@tokensapi/dsh-plugin-check 0.3.3 → 0.4.0

package/lib/client-check.mjs

@@ -0,0 +1,98 @@
+/* ============================================================
+ * M12-client:dsh.client 声明
+ * ============================================================
+ * 为什么这条是 error 而不是"你自己的事":宿主的 client-modules 在
+ * **构造期同步**解析所有已加载包的 dsh.client(parseDshClient,
+ * packages/client/modules/src/index.ts:200-221),一份声明写坏会抛出
+ * 并让整个 client-modules fiber FAIL —— 受害的不止这个插件,而是同
+ * 一宿主里所有需要前端模块的插件。
+ *
+ * 字段全集就是 { platform, inject?, external?, immediately? }
+ * (同文件 :51-64),未知键被忽略。
+ * ============================================================ */
+
+/**
+ * 上游 exactPackageSpecifier(index.ts:192-198):只接受精确的裸包根,
+ * scope 包恰好两段、非 scope 包不含 "/"。
+ * @param {string} specifier
+ * @returns {boolean}
+ */
+function isExactPackageSpecifier(specifier) {
+  if (specifier.startsWith('@')) {
+    const parts = specifier.split('/')
+    return parts.length === 2 && parts.every(Boolean)
+  }
+  return specifier.length > 0 && !specifier.includes('/')
+}
+
+/** 上游 clientExportOf(index.ts:224-234)接受的两种形状。 */
+function clientExportProblem(exportsField) {
+  if (typeof exportsField !== 'object' || exportsField === null) return 'missing'
+  const client = exportsField['./client']
+  if (client === undefined) return 'missing'
+  if (typeof client === 'string') return undefined
+  if (typeof client === 'object' && client !== null && typeof client.default === 'string') return undefined
+  return 'malformed'
+}
+
+/**
+ * 对一份清单执行 M12 判定。
+ * 没有 dsh.client 的插件(绝大多数)直接返回空,不产生任何噪音。
+ * @param {object} manifest - package.json / registry 版本文档。
+ * @returns {Array<{level: 'error'|'warning', rule: string, message: string}>}
+ */
+export function checkClientDeclaration(manifest) {
+  const findings = []
+  const error = (message) => findings.push({ level: 'error', rule: 'M12-client', message })
+  const warning = (message) => findings.push({ level: 'warning', rule: 'M12-client', message })
+
+  const declaration = manifest.dsh?.client
+  if (declaration === undefined) return findings
+
+  if (typeof declaration !== 'object' || declaration === null || Array.isArray(declaration)) {
+    error('dsh.client 不是对象;宿主解析到非对象声明会同步抛错,'
+      + '连带让整个 client-modules 失败(同宿主其他插件的前端模块一起挂)')
+    return findings
+  }
+
+  if (typeof declaration.platform !== 'string') {
+    error('dsh.client.platform 缺失或不是字符串;宿主 parseDshClient 会同步抛错')
+  } else if (declaration.platform !== 'web') {
+    warning(`dsh.client.platform 是 "${declaration.platform}";`
+      + '宿主只把 platform === "web" 的行当作前端模块,其他取值等于这段声明不会生效')
+  }
+
+  for (const field of ['inject', 'external']) {
+    const value = declaration[field]
+    if (value === undefined) continue
+    if (!Array.isArray(value) || value.some(item => typeof item !== 'string')) {
+      error(`dsh.client.${field} 必须是字符串数组`)
+      continue
+    }
+    if (field !== 'external') continue
+    const packageName = typeof manifest.name === 'string' ? manifest.name : ''
+    for (const item of value) {
+      if (!isExactPackageSpecifier(item)) {
+        error(`dsh.client.external 的 "${item}" 不是精确的裸包名;`
+          + 'scope 包必须恰好两段(@scope/name),非 scope 包不能含 "/"')
+      } else if (packageName !== '' && item === packageName) {
+        error(`dsh.client.external 不能包含本包自身 "${item}";`
+          + '宿主会判定这一行"请求了自己提供的模块"并抛错')
+      }
+    }
+  }
+
+  if (declaration.immediately !== undefined && typeof declaration.immediately !== 'boolean') {
+    error('dsh.client.immediately 必须是布尔值')
+  }
+
+  const exportProblem = clientExportProblem(manifest.exports)
+  if (exportProblem === 'missing') {
+    error('声明了 dsh.client 却没有 exports["./client"];'
+      + '宿主会以 "declares dsh.client but exports no ./client bundle" 抛错')
+  } else if (exportProblem === 'malformed') {
+    error('exports["./client"] 必须是字符串,或带字符串 default 的对象')
+  }
+
+  return findings
+}

package/lib/contract.mjs

@@ -0,0 +1,210 @@
+/* ============================================================
+ * 上游契约基线
+ * ============================================================
+ * 这个工具的每条规则都不是写法偏好,而是照着某个上游版本的真实
+ * 行为写下的判定。上游一变,规则可能要跟着变,也可能完全不用变
+ * —— 区别只有"回去看一眼"才知道。所以把「照着哪个版本核对的」
+ * 做成机器可读的一份数据,跟着每次体检结果一起输出;目标运行时
+ * 落在核对过的范围之外时明确说"没核对过",而不是假装照样有效。
+ *
+ * 每条规则锚在上游哪个文件/行:见 docs/CHECKS.md。
+ * 上游升级后的逐条复核流程:见同一文档末尾「上游变动后怎么复核」。
+ * ============================================================ */
+
+/** 上游契约基线:最近一次逐条核对上游代码时的事实快照。 */
+export const CONTRACT = {
+  /** 最近一次逐条核对上游代码的日期。 */
+  verifiedAt: '2026-09-10',
+  /** 核对时上游各包的版本;规则的判定口径照着这些版本的代码写。 */
+  upstream: {
+    'dsh-plugin-desktop': '2.0.5',
+    'dsh-community-market': '0.1.0-dev.0',
+    '@deepseek-ai/cordis': '4.0.2',
+    '@deepseek-ai/dsh-tools': '0.1.3-alpha.1',
+    pnpm: '11.8.0',
+  },
+  /** 实际核对过的 DSH 运行时版本。 */
+  runtimes: ['0.1.0-rc.8', '0.1.3-alpha.1'],
+  /** 核对过的运行时区间;超出只代表未核对,不代表不可用。 */
+  runtimeRange: '>=0.1.0-rc.8 <0.2.0',
+}
+
+/** 一行人读的基线摘要,供 CLI 抬头与会话内结果展示。 */
+export function contractLine() {
+  const { upstream } = CONTRACT
+  return `契约基线 ${CONTRACT.verifiedAt} · desktop ${upstream['dsh-plugin-desktop']}`
+    + ` / market ${upstream['dsh-community-market']}`
+    + ` · 已核对运行时 ${CONTRACT.runtimes.join('、')}`
+}
+
+/**
+ * 目标运行时是否在核对过的范围内。
+ * 不做区间数学:只认"确实核对过的那几个版本",别的一律如实说
+ * 没核对过 —— 这条提示的价值就在于不替上游的未知变动打包票。
+ * @param {string | undefined} runtime - 目标 DSH 运行时版本。
+ * @returns {Array<{level: 'warning', rule: string, message: string}>}
+ */
+export function checkContractBaseline(runtime) {
+  if (runtime === undefined || runtime === '') return []
+  if (CONTRACT.runtimes.includes(runtime)) return []
+  return [{
+    level: 'warning',
+    rule: 'C0-contract',
+    message: `目标运行时 ${runtime} 不在本工具核对过的版本里`
+      + `(已核对 ${CONTRACT.runtimes.join('、')},核对日期 ${CONTRACT.verifiedAt});`
+      + `规则仍按 ${CONTRACT.runtimeRange} 的上游行为判定,上游若已改动,结论可能过时或过严。`
+      + `复核清单见 docs/CHECKS.md`,
+  }]
+}
+
+/**
+ * 安装期生命周期脚本。曾经是市场硬红线,核对下来现在不是了。
+ * 上游 dsh-community-market 0.1.0-dev.0 的 npm 验证器已不再看
+ * scripts;受控安装是 `pnpm add --save-exact --registry=…`,没有
+ * --ignore-scripts,而 Profile 也没有配 onlyBuiltDependencies 允许
+ * 名单。两种结局都不好,但都不是"上架被拒",所以降为 warning:
+ *  - 脚本真执行 → 安装即在用户机器上跑任意代码;
+ *  - 脚本被包管理器默认策略拦下 → 依赖脚本产物的插件装完即坏。
+ */
+export const LIFECYCLE_SCRIPTS = ['preinstall', 'install', 'postinstall', 'prepare']
+
+/** M2 的措辞:两条安装路径行为不同,分开说清楚。 */
+export function lifecycleMessage(script) {
+  if (script === 'prepare') {
+    return 'prepare 脚本:从 npm tarball 安装时不执行,从 github: 源安装时执行;'
+      + '同一个包两条安装路径行为不一致,构建请改用 prepack'
+  }
+  return `${script} 脚本:宿主受控安装是 pnpm add(未加 --ignore-scripts),`
+    + `要么在用户机器上执行任意代码,要么被包管理器默认策略拦下、脚本产物缺失导致插件装完即坏;`
+    + `构建请改用 prepack`
+}
+
+/* ============================================================
+ * 上游谓词的本地副本
+ * ============================================================
+ * 下面几个判定逐字照抄上游,注释里标出锚点。照抄而不是"按理解重写"
+ * 是有意的:上游改了这几行,diff 才看得出来我们跟着漂了没有。
+ * ============================================================ */
+
+/**
+ * 携带身份语义的核心包:cordis 上下文与 dsh 服务在宿主/插件各持一份时
+ * Symbol 不等,注册对不上。schemastery、cosmokit 等纯工具库不在此列,
+ * 插件可以正常依赖。
+ */
+export const CORE_SCOPE = '@deepseek-ai/'
+
+/**
+ * 是否为带身份语义的核心包(M3 / M7 共用)。
+ * 曾经 manifest-check 与 registry-check 各存一份,这里合并为一处。
+ * @param {string} name - npm 包名。
+ * @returns {boolean}
+ */
+export function isIdentityCore(name) {
+  return name === `${CORE_SCOPE}cordis`
+    || name.startsWith(`${CORE_SCOPE}cordis-`)
+    || name.startsWith(`${CORE_SCOPE}dsh`)
+}
+
+/**
+ * 是否与 DSH 运行时**同一条版本线**。
+ *
+ * 这条区分不能省:核心包里只有 @deepseek-ai/dsh* 跟着 DSH 运行时版本
+ * 走(0.1.3-alpha.1 这类),而 @deepseek-ai/cordis 自成一条 4.x 线 ——
+ * 拿 "4.0.1 || 4.0.2" 去比对运行时 0.1.3-alpha.1,得到的"不含目标运行时"
+ * 是范畴错误,而不是插件的问题(本包自己的清单就是这个形状)。
+ * 所以 M7 的**范围合法性**覆盖全部核心包,**是否含目标运行时**只对这条线判。
+ * @param {string} name - npm 包名。
+ * @returns {boolean}
+ */
+export function isRuntimeVersioned(name) {
+  return name.startsWith(`${CORE_SCOPE}dsh`)
+}
+
+/** 上游 dsh-community-market/src/install/service.ts:26 的 PACKAGE_NAME_PATTERN。 */
+export const PACKAGE_NAME_PATTERN = /^(?:@[a-z0-9][a-z0-9._-]*\/)?[a-z0-9][a-z0-9._-]*$/u
+
+/**
+ * 上游 desktop-plugins.ts:193 的 safePackageName(比市场侧多一条 214 长度限制)。
+ * @param {unknown} value
+ * @returns {boolean}
+ */
+export function safePackageName(value) {
+  return typeof value === 'string' && value.length <= 214 && PACKAGE_NAME_PATTERN.test(value)
+}
+
+/**
+ * 永远装不进市场的产品包名。
+ * 上游 service.ts:35 BLOCKED_PRODUCT_PACKAGES + desktop-plugins.ts IMMUTABLE_BUNDLES
+ * 里对第三方有意义的那几个(宿主自身与市场自身)。
+ */
+export const BLOCKED_PACKAGE_NAMES = new Set([
+  'dsh-plugin-desktop',
+  'dsh-plugin-desktop-beta',
+  'dsh-community-market',
+  '@deepseek-ai/dsh-desktop-app',
+])
+
+/**
+ * 上游 dsh-community-market/src/install/service.ts:268 safeBundlePatch,逐字照抄。
+ * @param {unknown} value - dsh.bundle.patch 的值。
+ * @returns {boolean}
+ */
+export function safeBundlePatch(value) {
+  if (typeof value !== 'string' || value.length === 0 || value.length > 512 || value.includes('\0')) return false
+  const path = value.startsWith('./') ? value.slice(2) : value
+  return path.length > 0
+    && !path.startsWith('/')
+    && !path.includes('\\')
+    && path.split('/').every(segment => segment.length > 0 && segment !== '.' && segment !== '..' && !segment.includes(':'))
+}
+
+/**
+ * safeBundlePatch 不通过时,说清楚具体违反了哪一条 —— 只说"不合法"
+ * 作者无从下手。
+ * @param {string} value - 已确认为非空字符串的 patch 路径。
+ * @returns {string | undefined} 违规原因,合法时返回 undefined。
+ */
+export function bundlePatchProblem(value) {
+  if (safeBundlePatch(value)) return undefined
+  if (value.length > 512) return '超过 512 字符'
+  if (value.includes('\0')) return '含 NUL 字节'
+  const path = value.startsWith('./') ? value.slice(2) : value
+  if (path.length === 0) return '去掉 "./" 之后为空'
+  if (path.startsWith('/')) return '是绝对路径(必须相对于包根)'
+  if (path.includes('\\')) return '含反斜杠(必须用 "/" 分隔,Windows 风格路径不接受)'
+  const segments = path.split('/')
+  if (segments.some(segment => segment.length === 0)) return '含空路径段(如重复的 "//")'
+  if (segments.some(segment => segment === '.' || segment === '..')) return '含 "." 或 ".." 路径段(不得越出包根)'
+  if (segments.some(segment => segment.includes(':'))) return '路径段含 ":"'
+  return '不满足上游 safeBundlePatch'
+}
+
+/**
+ * 宿主保留的 Loader 行 id。撞上的后果不是"这个插件不生效":
+ *  - settings / web-runtime:dsh-plugin-desktop 直接抛错,Desktop 起不来
+ *    (profile.ts:955-958、977-979);
+ *  - 市场行 id:该行被静默剥离,并让整个 Market provider 以
+ *    "conflicting Market provider Loader identity was removed" 失败
+ *    (profile.ts:704-750、913)。
+ */
+export const RESERVED_ROW_IDS = new Set([
+  'settings',
+  'web-runtime',
+  'desktop-webserver',
+  // DESKTOP_MARKET_IDENTITIES.{community,dshMarket}.rowId(desktop-market.ts:31,36)
+  'community-market',
+  'dsh-market',
+])
+
+/**
+ * 宿主保留的 Loader 行 name(MARKET_PACKAGE_NAMES,desktop-market.ts:32,37)。
+ * 补丁行的 name 撞上同样触发 Market provider 失败;不过这类 name 本来就
+ * 会先被 M5 拦在"超出本包命名空间"上,这里保留是为了措辞更准确。
+ */
+export const RESERVED_ROW_NAMES = new Set([
+  'dsh-community-market',
+  'dshmarket',
+])
+
+/** 宿主 dsh-plugin-desktop 2.0.5 的 engines.node。 */
+export const HOST_NODE_ENGINES = '^22.19.0 || >=24.0.0'

package/lib/cowork-plugin.mjs

@@ -1,113 +1,118 @@
-/* ============================================================
- * Cowork 插件入口:会话内插件体检工具
- * ============================================================
- * 装进 TokensCowork 后注册 plugin_check 工具:对本地插件目录或
- * 任意 npm 插件包
- * 跑清单规则 + 包内补丁行检查(与 CLI 的清单阶段同源),模型或
- * 用户在会话里即可判断"这个插件装进来会不会有问题"。补丁行会
- * 从 tarball 里真读出来 —— 只看 registry 清单会漏掉"补丁行 name
- * 写成插件名"这类装上即崩的缺陷。含隔离启动冒烟的完整体检仍走
- * CLI:npx @tokensapi/dsh-plugin-check --package <name@ver>。
- * ============================================================ */
-import { resolve } from 'node:path'
-import { defineTool } from '@deepseek-ai/dsh-tools'
-import { checkManifest } from './manifest-check.mjs'
-import { checkPublishedPackage } from './registry-check.mjs'
-
-/** 缺省比对的运行时版本;宿主升级后可通过插件配置覆盖。 */
-const DEFAULT_RUNTIME = '0.1.3-alpha.1'
-const REGISTRY = 'https://registry.npmjs.org'
-const FETCH_TIMEOUT_MS = 15_000
-
-export const name = 'tokens-plugin-check'
-export const inject = ['tools']
-
-async function fetchManifest(packageName, version) {
-  const controller = new AbortController()
-  const timer = setTimeout(() => controller.abort(), FETCH_TIMEOUT_MS)
-  try {
-    const response = await fetch(
-      `${REGISTRY}/${encodeURIComponent(packageName)}/${encodeURIComponent(version)}`,
-      { signal: controller.signal, headers: { accept: 'application/json' } },
-    )
-    if (!response.ok) {
-      throw new Error(response.status === 404 ? `npm 上未找到 ${packageName}@${version}` : `npm 查询失败(HTTP ${response.status})`)
-    }
-    return await response.json()
-  } finally {
-    clearTimeout(timer)
-  }
-}
-
-/**
- * @param {import('@deepseek-ai/cordis').Context} ctx
- * @param {{ runtime?: string }} [config]
- */
-export function apply(ctx, config = {}) {
-  const runtime = typeof config.runtime === 'string' && config.runtime !== '' ? config.runtime : DEFAULT_RUNTIME
-  ctx.tools.register(defineTool({
-    name: 'plugin_check',
-    description: 'Check whether a DSH/TokensCowork plugin is safe to install: forbidden lifecycle '
-      + 'scripts, dual-kernel core dependencies, missing or out-of-scope cordis patch rows, and '
-      + 'runtime/peer compatibility against the current DSH runtime. Returns ok=false with per-rule '
-      + 'findings when the plugin would break the host. '
-      + 'Pass "path" for a plugin the user is developing locally (checks the working tree, no publish '
-      + 'needed) — prefer this whenever the user asks about their own plugin before releasing it. '
-      + 'Pass "package" for an already published npm package. Exactly one of the two is required.',
-    parameters: {
-      path: {
-        type: 'string',
-        description: 'Local plugin directory containing package.json. Use for unpublished/in-development plugins.',
-      },
-      package: {
-        type: 'string',
-        description: 'Published npm package name, e.g. "@tokensapi/dsh-progressive-tools".',
-      },
-      version: {
-        type: 'string',
-        description: 'Exact version to check with "package". Defaults to the latest dist-tag.',
-      },
-    },
-    output: {
-      schema: { type: 'json' },
-      render: (_args, value) => [{ type: 'text', text: JSON.stringify(value) }],
-    },
-    isConcurrencySafe: () => true,
-    async execute(args) {
-      const hasPath = typeof args.path === 'string' && args.path !== ''
-      const hasPackage = typeof args.package === 'string' && args.package !== ''
-      if (hasPath === hasPackage) {
-        throw new Error('plugin_check 需要且只需要一个目标:本地目录传 path,已发布包传 package')
-      }
-      if (hasPath) {
-        // 本地工作区体检:发版前就能判,不需要先 publish。隔离冒烟要装
-        // 依赖起子进程,宿主进程里不做,如实告知走 CLI。
-        const local = checkManifest(resolve(args.path), { runtime })
-        return {
-          path: resolve(args.path),
-          package: local.manifest?.name,
-          version: local.manifest?.version,
-          runtime,
-          ok: !local.findings.some(finding => finding.level === 'error'),
-          inspectedPatch: true,
-          findings: local.findings,
-          note: '以上为清单规则 + 补丁行检查(读的是本地工作区);隔离启动冒烟请在插件目录运行 '
-            + 'npx @tokensapi/dsh-plugin-check --runtime ' + runtime,
-        }
-      }
-      const manifest = await fetchManifest(args.package, args.version ?? 'latest')
-      const { findings, inspectedPatch } = await checkPublishedPackage(manifest, runtime)
-      return {
-        package: manifest.name,
-        version: manifest.version,
-        runtime,
-        ok: !findings.some(finding => finding.level === 'error'),
-        inspectedPatch,
-        findings,
-        note: inspectedPatch
-          ? '以上为清单规则 + 包内补丁行检查;含隔离启动冒烟的完整体检请运行 npx @tokensapi/dsh-plugin-check --package <name@version>'
-          : '未读到包内补丁文件,补丁行未检查;请运行 npx @tokensapi/dsh-plugin-check --package <name@version> 做完整体检',
-      }
-    },
-  }))
-}
+/* ============================================================
+ * Cowork 插件入口:会话内插件体检工具
+ * ============================================================
+ * 装进 TokensCowork 后注册 plugin_check 工具:对本地插件目录或
+ * 任意 npm 插件包
+ * 跑清单规则 + 包内补丁行检查(与 CLI 的清单阶段同源),模型或
+ * 用户在会话里即可判断"这个插件装进来会不会有问题"。补丁行会
+ * 从 tarball 里真读出来 —— 只看 registry 清单会漏掉"补丁行 name
+ * 写成插件名"这类装上即崩的缺陷。含隔离启动冒烟的完整体检仍走
+ * CLI:npx @tokensapi/dsh-plugin-check --package <name@ver>。
+ * ============================================================ */
+import { resolve } from 'node:path'
+import { defineTool } from '@deepseek-ai/dsh-tools'
+import { checkManifest } from './manifest-check.mjs'
+import { checkPublishedPackage } from './registry-check.mjs'
+import { CONTRACT, checkContractBaseline } from './contract.mjs'
+
+/** 缺省比对的运行时版本;宿主升级后可通过插件配置覆盖。 */
+const DEFAULT_RUNTIME = '0.1.3-alpha.1'
+const REGISTRY = 'https://registry.npmjs.org'
+const FETCH_TIMEOUT_MS = 15_000
+
+export const name = 'tokens-plugin-check'
+export const inject = ['tools']
+
+async function fetchManifest(packageName, version) {
+  const controller = new AbortController()
+  const timer = setTimeout(() => controller.abort(), FETCH_TIMEOUT_MS)
+  try {
+    const response = await fetch(
+      `${REGISTRY}/${encodeURIComponent(packageName)}/${encodeURIComponent(version)}`,
+      { signal: controller.signal, headers: { accept: 'application/json' } },
+    )
+    if (!response.ok) {
+      throw new Error(response.status === 404 ? `npm 上未找到 ${packageName}@${version}` : `npm 查询失败(HTTP ${response.status})`)
+    }
+    return await response.json()
+  } finally {
+    clearTimeout(timer)
+  }
+}
+
+/**
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @param {{ runtime?: string }} [config]
+ */
+export function apply(ctx, config = {}) {
+  const runtime = typeof config.runtime === 'string' && config.runtime !== '' ? config.runtime : DEFAULT_RUNTIME
+  ctx.tools.register(defineTool({
+    name: 'plugin_check',
+    description: 'Check whether a DSH/TokensCowork plugin is safe to install: forbidden lifecycle '
+      + 'scripts, dual-kernel core dependencies, missing or out-of-scope cordis patch rows, and '
+      + 'runtime/peer compatibility against the current DSH runtime. Returns ok=false with per-rule '
+      + 'findings when the plugin would break the host. '
+      + 'Pass "path" for a plugin the user is developing locally (checks the working tree, no publish '
+      + 'needed) — prefer this whenever the user asks about their own plugin before releasing it. '
+      + 'Pass "package" for an already published npm package. Exactly one of the two is required.',
+    parameters: {
+      path: {
+        type: 'string',
+        description: 'Local plugin directory containing package.json. Use for unpublished/in-development plugins.',
+      },
+      package: {
+        type: 'string',
+        description: 'Published npm package name, e.g. "@tokensapi/dsh-progressive-tools".',
+      },
+      version: {
+        type: 'string',
+        description: 'Exact version to check with "package". Defaults to the latest dist-tag.',
+      },
+    },
+    output: {
+      schema: { type: 'json' },
+      render: (_args, value) => [{ type: 'text', text: JSON.stringify(value) }],
+    },
+    isConcurrencySafe: () => true,
+    async execute(args) {
+      const hasPath = typeof args.path === 'string' && args.path !== ''
+      const hasPackage = typeof args.package === 'string' && args.package !== ''
+      if (hasPath === hasPackage) {
+        throw new Error('plugin_check 需要且只需要一个目标:本地目录传 path,已发布包传 package')
+      }
+      if (hasPath) {
+        // 本地工作区体检:发版前就能判,不需要先 publish。隔离冒烟要装
+        // 依赖起子进程,宿主进程里不做,如实告知走 CLI。
+        const local = checkManifest(resolve(args.path), { runtime })
+        const localFindings = [...checkContractBaseline(runtime), ...local.findings]
+        return {
+          path: resolve(args.path),
+          package: local.manifest?.name,
+          version: local.manifest?.version,
+          runtime,
+          contract: CONTRACT,
+          ok: !localFindings.some(finding => finding.level === 'error'),
+          inspectedPatch: true,
+          findings: localFindings,
+          note: '以上为清单规则 + 补丁行检查(读的是本地工作区);隔离启动冒烟请在插件目录运行 '
+            + 'npx @tokensapi/dsh-plugin-check --runtime ' + runtime,
+        }
+      }
+      const manifest = await fetchManifest(args.package, args.version ?? 'latest')
+      const { findings, inspectedPatch } = await checkPublishedPackage(manifest, runtime)
+      const published = [...checkContractBaseline(runtime), ...findings]
+      return {
+        package: manifest.name,
+        version: manifest.version,
+        runtime,
+        contract: CONTRACT,
+        ok: !published.some(finding => finding.level === 'error'),
+        inspectedPatch,
+        findings: published,
+        note: inspectedPatch
+          ? '以上为清单规则 + 包内补丁行检查;含隔离启动冒烟的完整体检请运行 npx @tokensapi/dsh-plugin-check --package <name@version>'
+          : '未读到包内补丁文件,补丁行未检查;请运行 npx @tokensapi/dsh-plugin-check --package <name@version> 做完整体检',
+      }
+    },
+  }))
+}