感凭据单独落盘（避免与可分享配置混存）：自定义搜索源 headers + Gitee secret/token。 */
 const SOURCES_SECRETS_FILE = join(dshHome(), 'plugin-console-sources.secrets.json')
-const DEFAULT_SOURCES = {
+export const DEFAULT_SOURCES = {
   registries: [
     { id: 'npmmirror', name: 'npmmirror（国内镜像）', url: 'https://registry.npmmirror.com', primary: true },
     { id: 'npmjs', name: 'npmjs（官方源）', url: 'https://registry.npmjs.org', primary: false },
@@ -646,9 +646,16 @@ const DEFAULT_SOURCES = {
     { id: 'gitee', name: 'Gitee', type: 'builtin' },
   ],
   // 市场静态索引源（按主→备依次尝试；内网可整体替换为自建镜像，实现完全离线的市场浏览）
+  // 2026-09-20 扩容 2 → 5：只有 jsDelivr + ghproxy 两个源时，两者同时不可达就会让整个市场退化成
+  // 「只能搜 GitHub 实时结果」——收录清单（含 ★7800 全家桶）与本地索引模糊匹配一起失效
+  // （另一位用户实测报「市场索引加载失败：网络不可达（2 个索引源全部失败）：GitHub 请求超时」）。
+  // jsDelivr 官方多入口互为主备：cdn（主）/ gcore / fastly；再加 ghproxy 与 raw 直连兜底。
   indexSources: [
     { id: 'jsdelivr', name: 'jsDelivr CDN', url: 'https://cdn.jsdelivr.net/gh/Noob-stupid/dsh-plugin-hub@main/marketplace/index.json', primary: true },
+    { id: 'jsdelivr-gcore', name: 'jsDelivr (gcore)', url: 'https://gcore.jsdelivr.net/gh/Noob-stupid/dsh-plugin-hub@main/marketplace/index.json', primary: false },
+    { id: 'jsdelivr-fastly', name: 'jsDelivr (fastly)', url: 'https://fastly.jsdelivr.net/gh/Noob-stupid/dsh-plugin-hub@main/marketplace/index.json', primary: false },
     { id: 'ghproxy', name: 'ghproxy 镜像', url: 'https://ghproxy.net/https://raw.githubusercontent.com/Noob-stupid/dsh-plugin-hub/main/marketplace/index.json', primary: false },
+    { id: 'raw', name: 'GitHub raw 直连', url: 'https://raw.githubusercontent.com/Noob-stupid/dsh-plugin-hub/main/marketplace/index.json', primary: false },
   ],
   // Git 克隆源（{owner}/{repo} 占位符；按主→备依次尝试）。
   // 可替换为 Gitee / GitLab / 自建 Gitea / 任意镜像代理，实现「换一个网站下载仓库内容」。
@@ -2250,6 +2257,130 @@ async function fetchRepoPackage(repo, branch) {
   return (await fetchRepoPackageEx(repo, branch)).pkg
 }
 
+/** 从 npm 的 repository 字段解析出 GitHub/Gitee 仓库标识（纯函数，单测覆盖）。
+ * 支持 `https://github.com/o/r.git`、`git+https://…`、`git://…`、带 `#path` 的 monorepo 写法。 */
+export function parseRepoFromUrl(url) {
+  const raw = String(url ?? '').trim()
+  // npm 老式简写：`github:owner/repo` / `gitee:owner/repo`
+  const shorthand = raw.match(/^(?:github|gitee):([^/\s]+)\/([^/\s#?]+?)(?:\.git)?(?:[#?].*)?$/u)
+  if (shorthand !== null) return `${shorthand[1]}/${shorthand[2]}`
+  const m = raw.match(/(?:github\.com|gitee\.com)[/:]([^/\s]+)\/([^/\s#?]+?)(?:\.git)?(?:[#?].*)?$/u)
+  if (m === null) return null
+  return `${m[1]}/${m[2]}`
+}
+
+/** 结果里是否已有"名字逐词命中查询词"的条目——决定要不要再加 `in:readme` 重查一次。
+ * （仓库搜索的检索面只有 名字/描述/topics；README 里的词必须显式 in:readme 才查得到） */
+export function hasDirectNameHit(items, query) {
+  const tokens = String(query ?? '').toLowerCase().split(/[\s\-_/.]+/u).filter((tk) => tk.length >= 3)
+  if (tokens.length === 0) return true // 查询太短/太泛：不做二次查询，避免把结果冲稀
+  return items.some((it) => {
+    const name = String(it?.fullName ?? '').toLowerCase()
+    return tokens.every((tk) => name.includes(tk))
+  })
+}
+
+/** npm 包名搜索：registry 搜索接口 → 候选包 → 读 packument 的 repository.url → 映射回 GitHub 仓库。
+ * 背景（2026-09-20）：用户搜 `web-all`（= npm 包 `@linxin666/dsh-web-all`）搜不到，因为 `web-all`
+ * 只存在于 npm 包名、仓库文件与 README 里，而 GitHub 仓库搜索的检索面只有 名字/描述/topics。
+ * 这条通道不依赖静态索引、也不依赖 GitHub 登录，且命中后可按包名直接安装。 */
+export async function searchNpmPackages(query, registries, limit = 3, token = null) {
+  const q = String(query ?? '').trim().toLowerCase()
+  if (q.length < 2) return []
+  let hits = null
+  let registry = null
+  for (const reg of (registries ?? []).slice(0, 3)) {
+    try {
+      // eslint-disable-next-line no-await-in-loop
+      const data = await fetchJsonUrl(`${reg}/-/v1/search?text=${encodeURIComponent(q)}&size=10`, 8000)
+      if (data && Array.isArray(data.objects)) { hits = data.objects; registry = reg; break }
+    } catch {}
+  }
+  if (hits === null) return []
+  const candidates = hits
+    .map((o) => o?.package)
+    .filter((p) => p && typeof p.name === 'string' && p.name.toLowerCase().includes(q))
+    .slice(0, limit)
+  const out = []
+  for (const cand of candidates) {
+    try {
+      const encoded = cand.name.startsWith('@')
+        ? `@${encodeURIComponent(cand.name.slice(1).split('/')[0])}%2f${encodeURIComponent(cand.name.split('/').slice(1).join('/'))}`
+        : encodeURIComponent(cand.name)
+      // eslint-disable-next-line no-await-in-loop
+      const meta = await fetchJsonUrl(`${registry}/${encoded}`, 8000)
+      const repo = parseRepoFromUrl(meta?.repository?.url ?? meta?.repository ?? cand.links?.repository ?? '')
+      if (repo === null) continue
+      // 顺带补仓库真实元数据（星数/描述/默认分支）——npm 里的信息不足，且默认分支可能是 dev
+      let info = null
+      try {
+        // eslint-disable-next-line no-await-in-loop
+        info = await githubJson(`${GITHUB_API}/repos/${repo}`, null, token)
+      } catch {}
+      out.push({
+        fullName: repo,
+        description: `${info?.description ?? cand.description ?? ''}（npm 包：${cand.name}@${cand.version ?? '?'}）`.trim(),
+        htmlUrl: info?.html_url ?? `https://github.com/${repo}`,
+        stars: typeof info?.stargazers_count === 'number' ? info.stargazers_count : 0,
+        updatedAt: info?.updated_at ?? '',
+        defaultBranch: info?.default_branch ?? null,
+        topics: Array.isArray(info?.topics) ? info.topics : [],
+        source: 'npm',
+        sourceName: 'npm',
+        packageName: cand.name,
+        npmVersion: cand.version ?? null,
+        npmPackage: true,
+      })
+    } catch {}
+  }
+  return out
+}
+
+/** monorepo 子包增强：GitHub 代码搜索（`<词> filename:package.json`）→ 命中 `packages/<包>/package.json`
+ * → 读该 package.json 取真实包名 → 作为子包条目返回（这样 `dsh-web-all`、OpenViking 这类
+ * 「只存在于仓库文件里的包名」也能被搜到，且带 packageName 可直接按包名安装）。
+ * ⚠️ GitHub **代码搜索 API 强制要求登录**（未登录实测 401 Requires authentication），未登录时返回空。 */
+export async function searchSubpackageItems(query, token = null, signal = null) {
+  const subItems = []
+  try {
+    const codeData = await githubJson(
+      `${GITHUB_API}/search/code?q=${encodeURIComponent(`${query} filename:package.json`)}`,
+      signal,
+      token,
+    )
+    for (const hit of (codeData.items ?? []).slice(0, 10)) {
+      const hitPath = typeof hit.path === 'string' ? hit.path : ''
+      if (!/^(?:packages|examples|plugins|skills|apps|extensions|src|lib)\/[^/]+\/package\.json$/u.test(hitPath)) continue
+      const repoName = hit.repository?.full_name ?? ''
+      if (!repoName) continue
+      const dir = hitPath.split('/').slice(0, -1).join('/')
+      let packageName = dir.split('/').slice(-1)[0]
+      try {
+        // eslint-disable-next-line no-await-in-loop
+        const pkgText = await rawTextWithFallback(repoName, 'main', hitPath)
+        if (pkgText !== null) {
+          const pkg = JSON.parse(pkgText)
+          if (pkg && typeof pkg.name === 'string') packageName = pkg.name
+        }
+      } catch {}
+      subItems.push({
+        fullName: repoName,
+        description: `子包：${dir}`,
+        htmlUrl: `https://github.com/${repoName}/tree/main/${dir}`,
+        stars: 0,
+        updatedAt: '',
+        defaultBranch: 'main',
+        topics: [],
+        source: 'github',
+        subpackagePath: dir,
+        packageName,
+      })
+      if (subItems.length >= 5) break
+    }
+  } catch {}
+  return subItems
+}
+
 /** 探测失败时的用户可读文案：「抓取超时/不可达」与「真的没有」必须区分开。导出供测试。 */
 export function packageProbeErrorText(repo, branch, reason) {
   if (reason === FETCH_UNREACHABLE) {
@@ -2266,7 +2397,7 @@ export function packageProbeErrorText(repo, branch, reason) {
  * profile 目录由 pnpm 管理；若用 npm 写入会与 pnpm 的目录重建互相破坏
  * （曾导致入口链接丢失、DSH 启动崩溃）。registry 走国内镜像。
  */
-async function pnpmInstall(profileDir, spec, registry = 'https://registry.npmmirror.com', timeout = 90000, signal = null) {
+export async function pnpmInstall(profileDir, spec, registry = 'https://registry.npmmirror.com', timeout = 90000, signal = null) {
   const args = ['add', spec, '--registry', registry]
   const opts = {
     cwd: profileDir,
@@ -2916,23 +3047,38 @@ function gitCloneUrls(repoFullName, source = 'github') {
   return urls.length > 0 ? urls : [`https://github.com/${repoFullName}.git`]
 }
 
-/** git clone（镜像→直连；gitee 直连），返回或抛错。 */
-async function gitCloneRepo(repo, dest, source = 'github', timeout = 180000) {
+/** 逐条尝试的错误汇总（纯函数，单测覆盖）：报**第一个**错误（真实原因）+ 尝试清单。
+ * 为什么要这样：多源重试时若第一次失败留下半成品目录，第二次会以
+ * `fatal: destination path '…' already exists and is not an empty directory` 失败，
+ * 旧代码把它当 lastError 抛出去 → 用户只看到"目录非空"，真实原因（镜像/网络不可达）被完全掩盖。
+ * 2026-09-20 另一位用户实测报的就是这句。 */
+export function summarizeCloneErrors(errors) {
+  const first = errors[0]
+  const tried = errors.map((e) => (/already exists and is not an empty directory/u.test(e.message) ? `${e.url}（目录非空）` : e.url)).join('；')
+  return `git clone 失败（首个错误：${first?.message ?? '未知'}）；已尝试 ${errors.length} 个源：${tried}`
+}
+
+/** git clone（镜像→直连；gitee 直连），返回 { url } 或抛错。 */
+export async function gitCloneRepo(repo, dest, source = 'github', timeout = 180000) {
   const urls = gitCloneUrls(repo, source)
-  let lastError = null
-  for (const url of urls) {
+  const errors = []
+  for (const [attempt, url] of urls.entries()) {
+    // 每次尝试前都清掉目标目录：上一次可能留下半成品（git 会先建目录再传输），
+    // 不清就会让第二次以"目录非空"失败并掩盖真实原因（见 summarizeCloneErrors 注释）。
+    try { rmSync(dest, { recursive: true, force: true }) } catch {}
     try {
+      // eslint-disable-next-line no-await-in-loop
       await execFileAsync('git', ['clone', '--depth', '1', '--quiet', url, dest], {
         timeout,
         windowsHide: true,
         env: gitEnv(),
       })
-      return
+      return { url, attempt: attempt + 1 }
     } catch (error) {
-      lastError = error
+      errors.push({ url, message: error?.message ?? String(error) })
     }
   }
-  throw new Error(`git clone 失败：${lastError?.message ?? '未知'}`)
+  throw new Error(summarizeCloneErrors(errors))
 }
 
 /** 从 GitHub Release 下载预构建 tgz 装配到 node_modules/<pkgName>（gh CLI 通道，含绝对路径候选）。 */
@@ -5459,6 +5605,36 @@ async function handle(ctx, req, res) {
     const all = body.all === true
     const auth = readGithubAuth()
     let items = []
+    // 给前端的补充说明（如"代码搜索需登录"）——放响应里，前端据此给提示，不改 items 结构
+    const extraNotes = {}
+    // 增量检索（前端浏览器直连成功时**并行**调用）：只补「npm 包名映射 + in:readme 重查 + 代码搜索子包」，
+    // 不重复仓库搜索。为什么需要它：直连成功就不会走本路由，而未登录用户恰恰只能走直连
+    // （2026-09-20 事故：未登录 + 索引加载失败 → 三条检索路全断，搜 web-all 搜不到 dsh-web）。
+    if (body.extras === true) {
+      const extra = []
+      if (raw !== '') {
+        try { extra.push(...await searchNpmPackages(raw, orderedRegistries(readSources()), 3, auth.token)) } catch {}
+        try {
+          const again = await githubJson(
+            `${GITHUB_API}/search/repositories?q=${encodeURIComponent(`${raw} in:name,description,readme${all ? '' : ' topic:dsh-plugin'}`)}&sort=stars&order=desc&per_page=20&page=1`,
+            req.signal,
+            auth.token,
+          )
+          extra.push(...normalizePlatformItems(again.items ?? [], 'main').map((it) => ({ ...it, source: 'github', viaReadme: true })))
+        } catch {}
+        try { extra.push(...await searchSubpackageItems(raw, auth.token, req.signal)) } catch {}
+      }
+      sendJson(res, 200, {
+        ok: true,
+        query: raw,
+        items: extra,
+        extras: true,
+        authenticated: auth.loggedIn,
+        source: 'github',
+        ...(raw !== '' && !auth.loggedIn ? { codeSearchSkipped: true } : {}),
+      })
+      return
+    }
     if (body.multi === true) {
       // 多源汇总：GitHub + 全部自定义搜索源并行检索，结果合并（每项带 source 标记）。
       // Gitee 为直装模式（关键词搜索无意义），不参与多源汇总。
@@ -5565,6 +5741,11 @@ async function handle(ctx, req, res) {
       const data = await fetchJsonUrl(url, 15000, custom.headers ?? {})
       items = normalizePlatformItems(data, 'main').map((item) => ({ ...item, source, sourceName: custom.name }))
     } else {
+      // npm 包名搜索与 GitHub 仓库搜索**并行**：npm 侧要查 registry 搜索 + packument + 仓库元数据
+      // （实测 4.5~9s），串行会把两段等待叠加到用户身上。
+      const npmPromise = raw !== '' && !body.skills
+        ? searchNpmPackages(raw, orderedRegistries(readSources()), 3, auth.token).catch(() => [])
+        : Promise.resolve([])
       const data = await githubJson(
         `${GITHUB_API}/search/repositories?q=${encodeURIComponent(all ? query : `${query} topic:dsh-plugin`)}&sort=stars&order=desc&per_page=20&page=${page}`,
         req.signal,
@@ -5572,51 +5753,50 @@ async function handle(ctx, req, res) {
       )
       items = normalizePlatformItems(data.items ?? [], 'main').map((item) => ({ ...item, source: 'github' }))
       items = await enrichItems(items)
-      // monorepo 子包增强（OpenViking/examples/dsh-memory-plugin 等可按子包名搜到）
+      // monorepo 子包增强（OpenViking/examples/dsh-memory-plugin 等可按子包名搜到；
+      // 代码搜索需登录，未登录时该函数返回空数组，见 searchSubpackageItems 的说明）
       if (raw !== '' && !body.skills) {
+        for (const sub of await searchSubpackageItems(raw, auth.token, req.signal)) {
+          if (!items.some((x) => x.fullName === sub.fullName)) items.push(sub)
+        }
+      }
+      // ── B′：README 重查（2026-09-20）────────────────────────────────────────
+      // 仓库搜索只在「仓库名 + 描述 + topics」里找词，所以只写在 README 或仓库文件里的名字搜不到。
+      // 典型：`web-all` 只是 npm 包名 + `packages/dsh-web-all/package.json` 的内容，
+      // `q=web-all topic:dsh-plugin` 32 条里没有 dsh-web；而 `web-all in:readme` 第 9 条就是它。
+      // 首屏没有"名字逐词命中"的条目时，用 in:name,description,readme 再查一次（未登录也能用）。
+      if (raw !== '' && !body.skills && page === 1 && !hasDirectNameHit(items, raw)) {
         try {
-          const codeData = await githubJson(
-            `${GITHUB_API}/search/code?q=${encodeURIComponent(`${raw} filename:package.json`)}`,
+          const again = await githubJson(
+            `${GITHUB_API}/search/repositories?q=${encodeURIComponent(`${raw} in:name,description,readme${all ? '' : ' topic:dsh-plugin'}`)}&sort=stars&order=desc&per_page=20&page=1`,
             req.signal,
             auth.token,
           )
-          const subItems = []
-          for (const hit of (codeData.items ?? []).slice(0, 10)) {
-            const hitPath = typeof hit.path === 'string' ? hit.path : ''
-            if (!/^(?:packages|examples|plugins|skills|apps|extensions|src|lib)\/[^/]+\/package\.json$/u.test(hitPath)) continue
-            const repoName = hit.repository?.full_name ?? ''
-            if (!repoName) continue
-            const dir = hitPath.split('/').slice(0, -1).join('/')
-            let packageName = dir.split('/').slice(-1)[0]
-            try {
-              const pkgText = await rawTextWithFallback(repoName, 'main', hitPath)
-              if (pkgText !== null) {
-                const pkg = JSON.parse(pkgText)
-                if (pkg && typeof pkg.name === 'string') packageName = pkg.name
-              }
-            } catch {}
-            subItems.push({
-              fullName: repoName,
-              description: `子包：${dir}`,
-              htmlUrl: `https://github.com/${repoName}/tree/main/${dir}`,
-              stars: 0,
-              updatedAt: '',
-              defaultBranch: 'main',
-              topics: [],
-              source: 'github',
-              subpackagePath: dir,
-              packageName,
-            })
-            if (subItems.length >= 5) break
-          }
-          for (const sub of subItems) {
-            if (!items.some((x) => x.fullName === sub.fullName)) items.push(sub)
+          for (const it of normalizePlatformItems(again.items ?? [], 'main')) {
+            if (items.some((x) => x.fullName === it.fullName)) continue
+            items.push({ ...it, source: 'github', viaReadme: true })
+            if (items.length >= 40) break
           }
         } catch {}
       }
+      // ── A：npm 包名搜索（2026-09-20）────────────────────────────────────────
+      // 用户输入常常是 npm 包名（`web-all`），而 GitHub 元数据里没有它 → 走 registry 搜索接口反查
+      // 包 → repository.url → 仓库，命中**置顶**并带 npmPackage 标记（前端按包名安装）。
+      // 不依赖静态索引、不依赖 GitHub 登录；registry 走配置的软件源（默认国内镜像）。
+      // 已在列表里的同仓库条目（例如代码搜索加进来的"子包"）合并 npm 信息后上移——精确命中不该排在第 21 位。
+      if (raw !== '' && !body.skills) {
+        for (const it of (await npmPromise).reverse()) {
+          const existingIdx = items.findIndex((x) => x.fullName === it.fullName)
+          const existing = existingIdx >= 0 ? items.splice(existingIdx, 1)[0] : null
+          items.unshift({ ...(existing ?? {}), ...it })
+        }
+      }
+      // 代码搜索（monorepo 子包）需要 GitHub 登录：未登录时它拿不到结果，
+      // 前端据此提示"登录后可按子包名搜索"（2026-09-20 事故复盘：未登录用户三条检索路径全断）
+      if (raw !== '' && !body.skills && !auth.loggedIn) extraNotes.codeSearchSkipped = true
     }
     items = items.filter((item) => item.fullName !== '')
-    sendJson(res, 200, { ok: true, query, items, authenticated: auth.loggedIn, source })
+    sendJson(res, 200, { ok: true, query, items, authenticated: auth.loggedIn, source, ...(extraNotes) })
     return
   }
 
@@ -6090,9 +6270,13 @@ async function handle(ctx, req, res) {
     }
     let lastError = null
     let formatError = null
+    // 总预算：索引源扩容到 5 个后，逐个 15s 最坏要等 75s（用户只会看到"市场一直转圈"）。
+    // 单源 8s + 整体 20s 封顶，超预算立刻进入落盘缓存兜底。
+    const deadline = Date.now() + 20000
     for (const src of indexList) {
+      if (Date.now() > deadline) break
       try {
-        const data = await fetchJsonUrl(src.url, 15000)
+        const data = await fetchJsonUrl(src.url, 8000)
         if (data && Array.isArray(data.items)) {
           marketIndexCache = { at: Date.now(), data, sourceName: src.name }
           try { await writeFile(MARKET_INDEX_CACHE_FILE, JSON.stringify({ at: Date.now(), data, sourceName: src.name }), 'utf8') } catch {}
@@ -6115,7 +6299,9 @@ async function handle(ctx, req, res) {
     const reason = formatError !== null
       ? formatError
       : `网络不可达（${indexList.length} 个索引源全部失败）：${lastError?.message ?? '未知错误'}`
-    sendError(res, 500, `索引加载失败：${reason}`)
+    // 说清后果（2026-09-20 另一位用户实测的困惑）：索引不在时市场只剩 GitHub 实时结果，
+    // 收录条目与本地索引模糊匹配一起失效（他搜 web-all 搜不到 dsh-web 全家桶就是这个原因）
+    sendError(res, 500, `索引加载失败：${reason}（此时市场只能搜 GitHub 实时结果，收录条目可能看不到；可在「软件源 → 索引源」增删/更换索引源后重试）`)
     return
   }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.3.48",
+  "version": "0.3.50",
   "description": "DSH plugin management panel & marketplace: one-click enable/disable, multi-source market (GitHub/Gitee/custom), static-index market (500+ plugins / 300 skills), skills, suites, and one-click framework upgrade.",
   "repository": {
     "type": "git",