@q253595422/dsh-imagegen-video 1.7.7 → 1.7.8

package/CHANGELOG.md

@@ -10,6 +10,23 @@ detail is in `git log 9305f9f..HEAD`.
 
 ## Releases
 
+### 1.7.8 — the manifest stops claiming a package the host already provides
+
+One packaging correction, no behaviour change.
+
+- **`@deepseek-ai/schemastery` moved from `dependencies` to `peerDependencies`.**
+  It is not an implementation detail of this plugin — its `z` builds the config
+  schema the host validates — so the host's own copy is the one that must be
+  used. Declaring it as a dependency made every install pull a second copy of a
+  `@deepseek-ai/*` package alongside the host's, which is both the wrong
+  ownership relationship and the thing plugin directories list as a rule.
+  `devDependencies` still carries it, so local builds, typecheck and the whole
+  offline suite resolve it exactly as before; only the published manifest
+  changes. Verified by installing the packed tarball into an isolated
+  `DSH_HOME`: the profile pulls two packages instead of three (no second
+  schemastery), resolves the host's own 3.18.4, and `lib/index.js` imports
+  cleanly (132 exports, `CURRENT_VERSION` 1.7.8).
+
 ### 1.7.7 — deleting becomes undoable, the poster editor arrives, and the update chain stops lying
 
 Three user-visible failures and one piece of upstream functionality, plus the

package/README.md

@@ -24,16 +24,20 @@
 
 需要已安装 [DeepSeek Harness](https://github.com/deepseek-ai/DeepSeek-Harness) 和 Node.js 20+。
 
-安装包以 GitHub Release 资产的形式分发（每次 Release 附带 `SHA256SUMS`）：
+安装包有两个来源：**npm registry**（推荐，包名即版本，`npm view` 能查、能被锁文件盯住）与 **GitHub Release 资产**（每次附带 `SHA256SUMS`）。
 
 ```bash
-dsh plugin --profile web add https://github.com/q253595422/dsh-imagegen-video/releases/download/v1.7.7/q253595422-dsh-imagegen-video-1.7.7.tgz
+# npm（registry 直达）
+dsh plugin --profile web add @q253595422/dsh-imagegen-video
+
+# 或 GitHub Release 资产
+dsh plugin --profile web add https://github.com/q253595422/dsh-imagegen-video/releases/download/v1.7.8/q253595422-dsh-imagegen-video-1.7.8.tgz
 ```
 
 也可以先到 [Releases](https://github.com/q253595422/dsh-imagegen-video/releases) 页面下载 `.tgz`，再安装本地文件：
 
 ```bash
-dsh plugin --profile web add ./q253595422-dsh-imagegen-video-1.7.7.tgz
+dsh plugin --profile web add ./q253595422-dsh-imagegen-video-1.7.8.tgz
 ```
 
 > ⚠️ **不要与原版 `@dickpy/dsh-imagegen` 同时安装。** 两者注册的是同一套
@@ -47,7 +51,7 @@ dsh plugin --profile web add ./q253595422-dsh-imagegen-video-1.7.7.tgz
 <summary><b>其他安装方式、升级与回滚</b></summary>
 
 - **让 Agent 安装：**把上面的安装命令发给 DSH、Codex 或其他 coding agent。
-- **指定版本：**把 URL 里的 `v1.7.7` 与文件名里的版本号换成目标版本，或从 [GitHub Releases](https://github.com/q253595422/dsh-imagegen-video/releases) 下载对应版本的 tgz 后安装。
+- **指定版本：**把 URL 里的 `v1.7.8` 与文件名里的版本号换成目标版本，或从 [GitHub Releases](https://github.com/q253595422/dsh-imagegen-video/releases) 下载对应版本的 tgz 后安装。
 - **升级：**重复执行 `add` 命令指向新版本即可；插件也会在面板中提示新版本。更新后重启 `dsh web`。
 - **DSH Desktop 用户：**宿主 CLI 不允许写入 `desktop` 这个 profile，所以面板不会假装去更新，而是直接给出可复制的命令和下载地址，由你自己执行——这与上游 issue #41 里「更新失败但看不到原因」是两回事。
 - 渠道配置、历史记录和画廊数据保存在 DSH 宿主侧，正常升级不会清空。
@@ -202,7 +206,7 @@ dsh plugin --profile web add ./q253595422-dsh-imagegen-video-1.7.7.tgz
 上游 v1.6.8 的全部改动逐条列在 [CHANGELOG.md](./CHANGELOG.md)。
 
 > **本仓库是独立项目，不跟随上游版本线。** 上游源码只在 fork 时一次性取用（基线
-> v1.6.8），此后本仓库按自己的节奏发版（当前 v1.7.7）。上游后续版本的功能会**按需**
+> v1.6.8），此后本仓库按自己的节奏发版（当前 v1.7.8）。上游后续版本的功能会**按需**
 > 吸收进来——例如失败可查的诊断日志（上游 #38）——吸收后即为本仓库自己代码的一部分，
 > 版本号仍是本仓库的。因为两边历史没有共同祖先，吸收是**逐文件移植**，不是 `git merge`。
 

package/docs/releases/v1.7.7.md

@@ -162,11 +162,15 @@ dsh plugin --profile web add <下载路径>/q253595422-dsh-imagegen-video-1.7.7.
 
 ### 已知边界（诚实说明）
 
-- **npm 包尚未发布。** 包名 `@q253595422/dsh-imagegen-video` 目前在 registry 上
-  是 404，而 npm 的 trusted publishing 只能挂在**已存在**的包上，
-  所以第一次 `npm publish --access public` 必须由人工在已登录的机器上执行一次。
-  `release.yml` 里的 npm job 默认关闭（仓库变量 `NPM_PUBLISH` 不为 `true` 时跳过），
-  跳过不算失败，GitHub Release 照常产出。
+- **npm 包已发布（2026-10-18）。** `@q253595422/dsh-imagegen-video@1.7.7`
+  已在 registry 上，`shasum` 与 Release 资产 `910d6e37…` 一致。首次发布由人工
+  完成——npm 的 trusted publishing 只能挂在**已存在**的包上，所以这一步无法
+  交给 CI。1.7.7 是那一次人工发布的对象：它发布时用到的清单里
+  `@deepseek-ai/schemastery` 仍在 `dependencies`，这个归属问题在 1.7.8 修正。
+  随后为该包配好 Trusted Publisher（`npm trust github`，仓库
+  `q253595422/dsh-imagegen-video`，workflow `release.yml`，权限 publish +
+  stage publish）并把仓库变量 `NPM_PUBLISH` 设为 `true`；1.7.8 是第一条只靠
+  GitHub OIDC、不依赖本机 npm token 发出去的版本。
 - **Desktop 的更新仍然是手动的**，这是上游 CLI 的设计，不是本插件能绕过的；
   本版做到的是**不再假装能自动更新**，并把可执行的命令交到用户手上。
 - 海报编辑器只做文字与 Logo 两层合成，**不是完整的排版工具**：

package/docs/releases/v1.7.8.md

@@ -0,0 +1,40 @@
+# v1.7.8
+
+一个打包归属修正，没有行为变化。它属于「安装一次就能看出差别」的那类改动：
+装 1.7.7 会多拉一份宿主已经提供的包，装 1.7.8 不会。
+
+## 改了什么
+
+**`@deepseek-ai/schemastery` 从 `dependencies` 移到 `peerDependencies`。**
+
+它不是本插件的实现细节——它的 `z` 构建的是**宿主拿去校验**的配置 schema，
+所以必须用宿主那一份。把它声明成依赖，等于每次安装都在宿主的副本旁边再拉
+一份 `@deepseek-ai/*`，既是错误的归属关系，也正是插件目录收录规则里点名
+禁止的事。
+
+`devDependencies` 仍然保留它，本地的构建、`tsc --noEmit` 与整套离线检查
+解析路径与之前完全一致；变的只有发布出去的清单。
+
+## 为什么要单独发一版
+
+1.7.7 已经从 npm 装出去了，它的清单里 `schemastery` 仍在 `dependencies`。
+registry 上的版本不可改写，所以这个修正只能体现为新版本，不能声称它对
+1.7.7 也成立。
+
+## 验证
+
+- `pnpm run typecheck`、`pnpm test`（十一项离线检查）、`pnpm run test:negative`
+  全绿；版本号两处（`package.json` 与 `src/protocol.ts` 的 `PLUGIN_VERSION`）
+  由 `smoke.mjs` 断言一致。
+- 打包后装入隔离的 `DSH_HOME`：profile 解析到宿主自带的 schemastery，
+  `lib/index.js` 正常导入。
+- 本版同时用来验证一件事：`release.yml` 里那个默认关闭的 npm job，在配好
+  Trusted Publisher、并把仓库变量 `NPM_PUBLISH` 设为 `true` 之后，能否只靠
+  GitHub OIDC 把包发出去——不依赖任何存在本机的 npm token。
+
+## 已知边界
+
+- 这一版**没有**用户可见的功能变化。如果你已经装好 1.7.7 且不在意多一份
+  schemastery，可以跳过。
+- 首次发布（1.7.7）走的是人工流程：npm 的 trusted publishing 只能挂在已存在
+  的包上。从 1.7.8 起才由 CI 发布。