@noob-stupid/dsh-plugin-console 0.5.85 → 0.5.87

package/lib/server/domain/install-channels.js

@@ -0,0 +1,242 @@
+// L1 · domain —— install-channels.js（单个候选包的**通道尝试序列** + 版本闸；2026-10-18 从 install-job.js 搬出）
+//
+// 为什么单独成模块：install-job.js 贴着 600 行架构棘轮（tests/test-architecture-guard.mjs），而
+// "一个候选包要按什么顺序试哪些通道、每条守卫为什么成立"本来就是一块自洽的策略。搬移只搬移未改逻辑
+// （注释、判据、文案逐字保留），install-job.js 继续 re-export `tryCandidateChannels` 与
+// `RELEASE_CHANNEL_BUDGET` —— **导出名与调用点一个字都没变**。
+//
+// 本轮（0.5.87）在这块里只改了一件事，见下方 ★ 版本号的两处注释：
+//   ① 版本号（`job.version`）必须一路传到**按名下载**的通道（curl 的两条腿、pnpm 的两次重试）；
+//   ② 通道说"装上了"之后要**核对落地版本**（版本闸）—— 落地版本 ≠ 点名版本不算成功。
+import { cleanupStalePackageDir } from '../infra/fsx.js'
+import { alreadyInstalledTarget } from './install-verify.js'
+import { noteChannel, tryGitChannel } from './git-channel.js'
+import { retryPnpmOnce } from './install-diagnose.js'
+import { targetVersionOf, versionMissOf, versionMissText } from './install-version.js'
+import { tryPresetSourceChannel } from './preset-source.js'
+
+/** release 通道的候选预算（issue #3）：release 通道现在按包名反查发布仓库，**每个候选**至少一次
+ * `releases?per_page=10` 调用（第一梯队仓库没命中还要多试几个候选仓库），而候选可能有十几个
+ * （聚合仓库懒惰展开后最多 19 个）——不封顶会把 8 分钟的作业时间预算吃光。
+ * 只给前 N 个候选扫 release；排在后面的候选仍照走 curl/并行竞速（按包名施工，代价小）。 */
+const RELEASE_CHANNEL_BUDGET = 3
+
+/** 单个候选包的通道尝试序列（通道实现由 ch 注入；job.curlNote 等展示字段在此更新）。
+ * 返回 { installedName, lastError }。三条守卫语义及理由（issue #3 要求逐条写清）：
+ *
+ * ① 并行竞速（pnpm‖curl）与 curl 手动通道：**始终可试，不判 expanded**。
+ *    这两条都按 name 走 registry，与 job.repo、根包是否 private 毫无关系；懒惰展开只是让候选变多，
+ *    没有任何理由让展开后的候选失去这两条通道。旧代码的 `!expanded` 会让展开后的所有候选
+ *    直接跳到最后 → 子包只能靠 AI 兜底，正是 issue 报的"四分钟才装上"。
+ *
+ * ② GitHub release 通道：**不判 expanded，也不判 subpackageMode**（只受"是否反查到候选仓库"限制）。
+ *    issue #3 之后它会按包名反查真实发布仓库——子包的产物常常发布在**另一个仓库**的 release 里
+ *    （实测：dsh-routing-suite 的私根包 @dsh-external/dsh-super-injector，产物在 dsh-super-injector
+ *    仓库的 release 资产里）。按 job.repo 判断"该不该试 release"因此不再成立，代价用预算封顶。
+ *
+ * ③ git 通道：**保留 repoChannelAllowed**（它只 clone `job.repo`，候选是子包时 clone 根仓库装不出子包，
+ *    属无意义尝试）**并保留 !expanded**（同一作业里对同一个 job.repo 反复 clone 纯属浪费时间，
+ *    级联顺序也不该被破坏）。 */
+async function tryCandidateChannels({ job, ch, name, profileDir, registries, repoChannelAllowed, budget, baseUrl = null, expanded = false, deadline = null, expand = null, sourceDeps = {} }) {
+  const installSpec = (typeof job?.version === 'string' && job.version !== '' && name === job.packageName)
+    ? `${name}@${job.version}`
+    : name // ★ 0.5.81：规格与身份分离 —— name 仍是身份；点名包+指定版本时规格才带 @version
+  // ★ 0.5.87 改错（真机 2026-10-18）：`installSpec` 只交给了 pnpm；**curl 的两条腿拿的都是裸包名**，
+  //   于是"按 dist-tags.latest 下载"——而该 tag 在镜像上可能恰恰是**旧版**（真机
+  //   @deepseek-ai/dsh-experimental-auto-review 的 latest = 0.1.6-alpha.1，而目标 0.2.1-rc.2）。
+  //   结果：旧版被原样铺回去，作业却报"更新成功"。版本号必须传到底（curlManualInstall 的 exactVersion）。
+  const exactVersion = targetVersionOf(job, name)
+  // 声明行的目标 profile（0.5.28）：框架 0.1.7-rc.x 起预设不再靠目录发现，装配后必须往这个 profile 的补丁写 `preset-<id>` 行，否则用户看不见（见 preset-declare.js 顶部）。
+  // 注：0.5.87 搬出时删掉了这里的 `const patchPath = join(profileDir, 'cordis.patch.yml')` ——
+  // 它是一个**从未被读过**的局部量（预设声明早已改由 preset-declare.js 自己算路径），删掉不改任何行为。
+  let installedName = null
+  let lastError = null
+  // 哪个通道声称装上了（只用于版本闸的如实告知，不参与任何判定）
+  let lastChannel = null
+  // 0.5.41 接线：这次成功装上的**来源**（`{ spec, origin, kind }`）—— 取样通道（curl tarball / GitHub
+  // release 资产）知道真实下载地址，收口那一步据此走 `pnpm add <spec>` 真装；registry/git 通道都不填。
+  let source = null
+  // 加法优化：包已在 node_modules 且名字匹配时，不再重复安装/触发 EPERM，直接进入启用流程
+  // （2026-09-27 搬进 install-verify.js#alreadyInstalledTarget；install-job.js 当时贴着 600 行架构硬顶）
+  const already = alreadyInstalledTarget(profileDir, name, job)
+  if (already !== null) {
+    job.curlNote = already
+    // ★ 0.5.87：这条短路（`update !== true` 且包已在盘上）同样要过版本闸 —— 请求若点名了版本、
+    //   而盘上不是那一版，"已检测到本地已安装"就不能被当成"更新完成"。
+    const missText = gateVersion(job, profileDir, name, 'local')
+    if (missText === null) return { installedName: name, lastError: null }
+    return { installedName: null, lastError: new Error(missText) }
+  }
+  // 通道 0：并行竞速（pnpm 与 curl 同时启动，先成功者生效；失败方 abort，不影响后续串行通道）——守卫①
+  {
+    try {
+      // ★ 0.5.87：竞速里的 pnpm 腿要**带版本**的规格，curl 腿要**裸包名 + 目标版本**
+      //   （旧代码把带 `@版本` 的规格同时塞给 curl —— 对 curl 那是非法包名，永远 404）
+      const raced = await ch.raceInstallChannels(profileDir, installSpec, registries, {}, { packageName: name, exactVersion })
+      if (raced) {
+        installedName = name
+        lastChannel = raced.channel ?? 'race'
+        if (raced.channel === 'curl') {
+          const racedInfo = raced.info
+          try {
+            const stillMissing = await ch.backfillMissingDeps(profileDir, racedInfo.missingDeps, registries)
+            job.curlNote = `已通过并行 curl 通道安装 v${racedInfo.version}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
+          } catch (backfillError) {
+            // 包已装好：补齐依赖失败只影响提示，绝不能因此把这次安装判成失败
+            job.curlNote = `已通过并行 curl 通道安装 v${racedInfo.version}（捆绑依赖补齐失败：${backfillError instanceof Error ? backfillError.message : String(backfillError)}；网络恢复后建议重新安装）`
+            noteChannel(job, `并行 curl 通道的依赖补齐失败（安装本身已成功）：${backfillError instanceof Error ? backfillError.message : String(backfillError)}`)
+          }
+          if (racedInfo.boxNote) job.curlNote += `（盒子验证：${racedInfo.boxNote}）`
+          job.integrity = racedInfo.integrity ?? null // ④ 下载物摘要校验结果（加法；见 install-verify.js）
+          // 0.5.41：curl tarball 是**取样通道**（物是解压铺进去的，不是包管理器装的）——
+          // 真实来源规格（registry tarball URL）带回收口。registry 可解析时收口仍写版本号（不倒退）。
+          source = { spec: racedInfo.sourceSpec ?? null, origin: 'sampled', kind: 'registry-tarball' }
+        }
+      }
+    } catch (raceError) {
+      lastError = raceError
+      noteChannel(job, `并行竞速通道异常（已继续尝试后续串行通道）：${raceError instanceof Error ? raceError.message : String(raceError)}`)
+    }
+  }
+  // 通道 1..n：配置的软件源依次尝试（每源 90 秒封顶）
+  let pnpmError = null
+  for (let ri = 0; ri < registries.length && installedName === null; ri += 1) {
+    try {
+      await ch.pnpmInstall(profileDir, installSpec, registries[ri])
+      installedName = name
+      lastChannel = 'pnpm'
+      break
+    } catch (error) { lastError = error; pnpmError = error }
+  }
+  if (installedName === null) {
+    // 通道 n+1：curl 手动安装（node 网络黑洞时 pnpm 下载卡死、curl 可用）——下载 registry tarball
+    // 解压到 node_modules，零依赖包可完整安装。守卫①：不判 expanded。
+    try {
+      // ★ 0.5.87 改错（真机事故的**决定性**那一行）：这里过去只传裸包名，curlManualInstall 于是取
+      //   `dist-tags.latest` —— 镜像上的 latest 是旧版时，装完就是**降级/原地不动**，而作业报成功。
+      //   现在把点名版本作为 exactVersion 传进去（没点名时仍是 null ⇒ 既有行为一字不变）。
+      const info = await ch.curlManualInstall(profileDir, name, registries, null, exactVersion)
+      installedName = name
+      lastChannel = 'curl'
+      const stillMissing = await ch.backfillMissingDeps(profileDir, info.missingDeps, registries)
+      job.curlNote = `已通过 curl 通道安装 v${info.version}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
+      if (info.boxNote) job.curlNote += `（盒子验证：${info.boxNote}）`
+      job.integrity = info.integrity ?? null // ④ 下载物摘要校验结果（加法；见 install-verify.js）
+      // 0.5.41：同上（取样通道 ⇒ 带真实 tarball URL 回去真装）
+      source = { spec: info.sourceSpec ?? null, origin: 'sampled', kind: 'registry-tarball' }
+    } catch (curlError) {
+      lastError = curlError
+    }
+  }
+  if (installedName === null) {
+    // 通道 n+1b：GitHub release 下载安装（npm 上不存在的包，例如只发 GitHub release 的社区插件）——
+    // 按包名反查发布仓库 → 遍历最近 ≤10 条 release 的 assets 按包名挑产物 → 盒子验证 → 覆盖。
+    // 守卫②：不判 expanded / subpackageMode（理由见本函数顶部注释）；预算封顶避免吃光作业时间。
+    if (budget.release > 0) {
+      budget.release -= 1
+      try {
+        const info = await ch.githubReleaseInstall(profileDir, job.repo ?? null, name, { baseUrl })
+        installedName = name
+        lastChannel = 'release'
+        const stillMissing = await ch.backfillMissingDeps(profileDir, info.missingDeps, registries)
+        // 如实记录来源：哪个仓库的哪条 release 的哪个资产（issue #3 明确要求，面板直接展示这句话）
+        const from = typeof info.sourceNote === 'string' && info.sourceNote !== '' ? `（来源：${info.sourceNote}）` : ''
+        job.curlNote = `已通过 GitHub release 通道安装 v${info.version ?? '?'}${from}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
+        if (info.boxNote) job.curlNote += `（盒子验证：${info.boxNote}）`
+        // 0.5.41 接线（**本轮的核心**）：GitHub release 资产（tarball URL）是取样通道 —— 把真实下载
+        // 地址带回给收口，由 `pnpm add <url>` 真装（依赖与 peer 交给包管理器，与官方 dsh plugin add 同效）。
+        source = { spec: info.sourceSpec ?? null, origin: 'sampled', kind: 'github-release' }
+      } catch (ghError) {
+        lastError = ghError
+      }
+    } else {
+      // 预算用尽（批次 A-⑤）：原因**总是**记在 job 上供面板显示（旧代码只在 lastError === null 时写，用户看不出）
+      noteChannel(job, `release 通道因预算跳过（本作业只对前 ${RELEASE_CHANNEL_BUDGET} 个候选做按包名反查+release 扫描）`)
+      if (lastError === null) lastError = new Error(`release 通道候选预算已用尽（本作业只对前 ${RELEASE_CHANNEL_BUDGET} 个候选做按包名反查+release 扫描）`)
+    }
+  }
+  // 懒惰展开（批次 A-③，2026-09-27 搬家）：**registry 类通道全部失败之后、git 通道之前**。
+  // 旧顺序是"所有通道（含 git）都失败 → 才展开子包"：对"根包 private、未发布到 npm"的仓库
+  // （真机 zhu1090093659/dsh-web）就是 registry 404 → 直接去 clone 那个 429 MB 的巨仓
+  // （ghproxy 上 git 协议 0 B/s，白等且注定失败），而真正能装的聚合子包 @linxin666/dsh-web-all
+  // （5.97 MB）连一次机会都没有。expand() 返回新增候选数；展开失败只记备注，绝不短路。
+  if (installedName === null && expanded === false && typeof expand === 'function') {
+    try {
+      const added = await expand()
+      if (added > 0) noteChannel(job, `registry 通道未命中，已自动展开仓库子包：新增 ${added} 个候选`)
+    } catch (error) {
+      noteChannel(job, `自动展开仓库子包失败（继续走后续通道）：${error instanceof Error ? error.message : String(error)}`)
+    }
+  }
+  if (installedName === null) {
+    // 通道 n+1c（批次 D-③，2026-09-27 加法）：**预设型子包的源码装配** —— 真机 dsh-routing-suite 的第三件
+    // dsh-router-standard 只存在于仓库源码里（npm 双 404、release 无资产），按包名的通道全试完才轮到它。
+    const preset = await tryPresetSourceChannel({ job, name, source: job.source, deps: sourceDeps })
+    if (preset.installed === true) { job.presetDone = true; job.presetNote = preset.note; installedName = name; lastChannel = 'preset-source' } else if (preset.error !== null && preset.error !== undefined) lastError = preset.error
+  }
+  if (installedName === null) {
+    // 通道 n+2：git 通道（GitHub 走加速代理+直连；Gitee 走对应平台）——守卫③
+    // 2026-09-27：实现搬进 domain/git-channel.js（独立预算 + 不得超过作业剩余预算；
+    // install-job.js 有 600 行硬顶，见 test-architecture-guard.mjs），此处只保留调用与错误归并。
+    const git = await tryGitChannel({ job, ch, name, profileDir, repoChannelAllowed, expanded, budget, deadline })
+    installedName = git.installedName
+    if (git.installedName !== null) lastChannel = 'git'
+    if (git.lastError !== null) lastError = git.lastError
+  }
+  // ③ 失败分类 → 只对网络类超时用更长超时定向重试**一次**；其余分类只写 job.diagnosis 提示（见 install-diagnose.js）
+  if (installedName === null && pnpmError !== null) {
+    // ★ 0.5.87：重试也必须带版本（旧代码传裸包名 ⇒ 重试装回 latest＝旧版，却报"重试成功"）
+    const retry = await retryPnpmOnce({ ch, profileDir, name, spec: installSpec, registries, pnpmError, job, baseTimeoutMs: 90000 })
+    installedName = retry.installedName ?? installedName
+    if (retry.installedName != null) lastChannel = 'pnpm-retry'
+    if (retry.error != null) lastError = retry.error
+  }
+  if (installedName !== null) {
+    // ★ 0.5.87 版本闸（真机 2026-10-18 的根因缺口）：通道说"装上了"不算数，
+    //   **落地版本 == 请求点名的版本**才算数。不相等 ⇒ 本次通道按"没装成"处理，并在 job.versionMiss
+    //   上留下如实结论；一个通道都不达标时由 install-job.js 如实失败
+    //   （**不清场**：清场会把用户正在用的旧版本删掉 —— 见那里的注释）。
+    //   没点名版本（`job.version` 为空）时 versionMissOf 恒 null ⇒ 既有流程一字不变。
+    const missText = gateVersion(job, profileDir, installedName, lastChannel)
+    if (missText === null) return { installedName, lastError, source }
+    installedName = null
+    lastError = new Error(missText)
+  }
+  // Windows 原子替换失败（陈旧目录 / _tmp_ 残留）是 EPERM 类错误的根因：
+  // 清理后用主源重试一次（把 AI 人工修复经验自动化，减少 AI 兜底触发）
+  if (/EPERM|EACCES|rename/i.test(String(lastError?.message ?? ''))) {
+    const cleaned = cleanupStalePackageDir(profileDir, name)
+    if (cleaned > 0) {
+      try {
+        // ★ 0.5.87：同上 —— 重试一次也要带版本，否则等于"用 latest 覆盖掉用户点名的那一版"
+        await ch.pnpmInstall(profileDir, installSpec, registries[0])
+        // 这条重试同样是"通道声称装上了"，一样要过版本闸（口径统一，不留第二条谎报路径）
+        const missText = gateVersion(job, profileDir, name, 'pnpm-retry')
+        if (missText === null) {
+          installedName = name
+          lastChannel = 'pnpm-retry'
+        } else {
+          lastError = new Error(missText)
+        }
+      } catch (error) {
+        lastError = error
+      }
+    }
+  }
+  return { installedName, lastError }
+}
+
+/** 版本闸的**唯一执行点**（通道声称"装上了"之后都要过一遍）：达标返回 null；
+ * 不达标把结构化结论记在 `job.versionMiss` 上、把同一句话记进通道备注，并返回那段文案。
+ * 预设源码装配（`job.presetDone`）刻意豁免：那条路本来就没有 node_modules 副本
+ * （见 preset-in-package.js —— 写补丁行/声明依赖会让补丁行指向无入口模块）。 */
+function gateVersion(job, profileDir, name, channel) {
+  const miss = job?.presetDone === true ? null : versionMissOf(profileDir, name, job, channel)
+  if (miss === null) return null
+  job.versionMiss = miss
+  const text = versionMissText(miss)
+  noteChannel(job, text)
+  return text
+}
+
+export { tryCandidateChannels, RELEASE_CHANNEL_BUDGET }

package/lib/server/domain/install-diagnose.js

@@ -204,17 +204,22 @@ function diagnosisText(diagnosis) {
   return `失败分类：${diagnosis.kind}${retried}${diagnosis.hint ? `；${diagnosis.hint}` : ''}${pkgs}`
 }
 
-/** ③ 的定向重试编排（**本文件唯一的非纯函数**，只被 install-job.js 调用）：
+/** ③ 的定向重试编排（**本文件唯一的非纯函数**，只被 install-channels.js 调用）：
  * pnpm 通道的失败若分类为 network-timeout（retry === 'longer-timeout'），用**更长超时**再试**一次**；
  * 其余分类只把 hint 写进 job.diagnosis，不重试。返回 { installedName, error, diagnosis }：
- * 重试成功给 installedName，失败给 error（调用方据此更新 lastError，语义与原来一致）。 */
-async function retryPnpmOnce({ ch, profileDir, name, registries, pnpmError, job, baseTimeoutMs = 90000 }) {
+ * 重试成功给 installedName，失败给 error（调用方据此更新 lastError，语义与原来一致）。
+ *
+ * ★ 0.5.87：新增可选 `spec` —— 用户**点名了版本**时，重试必须打同一个 `name@version` 规格。
+ * 旧实现只传 `name`：超时重试会退化成"装 latest"，而镜像的 latest 可能正是**旧版** ⇒ 重试"成功"
+ * 却把人往旧版上带（真机 2026-10-18 同一根因的另一条腿）。不传 spec 时行为与改动前逐字相同。 */
+async function retryPnpmOnce({ ch, profileDir, name, spec = null, registries, pnpmError, job, baseTimeoutMs = 90000 }) {
   const diagnosis = classifyInstallFailure(pnpmError?.message)
   job.diagnosis = diagnosis
   if (diagnosis.retry !== 'longer-timeout') return { installedName: null, error: null, diagnosis }
   const retryTimeoutMs = longerTimeoutFor(baseTimeoutMs)
+  const installSpec = typeof spec === 'string' && spec !== '' ? spec : name
   try {
-    await ch.pnpmInstall(profileDir, name, registries[0], retryTimeoutMs)
+    await ch.pnpmInstall(profileDir, installSpec, registries[0], retryTimeoutMs)
     const ok = { ...diagnosis, retried: true, retryTimeoutMs }
     job.diagnosis = ok
     return { installedName: name, error: null, diagnosis: ok }

package/lib/server/domain/install-job.js

@@ -4,15 +4,18 @@ import { aiRepair } from './ai-run.js'
 import { maybeAutoAdaptCompat } from './compat.js'
 import { getReposDir } from './repoland.js'
 import { aiConsentFailureText, cleanupAttemptedCandidates, pnpmRemove } from './install-cleanup.js'
-import { GIT_CHANNEL_BUDGET_MS, GIT_MIN_ATTEMPT_MS, GIT_SPEC_TIMEOUT_MS, gitChannelBudgetMs, noteChannel, formatBudgetMs, tryGitChannel } from './git-channel.js'
+import { GIT_CHANNEL_BUDGET_MS, GIT_MIN_ATTEMPT_MS, GIT_SPEC_TIMEOUT_MS, gitChannelBudgetMs, noteChannel, formatBudgetMs } from './git-channel.js'
 import { AI_CONSENT_TIMEOUT_MS, PNPM_INSTALL_TIMEOUT_MS, addBundleToManifest, backfillMissingDeps, curlManualInstall, detectBundleOnly, ensureBundlePatchIntegrity, githubReleaseInstall, pnpmInstall, raceInstallChannels, readGithubAuth, syncAggregateSubpackageVersions } from './install.js'
 import { readBundlePatchRefNames, readExtraBundleRows } from './bundle-refs.js' // re-export（0.5.46 搬入；0.5.26 已搬 readBundlePatchRefNames）
-import { classifyInstallFailure, retryPnpmOnce } from './install-diagnose.js'
+import { classifyInstallFailure } from './install-diagnose.js'
 import { jobLog } from './jobs.js'
 import { gatePrivateRoot } from './repo-size.js'
-import { tryPresetSourceChannel } from './preset-source.js'
+// 0.5.87 搬出：单个候选包的通道序列（含版本闸）进了 domain/install-channels.js —— 导出名与调用点一字未变。
+import { RELEASE_CHANNEL_BUDGET, tryCandidateChannels } from './install-channels.js'
+// 0.5.87 新增：点了名的版本没装上时，用**同一份**文案如实说清（见 domain/install-version.js）。
+import { versionMissOf, versionMissText } from './install-version.js'
 import { settlePresetOutcome } from './preset-in-package.js'
-import { alreadyInstalledTarget, verifyInstalledEntry } from './install-verify.js'
+import { verifyInstalledEntry } from './install-verify.js'
 import { applyNpmNameHint, composeProbeFailureText, expandSubpackageCandidates, fetchRepoPackage, fetchRepoPackageEx, fetchSubdirPlugins, fetchSubpackageNames, npmNameHintForRepo, packageProbeErrorText, subpackageCandidates } from './market.js'
 import { decideNoRootManifest } from './subdir-detect.js'
 import { runSubdirInstallJob } from './subdir-install.js'
@@ -25,15 +28,9 @@ import { orderedRegistries, readSources } from './sources.js'
 import { reconcileLockfile } from './selfupdate.js'
 import { fetchRepoMeta, runSuiteInstallJob, shouldRunSuiteInstall } from './suite.js'
 import { execFileAsync } from '../infra/exec.js'
-import { cleanupStalePackageDir, startTrashCleanup, trashScanRoots } from '../infra/fsx.js'
+import { startTrashCleanup, trashScanRoots } from '../infra/fsx.js'
 import { findPatchPath, packageNameOf, resolvePackageJson } from '../infra/paths.js'
 
-/** release 通道的候选预算（issue #3）：release 通道现在按包名反查发布仓库，**每个候选**至少一次
- * `releases?per_page=10` 调用（第一梯队仓库没命中还要多试几个候选仓库），而候选可能有十几个
- * （聚合仓库懒惰展开后最多 19 个）——不封顶会把 8 分钟的作业时间预算吃光。
- * 只给前 N 个候选扫 release；排在后面的候选仍照走 curl/并行竞速（按包名施工，代价小）。 */
-const RELEASE_CHANNEL_BUDGET = 3
-
 /** 安装通道实现集合（默认真实实现；`ctx.get('installChannels')` 可覆盖 —— 只走可选读取，不走属性访问）。
  * 为什么留这个缝：通道守卫（哪些通道在懒惰展开之后仍应被尝试）正是 issue #3 的核心语义，
  * 用真实通道无法离线断言"谁被调用了"——单测注入桩函数即可把语义钉死（见 test-suite-detect.mjs ⑯）。
@@ -51,169 +48,6 @@ function channelImpls(ports) {
   return override !== null && typeof override === 'object' ? { ...real, ...override } : real
 }
 
-/** 单个候选包的通道尝试序列（通道实现由 ch 注入；job.curlNote 等展示字段在此更新）。
- * 返回 { installedName, lastError }。三条守卫语义及理由（issue #3 要求逐条写清）：
- *
- * ① 并行竞速（pnpm‖curl）与 curl 手动通道：**始终可试，不判 expanded**。
- *    这两条都按 name 走 registry，与 job.repo、根包是否 private 毫无关系；懒惰展开只是让候选变多，
- *    没有任何理由让展开后的候选失去这两条通道。旧代码的 `!expanded` 会让展开后的所有候选
- *    直接跳到最后 → 子包只能靠 AI 兜底，正是 issue 报的"四分钟才装上"。
- *
- * ② GitHub release 通道：**不判 expanded，也不判 subpackageMode**（只受"是否反查到候选仓库"限制）。
- *    issue #3 之后它会按包名反查真实发布仓库——子包的产物常常发布在**另一个仓库**的 release 里
- *    （实测：dsh-routing-suite 的私根包 @dsh-external/dsh-super-injector，产物在 dsh-super-injector
- *    仓库的 release 资产里）。按 job.repo 判断"该不该试 release"因此不再成立，代价用预算封顶。
- *
- * ③ git 通道：**保留 repoChannelAllowed**（它只 clone `job.repo`，候选是子包时 clone 根仓库装不出子包，
- *    属无意义尝试）**并保留 !expanded**（同一作业里对同一个 job.repo 反复 clone 纯属浪费时间，
- *    级联顺序也不该被破坏）。 */
-async function tryCandidateChannels({ job, ch, name, profileDir, registries, repoChannelAllowed, budget, baseUrl = null, expanded = false, deadline = null, expand = null, sourceDeps = {} }) {
-  const installSpec = (typeof job?.version === 'string' && job.version !== '' && name === job.packageName)
-    ? `${name}@${job.version}`
-    : name // ★ 0.5.81：规格与身份分离 —— name 仍是身份；点名包+指定版本时规格才带 @version
-  // 声明行的目标 profile（0.5.28）：框架 0.1.7-rc.x 起预设不再靠目录发现，装配后必须往这个 profile 的补丁写 `preset-<id>` 行，否则用户看不见（见 preset-declare.js 顶部）。
-  const patchPath = join(profileDir, 'cordis.patch.yml')
-  let installedName = null
-  let lastError = null
-  // 0.5.41 接线：这次成功装上的**来源**（`{ spec, origin, kind }`）—— 取样通道（curl tarball / GitHub
-  // release 资产）知道真实下载地址，收口那一步据此走 `pnpm add <spec>` 真装；registry/git 通道都不填。
-  let source = null
-  // 加法优化：包已在 node_modules 且名字匹配时，不再重复安装/触发 EPERM，直接进入启用流程
-  // （2026-09-27 搬进 install-verify.js#alreadyInstalledTarget：本文件贴着 600 行架构硬顶）
-  const already = alreadyInstalledTarget(profileDir, name, job)
-  if (already !== null) {
-    job.curlNote = already
-    return { installedName: name, lastError: null }
-  }
-  // 通道 0：并行竞速（pnpm 与 curl 同时启动，先成功者生效；失败方 abort，不影响后续串行通道）——守卫①
-  {
-    try {
-      const raced = await ch.raceInstallChannels(profileDir, installSpec, registries)
-      if (raced) {
-        installedName = name
-        if (raced.channel === 'curl') {
-          const racedInfo = raced.info
-          try {
-            const stillMissing = await ch.backfillMissingDeps(profileDir, racedInfo.missingDeps, registries)
-            job.curlNote = `已通过并行 curl 通道安装 v${racedInfo.version}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
-          } catch (backfillError) {
-            // 包已装好：补齐依赖失败只影响提示，绝不能因此把这次安装判成失败
-            job.curlNote = `已通过并行 curl 通道安装 v${racedInfo.version}（捆绑依赖补齐失败：${backfillError instanceof Error ? backfillError.message : String(backfillError)}；网络恢复后建议重新安装）`
-            noteChannel(job, `并行 curl 通道的依赖补齐失败（安装本身已成功）：${backfillError instanceof Error ? backfillError.message : String(backfillError)}`)
-          }
-          if (racedInfo.boxNote) job.curlNote += `（盒子验证：${racedInfo.boxNote}）`
-          job.integrity = racedInfo.integrity ?? null // ④ 下载物摘要校验结果（加法；见 install-verify.js）
-          // 0.5.41：curl tarball 是**取样通道**（物是解压铺进去的，不是包管理器装的）——
-          // 真实来源规格（registry tarball URL）带回收口。registry 可解析时收口仍写版本号（不倒退）。
-          source = { spec: racedInfo.sourceSpec ?? null, origin: 'sampled', kind: 'registry-tarball' }
-        }
-      }
-    } catch (raceError) {
-      lastError = raceError
-      noteChannel(job, `并行竞速通道异常（已继续尝试后续串行通道）：${raceError instanceof Error ? raceError.message : String(raceError)}`)
-    }
-  }
-  // 通道 1..n：配置的软件源依次尝试（每源 90 秒封顶）
-  let pnpmError = null
-  for (let ri = 0; ri < registries.length && installedName === null; ri += 1) {
-    try {
-      await ch.pnpmInstall(profileDir, installSpec, registries[ri])
-      installedName = name
-      break
-    } catch (error) { lastError = error; pnpmError = error }
-  }
-  if (installedName === null) {
-    // 通道 n+1：curl 手动安装（node 网络黑洞时 pnpm 下载卡死、curl 可用）——下载 registry tarball
-    // 解压到 node_modules，零依赖包可完整安装。守卫①：不判 expanded。
-    try {
-      const info = await ch.curlManualInstall(profileDir, name, registries)
-      installedName = name
-      const stillMissing = await ch.backfillMissingDeps(profileDir, info.missingDeps, registries)
-      job.curlNote = `已通过 curl 通道安装 v${info.version}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
-      if (info.boxNote) job.curlNote += `（盒子验证：${info.boxNote}）`
-      job.integrity = info.integrity ?? null // ④ 下载物摘要校验结果（加法；见 install-verify.js）
-      // 0.5.41：同上（取样通道 ⇒ 带真实 tarball URL 回去真装）
-      source = { spec: info.sourceSpec ?? null, origin: 'sampled', kind: 'registry-tarball' }
-    } catch (curlError) {
-      lastError = curlError
-    }
-  }
-  if (installedName === null) {
-    // 通道 n+1b：GitHub release 下载安装（npm 上不存在的包，例如只发 GitHub release 的社区插件）——
-    // 按包名反查发布仓库 → 遍历最近 ≤10 条 release 的 assets 按包名挑产物 → 盒子验证 → 覆盖。
-    // 守卫②：不判 expanded / subpackageMode（理由见本函数顶部注释）；预算封顶避免吃光作业时间。
-    if (budget.release > 0) {
-      budget.release -= 1
-      try {
-        const info = await ch.githubReleaseInstall(profileDir, job.repo ?? null, name, { baseUrl })
-        installedName = name
-        const stillMissing = await ch.backfillMissingDeps(profileDir, info.missingDeps, registries)
-        // 如实记录来源：哪个仓库的哪条 release 的哪个资产（issue #3 明确要求，面板直接展示这句话）
-        const from = typeof info.sourceNote === 'string' && info.sourceNote !== '' ? `（来源：${info.sourceNote}）` : ''
-        job.curlNote = `已通过 GitHub release 通道安装 v${info.version ?? '?'}${from}${stillMissing.length > 0 ? `（依赖仍未补齐：${stillMissing.join('、')}，网络恢复后建议重新安装）` : '（捆绑依赖已补齐）'}`
-        if (info.boxNote) job.curlNote += `（盒子验证：${info.boxNote}）`
-        // 0.5.41 接线（**本轮的核心**）：GitHub release 资产（tarball URL）是取样通道 —— 把真实下载
-        // 地址带回给收口，由 `pnpm add <url>` 真装（依赖与 peer 交给包管理器，与官方 dsh plugin add 同效）。
-        source = { spec: info.sourceSpec ?? null, origin: 'sampled', kind: 'github-release' }
-      } catch (ghError) {
-        lastError = ghError
-      }
-    } else {
-      // 预算用尽（批次 A-⑤）：原因**总是**记在 job 上供面板显示（旧代码只在 lastError === null 时写，用户看不出）
-      noteChannel(job, `release 通道因预算跳过（本作业只对前 ${RELEASE_CHANNEL_BUDGET} 个候选做按包名反查+release 扫描）`)
-      if (lastError === null) lastError = new Error(`release 通道候选预算已用尽（本作业只对前 ${RELEASE_CHANNEL_BUDGET} 个候选做按包名反查+release 扫描）`)
-    }
-  }
-  // 懒惰展开（批次 A-③，2026-09-27 搬家）：**registry 类通道全部失败之后、git 通道之前**。
-  // 旧顺序是"所有通道（含 git）都失败 → 才展开子包"：对"根包 private、未发布到 npm"的仓库
-  // （真机 zhu1090093659/dsh-web）就是 registry 404 → 直接去 clone 那个 429 MB 的巨仓
-  // （ghproxy 上 git 协议 0 B/s，白等且注定失败），而真正能装的聚合子包 @linxin666/dsh-web-all
-  // （5.97 MB）连一次机会都没有。expand() 返回新增候选数；展开失败只记备注，绝不短路。
-  if (installedName === null && expanded === false && typeof expand === 'function') {
-    try {
-      const added = await expand()
-      if (added > 0) noteChannel(job, `registry 通道未命中，已自动展开仓库子包：新增 ${added} 个候选`)
-    } catch (error) {
-      noteChannel(job, `自动展开仓库子包失败（继续走后续通道）：${error instanceof Error ? error.message : String(error)}`)
-    }
-  }
-  if (installedName === null) {
-    // 通道 n+1c（批次 D-③，2026-09-27 加法）：**预设型子包的源码装配** —— 真机 dsh-routing-suite 的第三件
-    // dsh-router-standard 只存在于仓库源码里（npm 双 404、release 无资产），按包名的通道全试完才轮到它。
-    const preset = await tryPresetSourceChannel({ job, name, source: job.source, deps: sourceDeps })
-    if (preset.installed === true) { job.presetDone = true; job.presetNote = preset.note; installedName = name } else if (preset.error !== null && preset.error !== undefined) lastError = preset.error
-  }
-  if (installedName === null) {
-    // 通道 n+2：git 通道（GitHub 走加速代理+直连；Gitee 走对应平台）——守卫③
-    // 2026-09-27：实现搬进 domain/git-channel.js（独立预算 + 不得超过作业剩余预算；
-    // install-job.js 有 600 行硬顶，见 test-architecture-guard.mjs），此处只保留调用与错误归并。
-    const git = await tryGitChannel({ job, ch, name, profileDir, repoChannelAllowed, expanded, budget, deadline })
-    installedName = git.installedName
-    if (git.lastError !== null) lastError = git.lastError
-  }
-  // ③ 失败分类 → 只对网络类超时用更长超时定向重试**一次**；其余分类只写 job.diagnosis 提示（见 install-diagnose.js）
-  if (installedName === null && pnpmError !== null) {
-    const retry = await retryPnpmOnce({ ch, profileDir, name, registries, pnpmError, job, baseTimeoutMs: PNPM_INSTALL_TIMEOUT_MS })
-    installedName = retry.installedName ?? installedName
-    if (retry.error != null) lastError = retry.error
-  }
-  if (installedName !== null) return { installedName, lastError, source }
-  // Windows 原子替换失败（陈旧目录 / _tmp_ 残留）是 EPERM 类错误的根因：
-  // 清理后用主源重试一次（把 AI 人工修复经验自动化，减少 AI 兜底触发）
-  if (/EPERM|EACCES|rename/i.test(String(lastError?.message ?? ''))) {
-    const cleaned = cleanupStalePackageDir(profileDir, name)
-    if (cleaned > 0) {
-      try {
-        await ch.pnpmInstall(profileDir, name, registries[0])
-        installedName = name
-      } catch (error) {
-        lastError = error
-      }
-    }
-  }
-  return { installedName, lastError }
-}
-
 async function runInstallJob(job, ports, deps = {}) {
   // 测试注入缝（2026-09-27，沿用 channelImpls 风格）：市场探测与两个时间预算可替换，只为离线断言
   // 「候选顺序、展开时机、预算边界」；生产调用方不传第三个参数，默认值与旧行为一致。
@@ -449,6 +283,28 @@ async function runInstallJob(job, ports, deps = {}) {
     // 预设收口（D-③ 源码装配成功 / D-⑥ 落地物里带预设）：能按预设收口就直接 return —— 见 preset-in-package.js
     // （这两条路都**没有 node_modules 插件**，写补丁行/声明依赖会让补丁行指向无入口模块 → 启动崩溃）。
     if (await settlePresetOutcome({ job, installedName, profileDir, repo: job.repo, deps: sourceDeps }) === true) return
+    // ★ 0.5.87（真机 2026-10-18 的根因收口）：**点名了版本却没装上**⇒ 如实失败，且**不清场**。
+    // 为什么不清场：下面的失败路径会调 cleanupAttemptedCandidates，它会 rmSync 掉
+    // `node_modules/<包名>` —— 而那一刻盘上放着的是用户**现在还能用**的旧版本（本例 0.1.6-alpha.1）。
+    // 把它删掉才是真正的损失；清单 / lock / 挂载行一律不动（什么都没写成，也就谈不上"改坏清单"）。
+    // 为什么不进 AI 兜底：这不是"哪一步坏了"，而是"目标那一版现在拿不到"（多为镜像 dist-tags.latest
+    // 陈旧 / 版本刚发布镜像还没同步）——等 10 分钟授权再让模型乱试，只会把旧版本也搅乱。
+    if (installedName === null && job.versionMiss != null) {
+      job.status = 'failed'
+      job.stage = 'version-check'
+      job.error = versionMissText(job.versionMiss)
+      job.diagnosis = {
+        kind: 'version-not-reached',
+        hint: '目标版本没有落到磁盘上：多半是镜像的 dist-tags.latest 仍指向旧版，或该版本尚未同步到镜像。'
+          + '盘上现有的那一版已原样保留（未清理、未改清单）；换一个 registry 或稍后再试即可。',
+        retry: 'later',
+        packages: [job.versionMiss.packageName],
+      }
+      job.lastError = job.error
+      // 盘上现在那一版（如实下发；面板不必再自己去读）
+      job.installedVersion = job.versionMiss.actual
+      return
+    }
     if (installedName === null) {
       if (job.diagnosis == null) job.diagnosis = classifyInstallFailure(lastError?.message) // 分类提示兜底（加法）
       // 本地 AI 兜底会调用模型 API、产生费用：挂起等待用户明确同意后再执行
@@ -467,6 +323,20 @@ async function runInstallJob(job, ports, deps = {}) {
       job.aiWait = null
       if (decision.approved === true) {
         await aiRepair(job, ports, profileDir, candidates, lastError?.message ?? null)
+        // ★ 0.5.87：AI 兜底也必须过版本闸 —— 它只校验"候选包能解析/进了 bundle 层"（见 ai-run.js 顶部
+        // 那段），**不认版本**。带版本的更新走完 AI 后如果盘上仍不是目标版本，就是同一种谎报：
+        // 改成如实失败（保留它在盘上装出来的那一版，不清场）。
+        if (job.status === 'done' && job.versionMiss == null) {
+          const miss = versionMissOf(profileDir, String(job.packageName ?? ''), job, 'ai-repair')
+          if (miss !== null) {
+            job.versionMiss = miss
+            job.status = 'failed'
+            job.stage = 'version-check'
+            job.error = versionMissText(miss)
+            job.lastError = job.error
+            job.installedVersion = miss.actual
+          }
+        }
       } else {
         job.status = 'failed'
         // 失败/取消时清场并如实汇报（见 cleanupAttemptedCandidates 注释）：
@@ -490,6 +360,10 @@ async function runInstallJob(job, ports, deps = {}) {
     // ④ 装后校验（2026-09-26 加法，见 install-verify.js）：只**提示**、绝不改成功判定 ——
     // 入口文件缺失 / 补丁行指向别的包 / bundle 引用缺失 / 镜像未同步，都会写进 job.entryCheck 供面板显示
     job.entryCheck = verifyInstalledEntry(profileDir, installedName)
+    // ★ 0.5.87：把**真正落到磁盘的版本**单独记在作业上（`job.version` 是请求点名的目标版本，两者
+    // 必须分开：真机 2026-10-18 就是"version=目标版本、盘上还是旧版"却报成功）。取值复用上面那份
+    // 只读校验结果，不再读第二遍盘。
+    job.installedVersion = job.entryCheck?.version ?? null
     // 聚合包子包版本对齐（确保更新后所有子包也到新版声明版本）
     let syncedNames = []
     try {
@@ -596,4 +470,4 @@ async function runInstallJob(job, ports, deps = {}) {
  * 这边腾出 600 行硬顶）；这里保留同名 re-export —— **对外导出名与调用点一个字都没变**。 */
 export { readExtraBundleRows }
 
-export { runInstallJob, pnpmRemove, cleanupAttemptedCandidates, aiConsentFailureText, tryCandidateChannels, channelImpls, RELEASE_CHANNEL_BUDGET, GIT_CHANNEL_BUDGET_MS, GIT_SPEC_TIMEOUT_MS, GIT_MIN_ATTEMPT_MS, gitChannelBudgetMs, noteChannel, formatBudgetMs }
+export { runInstallJob, pnpmRemove, cleanupAttemptedCandidates, aiConsentFailureText, tryCandidateChannels, channelImpls, RELEASE_CHANNEL_BUDGET, GIT_CHANNEL_BUDGET_MS, GIT_SPEC_TIMEOUT_MS, GIT_MIN_ATTEMPT_MS, gitChannelBudgetMs, noteChannel, formatBudgetMs }

package/lib/server/domain/install-jobs-store.js

@@ -31,6 +31,9 @@ function pickJobFields(job) {
     status: typeof job.status === 'string' ? job.status : null,
     stage: typeof job.stage === 'string' ? job.stage : null,
     version: typeof job.version === 'string' ? job.version : null,
+    // ★ 0.5.87：目标版本（上一行）与**真正落盘的版本**是两件事 —— 真机 2026-10-18 就是
+    // "version=0.2.1-rc.2、盘上还是 0.1.6-alpha.1"却记成 done，事后没人能从这条记录里看出没落地。
+    installedVersion: typeof job.installedVersion === 'string' ? job.installedVersion : null,
     error: typeof job.error === 'string' ? job.error.slice(0, 500) : null,
     source: typeof job.source === 'string' ? job.source : null,
     startedAt: Number.isFinite(Number(job.startedAt)) ? Number(job.startedAt) : null,

package/lib/server/domain/install-version.js

@@ -0,0 +1,65 @@
+// L1 · domain —— install-version.js（「更新到的到底是哪一版」的**唯一判据**；2026-10-18 新增，纯加法）
+//
+// 真机缺陷（2026-10-18，用户实测，父任务已确认现场）：
+//   点「更新并适配」`@deepseek-ai/dsh-experimental-auto-review`（0.1.6-alpha.1 → 0.2.1-rc.2），
+//   请求体显式带 `version: "0.2.1-rc.2"`，作业跑完**报 done、version=0.2.1-rc.2、error=null**，
+//   而磁盘与清单**都还是 0.1.6-alpha.1**。
+//   根因不是"版本号没传下去"，而是**没人核对最终落地的是不是目标版本**：
+//   该包在 registry 上的 `dist-tags.latest` 恰好就是旧版 0.1.6-alpha.1（rc 版从不打 latest），
+//   于是"按最新版下载"的通道（curl）把**旧版**铺回 node_modules，凡是"按名报成功"的判据都看不出异常。
+//
+// 本模块只做一件此前没人做的事：**把请求里点名的版本与磁盘上真实的版本比一比**。
+// 为什么不塞进 install-verify.js：那个模块的契约是"只提示、绝不改成功判定"（见它的顶部硬规矩①），
+// 而这里的结论**必须能否决一次成功**——两者语义相反，放一个文件里迟早会被下一个人混用。
+//
+// 三条硬规矩：
+//   ① 只读：只读 node_modules/<包名>/package.json 的 version 字段，绝不写盘、绝不改动清单；
+//   ② 只对"点名了版本"的请求生效（`job.version` 为空 = 照旧按 latest，判据恒 null，行为一字不变）；
+//   ③ 绝不猜：读不到版本时 actual 记 null，**不**据此报"不是目标版本"以外的任何结论（见 versionMissText）。
+import { readInstalledVersion } from './selfupdate.js'
+
+/** 这次作业**点名**要装的那个版本（没有点名 / 不是点名的那个包 ⇒ null）。
+ *
+ * 为什么必须逐字比包名：`job.version` 是"目标包的目标版本"，而候选循环里的 `name` 可能是自动展开出的
+ * 任意子包（聚合仓库）。给子包套用父候选的版本号＝给一个根本没发布这个版本号的包下精确规格，
+ * 会把"本来能装"变成"404 装不上"（与 domain/install-channels.js 顶部 ① 条同一条理由）。
+ * 版本号只对**用户点名的那一件**成立 —— 传进来的 name 必须与 job.packageName 逐字相等。 */
+function targetVersionOf(job, name) {
+  const version = typeof job?.version === 'string' ? job.version.trim() : ''
+  if (version === '' || typeof name !== 'string' || name === '') return null
+  return name === job.packageName ? version : null
+}
+
+/**
+ * 磁盘上真实的版本 vs 目标版本（**只读**，永不抛）。
+ * 返回 null 表示"无需/无法判定"：
+ *   · 没点名版本（按 latest 装的请求）—— 既有流程一字不动；
+ *   · 磁盘上就是目标版本 —— 通道这次真的把版本装对了。
+ * 返回 `{ kind:'version-miss', packageName, expected, actual, channel }` 表示**没装上目标版本**。
+ * `channel` 由调用方填（哪个通道声称装上了），只用于如实告知，不参与判定。
+ */
+function versionMissOf(profileDir, name, job, channel = null) {
+  const expected = targetVersionOf(job, name)
+  if (expected === null) return null
+  const actual = readInstalledVersion(profileDir, name)
+  if (actual === expected) return null
+  return {
+    kind: 'version-miss',
+    packageName: name,
+    expected,
+    actual: typeof actual === 'string' && actual !== '' ? actual : null,
+    channel: typeof channel === 'string' && channel !== '' ? channel : null,
+  }
+}
+
+/** 一句话如实说清"哪一版没装上、盘上现在是什么"（作业 error / 通道备注共用一份文案）。 */
+function versionMissText(miss) {
+  if (miss === null || typeof miss !== 'object') return null
+  const actual = miss.actual === null || miss.actual === undefined ? '（磁盘上读不到版本）' : String(miss.actual)
+  const via = miss.channel === null || miss.channel === undefined ? '' : `${miss.channel} 通道`
+  return `目标版本 ${miss.expected} 没有装上：${via === '' ? '本次' : via}落地的是 ${actual}`
+    + '（多半是镜像的 dist-tags.latest 还指着旧版，按"最新版"下载就会拿到它）。'
+    + '已保留磁盘上现有的这一版、清单未改动；可换源后重试，或稍等镜像同步。'
+}
+
+export { targetVersionOf, versionMissOf, versionMissText }