@noob-stupid/dsh-plugin-console 0.5.67 → 0.5.71

package/lib/client.js

@@ -1970,6 +1970,11 @@ function healthSignature(health) {
 			const [repoInfo, setRepoInfo] = react.useState(null);
 			const [subpackages, setSubpackages] = react.useState(null);
 			const [installing, setInstalling] = react.useState(null);
+			// ★ 0.5.70（用户 2026-10-18）：**按目标并行**的在飞集合。installing 只留作展示，
+			//   真正的并发闸门是 inFlight —— 同一目标才拦，不同插件可同时更新。
+			const [inFlight, setInFlight] = react.useState(() => new Set());
+			const markInFlight = (key) => { if (typeof key === "string" && key !== "") setInFlight((prev) => { const n = new Set(prev); n.add(key); return n; }); };
+			const clearInFlight = (key) => { if (typeof key === "string" && key !== "") setInFlight((prev) => { const n = new Set(prev); n.delete(key); return n; }); };
 			const [details, setDetails] = react.useState(null);
 			// 已安装插件"检测更新"：null=未检测 / {status:'checking'} / {status:'ready', latest, error}
 			const [updateCheck, setUpdateCheck] = react.useState(null);
@@ -2928,7 +2933,7 @@ function healthSignature(health) {
 				const pkgName = entry.moduleName;
 				setUpdateCheck({ status: "checking" });
 				call("/plugin-console/check-update", { packageName: pkgName }).then(
-					(data) => setUpdateCheck({ status: "ready", latest: data.latest ?? null, source: data.source ?? "npm", error: data.error ?? null }),
+					(data) => setUpdateCheck({ status: "ready", latest: data.latest ?? null, next: data.next ?? null, beta: data.beta ?? null, target: data.target ?? null, source: data.source ?? "npm", error: data.error ?? null }),
 					(error) => setUpdateCheck({ status: "ready", latest: null, source: "npm", error: friendlyGithubError(error).message }),
 				);
 			};
@@ -3411,6 +3416,8 @@ function healthSignature(health) {
 								aiConsent(jobId, true);
 							}
 							if (data.status !== "installing") {
+								// ★ 0.5.70：任务结束 ⇒ 释放该目标的并发锁（其它插件的更新不受影响）
+								clearInFlight(data.packageName);
 								stopJobPolling(jobId);
 								if (data.status === "done") {
 									if (data.kind === "skill") {
@@ -3792,11 +3799,14 @@ function healthSignature(health) {
 			const startJob = (repo, packageName, source = "github", kind = "plugin", update = false, subdir = null) => {
 				// 防并发（与 addLocal 一致）：已有安装/更新进行中时忽略新点击（更新按钮此前可绕过，
 				// 反复点击会产生几十个并发任务装同一插件）
-				if (installing !== null) {
+				// 只拦**同一个目标**：不同插件可以并行更新（服务端是作业模型，天然支持）
+				const jobKey = repo || packageName;
+				if (inFlight.has(jobKey)) {
 					setMessage(t("installBusy"));
 					return;
 				}
-				setInstalling(repo || packageName);
+				markInFlight(jobKey);
+				setInstalling(jobKey);
 				setReloadHint(false);
 				setRestartHint(false);
 				setMessage(null);
@@ -3814,6 +3824,7 @@ function healthSignature(health) {
 					},
 					(error) => {
 						setMessage(t("safetySwitchFailed") + "：" + friendlyGithubError(error).message);
+						clearInFlight(jobKey);
 						setInstalling(null);
 					},
 				);
@@ -4026,7 +4037,7 @@ function healthSignature(health) {
 									el("button", {
 										type: "button",
 										className: styles.toggle,
-										disabled: (updateCheck !== null && updateCheck.status === "checking") || installing === entry.moduleName,
+										disabled: (updateCheck !== null && updateCheck.status === "checking") || inFlight.has(entry.moduleName),
 										onClick: () => checkUpdate(entry),
 									}, updateCheck !== null && updateCheck.status === "checking" ? t("checkingUpdate") : t("checkUpdate")),
 									el("button", {

package/lib/server/domain/dep-source.js

@@ -19,7 +19,7 @@
 //      改用 `link:<DSH_HOME>/plugin-src/<包名>`：pnpm 的 link 协议只建符号链接，不经 registry 解析、
 //      不经 tarball 完整性校验，lock 删掉重建、node_modules 清空重装都稳定通过。
 
-import { existsSync, rmSync, mkdirSync, realpathSync } from 'node:fs'
+import { existsSync, readFileSync, rmSync, mkdirSync, realpathSync } from 'node:fs'
 import { basename, dirname, isAbsolute, join, resolve } from 'node:path'
 import { copyTree } from '../infra/fsx.js'
 import { fetchJsonUrl } from '../infra/http.js'
@@ -213,7 +213,50 @@ const NPM_NAME_RE = /^(?:@[a-z0-9-~][a-z0-9-._~]*\/)?[a-z0-9-~][a-z0-9-._~]*$/u
  *   · `command` **只供展示/复制**，服务端执行时**只认 payload.action 这个白名单类型**，argv 自己拼；
  *   · payload 里只有动作类型 + 包名 + 版本 + profile 名（回显用），**没有任何命令字符串**位置。
  */
+/**
+ * 读 profile 清单里某个包的**当前来源形态**（只读；读不到返回 null）。
+ * 用途：决定"缺口该怎么补" —— 路径型来源才该按 link: 钉，registry 来源该对齐 lock。
+ */
+function profileDepSpec(profileDir, packageName) {
+  if (typeof profileDir !== 'string' || profileDir === '') return null
+  if (typeof packageName !== 'string' || packageName === '') return null
+  try {
+    const manifest = JSON.parse(readFileSync(join(profileDir, 'package.json'), 'utf8'))
+    const spec = manifest?.dependencies?.[packageName]
+    return typeof spec === 'string' && spec !== '' ? spec : null
+  } catch { return null }
+}
+
+/** 路径型来源（link:/file:）—— 只有这一族"按 link: 钉住"才说得通。 */
+function isPathSourceSpec(spec) {
+  return typeof spec === 'string' && /^(?:link:|file:)/u.test(spec)
+}
+
+/**
+ * **纯 registry 形态**的版本/范围（只有这一族"对齐 lock"才是正解）。
+ * 刻意收窄：git+https / https tarball / link: / file: / workspace: / portal: 一律**不算** ——
+ * 对它们推进 reconcile-lock 是错的（lock 对账解决不了来源问题），实测被 route-inventory 缺陷②抓到。
+ */
+function isRegistryRangeSpec(spec) {
+  if (typeof spec !== 'string') return false
+  const s = spec.trim()
+  if (s === '' || s === '*' || s === 'x') return true
+  if (/^(?:\^|~|>=|<=|>|<|=)\s*v?\d/u.test(s)) return true
+  if (/^v?\d+(?:\.\d+)?\.x$/u.test(s)) return true
+  return /^v?\d+\.\d+\.\d+(?:-[0-9A-Za-z.-]+)?(?:\+[0-9A-Za-z.-]+)?$/u.test(s)
+}
+
 function suggestedPinAction({ packageName, version = null, profileDir = null, profile = null, home = undefined, reason = null } = {}) {
+  // ★ 0.5.69（用户 2026-10-18）：**registry 来源的包不该被劝成 link:**
+  //   它的问题是 lock 与清单不一致，正确出路是「重建 lock」；把 registry 包改成 link: 会绕过
+  //   registry 解析与 tarball 完整性校验，还会让依赖（如 zod）被当成插件钉进 plugin-src。
+  const currentSpec = profileDepSpec(profileDir, packageName)
+  if (currentSpec !== null && isRegistryRangeSpec(currentSpec)) {
+    const why = reason !== null && reason !== undefined && reason !== ''
+      ? `${reason}；该包是 registry 来源（${currentSpec}），应对齐 lock 而不是改成 link:`
+      : `${packageName} 是 registry 来源（${currentSpec}），应对齐 lock 而不是改成 link:`
+    return suggestedReconcileAction({ profileDir, profile, reason: why })
+  }
   const dir = join(home ?? dshHome(), PLUGIN_SRC_DIR, ...String(packageName).split('/'))
   const spec = linkSpecFor(dir)
   const name = profile ?? profileNameOf(profileDir)

package/lib/server/domain/manifest.js

@@ -144,7 +144,7 @@ async function planDependencySpec({ profileDir, packageName, version, registries
     return {
       form: 'link',
       spec: link,
-      note: `${packageName}：${why}，清单已按 link: 形式记录（${link}）—— 不经 npm registry 解析、不经 tarball 完整性校验，pnpm 重建 lock 也能装上`,
+      note: `${packageName}：${why}；已按**源码安装（本地物化）**记录（${link}）—— 不经 npm registry 解析、不经 tarball 完整性校验，pnpm 重建 lock 也能装上`,
       suggestion: null,
     }
   }
@@ -214,7 +214,7 @@ async function declareProfileDependency(profileDir, packageName, version = null,
     ? {
         form: 'link',
         spec: canonicalSourceSpec(realSpec),
-        note: `${packageName}：按**显式开发式安装**记录（${realSpec}）—— 不经 npm registry 解析，依赖与框架 peer 由 link 自足性补齐`,
+        note: `${packageName}：**源码安装（本地物化）** —— 该包在 npm registry 上找不到，只能拿到源码；已按路径型来源记录（${realSpec}）。不经 registry 解析、不经 tarball 完整性校验，缺失依赖与框架 peer 由 link 自足性补齐`,
         suggestion: null,
       }
     : await planDependencySpec({ profileDir, packageName, version: resolved, registries, probe, home, profile, sourceSpec: installSpec })

package/lib/server/domain/pending-restart.js

@@ -0,0 +1,80 @@
+// L1 · domain —— 「已安装·待重启」的**持久化**（0.5.70 加法）
+//
+// 用户 2026-10-18：「那个重启后生效徽章你不是有吗…memory 插件不就是这样的吗之前」
+//   —— 徽章确实早就有（revoke.js#pendingRestartJobs），但它的数据源是**内存里的 installJobs**，
+//   宿主一重启就清空 ⇒ 更新完插件、重启一次之后，徽章连同那条记录一起消失，插件看起来"没了"。
+//   实测：installJobs=0 / pendingRestart=0 / recentFailures=0，而包其实已经更新成功（0.7.2 → 0.7.8）。
+//
+// 本模块把"待重启"落成一份**小文件**（按包名），于是它能活过重启：
+//   · 写入：/state 计算时，若某条 done 作业的包**不在运行中的 entries**，就记下来（仅在集合变化时写盘）；
+//   · 读取：重启后从文件里读回来，仍然显示徽章；
+//   · 清除：一旦该包出现在 entries 里（说明已经加载生效），自动从文件里删掉 —— 不留陈旧记录。
+//
+// 严格只读原则的例外说明：这里确实写盘，但写的是**控制台自己的状态文件**（不是 profile、不是 lock），
+// 且只在集合变化时写一次；任何异常都不抛出，降级为"没有持久记录"（徽章退化到旧行为，不比现在更差）。
+import { readFileSync, writeFileSync, mkdirSync } from 'node:fs'
+import { dirname, join } from 'node:path'
+import { dshHome } from '../infra/paths.js'
+
+const PENDING_RESTART_FILE = 'pending-restart.json'
+
+function pendingRestartPath(home = undefined) {
+  return join(home ?? dshHome(), 'plugin-console', PENDING_RESTART_FILE)
+}
+
+const readJsonSafe = (file) => {
+  try { return JSON.parse(readFileSync(file, 'utf8')) } catch { return null }
+}
+
+/** 读持久记录 → [{ packageName, version, at }]（读不到/坏文件 = 空数组）。 */
+function readPendingRestart({ home = undefined } = {}) {
+  const value = readJsonSafe(pendingRestartPath(home))
+  const list = value !== null && typeof value === 'object' && Array.isArray(value.items) ? value.items : []
+  return list
+    .filter((x) => x !== null && x !== undefined && typeof x.packageName === 'string' && x.packageName !== '')
+    .map((x) => ({ packageName: x.packageName, version: typeof x.version === 'string' ? x.version : null, at: Number.isFinite(Number(x.at)) ? Number(x.at) : null }))
+}
+
+/**
+ * 把当前"待重启"集合写穿到文件（**集合不变就不写盘**）。
+ * @returns {{ changed: boolean, items: Array }}
+ */
+function syncPendingRestart(items, { home = undefined } = {}) {
+  const next = (Array.isArray(items) ? items : [])
+    .filter((x) => x !== null && x !== undefined && typeof x.packageName === 'string' && x.packageName !== '')
+    .map((x) => ({ packageName: x.packageName, version: typeof x.version === 'string' ? x.version : null, at: Number.isFinite(Number(x.at)) ? Number(x.at) : Date.now() }))
+  const prev = readPendingRestart({ home })
+  const key = (list) => list.map((x) => `${x.packageName}@${x.version ?? '?'}`).sort().join('|')
+  if (key(prev) === key(next)) return { changed: false, items: prev }
+  try {
+    const file = pendingRestartPath(home)
+    mkdirSync(dirname(file), { recursive: true })
+    writeFileSync(file, `${JSON.stringify({ items: next }, null, 2)}\n`, 'utf8')
+    return { changed: true, items: next }
+  } catch {
+    // 写不进去就如实退化：本次仍返回新集合（界面照常显示），只是活不过重启
+    return { changed: false, items: next, writeError: true }
+  }
+}
+
+/**
+ * 合并：内存里刚判定的待重启 + 文件里历史遗留的（**已经在 entries 里出现过的一律丢弃**）。
+ * @param {Array} fresh 内存判定结果（pendingRestartJobs 的输出）
+ * @param {Set<string>} liveNames 当前运行中的包名集合
+ */
+function mergePendingRestart(fresh, liveNames, { home = undefined } = {}) {
+  const live = liveNames instanceof Set ? liveNames : new Set()
+  const persisted = readPendingRestart({ home }).filter((x) => !live.has(x.packageName))
+  const merged = new Map()
+  for (const x of persisted) merged.set(x.packageName, { packageName: x.packageName, version: x.version ?? null, at: x.at ?? null, persisted: true })
+  for (const x of Array.isArray(fresh) ? fresh : []) {
+    if (live.has(x.packageName)) continue
+    merged.set(x.packageName, { ...x, at: Date.now(), persisted: false })
+  }
+  const items = [...merged.values()]
+  // 写穿：把"合并后的待重启集合"作为新基线（集合不变则不写盘）
+  syncPendingRestart(items.map((x) => ({ packageName: x.packageName, version: x.version ?? null, at: x.at ?? null })), { home })
+  return items
+}
+
+export { PENDING_RESTART_FILE, pendingRestartPath, readPendingRestart, syncPendingRestart, mergePendingRestart }

package/lib/server/domain/selfupdate.js

@@ -386,7 +386,7 @@ async function reconcileLockfile({ profileDir, packageName = null, packages = nu
 
   const depNotes = []
   // 物化 + link: 计划（registry 查无此包时唯一安全的写回形式）。
-  // ★ 2026-09-27 改错：这里**只产出"打算写什么"和"为什么"**，不再抢先断言"已按 link: 形式记录依赖"——
+  // ★ 2026-09-27 改错：这里**只产出"打算写什么"和"为什么"**，不再抢先断言"已按源码安装（本地物化）记录依赖"——
   //   旧版在 pnpm add 之前就把这句写进 depNote，于是"写回失败/被后一步覆盖"时面板仍然报"已钉住"，
   //   而磁盘上留着的是裸版本号（真机 desktop profile 的实际状态）。最终文案一律在写回之后**读回真实值**再生成。
   const linkPlan = (row, why) => {
@@ -496,7 +496,7 @@ async function reconcileLockfile({ profileDir, packageName = null, packages = nu
       const wrote = writeOf.get(item.name) ?? null
       if (wrote !== null && (wrote.changed === true || wrote.unchanged === true)) {
         if (item.reason !== null) {
-          depNotes.push(`${item.name}：${item.reason}，已按 link: 形式记录依赖（${actual}）—— lock 的 importer 条目已**定点写入**（${wrote.version ?? ''}），不经 npm registry 解析、不经 tarball 完整性校验`)
+          depNotes.push(`${item.name}：${item.reason}，已按源码安装（本地物化）记录依赖（${actual}）—— lock 的 importer 条目已**定点写入**（${wrote.version ?? ''}），不经 npm registry 解析、不经 tarball 完整性校验`)
         }
         continue
       }
@@ -513,7 +513,7 @@ async function reconcileLockfile({ profileDir, packageName = null, packages = nu
     }
     if (actual === item.spec) {
       if (item.spec.startsWith('link:') && item.reason !== null) {
-        depNotes.push(`${item.name}：${item.reason}，已按 link: 形式记录依赖（${actual}）—— 不经 npm registry 解析、不经 tarball 完整性校验，pnpm 重建 lock 也能装上`)
+        depNotes.push(`${item.name}：${item.reason}，已按源码安装（本地物化）记录依赖（${actual}）—— 不经 npm registry 解析、不经 tarball 完整性校验，pnpm 重建 lock 也能装上`)
       }
       continue
     }

package/lib/server/routes/state.js

@@ -22,6 +22,7 @@ import { installJobView, readGithubAuth } from '../domain/install.js'
 import { readPluginDetails } from '../domain/market.js'
 import { healPatchSafety, readPatchState } from '../domain/patch.js'
 import { pendingRestartJobs } from '../domain/revoke.js'
+import { mergePendingRestart } from '../domain/pending-restart.js'
 import { listEntries } from '../domain/runtime.js'
 import { sendError, sendJson } from '../infra/httpd.js'
 import { dshHome, entryPkgMeta, findPatchPath, pluginRoot, profileDirOf, rowIdOf } from '../infra/paths.js'
@@ -122,7 +123,23 @@ async function routeStateGet(req, res, rc) {
     // 已安装但尚未生效的任务（2026-09-20 真装真卸演练实测）：bundle 型插件要重启才被加载，
     // 装完 /install 返回 entryId: null、/state 里新增 loader 条目 = 0 —— 面板过去完全看不出
     // 「装了但还没生效」，也无法撤销。前端据此渲染「已安装·重启后生效」徽标 + 按 jobId 删除。
-    const pendingRestart = pendingRestartJobs([...installJobs.values()], listEntries(ctx))
+    // ★ 0.5.70（用户 2026-10-18）：徽章要能活过重启 —— 内存判定的结果与**持久记录**合并；
+    //   已经在 entries 里出现过的包会自动从持久记录里清掉（不留陈旧项）。
+    const livePackageNames = (() => {
+      const set = new Set()
+      try {
+        for (const e of listEntries(ctx)) {
+          const mn = typeof e?.moduleName === 'string' ? e.moduleName : ''
+          if (mn === '' || mn.startsWith('cordis:')) continue
+          set.add(mn)
+          const m = /^(@[^/]+\/[^/]+)(?:\/.*)?$/u.exec(mn)
+          if (m) set.add(m[1])
+        }
+      } catch {}
+      return set
+    })()
+    let pendingRestart = []
+    try { pendingRestart = mergePendingRestart(pendingRestartJobs([...installJobs.values()], listEntries(ctx)), livePackageNames) } catch { pendingRestart = pendingRestartJobs([...installJobs.values()], listEntries(ctx)) }
     // 框架升级检测与适配（备份快照 + 重打框架补丁），try 包裹不阻塞 state 返回
     let framework = null
     try { framework = detectFrameworkUpgrade(ctx) } catch {}
@@ -205,12 +222,15 @@ async function routeStateGet(req, res, rc) {
 
     // ★ 0.5.55 加法：把已经算好的各块**折成一行健康摘要**（不新增 IO、不新增判据）。
     //   面板 176 个按钮、信息散在六处，用户没有一个地方能回答"整体健康吗、我该先处理哪件"。
+    const liveRowIds = new Set(entries.map((e) => e.rowId))
     let health = { issues: 0, items: [] }
     try {
       health = buildInstallHealth({
         entries,
         skippedBundles,
-        pendingCompat: compatPending?.pending ?? [],
+        // ★ 0.5.68：与界面同口径 —— 只统计「仍待适配」且**目标行仍存在**的记录。
+        //   否则会把已采纳的历史记录、以及指向已删除行的陈旧记录都算成"待处理"（实测 24 vs 界面 0）。
+        pendingCompat: (compatPending?.pending ?? []).filter((p) => (p?.status ?? 'pending') === 'pending' && liveRowIds.has(p?.rowId)),
         patchUncertain: patchHeal === null ? [] : (patchHeal.uncertain ?? []),
       })
     } catch {}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noob-stupid/dsh-plugin-console",
-  "version": "0.5.67",
+  "version": "0.5.71",
   "description": "DSH 框架升级安全与插件升级门控：一键升级、失败自动回滚、升级后回滚上版、旧插件不适配自动禁用；内置多源插件市场为发现层，插件源全部可自定义，可指向公司内网私有源 / 私有索引 / 本地 Git 仓库，纯内网离线可用 | Framework upgrade safety & plugin version gating for DSH, with a customizable multi-source plugin market: point every source at internal mirrors or a local file:// repo for intranet-only, offline installs.",
   "repository": {
     "type": "git",