@noob-stupid/dsh-plugin-console 0.5.55 → 0.5.56

package/lib/client.js

@@ -121,6 +121,8 @@ window.__ModuleLoader__.load({
 			hostedNoChannel: "本实例由桌面端外壳托管：框架升级与回滚请走桌面端（此处不可用）",
 			linksTitle: "开发式链接（link）：共 {n} 个，自足 {ready} 个 —— ✓ 自足 · · 缺东西（悬停看原因）",
 			healthSummary: "需要处理 {n} 类问题",
+			exemptGrantBtn: "授精确版本豁免",
+			exemptGrantTitle: "把「这个精确版本」在「当前框架版本」上授权给框架（写入 profile 的 compatibility.json，先备份、写完读回验证）",
 			linksFailed: "开发式链接清单读取失败",
 			actionReconcileLabel: "重建 pnpm-lock.yaml",
 			actionRun: "执行",
@@ -715,6 +717,8 @@ window.__ModuleLoader__.load({
 			hostedNoChannel: "Hosted by the desktop shell: use the desktop app for framework upgrade and rollback (unavailable here)",
 			linksTitle: "Dev links (link:): {n} total, {ready} self-sufficient - checkmark = ready, dot = something missing (hover for why)",
 			healthSummary: "{n} issue type(s) need attention",
+			exemptGrantBtn: "Grant exact-version exemption",
+			exemptGrantTitle: "Authorize this exact version on the current framework version (writes via compatibility.json in the profile, with backup and read-back verification)",
 			linksFailed: "Failed to read the dev-link inventory",
 			actionReconcileLabel: "Rebuild pnpm-lock.yaml",
 			actionRun: "Run",
@@ -4610,7 +4614,21 @@ window.__ModuleLoader__.load({
 							el("p", null,
 								t("skippedBundlesTitle").replace("{n}", String(state.data.skippedBundles.items.length))),
 							...state.data.skippedBundles.items.map((b) => el("p", { key: b.packageName, title: b.hint ?? undefined, style: { margin: "4px 0 0 12px" } },
-								"• " + b.packageName + (b.version ? " v" + b.version : "") + " — " + b.reason)),
+								"• " + b.packageName + (b.version ? " v" + b.version : "") + " — " + b.reason,
+								// ★ 0.5.56：把提示里的"三条出路"之一真正做成可点的动作。
+								//   过去控制台**只读** compatibility.json、从不写 ⇒ 那句提示等于把活推回用户。
+								//   只在能确定精确版本时才给按钮（写豁免必须按精确版本，否则框架会忽略）。
+								b.version
+									? el("button", {
+										type: "button",
+										style: { marginLeft: "8px", cursor: "pointer" },
+										title: t("exemptGrantTitle"),
+										onClick: () => {
+											call("/plugin-console/compat-exempt", { packageName: b.packageName, version: b.version })
+												.then(() => refresh(), () => {});
+										},
+									}, t("exemptGrantBtn"))
+									: null)),
 						)
 					: null,
 

package/lib/server/domain/compat-exempt.js

@@ -0,0 +1,127 @@
+// L1 · domain —— 兼容豁免的**写入**（0.5.56 加法：把"只读"补成"可操作"）
+//
+// 为什么需要：
+//   0.5.53 让"被框架跳过的 bundle"可见了，提示里写着三条出路（更新 / 授精确版本豁免 / 从 bundles 删掉），
+//   但控制台**只会读** `compatibility.json`，从不会写 —— 于是那句提示等于把活推回给用户：
+//   "你自己去编辑那个文件，格式自己查"。这就是半截活。
+//
+// 格式（与框架 `readProfileCompatibility` 逐字对齐，读错会静默失效）：
+//   {
+//     "@scope/pkg@1.2.3": ["0.2.1-rc.2", "0.2.1-rc.1"]      // 精确包版本 → 允许的精确 DSH 版本列表
+//   }
+//   · 键必须是**精确** `name@version`（框架用 isExactPluginVersion 校验，范围/前缀一律被忽略）
+//   · 值必须是精确版本字符串数组
+//   · 坏记录被框架**忽略**（不是致命）——所以写入方必须自己保证格式，否则"写了但没生效"且没人知道
+//
+// 纪律：
+//   · **绝不静默**：每一次写盘都先备份、写完**读回来验证**，验证不过就回滚并如实报错；
+//   · 只增删**指定那一条**，其余记录（含用户手写的）原样保留、键序不变；
+//   · 撤销 = 从该键的列表里去掉当前框架版本；列表空了才删键（不误伤同一包的其它授权）。
+//
+// 分层：L1 domain —— 收已解开的 profileDir，不认 ctx；不联网、不 spawn。
+import { copyFileSync, existsSync, readFileSync, renameSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+import { COMPATIBILITY_FILE, readCompatExemptions } from './bundle-veto.js'
+
+const readJsonSafe = (file) => {
+  try { return JSON.parse(readFileSync(file, 'utf8')) } catch { return null }
+}
+
+/** 精确版本判据（框架同义：不接受范围/前缀/空白）。 */
+const EXACT_VERSION_RE = /^\d+\.\d+\.\d+(?:-[0-9A-Za-z.-]+)?(?:\+[0-9A-Za-z.-]+)?$/u
+/** 精确 `name@version` 键。 */
+function isExactPackageVersionKey(key) {
+  if (typeof key !== 'string') return false
+  const at = key.lastIndexOf('@')
+  if (at <= 0) return false
+  return EXACT_VERSION_RE.test(key.slice(at + 1)) && /^(?:@[a-z0-9][a-z0-9._-]*\/)?[a-z0-9][a-z0-9._-]*$/u.test(key.slice(0, at))
+}
+
+/**
+ * 规划一次豁免写入（**纯函数，不写盘**）。
+ *
+ * @param {object} p
+ * @param {string} p.profileDir profile 根目录
+ * @param {string} p.packageName 包名
+ * @param {string} p.version 该包的**精确**版本
+ * @param {string} p.frameworkVersion 要授权的**精确** DSH 版本
+ * @param {'grant'|'revoke'} [p.mode] grant=加一条授权（默认），revoke=撤销当前框架版本的授权
+ * @returns {{ ok: boolean, status: number, error: string|null, file: string, next: object|null,
+ *             changed: boolean, key: string|null, note: string|null }}
+ */
+function planExemption({ profileDir, packageName, version, frameworkVersion, mode = 'grant' } = {}) {
+  const file = typeof profileDir === 'string' && profileDir !== '' ? join(profileDir, COMPATIBILITY_FILE) : null
+  const base = { ok: false, status: 400, error: null, file, next: null, changed: false, key: null, note: null }
+  if (file === null) return { ...base, error: '拿不到 profile 目录，拒绝改动' }
+  if (typeof packageName !== 'string' || packageName === '') return { ...base, error: '缺少 packageName' }
+  if (typeof version !== 'string' || !EXACT_VERSION_RE.test(version)) {
+    return { ...base, error: `version 必须是精确版本（收到 ${JSON.stringify(version)}）；豁免按精确版本生效，范围没有意义` }
+  }
+  if (typeof frameworkVersion !== 'string' || !EXACT_VERSION_RE.test(frameworkVersion)) {
+    return { ...base, error: `拿不到精确的框架版本（收到 ${JSON.stringify(frameworkVersion)}）—— 拒绝写一条"授权了但不知道授权给谁"的记录` }
+  }
+  const key = `${packageName}@${version}`
+  if (!isExactPackageVersionKey(key)) return { ...base, error: `键 ${key} 不是合法的精确 name@version` }
+
+  // 现有文件：坏文件不覆盖（那是用户的文件，覆盖等于丢数据）
+  let current = {}
+  if (existsSync(file)) {
+    const parsed = readJsonSafe(file)
+    if (parsed === null || typeof parsed !== 'object' || Array.isArray(parsed)) {
+      return { ...base, status: 409, error: `${file} 已存在但不是合法对象；为避免覆盖你的文件，本动作已停止（请先手工修好或删掉它）` }
+    }
+    current = parsed
+  }
+  const next = { ...current }
+  const existing = Array.isArray(next[key]) ? next[key].filter((v) => typeof v === 'string') : []
+
+  if (mode === 'revoke') {
+    if (!existing.includes(frameworkVersion)) {
+      return { ...base, ok: true, status: 200, next: current, changed: false, key, note: `没有 ${key} → ${frameworkVersion} 的授权，无需撤销` }
+    }
+    const left = existing.filter((v) => v !== frameworkVersion)
+    if (left.length === 0) delete next[key]
+    else next[key] = left
+    return { ...base, ok: true, status: 200, next, changed: true, key, note: `已撤销 ${key} 对 ${frameworkVersion} 的授权` }
+  }
+
+  if (existing.includes(frameworkVersion)) {
+    return { ...base, ok: true, status: 200, next: current, changed: false, key, note: `${key} 已授权 ${frameworkVersion}，无需重复写入` }
+  }
+  next[key] = [...existing, frameworkVersion]
+  return { ...base, ok: true, status: 200, next, changed: true, key, note: `已授权 ${key} 在 ${frameworkVersion} 上使用` }
+}
+
+/**
+ * 执行写入：备份 → 原子写（临时文件 + rename）→ **读回来验证** → 失败则回滚。
+ * 绝不谎报成功：验证不过一律返回 ok:false 并把原因写清。
+ */
+function applyExemption(input) {
+  const plan = planExemption(input)
+  if (plan.ok !== true || plan.changed !== true) return plan
+  const { file, next, key } = plan
+  const backup = `${file}.bak-${Date.now()}`
+  try {
+    if (existsSync(file)) copyFileSync(file, backup)
+    const tmp = `${file}.tmp-${Date.now()}`
+    writeFileSync(tmp, `${JSON.stringify(next, null, 2)}\n`, 'utf8')
+    renameSync(tmp, file)
+  } catch (error) {
+    // 写失败：把备份放回去（有备份时），如实报
+    try { if (existsSync(backup)) copyFileSync(backup, file) } catch {}
+    return { ...plan, ok: false, status: 500, error: `写入 ${file} 失败：${error instanceof Error ? error.message : String(error)}`, backup }
+  }
+  // 读回来验证：框架读得出来的才算真的生效（"写了但没生效"是最坏的一种假绿）
+  const verify = readCompatExemptions(typeof input?.profileDir === 'string' ? input.profileDir : '')
+  const granted = Array.isArray(verify[key]) ? verify[key] : []
+  const want = input?.mode === 'revoke'
+    ? !granted.includes(input?.frameworkVersion)
+    : granted.includes(input?.frameworkVersion)
+  if (!want) {
+    try { if (existsSync(backup)) copyFileSync(backup, file) } catch {}
+    return { ...plan, ok: false, status: 500, error: `写入后验证失败（${file} 读回来不符合预期），已回滚`, backup }
+  }
+  return { ...plan, ok: true, backup }
+}
+
+export { EXACT_VERSION_RE, isExactPackageVersionKey, planExemption, applyExemption }

package/lib/server/routes/index.js

@@ -30,7 +30,7 @@ import { routeEnrich, routeMarketIndex, routeRepo, routeSearch, routeSubpackages
 import { routeAdaptUnlock, routeAdaptUnlockAll, routeCleanResiduals, routeSelfUpdate, routeToggle, routeUninstall } from './plugins.js'
 import { routeSkillRemove, routeSkillToggle, routeSkillsInstalledGet } from './skills.js'
 import { routeGiteeOauthCallbackGet, routeGiteeOauthUrlGet, routeRegistryScan, routeSources, routeSourcesGet } from './sources.js'
-import { routeDetails, routeLinksGet, routeStateGet } from './state.js'
+import { routeCompatExempt, routeDetails, routeLinksGet, routeStateGet } from './state.js'
 
 const ROUTE_PREFIX = '/plugin-console'
 
@@ -38,6 +38,8 @@ const ROUTES_EARLY = [
   { methods: ['GET'], path: `${ROUTE_PREFIX}/state`, handler: routeStateGet },
   // link 开发式安装清单（0.5.54 加法）：纯只读，供面板渲染"已挂载 / 自足性 / 垫片 / 持久化"
   { methods: ['GET'], path: `${ROUTE_PREFIX}/links`, handler: routeLinksGet },
+  // 兼容豁免（0.5.56 加法）：把"被跳过的 bundle"的三条出路之一做成真正可点的动作
+  { methods: ['POST'], path: `${ROUTE_PREFIX}/compat-exempt`, handler: routeCompatExempt },
   { methods: ['GET'], path: `${ROUTE_PREFIX}/sources`, handler: routeSourcesGet },
   { methods: ['GET'], path: `${ROUTE_PREFIX}/gitee-oauth-url`, handler: routeGiteeOauthUrlGet },
   { methods: ['GET'], path: `${ROUTE_PREFIX}/gitee-oauth-callback`, handler: routeGiteeOauthCallbackGet },

package/lib/server/routes/state.js

@@ -11,6 +11,7 @@ import { readExtraBundleRows } from '../domain/install-job.js'
 import { bundleVetoList } from '../domain/bundle-veto.js'
 import { buildLinkInventory } from '../domain/link-inventory.js'
 import { buildInstallHealth } from '../domain/install-health.js'
+import { applyExemption } from '../domain/compat-exempt.js'
 import { readBundlesSync } from '../domain/persist.js'
 import { failedJobEvidence } from '../domain/install-verify.js'
 import { installJobView, readGithubAuth } from '../domain/install.js'
@@ -224,4 +225,43 @@ async function routeLinksGet(req, res, rc) {
   sendJson(res, 200, payload)
 }
 
-export { routeStateGet, routeDetails, routeLinksGet }
+/**
+ * POST /compat-exempt —— **写**一条精确版本豁免（0.5.56 加法）。
+ *
+ * 0.5.53 让"被框架跳过的 bundle"可见，并在提示里给了三条出路；但控制台只会**读** compatibility.json，
+ * 从不写 —— 那条提示等于把活推回用户（"你自己去编辑文件，格式自己查"）。本路由把那半截补上。
+ *
+ * 安全与纪律（与仓库其它写动作一致）：
+ *   · 只接受 { packageName, version, mode }，**不收任何路径** —— 文件位置由服务端按 profile 决定；
+ *   · 精确版本校验（范围/前缀一律拒），框架版本必须是**当前运行时**那个；
+ *   · 先备份 → 原子写 → **读回来验证**，验证不过即回滚并如实报错（绝不谎报成功）；
+ *   · 已有坏文件时**停止**而不是覆盖（那是用户的文件）。
+ */
+async function routeCompatExempt(req, res, rc) {
+  const ctx = rc.ctx
+  const body = rc.body ?? {}
+  let profileDir = null
+  try { profileDir = dirname(findPatchPath(ctx)) } catch {}
+  const frameworkVersion = typeof body.frameworkVersion === 'string' && body.frameworkVersion !== ''
+    ? body.frameworkVersion
+    : (() => { try { return currentFrameworkVersion(ctx) } catch { return null } })()
+  const result = applyExemption({
+    profileDir,
+    packageName: body.packageName,
+    version: body.version,
+    frameworkVersion,
+    mode: body.mode === 'revoke' ? 'revoke' : 'grant',
+  })
+  const payload = {
+    ok: result.ok === true,
+    changed: result.changed === true,
+    key: result.key ?? null,
+    note: result.note ?? null,
+    error: result.error ?? null,
+    backup: result.backup ?? null,
+  }
+  if (result.ok === true) sendJson(res, 200, payload)
+  else sendError(res, result.status ?? 400, payload.error ?? '豁免写入失败', payload)
+}
+
+export { routeStateGet, routeDetails, routeLinksGet, routeCompatExempt }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.55",
+  "version": "0.5.56",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",