@noob-stupid/dsh-plugin-console 0.5.36 → 0.5.37

package/lib/client.js

@@ -1403,6 +1403,77 @@ window.__ModuleLoader__.load({
 		return { shown: n, total: known, page: p, perPage: size, hasMore, truncated, reason }
 		}
 		// <<<market-rank:end>>>
+
+		// ★★ 「更新候选」的**唯一**判据区（0.5.37）★★
+		// 真机缺陷（2026-10-03 用户实测）：卡片上已装 `@deepseek-ai/dsh-time-context` **0.2.0-rc.2**，
+		// 却提示「发现新版本 0.2.0-rc.2 → **0.1.1-rc.1**」并给出「更新」按钮 —— 按下去是**降级**。
+		// 根因就在本文件：普通插件行只判 `data.latest` 与 `entry.version` **字符串不相等**，没有大小比较；
+		// 镜像源 `registry.npmmirror.com` 的 `latest` 陈旧到低于已装版本时，"不相等"被当成"有新版"。
+		// 这里是服务端 lib/server/infra/semver.js 里同一标记块（// <<<update-pick:begin/end>>>）的
+		// **逐字移植**（本文件不能 import），两端共用一份**文本**，由 tests/test-update-version-pick.mjs
+		// 与 tests/test-architecture-guard.mjs ⑪ 断言"去缩进后逐字相等"（改一边不改另一边 = 直接红灯）。
+		// 语义只有这一份判据，任何"要不要提示更新"的地方都只许调它。
+		// <<<update-pick:begin>>>
+		/** 宽松解析（容忍 `v` 前缀与首尾空白）；不是三段数字的版本（''、'latest'、'1.2'）一律 null。 */
+		function updateParseVersion(value) {
+		  const text = String(value ?? '').trim().replace(/^v/u, '')
+		  const m = text.match(/^(\d+)\.(\d+)\.(\d+)(?:-([0-9A-Za-z.-]+))?(?:\+[0-9A-Za-z.-]+)?$/u)
+		  if (!m) return null
+		  return { major: Number(m[1]), minor: Number(m[2]), patch: Number(m[3]), pre: m[4] ?? null }
+		}
+
+		/** 语义版本比较（含 prerelease 段；无 prerelease 段视为更高）。只在两份解析都成功时调用。 */
+		function updateCompareVersion(a, b) {
+		  if (a.major !== b.major) return a.major - b.major
+		  if (a.minor !== b.minor) return a.minor - b.minor
+		  if (a.patch !== b.patch) return a.patch - b.patch
+		  if (a.pre === null && b.pre === null) return 0
+		  if (a.pre === null) return 1
+		  if (b.pre === null) return -1
+		  const pa = a.pre.split('.')
+		  const pb = b.pre.split('.')
+		  const len = Math.max(pa.length, pb.length)
+		  for (let i = 0; i < len; i += 1) {
+		    const xa = pa[i]
+		    const xb = pb[i]
+		    if (xa === undefined) return -1
+		    if (xb === undefined) return 1
+		    const na = /^\d+$/u.test(xa)
+		    const nb = /^\d+$/u.test(xb)
+		    if (na && nb) { const d = Number(xa) - Number(xb); if (d !== 0) return d; continue }
+		    if (na) return -1
+		    if (nb) return 1
+		    const d = xa < xb ? -1 : xa > xb ? 1 : 0
+		    if (d !== 0) return d
+		  }
+		  return 0
+		}
+
+		/**
+		 * 「更新候选」的唯一判据：从 candidates 里挑出**严格高于 current** 的最高者，没有则 null。
+		 * 边界（全部钉死在 tests/test-update-version-pick.mjs）：相同版本 / 更低版本 / 任一无法解析 ⇒ null。
+		 * @param {string} current 已装版本
+		 * @param {Array<string|null|undefined>} candidates 候选（registry 的 latest / next / beta 等）
+		 * @returns {string|null}
+		 */
+		function pickNewerSemver(current, candidates) {
+		  const cur = updateParseVersion(current)
+		  if (cur === null) return null
+		  const list = Array.isArray(candidates) ? candidates : []
+		  let best = null
+		  let bestParsed = null
+		  for (const candidate of list) {
+		    const parsed = updateParseVersion(candidate)
+		    if (parsed === null) continue
+		    if (updateCompareVersion(parsed, cur) <= 0) continue
+		    if (bestParsed === null || updateCompareVersion(parsed, bestParsed) > 0) {
+		      best = String(candidate).trim().replace(/^v/u, '')
+		      bestParsed = parsed
+		    }
+		  }
+		  return best
+		}
+		// <<<update-pick:end>>>
 		const el = react.createElement;
 		function moduleShortName(moduleName) {
 			return (moduleName.startsWith("@") ? moduleName.slice(moduleName.indexOf("/") + 1) : moduleName)
@@ -2495,26 +2566,18 @@ window.__ModuleLoader__.load({
 						(data) => {
 							if (data && data.error === null) {
 								const current = state.data.compat?.dshVersion ?? "";
-								// 通用 semver 比较（支持 0.1.0-rc.8 → 0.1.1-rc.2 跨 minor 升级；0.1.1-rc.N 不再写死 0.1.0）
-								const verNum = (v) => {
-									const m = String(v).match(/^(\d+)\.(\d+)\.(\d+)(?:-(?:[a-z]+\.)?(\d+))?$/iu);
-									if (!m) return -1;
-									const [ , maj, min, pat, rc ] = m;
-									// 正式版（无 rc）视为 rc.∞：0.1.1 > 0.1.1-rc.2
-									return { maj: parseInt(maj, 10), min: parseInt(min, 10), pat: parseInt(pat, 10), rc: rc === undefined ? Number.POSITIVE_INFINITY : parseInt(rc, 10) };
-								};
-								const isNewer = (a, b) => {
-									if (a === -1 || b === -1) return false;
-									if (a.maj !== b.maj) return a.maj > b.maj;
-									if (a.min !== b.min) return a.min > b.min;
-									if (a.pat !== b.pat) return a.pat > b.pat;
-									return a.rc > b.rc;
-								};
-								// 稳定版 latest 优先；latest 不高于当前而 next（预发布渠道）更高时，目标取 next
-								const target = data.latest && isNewer(verNum(data.latest), verNum(current))
-									? data.latest
-									: (data.next && isNewer(verNum(data.next), verNum(current)) ? data.next : null);
-								if (target) setUpdateMap((prev) => ({ ...prev, [fwItem.fullName]: target }));
+								// 判据只有一份（本文件上方 <<<update-pick>>> 区，与服务端 lib/server/infra/semver.js 逐字同一份文本）：
+								// 支持 0.1.0-rc.8 → 0.1.1-rc.2 跨 minor 升级，正式版高于同号预发布（0.1.1 > 0.1.1-rc.2）。
+								// 稳定版 latest 优先；latest 不高于当前而 next（预发布渠道）更高时，目标取 next。
+								const target = pickNewerSemver(current, [data.latest, data.next]);
+								if (target !== null) {
+									setUpdateMap((prev) => {
+										// 两条路径写同一个 map：已有目标更高时保持不动（绝不许把结论换低）
+										const existing = prev[fwItem.fullName];
+										if (typeof existing === "string" && pickNewerSemver(target, [existing]) !== null) return prev;
+										return { ...prev, [fwItem.fullName]: target };
+									});
+								}
 							}
 						},
 						() => {},
@@ -2528,8 +2591,17 @@ window.__ModuleLoader__.load({
 					done += 1;
 					call("/plugin-console/check-update", { packageName: entry.moduleName }).then(
 						(data) => {
-							if (data && data.latest && data.error === null && data.latest !== entry.version) {
-								setUpdateMap((prev) => ({ ...prev, [item.fullName]: data.latest }));
+							// ★ 只在**严格更高**时才提示更新（唯一判据 = 本文件上方 <<<update-pick>>> 区）。
+							// 0.5.37 改错：这里原本只判 `data.latest` 与 `entry.version` **字符串不相等**，
+							// 没有大小比较 ⇒ 镜像源陈旧的 latest 低于已装版本时也提示「更新」= 引导降级。
+							const better = data && data.error === null ? pickNewerSemver(entry.version, [data.latest]) : null;
+							if (better !== null) {
+								setUpdateMap((prev) => {
+									// 两条路径写同一个 map（框架特判可能已算出正确目标）：已有目标更高时保持不动
+									const existing = prev[item.fullName];
+									if (typeof existing === "string" && pickNewerSemver(better, [existing]) !== null) return prev;
+									return { ...prev, [item.fullName]: better };
+								});
 							}
 						},
 						() => {},

package/lib/server/domain/update-candidates.js

@@ -0,0 +1,46 @@
+// L1 · domain —— 更新候选净化（0.5.37 改错）
+//
+// 真机缺陷（2026-10-03 用户实测）：卡片上已装 `@deepseek-ai/dsh-time-context` **0.2.0-rc.2**，
+// 主源 `registry.npmmirror.com` 的 `latest` 却是 **0.1.1-rc.1**（镜像陈旧，低于已装版本），
+// 面板据此提示「发现新版本 0.2.0-rc.2 → 0.1.1-rc.1」并给出「更新」按钮 ⇒ 按下去是**降级**。
+//
+// 客户端已修（只在"严格更高"时提示）；这里再兜一道：**服务端绝不把"低于已装版本"的候选
+// 当新版递出去**。语义与既有返回**字段名完全不变**（latest / next / beta 仍是这三个字段），
+// 只是把这种候选清成 null —— 面板因此既不提示降级，也不会拿到错数据。
+//
+// 判据不做第二份实现：与客户端、路由共用 lib/server/infra/semver.js 的 pickNewerSemver
+// （`// <<<update-pick:begin/end>>>` 标记块，两端逐字一致由架构守卫 ⑪ 钉死）。
+// 本模块只收**已解开的** baseUrl / profileDir（domain 层不认识 cordis ctx，见架构守卫 ⑤）。
+import { entryPkgMeta } from '../infra/paths.js'
+import { pickNewerSemver } from '../infra/semver.js'
+
+/** 已装版本（profile 里真实的 package.json，走既有缓存 60s）；读不到返回 null。 */
+function installedVersionOf(packageName, baseUrl, profileDir) {
+  try {
+    const version = entryPkgMeta(packageName, baseUrl ?? 'file:///', profileDir ?? null)?.version
+    return typeof version === 'string' && version !== '' ? version : null
+  } catch {
+    return null
+  }
+}
+
+/**
+ * 把"严格低于已装版本"的候选清成 null（字段名不变，其余候选原样返回）。
+ * 已装版本读不到（未安装的插件 / 解析失败）⇒ 不做任何过滤：既有行为一字不动。
+ *
+ * @param {{ latest?: string|null, next?: string|null, beta?: string|null }} candidates registry 的 dist-tag 候选
+ * @param {string} packageName 包名
+ * @param {string} baseUrl 解析起点（route 传 baseUrl / file:///）
+ * @param {string|null} profileDir profile 根目录（route 传 profileDirOf）
+ * @returns {{ latest: string|null, next: string|null, beta: string|null }}
+ */
+function dropStaleUpdateCandidates(candidates, packageName, baseUrl, profileDir) {
+  const src = candidates !== null && typeof candidates === 'object' ? candidates : {}
+  const installed = installedVersionOf(packageName, baseUrl, profileDir)
+  if (installed === null) return { latest: src.latest ?? null, next: src.next ?? null, beta: src.beta ?? null }
+  // pickNewerSemver(候选, [已装]) !== null ⇔ 已装版本**严格高于**该候选 ⇒ 该候选不是"新版"
+  const keep = (value) => (typeof value === 'string' && pickNewerSemver(value, [installed]) !== null ? null : value)
+  return { latest: keep(src.latest), next: keep(src.next), beta: keep(src.beta) }
+}
+
+export { dropStaleUpdateCandidates, installedVersionOf }

package/lib/server/infra/semver.js

@@ -165,4 +165,85 @@ function frameworkUpgradeCandidates(meta, current) {
   return { versions, tagDefault }
 }
 
-export { parseSemverText, compareSemverText, semverCompareOne, semverRangeMatch, semverRangeMatchLoose, parseFrameworkVersion, isFrameworkVersionNewer, frameworkUpgradeCandidates }
+// ★★ 「更新候选」的**唯一**判据区（0.5.37）★★
+// 真机缺陷（2026-10-03 用户实测）：插件卡片上已装 `@deepseek-ai/dsh-time-context` **0.2.0-rc.2**，
+// 却提示「发现新版本 0.2.0-rc.2 → **0.1.1-rc.1**」（更低！）并给出「更新」按钮 —— 按下去是**降级**。
+// 根因（客户端 lib/client.js）：普通插件行只判了 `data.latest` 与 `entry.version` **字符串不相等**，
+// 完全没有版本大小比较；镜像源 `registry.npmmirror.com` 的 `latest` 陈旧到低于本机已装版本时，
+// 任何"不相等"都会被当成"有新版"。框架特判路径另有一份正确的局部实现，两条路径写同一个 map，
+// 后执行的普通行把正确结论覆盖成错的 —— 所以判据必须收敛成**这一份**。
+//
+// 「一处定义、处处复用」的落地方式（**双份实现必须逐字一致，由架构守卫钉死**）：
+//   · 服务端：本文件导出 `pickNewerSemver`，路由 `lib/server/routes/framework.js` 直接 import；
+//   · 浏览器：`lib/client.js` 是**单文件打包产物**（`window.__ModuleLoader__.load`），不能用 import，
+//     所以那里是**逐字移植**的同一份代码，两端都用下面的提取标记圈住：
+//         // <<<update-pick:begin>>>  …  // <<<update-pick:end>>>
+//     架构守卫（tests/test-architecture-guard.mjs ⑪）断言两份**去缩进后逐字相等**（改一边必须改另一边）。
+//
+// 语义（纯函数：无网络、无落盘、无 ctx）：
+//   · 只认**严格高于** current 的候选，返回其中最高者；等于 / 低于 current 一律不算"新版"（降级另有回滚通道）；
+//   · prerelease 按 semver 序：`0.2.0-rc.2 > 0.1.1-rc.1`；正式版高于同号预发布：`0.1.1 > 0.1.1-rc.2`；
+//   · current 解析不出、或候选解析不出一律 null —— "不可比"就是"不提示更新"，绝不猜。
+// <<<update-pick:begin>>>
+/** 宽松解析（容忍 `v` 前缀与首尾空白）；不是三段数字的版本（''、'latest'、'1.2'）一律 null。 */
+function updateParseVersion(value) {
+  const text = String(value ?? '').trim().replace(/^v/u, '')
+  const m = text.match(/^(\d+)\.(\d+)\.(\d+)(?:-([0-9A-Za-z.-]+))?(?:\+[0-9A-Za-z.-]+)?$/u)
+  if (!m) return null
+  return { major: Number(m[1]), minor: Number(m[2]), patch: Number(m[3]), pre: m[4] ?? null }
+}
+
+/** 语义版本比较（含 prerelease 段；无 prerelease 段视为更高）。只在两份解析都成功时调用。 */
+function updateCompareVersion(a, b) {
+  if (a.major !== b.major) return a.major - b.major
+  if (a.minor !== b.minor) return a.minor - b.minor
+  if (a.patch !== b.patch) return a.patch - b.patch
+  if (a.pre === null && b.pre === null) return 0
+  if (a.pre === null) return 1
+  if (b.pre === null) return -1
+  const pa = a.pre.split('.')
+  const pb = b.pre.split('.')
+  const len = Math.max(pa.length, pb.length)
+  for (let i = 0; i < len; i += 1) {
+    const xa = pa[i]
+    const xb = pb[i]
+    if (xa === undefined) return -1
+    if (xb === undefined) return 1
+    const na = /^\d+$/u.test(xa)
+    const nb = /^\d+$/u.test(xb)
+    if (na && nb) { const d = Number(xa) - Number(xb); if (d !== 0) return d; continue }
+    if (na) return -1
+    if (nb) return 1
+    const d = xa < xb ? -1 : xa > xb ? 1 : 0
+    if (d !== 0) return d
+  }
+  return 0
+}
+
+/**
+ * 「更新候选」的唯一判据：从 candidates 里挑出**严格高于 current** 的最高者，没有则 null。
+ * 边界（全部钉死在 tests/test-update-version-pick.mjs）：相同版本 / 更低版本 / 任一无法解析 ⇒ null。
+ * @param {string} current 已装版本
+ * @param {Array<string|null|undefined>} candidates 候选（registry 的 latest / next / beta 等）
+ * @returns {string|null}
+ */
+function pickNewerSemver(current, candidates) {
+  const cur = updateParseVersion(current)
+  if (cur === null) return null
+  const list = Array.isArray(candidates) ? candidates : []
+  let best = null
+  let bestParsed = null
+  for (const candidate of list) {
+    const parsed = updateParseVersion(candidate)
+    if (parsed === null) continue
+    if (updateCompareVersion(parsed, cur) <= 0) continue
+    if (bestParsed === null || updateCompareVersion(parsed, bestParsed) > 0) {
+      best = String(candidate).trim().replace(/^v/u, '')
+      bestParsed = parsed
+    }
+  }
+  return best
+}
+// <<<update-pick:end>>>
+
+export { parseSemverText, compareSemverText, semverCompareOne, semverRangeMatch, semverRangeMatchLoose, parseFrameworkVersion, isFrameworkVersionNewer, frameworkUpgradeCandidates, pickNewerSemver }

package/lib/server/routes/framework.js

@@ -15,6 +15,7 @@ import { fetchJsonUrl } from '../infra/http.js'
 import { sendError, sendJson } from '../infra/httpd.js'
 import { dshHome, entryPkgMeta, findPatchPath, packageNameOf, pluginRoot, profileDirOf, resolvePackageJson } from '../infra/paths.js'
 import { isFrameworkVersionNewer, semverRangeMatchLoose, frameworkUpgradeCandidates } from '../infra/semver.js'
+import { dropStaleUpdateCandidates } from '../domain/update-candidates.js'
 import { fwCheckCache, setFwCheckCache } from '../state.js'
 
 /**
@@ -346,6 +347,8 @@ async function routeCheckUpdate(req, res, rc) {
       }
       }
     } catch {}
+    // 兜底（0.5.37）：低于已装版本的候选不是"新版"（真机：镜像 latest=0.1.1-rc.1 < 已装 0.2.0-rc.2）
+    ;({ latest, next, beta } = dropStaleUpdateCandidates({ latest, next, beta }, packageName, ctx.baseUrl ?? 'file:///', profileDirOf(ctx)))
     sendJson(res, 200, { ok: true, packageName, latest, next, beta, depsOutdated, error, source, migrate })
     return
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.36",
+  "version": "0.5.37",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",