@noob-stupid/dsh-plugin-console 0.5.43 → 0.5.45

package/README.md

@@ -439,8 +439,10 @@ Verification matrix, raw logs and the one framework-side caveat (`0.1.2-rc.1` sh
 
 ## Known limitations
 
-- Host code changes require a **service restart** (the panel's restart button is
-  watchdog-safe); client changes just need a page refresh;
+- Host code changes require a **service restart**: the panel's restart button only points at the
+  **official path** (restart inside the desktop client; the console never kills or spawns a
+  process — a manual relaunch would fight the host for the port and produce
+  "The application could not start or stopped unexpectedly"); client changes just need a page refresh;
 - Live GitHub search depends on GitHub reachability (browser-direct + server fallback;
   during network-blackout windows retry later);
 - Version detection works for npm-published packages; skill-type repos have no version concept;

package/README.zh.md

@@ -373,7 +373,9 @@ node scripts/safe-boot.mjs --mark-good            # 把某份快照标记为"良
 
 ## 已知限制
 
-- 宿主代码变更需要**重启服务**（面板的重启按钮自带守护、安全）；客户端变更只需刷新页面；
+- 宿主代码变更需要**重启服务**：面板的重启按钮只指向**官方路径**（在桌面端客户端里重启；
+  控制台绝不 kill / 拉起任何进程——手动拉起会与宿主争端口，并产生
+  「应用无法启动或已意外停止」）；客户端变更只需刷新页面；
 - 实时 GitHub 搜索依赖 GitHub 可达性（浏览器直连 + 服务端兜底；网络黑洞期请稍后重试）；
 - 版本检测只对已发布到 npm 的包生效；技能类仓库没有版本概念；
 - 静态索引有上限（每次构建 500 插件 / 300 技能）；新仓库靠 star 爬升或等下一轮 6 小时 CI 进入索引；

package/lib/client.js

@@ -388,8 +388,8 @@ window.__ModuleLoader__.load({
 			stageInstalling: "下载安装中（可离开本页，后台继续）",
 			stageConfiguring: "写入启用配置",
 			stageRepairing: "本地 AI 接管安装中…",
-			restartService: "重启服务",
-			restarting: "服务重启中，页面稍后自动恢复…",
+			restartService: "重启服务（官方路径）",
+			restarting: "正在按官方路径处理重启请求…",
 			autoReload: "页面即将自动刷新…",
 			aiRepaired: "本地 AI 已接管并完成修复，请刷新页面查看",
 			deletePlugin: "删除插件（移除配置并卸载包）",
@@ -648,9 +648,9 @@ window.__ModuleLoader__.load({
 			frameworkUpToDate: "已是最新框架",
 			frameworkUpToDateTitle: "当前 DSH 框架已是最新版本（升级请走官方流程或等新版本发布）",
 			frameworkUseUpgrade: "deepseek-harness 是 DSH 框架本体，无需安装；升级请使用卡片上的「框架升级」流程（有新版本时出现）",
-			relaunchBtn: "拉起服务",
-			relaunchTitle: "框架升级期间服务可能断开——点此手动拉起 DSH 服务（升级脚本也会自动拉起）",
-			relaunchDone: "已发起手动拉起（端口无监听时自动启动服务）",
+			relaunchBtn: "重启指引",
+			relaunchTitle: "服务断开时点此看官方重启方式（控制台不会自行 kill / 拉起进程）",
+			relaunchDone: "已按官方路径处理（控制台不会自行拉起进程）",
 			fwStepBackup: "备份现有配置",
 			fwStepStop: "停止服务（页面将断开）",
 			fwStepInstall: "升级框架本体",
@@ -948,8 +948,8 @@ window.__ModuleLoader__.load({
 			stageInstalling: "Downloading & installing (safe to leave this page)",
 			stageConfiguring: "Writing enable config",
 			stageRepairing: "Local AI is taking over the install…",
-			restartService: "Restart service",
-			restarting: "Service restarting, the page will recover shortly…",
+			restartService: "Restart service (official path)",
+			restarting: "Handling the restart request via the official path…",
 			autoReload: "Page will auto-reload…",
 			aiRepaired: "Local AI took over and finished the repair; refresh the page",
 			deletePlugin: "Delete plugin (remove config and uninstall package)",
@@ -1205,12 +1205,12 @@ window.__ModuleLoader__.load({
 			frameworkUpToDate: "Framework up to date",
 			frameworkUpToDateTitle: "Current DSH framework is already the latest (upgrade via the official flow or wait for a new release)",
 			frameworkUseUpgrade: "deepseek-harness is the DSH framework itself, not a plugin; upgrade via the card's Framework Upgrade flow (shown when a new version exists)",
-			relaunchBtn: "Relaunch service",
+			relaunchBtn: "Restart guidance",
 			frameworkRollbackBtn: "Rollback to previous",
 			frameworkRollbackTitle: "One-click rollback to the previous framework version (full tree), service relaunches automatically",
 			frameworkRollbackDone: "Rollback started: {from} -> restoring, service will briefly disconnect",
-			relaunchTitle: "During a framework upgrade the service may disconnect — click to manually relaunch the DSH service (the upgrade script also relaunches automatically)",
-			relaunchDone: "Manual relaunch requested (starts the service if the port is not listening)",
+			relaunchTitle: "Service may be down — click for the official restart path (the console never kills or spawns processes)",
+			relaunchDone: "Handled via the official path (the console never spawns a process)",
 			fwStepBackup: "Backup current config",
 			fwStepStop: "Stop service (page will disconnect)",
 			fwStepInstall: "Upgrade framework",
@@ -4830,9 +4830,12 @@ window.__ModuleLoader__.load({
 						title: t("relaunchTitle"),
 						"aria-label": t("relaunchBtn"),
 						onClick: () => {
+							// 2026-10-10：服务端这条路由已改为**官方路径 / 如实告知**（零 spawn / 零 kill），
+							// 永远回 409 + 面向用户的短句 ⇒ 原样显示那句话（不再套"安全开关失败："前缀，
+							// 否则用户看到的是"失败"而不是"该怎么做"）。
 							call("/plugin-console/framework-relaunch", {}).then(
 								(data) => { if (data && data.ok === true) setMessage(t("relaunchDone")); },
-								(error) => setMessage(t("safetySwitchFailed") + "：" + friendlyGithubError(error).message),
+								(error) => { setMessage(error !== null && typeof error.message === "string" && error.message !== "" ? error.message : t("safetySwitchFailed")); },
 							);
 						},
 					}, t("relaunchBtn"))

package/lib/server/domain/restart.js

@@ -0,0 +1,120 @@
+// L1 · domain —— restart.js（「重启 / 重载」路径的**唯一承担者**，2026-10-10 改错）
+// 分层分组：L1 · domain（边界由 tests/test-architecture-guard.mjs 断言）——纯判据，不碰 ctx / 不碰 IO。
+//
+// ── 用户红线原话（2026-10-10）────────────────────────────────────────────────
+//   「桌面端重启必须走官方的那种不报错重启，如果你走手动拉起之类的等等很可能会出现那种报错，
+//     这是一定不能的」＋「有时候控制台代理重启啥的会出现《应用无法启动或已意外停止》」。
+//
+// ── 元凶现场（<DSH_HOME>/plugin-console/，2026-10-10 15:27–15:33，实测原文）──────
+//   console-restart.log：
+//     15:28:02 [guard] 端口 3080 无监听，第 1 次拉起
+//     15:28:02 [guard] 已发起拉起服务（守护第 1 次，输出见 fw-relaunch.log）
+//     …（每分钟一次，直到第 5 次）
+//     15:33:03 [guard] 已尝试 5 次仍拉不起来，放弃并自删（请手动启动，或看 fw-relaunch.log / console-restart.log）
+//   fw-relaunch.log：`拉起(守护第 N 次): <npx 缓存>\@deepseek-ai\dsh\lib\bin.js`
+//   ⇒ 旧实现：`POST /restart` 生成 PowerShell 自杀脚本 + 注册一个**每分钟跑一次**的
+//     `DSH-RestartGuard-<pid>` 计划任务；端口无监听就 `Start-Process node <bin.js> web`
+//     手动拉起（最多 5 次），第 6 次 `schtasks /delete` **自删任务**（危险动作）。
+//     触发面＝控制台里的「重启服务」按钮 / 自更新成功后自动调 / 升级期间的悬浮「拉起」按钮；
+//     守护任务一旦注册就**自己按分钟跑**（按钮触发 → 自动守护，两条都在）。
+//
+// ── 为什么"手动拉起"必然报错（两条路都通向同一句弹窗）─────────────────────────
+//   ① 桌面端实例：宿主是 Electron 外壳的**子进程**（Electron lib/main.js:3674 `spawn(node,
+//      [--expose-internals, …dsh-desktop-host/lib/index.js, …])`）。kill 它 ⇒ 外壳
+//      `child.once('close')`（lib/main.js:3722-3727）→ `fail()` → DesktopBackendController
+//      发布 `phase:'error'` → `reportFatal(state.failure, 'host')`（lib/main.js:11389）
+//      ⇒ 弹「应用无法启动或已意外停止。」（lib/main.js:6709 `fatalSummary`）。
+//   ② 独立 `dsh web` 实例：再 spawn 一个 `dsh web` 必然与宿主**争同一个端口** ⇒
+//      `listen EADDRINUSE` ⇒ 外壳那一支的文案「有其他正在运行的 DSH（如其他 dsh web、桌面端），
+//      无法同时启动」（lib/main.js:6543 / 6710）。
+//
+// ── 官方那条"不报错"的路（原文出处）──────────────────────────────────────────
+//   · 桌面端自带的官方重启 = Electron `app.relaunch(); quitWithoutConfirmation()`
+//     —— Electron lib/main.js:10983-10986（崩溃恢复对话框的「重启」按钮；标签 `restartApplication`
+//     见 lib/main.js:6715，按钮表见 7551-7557，「地址被占用」分支在 7545-7551）、
+//     lib/main.js:11906-11911（应用菜单「重启应用与 Host」/ `restartAppHostMenu` lib/main.js:6751）。
+//     它先走外壳自己的受管收尾（`child.send({ type:'shutdown' })` → 优雅等待 → SIGTERM/SIGKILL；
+//     dsh-desktop-host/lib/index.js:265 + lib/main.js:3790-3807），再由 Electron 自己拉起**整个应用**
+//     ——全程只有一个实例、不抢端口、宿主进程由外壳自己收尾 ⇒ 不报错。
+//   · **但插件拿不到它**（本模块存在的理由）：桌面端 IPC 全表（lib/preload-app.cjs:6-30 ≡
+//     lib/main.js:6193-6218）没有 restart/relaunch 通道；外壳 ↔ 宿主控制通道只有
+//     `update-tasks` / `quit-inspection` / `shutdown`（dsh-desktop-host/lib/index.js:265-310）。
+//     ⇒ 插件无法调用官方重启，唯一诚实的做法是**请用户在客户端里重启**。
+//   · 官方对"改动何时生效"的语义 = `restart-required` → 「更改将在下次启动生效」
+//     （dsh-client-ui-plugin-manager/lib/client.js:91 文案 / :626 取值 / :1462 判据）。
+//
+// ── 本模块的判定（全仓唯一，调用点不许各写一份）──────────────────────────────
+//   hosted=true  → channel 'desktop-client'：官方路径 = 用户在桌面端客户端内重启
+//   hosted=false → channel 'unavailable'   ：没有受管重启器 ⇒ 如实告知手动重启
+//   **两种情况都是 spawns=false / kill=false —— 绝不 spawn / kill / 建计划任务 / 自删。**
+
+/** 桌面端托管的实例：官方重启通道在客户端手里（插件无此通道）。 */
+const DESKTOP_CLIENT_RESTART_NOTICE = '本实例由桌面端外壳托管 —— 请在桌面端客户端里重启：完全退出 DeepSeek Harness 再重新打开；'
+  + '若已弹出「应用无法启动或已意外停止」，直接点弹窗里的「重启」。'
+  + '控制台不会自行 kill / spawn 进程：手动拉起会与宿主争端口，那正是该报错的来源。'
+
+/** 独立 `dsh web` 实例：DSH 没有给插件用的受管重启器，官方重启通道不可用。 */
+const STANDALONE_RESTART_NOTICE = 'DSH 没有可由插件调用的官方重启通道：请手动重启这个 dsh web 进程'
+  + '（在启动它的终端里 Ctrl+C，然后重新运行 dsh web）。'
+  + '控制台不会自行 kill / spawn —— 手动拉起会与宿主争端口并产生「应用无法启动或已意外停止」这类报错。'
+
+/** `/framework-relaunch`（原「手动拉起服务」悬浮按钮）：同一判据，另加"这条路已下线"的说明。 */
+const MANUAL_LAUNCH_REMOVED_NOTE = '「手动拉起服务」已按官方路径下线（控制台不再 spawn 新的 dsh 实例）：'
+
+/** 两条官方判定通道（稳定字符串，前端与测试按它判因）。 */
+const RESTART_CHANNEL = { desktopClient: 'desktop-client', unavailable: 'unavailable' }
+
+/** 面向用户的出路（结构化下发，前端可原样展示；桌面端与独立实例各自一条真出路）。 */
+const GUIDES = {
+  'desktop-client': [
+    '桌面端：完全退出 DeepSeek Harness，再重新打开（官方 app.relaunch 那条路）。',
+    '已弹出「应用无法启动或已意外停止」时：直接点弹窗里的「重启」（官方恢复对话框）。',
+    '只是想让插件改动生效：按 DSH 官方语义"下次启动生效"（restart-required），刷新页面即可看到已生效的部分。',
+  ],
+  unavailable: [
+    '独立 dsh web：在启动它的终端里 Ctrl+C，然后重新运行 dsh web。',
+    '只改了客户端插件：DSH 官方语义是"下次启动生效"（restart-required），直接刷新页面。',
+    '不要用任何"按端口 kill 再拉起"的做法：第二个实例会与宿主争端口（listen EADDRINUSE）。',
+  ],
+}
+
+/**
+ * 「重启 / 重载」路径的唯一判据。
+ *
+ * @param {object} p
+ * @param {boolean} p.hosted  是否由桌面端外壳托管（调用方用 domain/framework.js#detectHostShape 判定后传入；
+ *                            本函数不重复判定，保证与 shellHostedRefusal 同一份事实）
+ * @param {'restart'|'relaunch'} [p.intent]  控制台里的哪颗按钮（只影响文案前缀，判定完全相同）
+ * @returns {{ ok: false, official: boolean, channel: string, spawns: false, kill: false,
+ *             status: number, code: string, message: string, details: object }}
+ */
+function restartPathDecision({ hosted, intent = 'restart' } = {}) {
+  const shellHosted = hosted === true
+  const channel = shellHosted ? RESTART_CHANNEL.desktopClient : RESTART_CHANNEL.unavailable
+  const base = shellHosted ? DESKTOP_CLIENT_RESTART_NOTICE : STANDALONE_RESTART_NOTICE
+  const message = intent === 'relaunch' ? MANUAL_LAUNCH_REMOVED_NOTE + base : base
+  return {
+    ok: false,
+    official: shellHosted,
+    channel,
+    spawns: false,
+    kill: false,
+    status: 409,
+    code: `official-restart-${channel}`,
+    message,
+    details: {
+      code: `official-restart-${channel}`,
+      official: shellHosted,
+      channel,
+      // 机器可读的红线判据：这两项永远是 false（测试的负控就钉在这里）
+      spawns: false,
+      kill: false,
+      scheduledTask: false,
+      selfDelete: false,
+      manualLaunch: intent === 'relaunch' ? 'removed' : 'never',
+      guide: GUIDES[channel],
+    },
+  }
+}
+
+export { DESKTOP_CLIENT_RESTART_NOTICE, MANUAL_LAUNCH_REMOVED_NOTE, RESTART_CHANNEL, STANDALONE_RESTART_NOTICE, restartPathDecision }

package/lib/server/routes/framework.js

@@ -1,14 +1,15 @@
 // L2 · routes —— 框架（/framework-check · /check-update · /framework-upgrade · /framework-rollback · /framework-upgrade-status · /framework-relaunch · /compat-gate · /restart）
 // 分层 Step 8b：从 lib/index.js 的 handle() 原样搬出（只搬移未改逻辑；缩进保持原样）
 
-import { readFileSync, writeFileSync, existsSync, statSync, mkdirSync } from 'node:fs'
+import { readFileSync, writeFileSync, existsSync, statSync, mkdirSync, rmSync } from 'node:fs'
 import { writeFile } from 'node:fs/promises'
 import { execFile } from 'node:child_process'
-import { dirname, join, resolve } from 'node:path'
+import { dirname, join, resolve, basename } from 'node:path'
 import { tmpdir } from 'node:os'
 import { createRequire } from 'node:module'
 import { readCompatGate, writeCompatGate } from '../domain/compat.js'
-import { cleanupStaleFwTasks, currentFrameworkVersion, pickFrameworkTarget, platformUpgradeRefusal, relaunchPrelude, resolveDshBin, resolveFrameworkRootNodeModules, shellHostedRefusal } from '../domain/framework.js'
+import { cleanupStaleFwTasks, currentFrameworkVersion, detectHostShape, pickFrameworkTarget, platformUpgradeRefusal, relaunchPrelude, resolveDshBin, shellHostedRefusal } from '../domain/framework.js'
+import { restartPathDecision } from '../domain/restart.js'
 import { readGithubAuth } from '../domain/install.js'
 import { webPort } from '../domain/runtime.js'
 import { fetchJsonUrl } from '../infra/http.js'
@@ -33,6 +34,17 @@ function refuseWhenShellHosted(res) {
   return true
 }
 
+/**
+ * 「本实例是否由桌面端外壳托管」——**零 spawn 路由**（/restart 与 /framework-relaunch）的唯一判定入口。
+ * 与 refuseWhenShellHosted 共用 domain/framework.js#detectHostShape 这一份事实，不另立判据。
+ * `rc.deps.hosted` 是单测的确定性注入口（正/负控见 tests/test-restart-official-path.mjs）；
+ * 生产路径不传 ⇒ 现判（读真实进程全局）。缺省语义 =「判不出托管就不当作托管」——本路由在任何
+ * 分支都**不 spawn / 不 kill**，所以偏向哪边都不会造成"拉起"这个危险动作。
+ */
+function hostedHere(rc) {
+  return rc.deps?.hosted ?? detectHostShape().hosted === true
+}
+
 /**
  * 平台守卫（2026-09-29 改错，与宿主守卫同形）：一键升级/回滚脚本整体依赖 Windows 机制 ——
  * `schtasks.exe` 计划任务 + PowerShell + `Get-NetTCPConnection`；非 Windows 上 execFile 必然 ENOENT，
@@ -124,38 +136,14 @@ async function routeFrameworkUpgradeStatusGet(req, res, rc) {
 }
 
 async function routeFrameworkRelaunch(req, res, rc) {
-  const webPort = rc.deps.webPort
-  const ctx = rc.ctx
-  const url = rc.url
-  const pathname = rc.pathname
-  const method = rc.method
-    // 手动拉起服务（升级期间左侧悬浮按钮调用）：Start-Process node bin.js web。
-    // 端口已有监听则不重复拉起；bin.js 缺失时明确报错。
-    // 宿主守卫：外壳托管的实例里**没有** node bin.js web 这条现实路径（spawn 出来的只会是第二个实例/立刻死掉），
-    // 改为让用户在桌面端内重启。
-    if (refuseWhenShellHosted(res)) return
-    const port = webPort(ctx)
-    const binPath = resolveDshBin()
-    const nodePath = process.execPath
-    if (binPath === null || !existsSync(binPath)) {
-      sendError(res, 500, '无法定位 DSH 启动入口（bin.js 缺失）')
-      return
-    }
-    try {
-      const ps1 = join(tmpdir(), `console-relaunch-${Date.now()}.ps1`)
-      const lines = [
-        '$ok = $false',
-        `try { $c = Get-NetTCPConnection -LocalPort ${port} -State Listen -ErrorAction SilentlyContinue; if ($c.Count -gt 0) { $ok = $true } } catch {}`,
-        `if (-not $ok) { Start-Process -FilePath ${JSON.stringify(nodePath)} -ArgumentList ${JSON.stringify(binPath)},'web' -WindowStyle Hidden }`,
-      ]
-      writeFile(ps1, lines.join('\r\n'), 'utf8').then(
-        () => execFile('powershell.exe', ['-NoProfile', '-WindowStyle', 'Hidden', '-ExecutionPolicy', 'Bypass', '-File', ps1], { windowsHide: true }, () => {}),
-        () => {},
-      )
-      sendJson(res, 200, { ok: true, message: '已发起手动拉起（端口无监听时自动启动服务）' })
-    } catch (error) {
-      sendError(res, 500, `拉起失败：${error instanceof Error ? error.message : String(error)}`)
-    }
+    // 原「手动拉起服务」（升级期间左侧悬浮按钮）：`Start-Process node bin.js web`。
+    // 2026-10-10 用户红线 + 现场取证（console-restart.log「[guard] 端口 N 无监听，第 N 次拉起」/
+    // fw-relaunch.log「拉起(守护第 N 次): …\dsh\lib\bin.js」）⇒ 这条"手动拉起"整条下线：
+    // spawn 出来的第二个 `dsh web` 会与宿主争端口（listen EADDRINUSE），桌面端托管时更是
+    // 直接把宿主子进程顶掉 ⇒ 外壳弹「应用无法启动或已意外停止。」。
+    // 现在统一走 domain/restart.js 的**唯一判据**（官方路径 / 如实告知），本路由零 spawn / 零 kill。
+    const decision = restartPathDecision({ hosted: hostedHere(rc), intent: 'relaunch' })
+    sendError(res, decision.status, decision.message, decision.details)
     return
 }
 
@@ -451,148 +439,77 @@ async function routeFrameworkRollback(req, res, rc) {
 }
 
 async function routeRestart(req, res, rc) {
-  const webPort = rc.deps.webPort
-  const ctx = rc.ctx
-  const url = rc.url
-  const pathname = rc.pathname
-  const method = rc.method
-  const body = rc.body
-    // 自带守护的自杀式重启：分离脚本杀掉本进程后，若端口无人监听则自动拉起服务。
-    // 不再依赖桌面端监督器（它并不总是会重启服务，曾导致用户需要重启电脑）。
-    // 安全护栏（事故教训）：无法定位 dsh bin 或 bin.js 不存在时**拒绝重启**——
-    // 避免"kill 后拉不起"（框架缓存损坏时常见），提示先修复框架安装。
+    // 「重启服务」按钮 / 自更新成功后自动调 / 升级期间悬浮按钮，全部收进这一条：
+    // domain/restart.js#restartPathDecision 是**唯一承担者**，本路由只负责把它翻成响应。
     //
-    // v0.3.43 事故修复（2026-09-11 用户实测「重启后服务没自己拉起来，只能手动重启」）：
-    // 现场证据＝一堆 Ready 僵尸任务（DSH-Restart-13804 / -31688 / -3744 / V2 / V3），
-    // 说明脚本杀完服务后**自己也被结束了**（与升级/回滚脚本同一个毛病：0xC000013A），
-    // 于是"检查端口→拉起"那几行根本没跑到；而且原来只等 3 秒、只查一次端口。
-    // 现在改成三层保险：
-    //   ① 主脚本：等到端口真正空出来（最多 20 秒轮询）→ 拉起 → 重试 3 次 → 写 console-restart.log
-    //   ② **守护任务**（关键）：主脚本动手**之前**就注册一个每分钟跑一次的独立计划任务，
-    //      服务被杀、主脚本被杀都不影响它；端口起来了它自删，起不来就继续拉（最多 5 次）
-    //   ③ bin 解析用与升级/回滚同一套多级回退（node resolve → .pnpm → 顶层链接）
-    // 宿主守卫（加法分支）：外壳托管时"自杀式重启"没有意义（杀了 host 没人拉起，只会产生 crash 日志）。
-    if (refuseWhenShellHosted(res)) return
-    const port = webPort(ctx)
-    const binPath = resolveDshBin()
-    const nodePath = process.execPath
-    if (binPath === null || !existsSync(binPath)) {
-      sendError(res, 500, `无法定位 DSH 启动入口（bin.js${binPath !== null ? `：${binPath}` : ''}），已取消重启——框架安装可能已损坏，请先修复 @deepseek-ai/dsh 后再重启`)
-      return
-    }
-    if (process.platform === 'win32') {
-      const consoleDir = join(dshHome(), 'plugin-console')
-      try { mkdirSync(consoleDir, { recursive: true }) } catch {}
-      const restartLog = join(consoleDir, 'console-restart.log')
-      const fwRoot = resolveFrameworkRootNodeModules(dirname(dirname(binPath)))
-      let installedVersion = ''
-      try { installedVersion = JSON.parse(readFileSync(join(dirname(dirname(binPath)), 'package.json'), 'utf8')).version ?? '' } catch {}
-      const ps = (s) => {
-        const j = JSON.stringify(String(s)).replace(/\\\\/gu, '\\')
-        if (j === '""') return "''"
-        return j.replace(/`/gu, '``').replace(/\$/gu, '`$')
-      }
-      const prelude = relaunchPrelude({ nodePath, pluginDir: pluginRoot(), fwRoot: fwRoot ?? dirname(dirname(binPath)), target: installedVersion, ps })
-      const taskName = `DSH-Restart-${process.pid}`
-      const guardName = `DSH-RestartGuard-${process.pid}`
-      const guardCount = join(consoleDir, `restart-guard-${process.pid}.count`)
-      const killLine = `Stop-Process -Id ${process.pid} -Force -ErrorAction SilentlyContinue`
-      // ① 主脚本：等端口空 → 拉起（重试 3 次）
-      const mainLines = [
-        `$log = ${ps(restartLog)}`,
-        `$state = ${ps(join(consoleDir, 'fw-upgrade-state.txt'))}`,
-        `function Log($m) { try { Add-Content -Path $log -Value ((Get-Date -Format 'yyyy-MM-dd HH:mm:ss') + ' ' + $m) -Encoding UTF8 } catch {} }`,
-        prelude,
-        `Log ('重启脚本启动：目标端口 ${port}，bin=' + ${ps(binPath)})`,
-        killLine,
-        // 等到端口真正空出来（原实现只 sleep 3 秒、只查一次 —— 端口还占着就误判"已有人监听"而跳过拉起）
-        `$free = $false`,
-        `for ($i = 0; $i -lt 20; $i++) { Start-Sleep -Seconds 1; try { $c = Get-NetTCPConnection -LocalPort ${port} -State Listen -ErrorAction SilentlyContinue; if (-not $c -or $c.Count -eq 0) { $free = $true; break } } catch { $free = $true; break } }`,
-        `Log ('端口 ' + ${ps(String(port))} + ' 状态：' + $(if ($free) { '已释放' } else { '仍被占用（可能被其它实例占着）' }))`,
-        `$up = $false`,
-        `for ($a = 1; $a -le 3; $a++) {`,
-        `  [void](Invoke-DshRelaunch ('重启第 ' + $a + ' 次'))`,
-        `  for ($w = 0; $w -lt 8; $w++) { Start-Sleep -Seconds 2; try { $c = Get-NetTCPConnection -LocalPort ${port} -State Listen -ErrorAction SilentlyContinue; if ($c -and $c.Count -gt 0) { $up = $true; break } } catch {} }; if ($up) { break }`,
-        `}`,
-        `if ($up) { Log '服务已重新监听，重启完成' } else { Log '三次拉起后端口仍未监听：守护任务会继续尝试（输出见 fw-relaunch.log）' }`,
-        `schtasks /delete /f /tn ${taskName} 2>$null`,
-      ]
-      // ② 守护任务：独立于主脚本与服务进程，端口不起来就一直拉（最多 5 次）
-      const guardLines = [
-        `$log = ${ps(restartLog)}`,
-        `$state = ${ps(join(consoleDir, 'fw-upgrade-state.txt'))}`,
-        `function Log($m) { try { Add-Content -Path $log -Value ((Get-Date -Format 'yyyy-MM-dd HH:mm:ss') + ' [guard] ' + $m) -Encoding UTF8 } catch {} }`,
-        prelude,
-        `$c = $null`,
-        `try { $c = Get-NetTCPConnection -LocalPort ${port} -State Listen -ErrorAction SilentlyContinue } catch {}`,
-        `if ($c -and $c.Count -gt 0) { Log '服务已在监听，守护任务收工'; Remove-Item ${ps(guardCount)} -Force -ErrorAction SilentlyContinue; schtasks /delete /f /tn ${guardName} 2>$null; schtasks /delete /f /tn ${taskName} 2>$null; exit 0 }`,
-        `$n = 0`,
-        `try { $n = [int](Get-Content ${ps(guardCount)} -Raw -ErrorAction SilentlyContinue) } catch { $n = 0 }`,
-        `$n = $n + 1`,
-        `if ($n -gt 5) { Log ('已尝试 ' + ($n - 1) + ' 次仍拉不起来，放弃并自删（请手动启动，或看 fw-relaunch.log / console-restart.log）'); schtasks /delete /f /tn ${guardName} 2>$null; exit 0 }`,
-        `try { Set-Content -Path ${ps(guardCount)} -Value ([string]$n) -Encoding UTF8 } catch {}`,
-        `Log ('端口 ' + ${ps(String(port))} + ' 无监听，第 ' + $n + ' 次拉起')`,
-        `[void](Invoke-DshRelaunch ('守护第 ' + $n + ' 次'))`,
-      ]
-      const ps1 = join(tmpdir(), `console-restart-${process.pid}.ps1`)
-      const guardPs1 = join(tmpdir(), `console-restart-guard-${process.pid}.ps1`)
-      const scheduleFor = (file, name, scheduleArgs) => {
-        const posix = String(file).replace(/\\/gu, '/')
-        // 无引号 /tr（重要）：Task Scheduler 对带引号命令的解析会把 Command 拆坏成
-        // `"powershell ... -File \"`（非有效可执行文件）——任务显示 Ready、/run 报 SUCCESS
-        // 但永不执行（曾导致升级/重启脚本反复"已启动"却不动作、服务不停止）。实测无引号
-        // 格式（exe 与脚本路径均无空格时）任务正常执行、脚本完整跑通。仅当脚本路径含空格
-        // 时才退回带引号格式（schtasks 引号解析在服务 execFile 上下文不可靠，此时宁可用它）。
-        const tr = / /.test(posix)
-          ? `"powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File \\"${posix}\\""`
-          : `C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File ${posix}`
-        return new Promise((resolve) => {
-          execFile('schtasks.exe', ['/create', '/f', '/tn', name, '/tr', tr, ...scheduleArgs], { windowsHide: true }, (error) => resolve(error ?? null))
-        })
-      }
-      Promise.all([
-        writeFile(ps1, `\uFEFF${mainLines.join('\r\n')}`, 'utf8'),
-        writeFile(guardPs1, `\uFEFF${guardLines.join('\r\n')}`, 'utf8'),
-      ]).then(
-        async () => {
-          // 守护任务先注册（每分钟一次，独立于服务进程树）——主脚本被杀也有它兜底
-          const guardError = await scheduleFor(guardPs1, guardName, ['/sc', 'minute', '/mo', '1'])
-          const mainError = await scheduleFor(ps1, taskName, ['/sc', 'once', '/st', '00:00'])
-          if (mainError !== null) {
-            // schtasks 不可用：退回 detached 直接执行主脚本（守护任务仍可能已建）
-            execFile('powershell.exe', ['-NoProfile', '-WindowStyle', 'Hidden', '-ExecutionPolicy', 'Bypass', '-File', ps1], { windowsHide: true, detached: true, stdio: 'ignore' }, () => {})
-            return
-          }
-          execFile('schtasks.exe', ['/run', '/tn', taskName], { windowsHide: true }, () => {})
-          if (guardError !== null) {
-            try { writeFileSync(restartLog, `[warn] 守护任务注册失败（${guardError.message}），仅靠主脚本重启\n`, { flag: 'a' }) } catch {}
-          }
-        },
-        () => {},
-      )
-    } else {
-      const script = process.platform === 'win32'
-        ? `Start-Sleep -Seconds 2; Stop-Process -Id ${process.pid} -Force`
-        : `sleep 2; kill -9 ${process.pid}`
-      const cmd = process.platform === 'win32' ? 'powershell.exe' : 'sh'
-      const args = process.platform === 'win32'
-        ? ['-NoProfile', '-WindowStyle', 'Hidden', '-Command', script]
-        : ['-c', script]
-      execFile(cmd, args, { windowsHide: true }, () => {})
-    }
-    sendJson(res, 200, { ok: true, message: `正在重启 DSH 服务（自带守护，端口 ${port} 无监听会自动拉起），页面稍后自动恢复` })
+    // 2026-10-10 改错（用户红线 + 现场取证）——旧实现在这里做了三件必须消失的事：
+    //   ① `Stop-Process -Id <本进程>` 自杀脚本（桌面端托管时 = 杀掉 Electron 外壳的宿主子进程
+    //      ⇒ 外壳 reportFatal(...,'host') ⇒ 弹「应用无法启动或已意外停止。」，Electron lib/main.js:6709）；
+    //   ② 注册**每分钟跑一次**的 `DSH-RestartGuard-<pid>` 计划任务 —— 端口无监听就
+    //      `Start-Process node <bin.js> web` 手动拉起（现场原文见 console-restart.log
+    //      `[guard] 端口 3080 无监听，第 1..5 次拉起` / fw-relaunch.log `拉起(守护第 N 次): …`）；
+    //   ③ 第 6 次 `schtasks /delete /f /tn DSH-RestartGuard-<pid>` **自删计划任务**（危险动作）。
+    // 现在：官方路径优先（桌面端托管 ⇒ 让用户在客户端里重启）；官方通道不可用（独立 dsh web）
+    // ⇒ 如实告知手动重启。两种情况都**零 spawn / 零 kill / 零计划任务 / 零自删**。
+    //
+    // 注：清僵尸计划任务的既有能力**保留**（cleanupStaleFwTasks 见 lib/index.js 接线），
+    // 只是控制台自己再也不新建这类任务了。
+    const decision = restartPathDecision({ hosted: hostedHere(rc), intent: 'restart' })
+    sendError(res, decision.status, decision.message, decision.details)
     return
 }
 
 /** 清掉「最近一次升级/回滚记录」（2026-09-25 用户要求）：记录常驻是设计，但用户要能一键关掉。
- *  只删状态文件与心跳（不动日志，日志仍可在 ~/.dsh/plugin-console 里查）。 */
+ *  只删状态文件与心跳（不动日志，日志仍可在 ~/.dsh/plugin-console 里查）。
+ *  2026-10-11 改错：删除失败**如实上报**（500 + 每个文件的原因 + removed/failed 明细），
+ *  不再像旧实现那样吞掉异常还回 ok:true —— 静默失败一律不许（见函数内注释与
+ *  tests/test-framework-status-clear.mjs 的正控/负控）。 */
+/** 删文件失败时给用户看的一句话原因（code + 系统原文，便于判因）。 */
+function explainRemoveError(error) {
+  const code = typeof error?.code === 'string' && error.code !== '' ? error.code : 'UNKNOWN'
+  const text = (error instanceof Error ? error.message : String(error ?? '')).split('\n')[0].trim()
+  return text === '' ? code : `${code}: ${text}`
+}
+
+/** 删除时文件已不在 = 目标达成（不计失败）；其余错误一律算失败。 */
+function removeTargetGone(error) {
+  return error?.code === 'ENOENT'
+}
+
 async function routeFrameworkStatusClear(req, res, rc) {
   const dir = join(dshHome(), 'plugin-console')
   const state = join(dir, 'fw-upgrade-state.txt')
+  const io = rc.deps?.fs ?? { existsSync, rmSync } // 注入缝：负控要能造出真实的删除失败
   const removed = []
+  const failed = []
   for (const f of [state, `${state}.hb`]) {
-    try { if (existsSync(f)) { rmSync(f, { force: true }); removed.push(basename(f)) } } catch {}
+    let present = false
+    try { present = io.existsSync(f) === true } catch (error) { failed.push({ file: basename(f), reason: explainRemoveError(error) }); continue }
+    if (!present) continue
+    try {
+      io.rmSync(f, { force: true })
+      removed.push(basename(f))
+    } catch (error) {
+      // 2026-10-11 改错：这里原来是 `catch {}` + 无条件 ok:true —— 静默失败。
+      // 先前的真实现状更糟：rmSync/basename 没 import ⇒ 每轮都抛 ReferenceError、被空 catch 吞掉，
+      // 路由照样回 200 {"ok":true,"removed":[]}，标记文件一个都没删（用户以为清掉了）。
+      // 判据（用户红线）：宁可红，也不报假的绿 —— 删除失败必须如实上报原因。
+      if (removeTargetGone(error)) { removed.push(basename(f)); continue }
+      failed.push({ file: basename(f), reason: explainRemoveError(error) })
+    }
+  }
+  if (failed.length > 0) {
+    // 如实上报：500 + 每个文件的原因 + 与成功路径同形的 removed/status 字段（客户端不必猜）。
+    sendJson(res, 500, {
+      ok: false,
+      error: `清除升级记录失败：${failed.map((x) => `${x.file}（${x.reason}）`).join('、')}`,
+      removed,
+      failed,
+      status: 'clear-failed',
+      message: null,
+    })
+    return
   }
-  sendJson(res, 200, { ok: true, removed, status: 'idle', message: null })
+  sendJson(res, 200, { ok: true, removed, failed, status: 'idle', message: null })
 }
 export { refuseWhenShellHosted, refuseWhenPlatformUnsupported, routeFrameworkStatusClear, routeFrameworkUpgradeStatusGet, routeFrameworkRelaunch, routeFrameworkCheck, routeCompatGate, routeCheckUpdate, routeFrameworkRollback, routeRestart }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.43",
+  "version": "0.5.45",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",