@tokensapi/dsh-plugin-check 0.2.0 → 0.3.1

package/README.md

@@ -1,79 +1,79 @@
-# dsh-plugin-check
-
-TokensCowork / DSH 插件合格性体检。给所有插件开发者的统一标准:一条命令,当场知道你的插件**能否安全装入宿主、会不会把用户的 Cowork 搞崩**。同一套规则同时用于:开发者本地自查、插件仓库 CI、插件市场上架门禁。
-
-## 用法
-
-```bash
-# 在插件目录里
-npx @tokensapi/dsh-plugin-check
-
-# 指定目标运行时(启用兼容范围判定;当前产品运行时版本见市场公告)
-npx @tokensapi/dsh-plugin-check --runtime 0.1.3-alpha.1
-
-# 只跑离线清单体检(秒级,无网络)
-npx @tokensapi/dsh-plugin-check --skip-smoke
-
-# 机器可读输出(CI / 市场门禁)
-npx @tokensapi/dsh-plugin-check --json
-
-# 体检一个已发布的 npm 包(市场上架审核用)
-npx @tokensapi/dsh-plugin-check --package @scope/name@1.2.3 --runtime 0.1.3-alpha.1
-```
-
-退出码:`0` 合格,`1` 存在 error(`--strict` 时 warning 也计入)。冒烟失败时加 `--keep-workspace` 保留临时工作区排查。
-
-## 体检分两个阶段
-
-**阶段① 清单体检**(纯静态、离线、秒级):检查 package.json 与 cordis 补丁的声明是否合规。
-**阶段② 隔离启动冒烟**(联网、约 1–3 分钟):在临时工作区按你声明的 peer 范围装出真实运行时,然后逐补丁行做真实网关启动时做的事——解析入口 → `import` → `new Context()` + `ctx.plugin()` 应用。三段都过,你的插件就不会以"装上即崩"的方式杀死用户的 Cowork。全程 `--ignore-scripts`,你的代码只在一次性子进程里运行,超时即杀。
-
-清单存在 error 时冒烟不执行——先修再跑。
-
-## 规则清单
-
-每条规则都对应一种真实发生过的宿主故障。
-
-| 规则 | 级别 | 内容 | 拦的是什么事故 |
-|---|---|---|---|
-| M1-manifest | error/warning | package.json 合法,name/version 齐全;预发布版本给出上架提示 | 无法入库 |
-| M2-lifecycle | error | 禁止 `preinstall/install/postinstall/prepare` 脚本(构建用 `prepack`) | 安装即执行任意代码;市场受控安装的既有红线 |
-| M3-core-peer | error | `@deepseek-ai/cordis*`、`@deepseek-ai/dsh*` 只能是 peerDependencies | 双内核实例 → Symbol 不等 → 服务注册对不上 → **Cowork 启动失败** |
-| M4-bundle | error | `dsh.bundle.patch` 必填、文件存在、能解析出插件行 | 宿主无法把插件挂进加载树 |
-| M5-row-scope | error | 补丁行只能指向本包(或其子路径) | 插件行劫持挂载其他包 |
-| M6-engine | error/warning | `dsh.engine` 声明目标运行时 SemVer 范围;与 `--runtime` 不相交为 error(未声明当前为 warning,将转必填) | 装进不适配的宿主版本 |
-| M7-peer-range | warning | 各 `dsh-*` peer 范围应包含目标运行时 | 宿主升级后接口错配,运行时断裂 |
-| M8-node-engines | warning | 建议声明 `engines.node`(宿主为 Node 22+) | 语法/API 不可用 |
-| M9-license | warning | 建议声明 license | 分发合规 |
-| M10-secrets | error/warning | 发布内容不得包含 `.env`、私钥等凭据样式文件 | 凭据泄露 |
-| S1-pack | error | `npm pack --ignore-scripts` 必须成功 | 包本身发布不出来 |
-| S2-install | error | 按你声明的依赖必须装得出来 | 用户受控安装会同样失败 |
-| S3/S4-apply | error | 每个补丁行:入口可解析、`import` 不抛、`ctx.plugin()` 应用不抛(声明 `inject` 等待服务注入属正常,不算失败) | **启动链击穿**——一行 import 失败会拖死整棵插件树 |
-
-## `dsh.engine` 字段
-
-在 package.json 声明你适配的 DSH 运行时范围:
-
-```json
-{
-  "dsh": {
-    "engine": ">=0.1.3-alpha.1 <0.2.0",
-    "bundle": { "patch": "./cordis.patch.yml" }
-  }
-}
-```
-
-宿主升级越过你的范围时,市场会把你的插件标记为"待适配"而不是硬载崩溃。
-
-## CI 集成示例
-
-```yaml
-# .github/workflows/check.yml
-- run: npx @tokensapi/dsh-plugin-check --runtime 0.1.3-alpha.1 --strict
-```
-
-## 上架流程中的位置
-
-1. 开发者:发布 npm 版本前本地跑体检,全绿再发。
-2. 管理员:在仓库 Actions 的 **Plugin Check** workflow 填「包名@版本」手动触发,体检报告生成在该次运行的 Summary。
-3. 上架:后台 publish 对话框把这次运行的链接填入「检查记录链接」——链接的红/绿即审核证据,`reviewed_version` 随上架落库。存在 error 的版本不满足上架条件。
+# dsh-plugin-check
+
+TokensCowork / DSH 插件合格性体检。给所有插件开发者的统一标准:一条命令,当场知道你的插件**能否安全装入宿主、会不会把用户的 Cowork 搞崩**。同一套规则同时用于:开发者本地自查、插件仓库 CI、插件市场上架门禁。
+
+## 用法
+
+```bash
+# 在插件目录里
+npx @tokensapi/dsh-plugin-check
+
+# 指定目标运行时(启用兼容范围判定;当前产品运行时版本见市场公告)
+npx @tokensapi/dsh-plugin-check --runtime 0.1.3-alpha.1
+
+# 只跑离线清单体检(秒级,无网络)
+npx @tokensapi/dsh-plugin-check --skip-smoke
+
+# 机器可读输出(CI / 市场门禁)
+npx @tokensapi/dsh-plugin-check --json
+
+# 体检一个已发布的 npm 包(市场上架审核用)
+npx @tokensapi/dsh-plugin-check --package @scope/name@1.2.3 --runtime 0.1.3-alpha.1
+```
+
+退出码:`0` 合格,`1` 存在 error(`--strict` 时 warning 也计入)。冒烟失败时加 `--keep-workspace` 保留临时工作区排查。
+
+## 体检分两个阶段
+
+**阶段① 清单体检**(纯静态、离线、秒级):检查 package.json 与 cordis 补丁的声明是否合规。
+**阶段② 隔离启动冒烟**(联网、约 1–3 分钟):在临时工作区按你声明的 peer 范围装出真实运行时,然后逐补丁行做真实网关启动时做的事——解析入口 → `import` → `new Context()` + `ctx.plugin()` 应用。三段都过,你的插件就不会以"装上即崩"的方式杀死用户的 Cowork。全程 `--ignore-scripts`,你的代码只在一次性子进程里运行,超时即杀。
+
+清单存在 error 时冒烟不执行——先修再跑。
+
+## 规则清单
+
+每条规则都对应一种真实发生过的宿主故障。
+
+| 规则 | 级别 | 内容 | 拦的是什么事故 |
+|---|---|---|---|
+| M1-manifest | error/warning | package.json 合法,name/version 齐全;预发布版本给出上架提示 | 无法入库 |
+| M2-lifecycle | error | 禁止 `preinstall/install/postinstall/prepare` 脚本(构建用 `prepack`) | 安装即执行任意代码;市场受控安装的既有红线 |
+| M3-core-peer | error | `@deepseek-ai/cordis*`、`@deepseek-ai/dsh*` 只能是 peerDependencies | 双内核实例 → Symbol 不等 → 服务注册对不上 → **Cowork 启动失败** |
+| M4-bundle | error | `dsh.bundle.patch` 必填、文件存在、能解析出插件行 | 宿主无法把插件挂进加载树 |
+| M5-row-scope | error | 补丁行只能指向本包(或其子路径) | 插件行劫持挂载其他包 |
+| M6-engine | error/warning | `dsh.engine` 声明目标运行时 SemVer 范围;与 `--runtime` 不相交为 error(未声明当前为 warning,将转必填) | 装进不适配的宿主版本 |
+| M7-peer-range | warning | 各 `dsh-*` peer 范围应包含目标运行时 | 宿主升级后接口错配,运行时断裂 |
+| M8-node-engines | warning | 建议声明 `engines.node`(宿主为 Node 22+) | 语法/API 不可用 |
+| M9-license | warning | 建议声明 license | 分发合规 |
+| M10-secrets | error/warning | 发布内容不得包含 `.env`、私钥等凭据样式文件 | 凭据泄露 |
+| S1-pack | error | `npm pack --ignore-scripts` 必须成功 | 包本身发布不出来 |
+| S2-install | error | 按你声明的依赖必须装得出来 | 用户受控安装会同样失败 |
+| S3/S4-apply | error | 每个补丁行:入口可解析、`import` 不抛、`ctx.plugin()` 应用不抛(声明 `inject` 等待服务注入属正常,不算失败) | **启动链击穿**——一行 import 失败会拖死整棵插件树 |
+
+## `dsh.engine` 字段
+
+在 package.json 声明你适配的 DSH 运行时范围:
+
+```json
+{
+  "dsh": {
+    "engine": ">=0.1.3-alpha.1 <0.2.0",
+    "bundle": { "patch": "./cordis.patch.yml" }
+  }
+}
+```
+
+宿主升级越过你的范围时,市场会把你的插件标记为"待适配"而不是硬载崩溃。
+
+## CI 集成示例
+
+```yaml
+# .github/workflows/check.yml
+- run: npx @tokensapi/dsh-plugin-check --runtime 0.1.3-alpha.1 --strict
+```
+
+## 上架流程中的位置
+
+1. 开发者:发布 npm 版本前本地跑体检,全绿再发。
+2. 管理员:在仓库 Actions 的 **Plugin Check** workflow 填「包名@版本」手动触发,体检报告生成在该次运行的 Summary。
+3. 上架:后台 publish 对话框把这次运行的链接填入「检查记录链接」——链接的红/绿即审核证据,`reviewed_version` 随上架落库。存在 error 的版本不满足上架条件。

package/bin/dsh-plugin-check.mjs

@@ -1,113 +1,113 @@
-#!/usr/bin/env node
-/* ============================================================
- * dsh-plugin-check:插件合格性体检 CLI
- * ============================================================
- * 用法:
- *   npx @tokensapi/dsh-plugin-check [插件目录] [选项]
- *
- * 选项:
- *   --runtime <version>  目标 DSH 运行时版本(启用 engine/peer 交集判定)
- *   --skip-smoke         只跑清单体检(离线、秒级)
- *   --keep-workspace     保留冒烟临时工作区供排查
- *   --strict             warning 也计入失败
- *   --json               机器可读输出(市场门禁用)
- *
- * 退出码:0 = 合格;1 = 存在 error(--strict 时含 warning)。
- * ============================================================ */
-import { resolve } from 'node:path'
-import { checkManifest } from '../lib/manifest-check.mjs'
-import { checkSmoke } from '../lib/smoke-check.mjs'
-import { fetchPackage } from '../lib/fetch-package.mjs'
-
-const args = process.argv.slice(2)
-const options = { dir: process.cwd(), package: undefined, runtime: undefined, skipSmoke: false, keepWorkspace: false, strict: false, json: false }
-for (let index = 0; index < args.length; index += 1) {
-  const arg = args[index]
-  if (arg === '--runtime') { options.runtime = args[++index]; continue }
-  if (arg === '--package') { options.package = args[++index]; continue }
-  if (arg === '--skip-smoke') { options.skipSmoke = true; continue }
-  if (arg === '--keep-workspace') { options.keepWorkspace = true; continue }
-  if (arg === '--strict') { options.strict = true; continue }
-  if (arg === '--json') { options.json = true; continue }
-  if (arg === '--help' || arg === '-h') {
-    process.stdout.write('用法: dsh-plugin-check [插件目录] [--package <name@version>] [--runtime <version>] [--skip-smoke] [--keep-workspace] [--strict] [--json]\n')
-    process.exit(0)
-  }
-  if (arg.startsWith('--')) {
-    process.stderr.write(`未知选项: ${arg}\n`)
-    process.exit(2)
-  }
-  options.dir = resolve(arg)
-}
-
-const findings = []
-const phases = []
-
-if (options.package !== undefined) {
-  const fetched = fetchPackage(options.package)
-  if ('error' in fetched) {
-    process.stderr.write(`无法获取 ${options.package}: ${fetched.error}
-`)
-    process.exit(1)
-  }
-  options.dir = fetched.dir
-}
-
-const manifestResult = checkManifest(options.dir, { runtime: options.runtime })
-findings.push(...manifestResult.findings)
-phases.push({ phase: 'manifest', findings: manifestResult.findings })
-
-let smokeSkipped = true
-if (!options.skipSmoke
-  && manifestResult.manifest !== undefined
-  && manifestResult.rows !== undefined
-  && !manifestResult.findings.some(finding => finding.level === 'error')) {
-  smokeSkipped = false
-  const smokeResult = checkSmoke(options.dir, manifestResult.manifest, manifestResult.rows, {
-    keepWorkspace: options.keepWorkspace,
-  })
-  findings.push(...smokeResult.findings)
-  phases.push({ phase: 'smoke', findings: smokeResult.findings, workspace: smokeResult.workspace })
-} else if (!options.skipSmoke) {
-  phases.push({ phase: 'smoke', skipped: '清单体检存在 error,冒烟不再执行' })
-}
-
-const errors = findings.filter(finding => finding.level === 'error')
-const warnings = findings.filter(finding => finding.level === 'warning')
-const infos = findings.filter(finding => finding.level === 'info')
-const failed = errors.length > 0 || (options.strict && warnings.length > 0)
-
-if (options.json) {
-  process.stdout.write(`${JSON.stringify({
-    ok: !failed,
-    plugin: manifestResult.manifest?.name,
-    version: manifestResult.manifest?.version,
-    runtime: options.runtime ?? null,
-    errors,
-    warnings,
-    phases,
-  }, undefined, 2)}\n`)
-  process.exit(failed ? 1 : 0)
-}
-
-const title = manifestResult.manifest?.name !== undefined
-  ? `${manifestResult.manifest.name}@${manifestResult.manifest.version ?? '?'}`
-  : options.dir
-process.stdout.write(`\ndsh-plugin-check · ${title}\n`)
-if (options.runtime !== undefined) process.stdout.write(`目标运行时: ${options.runtime}\n`)
-process.stdout.write('\n')
-for (const finding of errors) process.stdout.write(`  ❌ [${finding.rule}] ${finding.message}\n`)
-for (const finding of warnings) process.stdout.write(`  ⚠️  [${finding.rule}] ${finding.message}\n`)
-for (const finding of infos) process.stdout.write(`  ✅ ${finding.message}
-`)
-if (findings.length === 0) process.stdout.write('  全部规则通过\n')
-process.stdout.write('\n')
-if (smokeSkipped && !options.skipSmoke && errors.length > 0) {
-  process.stdout.write('清单存在 error,隔离冒烟未执行;修复后重跑。\n')
-} else if (options.skipSmoke) {
-  process.stdout.write('已按 --skip-smoke 跳过隔离冒烟。\n')
-}
-process.stdout.write(failed
-  ? `结论: 不合格(${errors.length} error / ${warnings.length} warning)\n`
-  : `结论: 合格(0 error / ${warnings.length} warning)\n`)
-process.exit(failed ? 1 : 0)
+#!/usr/bin/env node
+/* ============================================================
+ * dsh-plugin-check:插件合格性体检 CLI
+ * ============================================================
+ * 用法:
+ *   npx @tokensapi/dsh-plugin-check [插件目录] [选项]
+ *
+ * 选项:
+ *   --runtime <version>  目标 DSH 运行时版本(启用 engine/peer 交集判定)
+ *   --skip-smoke         只跑清单体检(离线、秒级)
+ *   --keep-workspace     保留冒烟临时工作区供排查
+ *   --strict             warning 也计入失败
+ *   --json               机器可读输出(市场门禁用)
+ *
+ * 退出码:0 = 合格;1 = 存在 error(--strict 时含 warning)。
+ * ============================================================ */
+import { resolve } from 'node:path'
+import { checkManifest } from '../lib/manifest-check.mjs'
+import { checkSmoke } from '../lib/smoke-check.mjs'
+import { fetchPackage } from '../lib/fetch-package.mjs'
+
+const args = process.argv.slice(2)
+const options = { dir: process.cwd(), package: undefined, runtime: undefined, skipSmoke: false, keepWorkspace: false, strict: false, json: false }
+for (let index = 0; index < args.length; index += 1) {
+  const arg = args[index]
+  if (arg === '--runtime') { options.runtime = args[++index]; continue }
+  if (arg === '--package') { options.package = args[++index]; continue }
+  if (arg === '--skip-smoke') { options.skipSmoke = true; continue }
+  if (arg === '--keep-workspace') { options.keepWorkspace = true; continue }
+  if (arg === '--strict') { options.strict = true; continue }
+  if (arg === '--json') { options.json = true; continue }
+  if (arg === '--help' || arg === '-h') {
+    process.stdout.write('用法: dsh-plugin-check [插件目录] [--package <name@version>] [--runtime <version>] [--skip-smoke] [--keep-workspace] [--strict] [--json]\n')
+    process.exit(0)
+  }
+  if (arg.startsWith('--')) {
+    process.stderr.write(`未知选项: ${arg}\n`)
+    process.exit(2)
+  }
+  options.dir = resolve(arg)
+}
+
+const findings = []
+const phases = []
+
+if (options.package !== undefined) {
+  const fetched = fetchPackage(options.package)
+  if ('error' in fetched) {
+    process.stderr.write(`无法获取 ${options.package}: ${fetched.error}
+`)
+    process.exit(1)
+  }
+  options.dir = fetched.dir
+}
+
+const manifestResult = checkManifest(options.dir, { runtime: options.runtime })
+findings.push(...manifestResult.findings)
+phases.push({ phase: 'manifest', findings: manifestResult.findings })
+
+let smokeSkipped = true
+if (!options.skipSmoke
+  && manifestResult.manifest !== undefined
+  && manifestResult.rows !== undefined
+  && !manifestResult.findings.some(finding => finding.level === 'error')) {
+  smokeSkipped = false
+  const smokeResult = checkSmoke(options.dir, manifestResult.manifest, manifestResult.rows, {
+    keepWorkspace: options.keepWorkspace,
+  })
+  findings.push(...smokeResult.findings)
+  phases.push({ phase: 'smoke', findings: smokeResult.findings, workspace: smokeResult.workspace })
+} else if (!options.skipSmoke) {
+  phases.push({ phase: 'smoke', skipped: '清单体检存在 error,冒烟不再执行' })
+}
+
+const errors = findings.filter(finding => finding.level === 'error')
+const warnings = findings.filter(finding => finding.level === 'warning')
+const infos = findings.filter(finding => finding.level === 'info')
+const failed = errors.length > 0 || (options.strict && warnings.length > 0)
+
+if (options.json) {
+  process.stdout.write(`${JSON.stringify({
+    ok: !failed,
+    plugin: manifestResult.manifest?.name,
+    version: manifestResult.manifest?.version,
+    runtime: options.runtime ?? null,
+    errors,
+    warnings,
+    phases,
+  }, undefined, 2)}\n`)
+  process.exit(failed ? 1 : 0)
+}
+
+const title = manifestResult.manifest?.name !== undefined
+  ? `${manifestResult.manifest.name}@${manifestResult.manifest.version ?? '?'}`
+  : options.dir
+process.stdout.write(`\ndsh-plugin-check · ${title}\n`)
+if (options.runtime !== undefined) process.stdout.write(`目标运行时: ${options.runtime}\n`)
+process.stdout.write('\n')
+for (const finding of errors) process.stdout.write(`  ❌ [${finding.rule}] ${finding.message}\n`)
+for (const finding of warnings) process.stdout.write(`  ⚠️  [${finding.rule}] ${finding.message}\n`)
+for (const finding of infos) process.stdout.write(`  ✅ ${finding.message}
+`)
+if (findings.length === 0) process.stdout.write('  全部规则通过\n')
+process.stdout.write('\n')
+if (smokeSkipped && !options.skipSmoke && errors.length > 0) {
+  process.stdout.write('清单存在 error,隔离冒烟未执行;修复后重跑。\n')
+} else if (options.skipSmoke) {
+  process.stdout.write('已按 --skip-smoke 跳过隔离冒烟。\n')
+}
+process.stdout.write(failed
+  ? `结论: 不合格(${errors.length} error / ${warnings.length} warning)\n`
+  : `结论: 合格(0 error / ${warnings.length} warning)\n`)
+process.exit(failed ? 1 : 0)

package/cordis.patch.yml

@@ -0,0 +1,3 @@
+- insert:
+    - id: tokens-plugin-check
+      name: '@tokensapi/dsh-plugin-check'

package/lib/cowork-plugin.mjs

@@ -0,0 +1,78 @@
+/* ============================================================
+ * Cowork 插件入口:会话内插件体检工具
+ * ============================================================
+ * 装进 TokensCowork 后注册 plugin_check 工具:对任意 npm 插件包
+ * 跑清单规则(与 CLI 的清单阶段同源),模型或用户在会话里即可
+ * 判断"这个插件装进来会不会有问题"。含隔离启动冒烟的完整体检
+ * 仍走 CLI:npx @tokensapi/dsh-plugin-check --package <name@ver>。
+ * ============================================================ */
+import { defineTool } from '@deepseek-ai/dsh-tools'
+import { checkPublishedManifest } from './registry-check.mjs'
+
+/** 缺省比对的运行时版本;宿主升级后可通过插件配置覆盖。 */
+const DEFAULT_RUNTIME = '0.1.3-alpha.1'
+const REGISTRY = 'https://registry.npmjs.org'
+const FETCH_TIMEOUT_MS = 15_000
+
+export const name = 'tokens-plugin-check'
+export const inject = ['tools']
+
+async function fetchManifest(packageName, version) {
+  const controller = new AbortController()
+  const timer = setTimeout(() => controller.abort(), FETCH_TIMEOUT_MS)
+  try {
+    const response = await fetch(
+      `${REGISTRY}/${encodeURIComponent(packageName)}/${encodeURIComponent(version)}`,
+      { signal: controller.signal, headers: { accept: 'application/json' } },
+    )
+    if (!response.ok) {
+      throw new Error(response.status === 404 ? `npm 上未找到 ${packageName}@${version}` : `npm 查询失败(HTTP ${response.status})`)
+    }
+    return await response.json()
+  } finally {
+    clearTimeout(timer)
+  }
+}
+
+/**
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @param {{ runtime?: string }} [config]
+ */
+export function apply(ctx, config = {}) {
+  const runtime = typeof config.runtime === 'string' && config.runtime !== '' ? config.runtime : DEFAULT_RUNTIME
+  ctx.tools.register(defineTool({
+    name: 'plugin_check',
+    description: 'Check whether a published DSH/TokensCowork plugin npm package is safe to install: '
+      + 'forbidden lifecycle scripts, dual-kernel core dependencies, missing dsh bundle patch, '
+      + 'and runtime/peer compatibility against the current DSH runtime. '
+      + 'Returns ok=false with per-rule findings when the plugin would break the host.',
+    parameters: {
+      package: {
+        type: 'string',
+        required: true,
+        description: 'npm package name, e.g. "@tokensapi/dsh-progressive-tools".',
+      },
+      version: {
+        type: 'string',
+        description: 'Exact version to check. Defaults to the latest dist-tag.',
+      },
+    },
+    output: {
+      schema: { type: 'json' },
+      render: (_args, value) => [{ type: 'text', text: JSON.stringify(value) }],
+    },
+    isConcurrencySafe: () => true,
+    async execute(args) {
+      const manifest = await fetchManifest(args.package, args.version ?? 'latest')
+      const findings = checkPublishedManifest(manifest, runtime)
+      return {
+        package: manifest.name,
+        version: manifest.version,
+        runtime,
+        ok: !findings.some(finding => finding.level === 'error'),
+        findings,
+        note: '以上为清单规则;含隔离启动冒烟的完整体检请运行 npx @tokensapi/dsh-plugin-check --package <name@version>',
+      }
+    },
+  }))
+}

package/lib/fetch-package.mjs

@@ -1,44 +1,44 @@
-/* ============================================================
- * 已发布包获取:npm pack 指定 spec 并解包,供市场门禁按
- * "包名@版本"体检(而不是本地目录)。
- * ============================================================ */
-import { mkdtempSync, mkdirSync, readdirSync } from 'node:fs'
-import { spawnSync } from 'node:child_process'
-import { tmpdir } from 'node:os'
-import { join } from 'node:path'
-import { runNpm } from './npm.mjs'
-
-const FETCH_TIMEOUT_MS = 180_000
-
-/**
- * 拉取并解包一个已发布的 npm 包。
- * @param {string} spec - 如 "@scope/name@1.2.3"(建议锁定精确版本)。
- * @returns {{ dir: string } | { error: string }} dir 为解出的包根目录
- *   (临时位置,由调用方决定何时清理)。
- */
-export function fetchPackage(spec) {
-  const workspace = mkdtempSync(join(tmpdir(), 'dsh-plugin-fetch-'))
-  const pack = runNpm(['pack', spec, '--pack-destination', workspace], workspace, FETCH_TIMEOUT_MS)
-  if (pack.status !== 0) {
-    return { error: `npm pack ${spec} 失败: ${(pack.stderr || pack.stdout || '').trim().split('\n').slice(-3).join(' ')}` }
-  }
-  const tarball = readdirSync(workspace).find(name => name.endsWith('.tgz'))
-  if (tarball === undefined) return { error: 'npm pack 未产出 tgz' }
-  const extractDir = join(workspace, 'extracted')
-  mkdirSync(extractDir)
-  // Windows 自带 bsdtar,macOS/Linux 自带 tar;相对路径调用避开
-  // MSYS tar 对盘符路径的误判。
-  const extract = spawnSync('tar', ['-xzf', tarball, '-C', 'extracted'], {
-    cwd: workspace,
-    encoding: 'utf8',
-    timeout: FETCH_TIMEOUT_MS,
-    shell: process.platform === 'win32',
-  })
-  if (extract.status !== 0) {
-    return { error: `解包失败: ${(extract.stderr || '').trim().split('\n').slice(-2).join(' ')}` }
-  }
-  // npm 打包约定顶层目录名为 package/。
-  const [root] = readdirSync(extractDir)
-  if (root === undefined) return { error: '解包结果为空' }
-  return { dir: join(extractDir, root) }
-}
+/* ============================================================
+ * 已发布包获取:npm pack 指定 spec 并解包,供市场门禁按
+ * "包名@版本"体检(而不是本地目录)。
+ * ============================================================ */
+import { mkdtempSync, mkdirSync, readdirSync } from 'node:fs'
+import { spawnSync } from 'node:child_process'
+import { tmpdir } from 'node:os'
+import { join } from 'node:path'
+import { runNpm } from './npm.mjs'
+
+const FETCH_TIMEOUT_MS = 180_000
+
+/**
+ * 拉取并解包一个已发布的 npm 包。
+ * @param {string} spec - 如 "@scope/name@1.2.3"(建议锁定精确版本)。
+ * @returns {{ dir: string } | { error: string }} dir 为解出的包根目录
+ *   (临时位置,由调用方决定何时清理)。
+ */
+export function fetchPackage(spec) {
+  const workspace = mkdtempSync(join(tmpdir(), 'dsh-plugin-fetch-'))
+  const pack = runNpm(['pack', spec, '--pack-destination', workspace], workspace, FETCH_TIMEOUT_MS)
+  if (pack.status !== 0) {
+    return { error: `npm pack ${spec} 失败: ${(pack.stderr || pack.stdout || '').trim().split('\n').slice(-3).join(' ')}` }
+  }
+  const tarball = readdirSync(workspace).find(name => name.endsWith('.tgz'))
+  if (tarball === undefined) return { error: 'npm pack 未产出 tgz' }
+  const extractDir = join(workspace, 'extracted')
+  mkdirSync(extractDir)
+  // Windows 自带 bsdtar,macOS/Linux 自带 tar;相对路径调用避开
+  // MSYS tar 对盘符路径的误判。
+  const extract = spawnSync('tar', ['-xzf', tarball, '-C', 'extracted'], {
+    cwd: workspace,
+    encoding: 'utf8',
+    timeout: FETCH_TIMEOUT_MS,
+    shell: process.platform === 'win32',
+  })
+  if (extract.status !== 0) {
+    return { error: `解包失败: ${(extract.stderr || '').trim().split('\n').slice(-2).join(' ')}` }
+  }
+  // npm 打包约定顶层目录名为 package/。
+  const [root] = readdirSync(extractDir)
+  if (root === undefined) return { error: '解包结果为空' }
+  return { dir: join(extractDir, root) }
+}