@noob-stupid/dsh-plugin-console 0.5.35 → 0.5.36

package/lib/server/domain/patch.js

@@ -2,7 +2,7 @@
 // 分层分组：L1 · domain（边界由 tests/test-architecture-guard.mjs 断言）
 
 import { readFile, writeFile } from 'node:fs/promises'
-import { dirname } from 'node:path'
+import { dirname, join } from 'node:path'
 import { frameworkBases, isFrameworkModuleName } from '../infra/framework-root.js'
 import { queuedWrite } from '../infra/fsx.js'
 import { escapeRegExp } from '../infra/mask.js'
@@ -71,11 +71,42 @@ async function enableEntry(patchPath, id) {
   })
 }
 
-/** 追加一条 insert 启用行（插件包需已安装到 profile）。 */
+/** 读 profile 清单里的 `dsh.profile.bundles`（包名数组）。
+ *  读不到就返回空数组 —— 绝不因为读清单失败而阻断既有写入行为。 */
+async function readProfileBundles(patchPath) {
+  try {
+    const manifest = JSON.parse(await readFile(join(dirname(patchPath), 'package.json'), 'utf8'))
+    const list = manifest?.dsh?.profile?.bundles
+    return Array.isArray(list) ? list.filter((x) => typeof x === 'string' && x.trim() !== '') : []
+  } catch {
+    return []
+  }
+}
+
+/** 追加一条 insert 启用行（插件包需已安装到 profile）。
+ *
+ *  幂等护栏（2026-10-03 用户实测事故后加）：以下三种情况都**不写**，只回报 `changed:false` + `reason`：
+ *    ① `same-id`        同 id 已经在 insert 里（原有行为）；
+ *    ② `same-package`   **同一个包名**已由别的 insert 行声明 —— 再写一行 = 重复装配，
+ *                       第二行会因重复注册而挂载失败；
+ *    ③ `bundle`         **同一个包名**已由 `dsh.profile.bundles` 声明 —— bundle 自带的
+ *                       patch 会在启动时自动装配它自己的行，我们再插一行同样是重复装配。
+ *
+ *  事故复现：用户先用**官方插件管理**启用插件（= 走 bundle 声明），再在我们面板点「启用」
+ *  → 我们多写了一条 insert 行 → 同一插件被装配两次 → 第二行抛 `already registered`
+ *  → 面板显示「已启用 + 挂载失败」。 */
 async function appendInsert(patchPath, entryId, packageName) {
   return queuedWrite(async () => {
     const { inserts, text } = await readPatchState(patchPath)
-    if (inserts.includes(entryId)) return { changed: false }
+    if (inserts.includes(entryId)) return { changed: false, reason: 'same-id' }
+    const name = String(packageName ?? '').trim()
+    if (name !== '') {
+      for (const declared of parseInsertNames(text).values()) {
+        if (String(declared ?? '').trim() === name) return { changed: false, reason: 'same-package' }
+      }
+      const bundles = await readProfileBundles(patchPath)
+      if (bundles.includes(name)) return { changed: false, reason: 'bundle' }
+    }
     const clean = sanitizePatchText(text)
     const next = clean.length === 0 || clean.endsWith('\n') ? clean : `${clean}\n`
     const block = `- insert:\n    - id: ${entryId}\n      name: '${packageName}'\n`

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.35",
+  "version": "0.5.36",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",