@noob-stupid/dsh-plugin-console 0.5.48 → 0.5.49

package/lib/server/infra/paths.js

@@ -66,20 +66,45 @@ function baseDirOf(baseUrl) {
  *     成功后从解析结果**向上找最近的 package.json** 作为该包的清单。
  *   ⇒ 负控不变：真不存在的子路径，三条路都失败 ⇒ 仍然返回 null（**绝不放松成"一律放行"**）。
  */
-function nearestPackageJson(fromPath) {
+/** 从解析结果向上找清单。**优先认包名匹配的那份**（★ 0.5.49 改错，见下）。
+ *
+ * ★ 2026-10-14（0.5.49）改错：不能只取"最近的 package.json"。
+ *   真机现场：`@linxin666/dsh-web-all/plugin-manager` 的 exports 目标是 `./lib/shells/shell.js`，
+ *   而 `lib/shells/` 下还有一个**构建产物用的私有子清单**
+ *   （`{"name":"@linxin666/dsh-web-all-shells","private":true}` —— **没有 version 字段**）。
+ *   只认"最近" ⇒ 拿到那份子清单 ⇒ 版本/仓库全空（和"解不出来"一样是坏结果，只是换了个坏法）。
+ *   所以向上找时：命中"name 与引用包名相同"的清单立即返回；一路都没匹配才退回最近的那份
+ *   （不返回 null —— 包确实存在，只是清单不规范，此时宁可给出最近的那份也不谎报"没有这个包"）。
+ */
+function nearestPackageJson(fromPath, expectedName = null) {
   try {
     let dir = dirname(fromPath)
+    let fallback = null
     for (let depth = 0; depth < 40; depth += 1) {
       const candidate = join(dir, 'package.json')
-      if (existsSync(candidate)) return candidate
+      if (existsSync(candidate)) {
+        if (fallback === null) fallback = candidate
+        if (typeof expectedName === 'string' && expectedName !== '' && manifestNameOf(candidate) === expectedName) return candidate
+      }
       const parent = dirname(dir)
       if (parent === dir) break
       dir = parent
     }
+    return fallback
   } catch {}
   return null
 }
 
+/** 读一份清单的 `name`（读不到/不是 JSON 就返回 null）。 */
+function manifestNameOf(file) {
+  try {
+    const parsed = JSON.parse(readFileSync(file, 'utf8'))
+    return typeof parsed?.name === 'string' ? parsed.name : null
+  } catch {
+    return null
+  }
+}
+
 /** 该引用是不是"包 + 子路径"形态（`pkg/sub`、`@scope/pkg/sub`）。
  * 判据与 packageNameOf 同源：剥掉包名后还剩东西 ⇒ 是子路径引用。 */
 function isSubpathRef(refName) {
@@ -87,12 +112,15 @@ function isSubpathRef(refName) {
   return refName !== packageNameOf(refName)
 }
 
-/** 用真实解析语义解析「包/子路径」引用的清单路径：先解析引用本身，再向上找最近的清单。 */
+/** 用真实解析语义解析「包/子路径」引用的清单路径：先解析引用本身，再向上找**该包**的清单。
+ *  向上找时把包名传下去（`nearestPackageJson(refName, expectedName)`）—— 真机上就有子目录里放
+ *  私有子清单的包（`@linxin666/dsh-web-all/lib/shells/package.json`，name 是 `…-shells` 且无 version），
+ *  只取"最近"会拿到那份、版本照样是空的。详见 nearestPackageJson 的注释。 */
 function resolveViaRealSemantics(refName, base) {
   if (typeof base !== 'string' || base === '') return null
   try {
     const entry = createRequire(join(base, 'package.json')).resolve(refName)
-    return nearestPackageJson(entry)
+    return nearestPackageJson(entry, packageNameOf(refName))
   } catch {
     return null
   }
@@ -103,13 +131,27 @@ function resolvePackageJson(pkgName, baseDir, fallbackBase) {
   // ① 真实解析语义（认 exports 子路径）—— 优先，且**不**拼 `/package.json`
   const real = resolveViaRealSemantics(pkgName, baseDir)
   if (real !== null) return real
-  // ★ 子路径引用（`包/子路径`）到此为止：**不许**再退到"按包名找清单"的那两条 fallback。
-  //   为什么：那两条是按**包名**（packageNameOf 剥掉子路径后的 name）找 `node_modules/<包名>/package.json`，
-  //   对不存在的子路径也会命中**包根**那份清单 ⇒ 把一个坏引用判成好的
-  //   —— 正是"校验被放松成一律放行"，任务红线明令不许。
+  // ★ 子路径引用（`包/子路径`）单独一条路：只认「真实解析语义」，但**两个基准都认**。
+  //
+  // 为什么要挡住后两条：那两条是按**包名**（packageNameOf 剥掉子路径后的 name）找
+  //   `node_modules/<包名>/package.json`，对不存在的子路径也会命中**包根**那份清单
+  //   ⇒ 把一个坏引用判成好的 —— 正是"校验被放松成一律放行"，任务红线明令不许。
   //   （本机实测：`@scope/tool/nope` 在 @scope/tool 存在时会从 fallback 拿到包根清单。）
-  //   而真实解析语义对这一类已经给出权威答案：能解析就是好，不能解析就是坏 ⇒ 直接返回 null。
-  if (isSubpathRef(pkgName)) return null
+  //
+  // ★ 2026-10-14（0.5.49）改错：这道闸原先写成**在 fallbackBase 那次真实解析之前**就 `return null`，
+  //   于是把 profile 回退这条**合法**路径也一起掐了 —— 0.5.48 上 `@linxin666/dsh-web-all/plugin-manager`
+  //   （框架树里没有、只在 profile 里）从"解得出"退回 null，面板里那批第三方子路径行的
+  //   版本/安装日期/仓库全变空（实测 /plugin-console/state 确认），而官方子路径行走的是框架基准、
+  //   不受影响 ⇒ 现场不显眼。判据本身没错，错在**位置**：要挡的是"按包名找清单"那两条兜底，
+  //   不是"解析这个引用本身"。所以现在：baseDir 真实解析 → fallbackBase 真实解析 → 再 return null。
+  //   ⇒ 负控不变（`@scope/tool/nope` 两条真实解析都失败 ⇒ 仍是 null，绝不放松成一律放行）。
+  if (isSubpathRef(pkgName)) {
+    if (typeof fallbackBase === 'string' && fallbackBase !== '' && fallbackBase !== baseDir) {
+      const realFallback = resolveViaRealSemantics(pkgName, fallbackBase)
+      if (realFallback !== null) return realFallback
+    }
+    return null
+  }
   // ② 既有两条（顺序与行为不变）：`<name>/package.json` 解析 → node_modules 物理路径
   try {
     return createRequire(join(baseDir, 'package.json')).resolve(`${name}/package.json`)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.48",
+  "version": "0.5.49",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",