@noob-stupid/dsh-plugin-console 0.3.54 → 0.3.56

package/README.md

@@ -308,7 +308,7 @@ MIT
 
 The layered-refactor preview lives in its **own repository**: [**`Noob-stupid/dsh-plugin-hub-refactor`**](https://github.com/Noob-stupid/dsh-plugin-hub-refactor)
 
-- **What it is**: the monolithic `lib/index.js` (8547 lines) split into layers — `lib/index.js` **141 lines** + `lib/server/**` **38 modules**; **feature-equivalent to `0.3.54`**, maintainability only;
+- **What it is**: the monolithic `lib/index.js` (8547 lines) split into layers — `lib/index.js` **141 lines** + `lib/server/**` **38 modules**; **feature-equivalent to `0.3.56`**, maintainability only;
 - **Verified**: 19 test suites green · 8 architecture-guard assertions · **route inventory identical** (`status` + response fields) against the stable build;
 - **Not yet exercised**: real framework upgrade / rollback, restart guardian, component start/stop, real AI run, Gitee OAuth (~10–25% long-tail risk, subjective);
-- **For everyday use** stick to npm `@noob-stupid/dsh-plugin-console@0.3.54`, or `main` of this repo.
+- **For everyday use** stick to npm `@noob-stupid/dsh-plugin-console@0.3.56`, or `main` of this repo.

package/README.zh.md

@@ -275,9 +275,9 @@ MIT
 
 分层重构预览线在**独立仓库**：[**`Noob-stupid/dsh-plugin-hub-refactor`**](https://github.com/Noob-stupid/dsh-plugin-hub-refactor)
 
-- **它是什么**：把单体 `lib/index.js`（8547 行）拆成分层结构 —— `lib/index.js` **141 行** + `lib/server/**` **38 个模块**，**功能与 `0.3.54` 等价**，只为可维护性；
+- **它是什么**：把单体 `lib/index.js`（8547 行）拆成分层结构 —— `lib/index.js` **141 行** + `lib/server/**` **38 个模块**，**功能与 `0.3.56` 等价**，只为可维护性；
 - **已验证**：19 套测试全绿 · 8 条架构守卫断言 · 与稳定版逐条对打**路由清单一致**（`status` + 响应字段）；
 - **已实测**（2026-09-20 真装真卸演练）：普通插件 / bundle 插件 / 无 npm 仓库 / 套装 / 技能 / 聚合仓库子包 / 仓库落地 / 服务器组件启停；
 - **尚未实测**：真框架升级 / 真回滚、重启守护链路、AI 真跑、Gitee OAuth 回调（长尾风险主观估计 **10%~25%**）；
-- **日常使用请继续用**：npm `@noob-stupid/dsh-plugin-console@0.3.54`，或本仓库 `main`。
+- **日常使用请继续用**：npm `@noob-stupid/dsh-plugin-console@0.3.56`，或本仓库 `main`。
 - 请多反馈问题

package/lib/client.js

@@ -3851,7 +3851,12 @@ setMessage(t("installing"));
 call("/plugin-console/self-update", {}).then(
 (data) => {
 if (data && data.ok === true) {
-setMessage((data.note ?? "已更新") + "，正在重启生效…");
+// 未写进 lockfile 时必须**显眼**说清（用户实测报告：只铺文件不写 lock → 之后任何 pnpm 操作
+// 都会把版本还原，而用户以为升级成功了）
+const lockWarn = data.lockUpdated === false && typeof data.lockNote === "string" && data.lockNote !== ""
+? "⚠️ " + data.lockNote
+: "";
+setMessage((data.note ?? "已更新") + (lockWarn === "" ? "" : "。" + lockWarn) + "，正在重启生效…");
 call("/plugin-console/restart", {}).then(() => {}, () => {});
 } else {
 setMessage(t("failed") + "：" + (data?.reason ?? "未知"));

package/lib/index.js

@@ -5563,6 +5563,137 @@ function listEntries(ctx) {  const entries = []
 }
 
 /** 应用插件：注册 /plugin-console 路由。 */
+/**
+ * 控制台自更新：**包管理器优先**，保证升级真的写进 pnpm-lock.yaml。
+ *
+ * 缺陷背景（2026-09-20 用户实测报告，附完整时间线）：旧的 `/self-update` 直接把 npm tarball 的文件铺进
+ * profile 的 node_modules，**不碰 pnpm-lock.yaml**；而 profile 依赖由 pnpm 按 lock 管理（`dsh plugin`
+ * 就是 pnpm 的薄转发器）。于是只要发生**任何一次 pnpm 操作**——开关任意插件（改 `dsh.profile.bundles`）、
+ * `dsh plugin add/remove/install`——pnpm 就按 lock 重装，把刚"升级"上去的版本**还原**回旧版本。
+ * 用户侧现象：UI 一直提示有新版、点更新显示成功、重启后还是旧版。
+ *
+ * 顺序：① spec 是版本范围 → `pnpm update <pkg>`（spec 不变、lock 提到范围内最新）
+ *      ② 仍不是 latest（超出范围 / git·file 来源）→ `pnpm add <pkg>@<latest>`（spec 与 lock 同步改写）
+ *      ③ 回读核实 installedVersion + lockVersion；都不匹配才回落手铺文件，且**必须**带 lockNote 警告。
+ */
+
+/** spec 是否是 registry 版本范围（`^1.2.3` / `~1.2.3` / `1.2.3` / `>=1`）：只有这种才能用 `pnpm update`
+ * 在**不改写 spec**的前提下把 lock 提到范围内最新；git/file/link/workspace 来源没有"范围"可言。 */
+export function isRegistryRange(spec) {
+  if (typeof spec !== 'string') return false
+  const s = spec.trim()
+  if (/^[\^~]?\d/u.test(s)) return true
+  return /^(>=|>|=)\s*\d/u.test(s)
+}
+
+/** profile 里该包的依赖声明（spec）。读不到返回 null。 */
+function profileSpecOf(profileDir, name) {
+  try {
+    const pkg = JSON.parse(readFileSync(join(profileDir, 'package.json'), 'utf8'))
+    const spec = pkg?.dependencies?.[name]
+    return typeof spec === 'string' ? spec : null
+  } catch {
+    return null
+  }
+}
+
+/** 已安装版本（直接读 node_modules 里那份 package.json）。 */
+export function readInstalledVersion(profileDir, name) {
+  try {
+    const pkg = JSON.parse(readFileSync(join(profileDir, 'node_modules', ...name.split('/'), 'package.json'), 'utf8'))
+    return typeof pkg?.version === 'string' ? pkg.version : null
+  } catch {
+    return null
+  }
+}
+
+/** 从 pnpm-lock.yaml 读出该包被**钉住**的版本。解析只认两种确定性位置，避免子串误命中：
+ * ① importers 段里恰为 `'<name>':` 的行，随后几行内的 `version: X`；② packages 段 `<name>@<版本>:` 的键名。
+ * 读不到返回 null（调用方据此判定"没能核实"，绝不谎报成功）。 */
+export function lockVersionOf(profileDir, name) {
+  const file = join(profileDir, 'pnpm-lock.yaml')
+  if (!existsSync(file)) return null
+  let lines = []
+  try {
+    lines = readFileSync(file, 'utf8').split(/\r?\n/u)
+  } catch {
+    return null
+  }
+  for (let i = 0; i < lines.length; i += 1) {
+    if (lines[i].trim() !== `'${name}':`) continue
+    for (let k = i + 1; k < Math.min(i + 5, lines.length); k += 1) {
+      const m = /^\s*version:\s*(\S+)\s*$/u.exec(lines[k])
+      if (m) return m[1]
+      if (/^\s*\S+:/u.test(lines[k]) && !/^\s*version:/u.test(lines[k])) break
+    }
+  }
+  const escaped = name.replace(/[/\\^$*+?.()|[\]{}]/gu, '\\$&')
+  const keyRe = new RegExp(`^\\s*'?${escaped}@([^':\\s]+)'?:`, 'u')
+  for (const line of lines) {
+    const m = keyRe.exec(line)
+    if (m) return m[1]
+  }
+  return null
+}
+
+/** 给用户的兜底建议命令（让 lock 也变成新版本，而不是只改文件）。 */
+function selfUpdateCommandFor(latest, profileName = '<你的profile>') {
+  return `dsh plugin --profile ${profileName} add @noob-stupid/dsh-plugin-console@${latest}`
+}
+
+/** 依赖以参数注入（便于单测替换 runPnpm / pnpmAdd）。 */
+export async function selfUpdateToLatest({ profileDir, latest, registries, curlManualInstall, runPnpm = runPnpmWithFallback, pnpmAdd = pnpmInstall, profileName = null, execOpts = {} }) {
+  const NAME = '@noob-stupid/dsh-plugin-console'
+  const command = selfUpdateCommandFor(latest, profileName ?? '<你的profile>')
+  const spec = profileSpecOf(profileDir, NAME)
+  const errors = []
+  let method = null
+  const label = (e) => (e instanceof Error ? e.message : String(e))
+
+  if (isRegistryRange(spec)) {
+    try {
+      await runPnpm(['update', NAME], { execOpts: { cwd: profileDir, timeout: 300000, ...execOpts } })
+      method = 'pnpm-update'
+    } catch (error) {
+      errors.push(`pnpm update 失败：${label(error)}`)
+    }
+  }
+  if (readInstalledVersion(profileDir, NAME) !== latest) {
+    try {
+      await pnpmAdd(profileDir, `${NAME}@${latest}`, registries?.[0])
+      method = method === null ? 'pnpm-add' : `${method}+pnpm-add`
+    } catch (error) {
+      errors.push(`pnpm add 失败：${label(error)}`)
+    }
+  }
+
+  let installed = readInstalledVersion(profileDir, NAME)
+  let lock = lockVersionOf(profileDir, NAME)
+  let lockUpdated = installed === latest && lock === latest
+  let lockNote = null
+
+  if (!lockUpdated) {
+    try {
+      const info = await curlManualInstall(profileDir, NAME, registries, null, latest)
+      method = method === null ? 'manual-copy' : `${method}+manual-copy`
+      installed = info?.version ?? readInstalledVersion(profileDir, NAME)
+      lock = lockVersionOf(profileDir, NAME)
+      lockUpdated = installed === latest && lock === latest
+    } catch (error) {
+      errors.push(`手动铺文件失败：${label(error)}`)
+    }
+    if (!lockUpdated) {
+      lockNote = `此更新未写入 pnpm-lock.yaml（lock 里仍是 ${lock ?? '未知'}）：之后任何 pnpm 操作（开关插件、dsh plugin add/remove）都会把它还原成 lock 里的版本。要真正落地请执行：${command}`
+    }
+  }
+
+  const sourceSwitch = spec !== null && !isRegistryRange(spec) ? `安装来源已从 ${spec} 变为 registry 版本 ${latest}` : null
+  const noteParts = [lockUpdated ? '已写入 pnpm-lock.yaml，重启服务后生效' : '已铺入文件但未写入 pnpm-lock.yaml：重启后可用，但会被 pnpm 还原']
+  if (sourceSwitch !== null) noteParts.push(sourceSwitch)
+
+  return { method, spec, installedVersion: installed, lockVersion: lock, lockUpdated, lockNote, command, note: noteParts.join('；'), errors }
+}
+
 export function apply(ctx) {
   // 恢复 AI 赋能任务（restart 后 running 置失败，plan-ready/结果保留）
   loadAiJobs()
@@ -7982,8 +8113,25 @@ async function handle(ctx, req, res) {
     const profileDir = dirname(findPatchPath(ctx))
     const registries = orderedRegistries(readSources())
     try {
-      const info = await curlManualInstall(profileDir, '@noob-stupid/dsh-plugin-console', registries)
-      sendJson(res, 200, { ok: true, current: selfVersion, latest, updated: true, version: info.version, note: '已下载最新代码，重启服务后生效' })
+      // 包管理器优先（见 selfUpdateToLatest 注释）：旧实现只把文件铺进 node_modules、不写 pnpm-lock.yaml，
+      // 导致"看起来升级成功、下一次 pnpm 操作就被还原"（用户 2026-09-20 实测报告）。
+      const result = await selfUpdateToLatest({ profileDir, latest, registries, curlManualInstall })
+      sendJson(res, 200, {
+        ok: true,
+        current: selfVersion,
+        latest,
+        updated: true,
+        version: result.installedVersion ?? latest,
+        method: result.method,
+        spec: result.spec,
+        installedVersion: result.installedVersion,
+        lockVersion: result.lockVersion,
+        lockUpdated: result.lockUpdated,
+        lockNote: result.lockNote,
+        command: result.command,
+        note: result.note,
+        errors: result.errors,
+      })
     } catch (error) {
       sendError(res, 500, `Hub 自动更新失败：${error instanceof Error ? error.message : String(error)}`)
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.3.54",
+  "version": "0.3.56",
   "description": "DSH plugin management panel & marketplace: one-click enable/disable, multi-source market (GitHub/Gitee/custom), static-index market (500+ plugins / 300 skills), skills, suites, and one-click framework upgrade.",
   "repository": {
     "type": "git",