@oj-module/cli 0.2.66 → 0.2.67

package/templates/src/app/api/_platform/_lifecycle/types.ts

@@ -23,6 +23,22 @@ export interface InstallContext {
 	hostVersions?: Record<string, string>
 	/** 宿主平台编排面 API 版本（C2-11 peerPlatform 比对真源；镜像 GET /api/_platform/market/meta 的 apiVersion，即 market/api.ts 的 API_VERSION 常量，与 _platform/manifest.yaml 版本手工同步） */
 	hostApiVersion?: string
+	/**
+	 * 宿主能力集（P0 §3.9：ojInfo().capabilities，装配期冻结、任何模块可读）。由调用方从 ojInfo 注入；
+	 * 与 manifest.requiresCapabilities 配对做写锁前门禁。缺省 undefined = 宿主未上报，
+	 * 此时若模板声明了 requiresCapabilities 则 fail-closed（视为能力缺失）。
+	 */
+	capabilities?: string[]
+	/**
+	 * 站点 config.yaml 已存在的 auth.anonymous_paths（P0 §3.2 质辩1 / E8：装前残留匿名检测真源）。
+	 * 由调用方在 preflight 前读 config 注入（preflight 保持只读 ctx 的纯校验段纪律）；缺省 [] 视为无残留。
+	 */
+	existingAnonymousPaths?: string[]
+	/**
+	 * 本次热更返回的待重启段（reloading 段捕获自 reloadAndAssert；非空 = 部分生效、需宿主重启后完全生效）。
+	 * installer 终态判定据其标 partial + restartRequired（无守护形态，P0 §3.6 / 验收 15）。瞬态，不落盘。
+	 */
+	restartPending?: string[]
 	/** 目标站点数据库句柄（本段不消费；P1-8 register 段起使用） */
 	db?: unknown
 	/**
@@ -31,6 +47,12 @@ export interface InstallContext {
 	 * 跨方案碰撞仍由 apiSeg/route_prefix 首段占用兜住；缺省 false 保持 P1-5「同名拒装」钉面。
 	 */
 	reinstall?: boolean
+	/**
+	 * 强制热更（oj 0.1.123+ reloadConfig(force)）：绕过「unchanged=已是最新装配」幂等短路，
+	 * 强制触发一次重装配——运维显式重装配用，不依赖锁 diff / 文档 sha 变化。缺省 false。
+	 * 仅供 install 路径消费（reloading 段透传给 reload 面）；uninstall 恒严格（忽略 force）。
+	 */
+	force?: boolean
 }
 
 /** 阶段结果（全 stage 通用结构形状；stage 取值为各 step 自己的字面量，编排层以 StageDef.name 为准） */
@@ -87,8 +109,8 @@ export interface TaskRecord {
 	/** 0-100 整体进度（按 STAGES 表完成数折算） */
 	progress: number
 	message: string
-	/** 各 stage 明细日志（UI 详情日志区数据源） */
-	stages: { stage: InstallStage, ok: boolean, message: string }[]
+	/** 各 stage 明细日志（UI 详情日志区数据源；补偿子步形如 `compensate.<step>`，故 stage 为 string 而非窄类型 InstallStage） */
+	stages: { stage: string, ok: boolean, message: string }[]
 	/** 失败/partial 终态：reason + retryable + 指引文案 key（契约附录 A） */
 	error?: { reason: string, retryable: boolean, hintKey?: string }
 	/** needs_trust 终态：待确认的发布方 key（POST /market/trust {task_id} 消费；指纹供人确认） */
@@ -99,4 +121,6 @@ export interface TaskRecord {
 	appliedSeq?: number
 	/** 取消安装标记（U5，P3-8）：用户中止触发的终态（status 仍取 failed/partial——D11 共用失败终态，此标记供 UI 区分「取消」与「失败」） */
 	cancelled?: boolean
+	/** 无守护形态部分生效标记（P0 §3.6 / 验收 15）：热更返回待重启段非空、且无 supervisor 自动换进程 → 装完仍须宿主重启才完全生效。UI 据其展示「重启提示」而非「成功」 */
+	restartRequired?: boolean
 }

package/templates/src/app/api/_platform/_lifecycle/uninstall.ts

@@ -9,12 +9,14 @@
 
 import type { OpEntry } from "../_shared/service/infra/audit";
 import type { StateStore } from "./state";
+import type { ReloadFace, ReloadResult } from "./steps/reload";
 import { uninstallSolution } from "../_shared/service/domain/solution-perms";
 import { invalidateAllUsers } from "../_shared/service/infra/access";
 import { auditOp } from "../_shared/service/infra/audit";
 import { atomicWriteText, fsFace } from "./atomic";
 import { recordHistory } from "./history";
 import { readLock, writeLock } from "./lock";
+import { assertReloadApplied } from "./steps/reload";
 
 // db 为 oj isolate 注入全局（同模板 service 层惯例，installer.ts 同款；测试由夹具装 globalThis.db）
 declare const db: {
@@ -65,6 +67,21 @@ export function moduleTablePrefix(name: string): string {
 	return `${name.replace(/-/g, "_")}_`;
 }
 
+/**
+ * 卸载期判断方案是否含 api 模块（决定 oj 是否产出 -name@ver 装配条目）：读版本目录内 C2 manifest.yaml
+ * 的顶层 `api:` 段。reload 断言时版本目录仍在（删除在 reload 之后），故可读。读失败/无 api 段 → false
+ * （web-only 方案 oj 不产模块条目，符号不强制，仅校验 reload 已探测锁变更）。
+ */
+async function uninstallHasApi(name: string, version: string, sharedRoot: string): Promise<boolean> {
+	try {
+		const text = new TextDecoder().decode(await fsFace().readFile(`${sharedRoot}/${name}-${version}/manifest.yaml`));
+		return /^api\s*:/m.test(text);
+	}
+	catch {
+		return false;
+	}
+}
+
 /** 收集需保留的业务表（Q4）：声明 + 前缀兜底；仅返回实际存在的表名 */
 export async function collectRetainedTables(name: string, manifestPath: string): Promise<string[]> {
 	const candidates = new Set<string>();
@@ -91,6 +108,18 @@ export async function collectRetainedTables(name: string, manifestPath: string):
 	return [...candidates].filter(t => existing.has(t));
 }
 
+/**
+ * 回退某方案的 DB 注册（P0 补偿清单 §3.5 复用）：单一事务内删 sys_solution_route + 级联清
+ * 角色/权限（uninstallSolution 双维度级联）。与 runUninstall 的 DB 步同原语，避免两套 DB 回滚逻辑。
+ * 行已不存在 = no-op（幂等安全）。
+ */
+export async function revertRegistrations(name: string): Promise<void> {
+	await db.tx(async (t) => {
+		await t.table("sys_solution_route").where({ field: "module", op: "eq", value: name }).delete().run();
+		await uninstallSolution(name, t);
+	});
+}
+
 /** 卸载影响面预检（GET uninstall-impact 消费面）：返回前端二次确认所需的影响计数 */
 export interface UninstallImpact {
 	name: string
@@ -111,6 +140,8 @@ export interface UninstallInput {
 	now?: number
 	/** 审计出口（缺省 auditOp；测试注入记录器） */
 	audit?: (entry: OpEntry) => void
+	/** 热更面（P0 §3.4 第5步：卸载摘锁后 reload 触达装配以真正摘除模块；缺省不 reload——依赖 US-1 上游 manifests 摘要驱动才实际掉挂载）。reload 失败 → 锁写回 + 再 reload 回旧代（模块仍挂载、可重试） */
+	reload?: ReloadFace
 }
 
 export interface UninstallResult {
@@ -184,16 +215,73 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 		return { ok: false, message: `卸载失败：权限级联清理失败（${String(e)}）——事务已回滚，锁/路由/角色/权限未改动（fail-closed）` };
 	}
 
-	// ② sidecar 删条目（patch 值 null = 删除该方案键）
+	// ① 锁摘除（先失可达性：模块停止装配；在此之前任一失败锁均保留 = fail-closed）
+	try {
+		await writeLock(input.lockPath, remaining);
+	}
+	catch (e) {
+		audit(false, `锁写失败：${String(e)}`);
+		return { ok: false, message: `卸载失败：锁写失败（${String(e)}）——DB 级联已回滚、sidecar/modules 未动（fail-closed）` };
+	}
+
+	// ② reload 触达装配以真正摘除模块（P0 §3.4 第5步：先失可达性）；缺省无 reload 面则跳过（依赖
+	// US-1 上游 manifests 摘要驱动才实际掉挂载）。reload 失败 / 返回 unchanged / 未真正摘除模块 →
+	// 锁写回 + 再 reload 回旧代——模块仍挂载，且此时 sidecar/modules.json/版本目录均未删（下面才删），
+	// 故锁写回即**一致回滚**，不残留半卸状态，返回失败可重试（fail-closed）。
+	if (input.reload !== undefined) {
+		let r: ReloadResult;
+		try {
+			r = await input.reload.reloadConfig();
+		}
+		catch (e) {
+			try {
+				await writeLock(input.lockPath, lock);
+			}
+			catch {
+				// 锁写回失败不掩盖 reload 失败终态
+			}
+			try {
+				await input.reload.reloadConfig();
+			}
+			catch {
+				// 回滚 reload 也失败：模块仍按原锁挂载，下次卸载重试
+			}
+			audit(false, `reload 失败，已回写锁并恢复旧代：${String(e)}`);
+			return { ok: false, message: `卸载失败：reload 失败（${String(e)}）——已回写锁恢复旧代（模块仍挂载、元数据未删），请稍后重试` };
+		}
+		// 卸载空转回归守卫（§2.7）：reload 须真实摘除模块——unchanged 即「锁摘了但装配没掉挂载」，
+		// 正是本 PR 修复的回归；api 模块还须 applied 含 -name@ver（web-only 无 api 段，oj 不产模块条目，仅校验 unchanged）。
+		const hasApi = await uninstallHasApi(name, version, input.sharedRoot);
+		const a = assertReloadApplied(r, { hasApi, kind: "uninstall", name, version });
+		if (!a.ok) {
+			try {
+				await writeLock(input.lockPath, lock);
+			}
+			catch {
+				// 锁写回失败不掩盖 reload 断言失败终态
+			}
+			try {
+				await input.reload.reloadConfig();
+			}
+			catch {
+				// 回滚 reload 也失败：模块仍按原锁挂载，下次卸载重试
+			}
+			audit(false, `reload 未真正摘除模块，已回写锁并恢复旧代：${a.message}`);
+			return { ok: false, message: `卸载失败：${a.message}——已回写锁恢复旧代（模块仍挂载、元数据未删），请稍后重试` };
+		}
+	}
+
+	// ③ 再失文件前先清元数据：sidecar 删条目 / modules.json 删条目（reload 成功才走到这里，回滚已不可达）
+	// sidecar 删条目（patch 值 null = 删除该方案键）
 	try {
 		await input.state.write({ solutions: { [name]: null } } as unknown as Parameters<typeof input.state.write>[0]);
 	}
 	catch (e) {
 		audit(false, `sidecar 写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：sidecar 写失败（${String(e)}）——DB 级联已提交，锁未摘（fail-closed）` };
+		return { ok: false, message: `卸载失败：sidecar 写失败（${String(e)}）——锁已摘、reload 已生效，模块已停装配；sidecar 残留待重装自愈` };
 	}
 
-	// ③ modules.json 删条目（条目不存在 = api-only 方案，天然一致）
+	// modules.json 删条目（条目不存在 = api-only 方案，天然一致）
 	try {
 		const list = JSON.parse(new TextDecoder().decode(await f.readFile(input.modulesJsonPath))) as unknown[];
 		if (!Array.isArray(list)) {
@@ -204,19 +292,10 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 	}
 	catch (e) {
 		audit(false, `modules.json 写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：modules.json 写失败（${String(e)}）——DB 级联已提交、sidecar 已删，锁未摘（fail-closed）` };
-	}
-
-	// ① 锁摘除（最后执行：模块停止装配；在此之前任一失败锁均保留 = fail-closed）
-	try {
-		await writeLock(input.lockPath, remaining);
-	}
-	catch (e) {
-		audit(false, `锁写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：锁写失败（${String(e)}）——DB 级联/sidecar/modules 已更新，锁残留` };
+		return { ok: false, message: `卸载失败：modules.json 写失败（${String(e)}）——锁已摘、reload 已生效、sidecar 已删，modules.json 残留待重装自愈` };
 	}
 
-	// 版本目录移除（缺失不报错，幂等）
+	// ④ 版本目录移除（缺失不报错，幂等）；再失文件（P0 §3.4：先失可达性再失文件）
 	// —— 但 Q4 业务表清单须在版本目录移除前从 manifest 取得（manifest 在版本目录内）——
 	let retained: string[] = [];
 	try {

package/templates/src/app/api/_platform/_shared/service/domain/settings.ts

@@ -68,11 +68,15 @@ export async function updateSetting(actorId: number, key: string, value: string)
 	await recordOp({ action: "setting.update", module: String(row.module), target: key });
 }
 
-/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。 */
-export async function listLoginMethods(): Promise<{ methods: string[] }> {
-	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled"] }).all() as Array<{ key: string, value: string | null }>;
+/**
+ * C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。
+ * 同时回传站点标题（framework.site_title，非 secret），供登录页匿名设置浏览器标签。
+ */
+export async function listLoginMethods(): Promise<{ methods: string[], site_title: string }> {
+	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled", "framework.site_title"] }).all() as Array<{ key: string, value: string | null }>;
 	const enabled = (k: string) => rows.find(r => r.key === k)?.value === "1";
+	const siteTitle = rows.find(r => r.key === "framework.site_title")?.value ?? "";
 	// wecom 的凭据在部署常量（config vars），这里只报开关：开关开了但凭据没配，
 	// 点进企微登录会拿到 400「企业微信未配置」——比登录页凭空少一个 tab 更容易排查。
-	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])] };
+	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])], site_title: siteTitle };
 }

package/templates/src/app/api/_platform/manifest.yaml

@@ -13,6 +13,7 @@ tables:
   - sys_user_role
   - sys_refresh_token
   - market_history
+  - market_release
   - sys_rate_window
   - sys_login_throttle
   - reg_source_seq

package/templates/src/app/api/_platform/market/api.ts

@@ -33,6 +33,7 @@ import { createTrustStore } from "../_lifecycle/trust";
 import { computeUninstallImpact, runUninstall } from "../_lifecycle/uninstall";
 import { respond } from "../_shared/respond";
 import { assertSuperAdmin } from "../_shared/service/infra/access";
+import { pageArgs } from "../_shared/service/infra/query";
 import { journalHeadOf, readCanonicalOrigin, siteOrigin, withSiteOrigin } from "../_shared/site-facade";
 import { BOOTSTRAP_KEY, seedBootstrapKey } from "./bootstrap";
 import { httpIndexSource, indexPathOf } from "./index-source";
@@ -64,7 +65,7 @@ export interface MarketEnv {
 	modulesJsonPath: string
 	/** API 前缀（smoke 探针 URL 前缀） */
 	apiPrefix: string
-	/** 站点 config.yaml 路径（reloading 段 vars.ojm_install_seq 自增落盘处；缺省 config.yaml） */
+	/** 站点 config.yaml 路径（reloading 段 anonymous_paths 接线落盘处；缺省 config.yaml） */
 	configPath?: string
 	/** canonical origin（REG-CS6：相对 URL 补全用，取自 config.yaml vars.canonical_origin，绝不读请求头 Host） */
 	canonicalOrigin?: string
@@ -236,7 +237,14 @@ function execOf(env: MarketEnv): ExecFace {
 
 function reloadOf(env: MarketEnv): ReloadFace {
 	const g = globalThis as { server?: { reloadConfig: ReloadFace["reloadConfig"] } };
-	return env.reload ?? { reloadConfig: () => g.server!.reloadConfig() };
+	// env 显式注入优先；其次平台 server.reloadConfig（生产 oj 提供，oj 0.1.123+ 支持 force 透传）；
+	// 均缺失（dev/test 无 server）回落 no-op——等价于「不 reload」，保持卸载旧语义（reload 实际掉
+	// 挂载依赖 US-1 上游 manifests 摘要驱动，未到位前回落 no-op 不阻断卸载主流程）；force 透传给宿主。
+	if (env.reload !== undefined)
+		return env.reload;
+	if (g.server?.reloadConfig !== undefined)
+		return { reloadConfig: (force?: boolean) => g.server!.reloadConfig(force) };
+	return { reloadConfig: async () => ({ unchanged: true, applied: [], restart_pending: [] }) };
 }
 
 function sha384Of(env: MarketEnv): (data: Uint8Array) => string {
@@ -249,6 +257,23 @@ function sha256Of(env: MarketEnv): (data: Uint8Array) => string {
 	return env.sha256Hex ?? ((data: Uint8Array) => g.crypto!.sha256Hex!(data));
 }
 
+/**
+ * 宿主能力集（P0 §3.9 / §2.3）：从 ojInfo().build.capabilities 读取（v0.1.122 增量能力位闭集：
+ * reload.assemble_modules / reload.anon_per_reload / reload.cron_survives）。注入安装上下文后，
+ * preflight 据 manifest.requiresCapabilities 做写锁前门禁——宿主缺能力即 fail-closed（零痕迹）。
+ * ojInfo 不可用时回落空数组（等同未上报 → 若模板声明了 requiresCapabilities 则拒装）。
+ */
+function capabilitiesOf(): string[] {
+	try {
+		const info = (globalThis as { ojInfo?: () => any }).ojInfo?.();
+		const caps = info?.build?.capabilities;
+		return Array.isArray(caps) ? caps : [];
+	}
+	catch {
+		return [];
+	}
+}
+
 /** CDN 基址：注入面优先，缺省读设置表（值/缺省值俱空 = 未配置；表异常视同未配置，消费端给可读错误） */
 async function cdnBaseOf(env: MarketEnv): Promise<string | null> {
 	if (env.cdnBase) {
@@ -694,6 +719,8 @@ async function installBody(env: MarketEnv): Promise<{ task_id: string }> {
 	if (name === "")
 		fail(400, "name is required");
 	const reqVersion = body.version == null || body.version === "" ? null : String(body.version);
+	// force 透传（oj 0.1.123+ reloadConfig(force)）：body.force 或 query.force=1 任一为真即强制重装配
+	const force = body.force === true || String((http as { query?: Record<string, unknown> }).query?.force ?? "") === "1";
 
 	let manifest: unknown;
 	let version: string;
@@ -786,7 +813,10 @@ async function installBody(env: MarketEnv): Promise<{ task_id: string }> {
 			hostVersions: await hostVersionsOf(env),
 			// 宿主平台编排面 API 版本（C2-11 peerPlatform 比对真源；与 meta 端点 apiVersion、_platform/manifest.yaml 版本同源，手工同步）
 			hostApiVersion: API_VERSION,
+			// 宿主能力集（P0 §3.9）：ojInfo().build.capabilities，preflight 的 requiresCapabilities 门禁据此生效
+			capabilities: capabilitiesOf(),
 			trustPath: env.trustPath,
+			force,
 			registryId: env.registryId,
 			cancel: () => {
 				if (!cancelled) {
@@ -818,10 +848,16 @@ interface IndexRow {
 	available: string[]
 	/** 最新版 changelog（C2-08，R27 卡片版本对比；分片条目缺 changelog → null） */
 	changelog: unknown
-	/** 最新版发布方（manifest author，C2-07；分片条目缺 author → null） */
+	/** 最新版发布方（manifest author，C2-07；分片条目缺 author → null，自报字段） */
 	publisher: string | null
+	/** 最新版包级签名 key_id（Form B archive.signature.key_id，经 Ed25519 验签的发布身份；缺签名 → null） */
+	publisher_key: string | null
 	/** 最新版许可（manifest license，C2-07 SPDX 简化式；分片条目缺/非字符串 → null） */
 	license: string | null
+	/** 方案简介（manifest summary，C2-04 单行 1..200；分片条目缺/非字符串 → null） */
+	summary: string | null
+	/** 方案详细描述（manifest description，C2-05 ≤2000；分片条目缺/非字符串 → null） */
+	description: string | null
 	/** 本地安装的发布方 key 状态（P2-6 sidecar；未装 → null） */
 	trust_state: "trusted" | "untrusted" | "absent" | null
 	/** 本地安装记录的签名 key id（sidecar archive.key_id；未装/P1 时代条目 → null） */
@@ -853,19 +889,32 @@ async function lastInstallOperatorOf(name: string): Promise<string | null> {
  *
  * 三级化后市场页的拉取形态：1 catalog + catalog 指向的全部分片（去重）——`available`
  * 回滚候选要版本全集，故页面比安装多拉几片；安装侧仍 ≤ 1 catalog + 1 shard（resolveCdn）。
- * 版本条目即 Form B manifest：latest 的 changelog/publisher 直接从分片条目取，不再有
- * 独立的聚合清单拉取。分片拉取/验签失败即 502（REG-CS1：可用性不再压过完整性）。
+ * 版本条目即 Form B manifest：latest 的 changelog/publisher/summary/description 直接从
+ * 分片条目取，不再有独立的聚合清单拉取。分片拉取/验签失败即 502（REG-CS1：可用性不再
+ * 压过完整性）。
  */
-async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
-	// 对账即服务（P1-10 接线③）：市场页刷新即对账时点——锁 ↔ 账本 head 自愈 + enabled 不一致
-	// 自动修复先行（失败只记日志，不阻断索引），失败站点的市场页每次打开都在尝试自愈
-	await reconcileOf(env);
+interface IndexSnapshot {
+	base: string
+	/** catalog 的签名时效（发布时间兜底；索引缺时效 → null） */
+	issuedAt: number | null
+	solutions: Array<{ name: string, shards: number[] }>
+	shardDocs: Map<number, ShardSolution[]>
+}
+
+/**
+ * 读整份签名索引（catalog + 它指向的全部分片）。
+ *
+ * 市场卡片（indexBody）与发布历史（syncReleases）都要「全量版本视图」，读取与验签只有这一份：
+ * 两处各写一遍 `fetchIndex` 循环，迟早漂移成「卡片看得见、历史看不见」。
+ */
+async function readIndexSnapshot(env: MarketEnv): Promise<IndexSnapshot> {
 	const base = await cdnBaseOf(env);
 	if (base === null)
 		fail(503, "未配置市场地址（framework.market_cdn_url）——卡片区显示「未配置市场地址」（PRD §5.3）");
 	await assertOriginForRelativeBase(env, base);
 	const source = await indexSourceOf(env, base);
 	const catalog = await fetchIndex(env, source, base, "catalog");
+	const times = await indexTimesOfText(catalog.text);
 	const { pins, solutions } = await parseCatalog(catalog.text, base);
 	// 拉取 catalog 指向的全部分片（去重、升序确定性）；每片都过签名 + 钉值同代校验
 	const shardDocs = new Map<number, ShardSolution[]>();
@@ -873,6 +922,14 @@ async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
 		const shard = await fetchIndex(env, source, base, "shard", no, pins.get(no)!);
 		shardDocs.set(no, await parseShard(shard.text, `shards/${no}.yaml`));
 	}
+	return { base, issuedAt: times?.issued_at ?? null, solutions, shardDocs };
+}
+
+async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
+	// 对账即服务（P1-10 接线③）：市场页刷新即对账时点——锁 ↔ 账本 head 自愈 + enabled 不一致
+	// 自动修复先行（失败只记日志，不阻断索引），失败站点的市场页每次打开都在尝试自愈
+	await reconcileOf(env);
+	const { solutions, shardDocs } = await readIndexSnapshot(env);
 	const local = (await createStateStore(env.statePath)).read().solutions;
 	const rows: IndexRow[] = [];
 	const seen = new Set<string>();
@@ -898,6 +955,11 @@ async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
 		const manifestOf = (version: string | null): Record<string, unknown> | undefined =>
 			version === null ? undefined : merged.find(v => String(v.version) === version);
 		const m = manifestOf(latest) ?? manifestOf(side?.version ?? null);
+		// 发布者：取最新版 Form B archive.signature.key_id（Ed25519 验签过的签名身份，离线可验）；
+		// manifest.author 是自报字段，二者不同。缺签名/畸形 → null（不拿自报值冒充）。
+		const rawArchive: unknown = m?.archive;
+		const rawSig: unknown = isObj(rawArchive) ? rawArchive.signature : undefined;
+		const publisherKey = isObj(rawSig) && typeof rawSig.key_id === "string" ? rawSig.key_id : null;
 		rows.push({
 			name,
 			latest,
@@ -907,7 +969,10 @@ async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
 			available,
 			changelog: m?.changelog ?? null,
 			publisher: typeof m?.author === "string" ? m.author : null,
+			publisher_key: publisherKey,
 			license: typeof m?.license === "string" ? m.license : null,
+			summary: typeof m?.summary === "string" ? m.summary : null,
+			description: typeof m?.description === "string" ? m.description : null,
 			trust_state: side?.trust_state ?? null,
 			key_id: side?.archive?.key_id ?? null,
 			operator: await lastInstallOperatorOf(name),
@@ -924,7 +989,10 @@ async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
 				available: [],
 				changelog: null,
 				publisher: null,
+				publisher_key: null,
 				license: null,
+				summary: null,
+				description: null,
 				trust_state: side.trust_state ?? null,
 				key_id: side.archive?.key_id ?? null,
 				operator: await lastInstallOperatorOf(name),
@@ -934,6 +1002,106 @@ async function indexBody(env: MarketEnv): Promise<IndexRow[]> {
 	return rows;
 }
 
+/** 发布历史行（市场索引里出现过的每个 product@version） */
+interface ReleaseRow {
+	id: number
+	product: string
+	version: string
+	key_id: string | null
+	sha256: string | null
+	size: number | null
+	published_at: number
+	/** 时间来源：file = tgz 的 Last-Modified；index = 索引生成时间兜底 */
+	published_at_source: "file" | "index"
+	yanked: number
+}
+
+/**
+ * 取单版本的「发布时间」。
+ *
+ * 优先 HEAD 分发包读 `Last-Modified`——那是包落进 CDN 的时刻，也就是真正的发版时间。
+ * 读不到（源不吐该头 / 网络失败 / file 名缺失）才回落到索引生成时间：`ojm market publish`
+ * 与 `build-index` 在推荐流程里紧邻执行，两者差值只有重建索引的耗时。
+ *
+ * 只对**首次入库**的版本调一次（已入库的 published_at 不再改写）——历史一旦记录就是事实，
+ * 不该被后续重新发布/重新建索引刷新。
+ */
+async function archivePublishedAt(env: MarketEnv, base: string, file: unknown, fallback: number): Promise<{ at: number, source: "file" | "index" }> {
+	if (typeof file !== "string" || file === "")
+		return { at: fallback, source: "index" };
+	try {
+		// HEAD 不在 FetchInitFace 的最小形状里（安装面只需要 GET），但运行时 fetch 原生支持：
+		// 这里显式窄化一次，避免为「读一个头」再造第二种下载实现。
+		const head = await fetchOf(env) as unknown as (url: string, init?: { method?: string }) => Promise<{ headers?: { get: (n: string) => string | null } }>;
+		const res = await head(`${base}/${encodeURIComponent(file)}`, { method: "HEAD" });
+		const raw = res.headers?.get?.("last-modified") ?? res.headers?.get?.("Last-Modified") ?? null;
+		if (raw !== null && raw !== "") {
+			const at = Math.floor(Date.parse(raw) / 1000);
+			if (Number.isFinite(at) && at > 0)
+				return { at, source: "file" };
+		}
+	}
+	catch {}
+	return { at: fallback, source: "index" };
+}
+
+/**
+ * 把索引里出现过的版本同步进 `market_release`（幂等：只补新行）。
+ *
+ * 为什么不做成「发版时由 CLI 上报」：`ojm market publish` 是纯本地操作（不登录、可离线），
+ * 加一条上报链路就得再造一套写端授权的信任面；而**签名索引本身就是发版事实**——
+ * 站点已经在读它，历史直接从这里落库，既不用新协议，也不会出现「上报成功但包里没有」的分叉。
+ *
+ * 索引拉取/验签失败由调用方兜住（历史是观测面，不阻断页面：返回已入库行 + syncError）。
+ */
+async function syncReleases(env: MarketEnv): Promise<void> {
+	const snapshot = await readIndexSnapshot(env);
+	const fallbackAt = snapshot.issuedAt ?? (env.now?.() ?? Math.floor(Date.now() / 1000));
+	const now = env.now?.() ?? Math.floor(Date.now() / 1000);
+
+	const existingRows = await db.table("market_release").select(["id", "product", "version", "yanked"]).all() as Array<Record<string, unknown>>;
+	const existing = new Map(existingRows.map(r => [`${String(r.product)}@${String(r.version)}`, { id: Number(r.id), yanked: Number(r.yanked) }]));
+
+	for (const sol of snapshot.shardDocs.values()) {
+		for (const entry of sol) {
+			for (const v of entry.versions) {
+				const version = typeof v.version === "string" ? v.version : "";
+				if (version === "")
+					continue;
+				const dedupeKey = `${entry.name}@${version}`;
+				const yanked = v.yanked === true ? 1 : 0;
+				const prior = existing.get(dedupeKey);
+				if (prior !== undefined) {
+					// 已入库的 published_at 是事实、不再改写；但 yank 状态是「当前是否在架」，跟随索引
+					if (prior.yanked !== yanked)
+						await db.table("market_release").update({ yanked }).where({ field: "id", op: "eq", value: prior.id }).run();
+					continue;
+				}
+				const archive = isObj(v.archive) ? v.archive : {};
+				const sig = isObj(archive.signature) ? archive.signature : {};
+				const { at, source } = await archivePublishedAt(env, snapshot.base, archive.file, fallbackAt);
+				try {
+					await db.table("market_release").insert({
+						product: entry.name,
+						version,
+						key_id: typeof sig.key_id === "string" ? sig.key_id : null,
+						sha256: typeof archive.sha256 === "string" ? archive.sha256 : null,
+						size: typeof archive.size === "number" ? archive.size : null,
+						published_at: at,
+						published_at_source: source,
+						yanked,
+						first_seen_at: now,
+					}).run();
+					existing.set(dedupeKey, { id: -1, yanked });
+				}
+				catch {
+					// 并发同步（两个页面同时打开）撞唯一键：另一路已写入，跳过即可
+				}
+			}
+		}
+	}
+}
+
 /** 四端点组（oj v0.1.64 嵌套组：组名 = 路径段）；全业务体经 respond 收口（status 语义不落 500） */
 export function createMarketApi(env: MarketEnv) {
 	return {
@@ -1131,6 +1299,7 @@ export function createMarketApi(env: MarketEnv) {
 						state: await createStateStore(env.statePath),
 						modulesJsonPath: env.modulesJsonPath,
 						operator: (await operatorOf()) ?? undefined,
+						reload: reloadOf(env),
 					});
 					// P3-11 宿主打磨：方案已不存在 = 资源缺失语义 → 404（非 200 {ok:false}）；
 					// 其余领域拒绝（空锁拒启/级联失败等）维持 200 {ok:false} 人话在 message。
@@ -1156,6 +1325,42 @@ export function createMarketApi(env: MarketEnv) {
 				});
 			},
 		},
+
+		// GET /api/_platform/market/releases —— 发布历史（登录即可读；与市场卡片同口径的「浏览开放」）。
+		//
+		// 数据源是签名索引本身：每次读取先把索引里出现过的 product@version 补进 market_release
+		// （只补新行，published_at 一次写定），再按发布时间倒序分页返回。索引拉不到/验签失败
+		// 不阻断查询：返回已入库行 + syncError，页面照常显示历史并提示「暂时读不到索引」。
+		"releases": {
+			async get() {
+				await respond(async () => {
+					const uid = (http as { user?: { id?: unknown } }).user?.id;
+					if (uid == null)
+						fail(401, "unauthorized");
+					let syncError: string | null = null;
+					try {
+						await syncReleases(env);
+					}
+					catch (e) {
+						syncError = e instanceof Error ? e.message : String(e);
+					}
+					const q = (http.query ?? {}) as Record<string, unknown>;
+					const { page, size, offset } = pageArgs({ page: q.page, size: q.limit });
+					const total = Number(
+						(await db.table("market_release").select([{ fn: "count", as: "c" }]).all() as Array<Record<string, unknown>>)[0]?.c ?? 0,
+					);
+					const list = total === 0
+						? []
+						: await db.table("market_release")
+							.select(["id", "product", "version", "key_id", "sha256", "size", "published_at", "published_at_source", "yanked"])
+							.orderBy([{ field: "published_at", dir: "desc" }, { field: "id", dir: "desc" }])
+							.limit(size)
+							.offset(offset)
+							.all() as unknown as ReleaseRow[];
+					return { list, total, page, size, syncError };
+				});
+			},
+		},
 	};
 }
 
@@ -1169,7 +1374,7 @@ marketApi.install.post.schema = {
 	body: {
 		type: "object",
 		required: ["source", "name"],
-		properties: { source: { type: "string", enum: ["cdn", "file"] }, name: { type: "string" }, version: { type: ["string", "null"] } },
+		properties: { source: { type: "string", enum: ["cdn", "file"] }, name: { type: "string" }, version: { type: ["string", "null"] }, force: { type: "boolean" } },
 	},
 };
 marketApi.install.post.response = { type: "object", properties: { task_id: { type: "string" } }, additionalProperties: true };
@@ -1193,5 +1398,25 @@ marketApi["uninstall-impact"].get.response = { type: "object", additionalPropert
 marketApi.uninstall.post.schema = { body: { type: "object", required: ["name"], properties: { name: { type: "string" } } } };
 marketApi.uninstall.post.response = { type: "object", additionalProperties: true };
 marketApi.history.get.response = { type: "array", items: { type: "object", additionalProperties: true } };
+marketApi.releases.get.schema = {
+	query: {
+		type: "object",
+		properties: {
+			page: { type: "number", minimum: 1 },
+			limit: { type: "number", minimum: 1, maximum: 200 },
+		},
+	},
+};
+marketApi.releases.get.response = {
+	type: "object",
+	required: ["list", "total", "page", "size"],
+	properties: {
+		list: { type: "array", items: { type: "object", additionalProperties: true } },
+		total: { type: "number" },
+		page: { type: "number" },
+		size: { type: "number" },
+		syncError: { type: ["string", "null"] },
+	},
+};
 
 export default marketApi;