@xiaoyuyu6420/dsh-backup 0.13.1 → 0.13.2

package/lib/index.js

@@ -59,8 +59,18 @@ export const inject = ['subprocess', 'commands', 'timer', 'tools'];
 
 /** Windows 无 POSIX chmod 语义（用户目录 ACL 默认私有）。 */
 const IS_WIN = process.platform === 'win32';
-/** sha256 回退路径（node:fs 读取 + node:crypto）的内存上限。 */
+/** 深度校验（会话日志整读入内存）的体积上限；sha256 流式回退不适用此限。 */
 const HASH_MAX_BYTES = 256 * 1024 * 1024;
+/** 流式 sha256 的分块大小（4MB ≈ 每块几毫秒 CPU，块间让出事件循环）。 */
+const HASH_CHUNK_BYTES = 4 * 1024 * 1024;
+/**
+ * 启动宽限期：插件装配后头 45 秒不启动任何重活（全量 tar/gzip + 哈希要几分钟）。
+ * 宿主自己的 boot 预算按 30s 计（#103：DSH Desktop 的 HostRpc 30s 超时），
+ * 启动期补跑全量备份会抢 CPU/IO 把宿主 boot 拖超时，进而被判失败强杀。
+ */
+const AUTO_BOOT_GRACE_MS = 45_000;
+/** 自动备份失败后同会话内的重试间隔（只重试一次，避免失败热循环烧 CPU）。 */
+const AUTO_RETRY_MS = 30 * 60_000;
 /** GitHub 单个文件 100MB 上限，留 10MB 余量。 */
 const MAX_GITHUB_BYTES = 90 * 1024 * 1024;
 /** 同步工作树目录名（位于备份目录下）。 */
@@ -77,6 +87,8 @@ const DOWNLOAD_PREFIX = '/backup-download';
 const SENSITIVE_DEFAULTS = ['.credentials.yaml', '.env', 'qq-bridge/config.json'];
 /** 备份目录下保存明文敏感文件的子目录（随备份刷新为最新一份的副本）。 */
 const VAULT_DIR = 'vault';
+/** vault 下存放「凭据旧布局存底」的子目录：跨升级的长效安全网，备份刷新时不得删除。 */
+const PRESERVED_DIR = 'preserved';
 
 /**
  * 分类型备份的内容类型表（相对 ~/.dsh 根的 POSIX 路径）。
@@ -94,7 +106,6 @@ const BACKUP_TYPES = Object.freeze({
   settings: { label: '设置', paths: ['settings.yaml'] },
   profiles: { label: '插件 profiles', paths: ['profiles'] },
 });
-const BACKUP_TYPE_KEYS = Object.freeze(Object.keys(BACKUP_TYPES));
 /** 分类型归档前缀（与全量 dsh- 区分：独立轮换、不进全量列表、旧版插件不可见不误删）。 */
 const TYPED_PREFIX = 'dsh-t-';
 
@@ -297,17 +308,36 @@ const DEFAULTS = Object.freeze({
 /**
  * 解析 settings 命名空间的 schema，同时定义默认值。
  * Base 层：pluginConfig（cordis.patch.yml，插件级或 profile 级）。
- * User 层：Settings 面板运行时编辑，持久化到 settings.yaml。
+ * User 层：Settings 面板运行时编辑（0.1.6 及更早持久化到 settings.yaml；
+ * 0.1.7 起由宿主写入 profile 覆盖层）。
+ *
+ * **两代模型共用这一份**：
+ *  - ≤0.1.6-alpha.1：`ctx.settings.register(NS, SCHEMA)` 自注册命名空间；
+ *  - ≥0.1.7（含 0.2.0）：`register` 被移除，宿主改从「条目的 Config schema」
+ *    派生表单，且只认**标了 volatile 的字段**（宿主 dsh-settings 的
+ *    `volatileForm` 仅当 `meta.volatile` 存在才纳入表单）。故此处导出 Config
+ *    并逐字段标注 volatile。
+ *
+ * `volatileField` 做运行时探测：老载体（@deepseek-ai/schemastery < 3.18.4）
+ * 没有 `.volatile()`，探测失败就原样返回——老宿主走 register 路径，不需要它。
+ * 这样同一份代码在 0.1.1 → 0.2.0 全列车都能装配，不会因新 API 缺失而崩在装载期。
  */
+const volatileField = (schema) => (typeof schema.volatile === 'function' ? schema.volatile() : schema);
+
 const SCHEMA = z.object({
-  destination: z.string().default(DEFAULTS.destination),
-  keep: z.number().min(0).default(0),
-  exclude: z.array(z.string()).default(DEFAULTS.exclude),
-  redact: z.union([z.array(z.string()), 'off']).default(DEFAULTS.redact),
-  githubRepo: z.string().default(DEFAULTS.githubRepo),
-  updateCheck: z.boolean().default(DEFAULTS.updateCheck),
+  destination: volatileField(z.string().default(DEFAULTS.destination)),
+  keep: volatileField(z.number().min(0).default(0)),
+  exclude: volatileField(z.array(z.string()).default(DEFAULTS.exclude)),
+  // 'none' 是 v0.6 时代写法（代码里映射为 'off'）：schema 收下它，别让老配置
+  // 在新宿主的条目校验里被拒。
+  redact: volatileField(z.union([z.array(z.string()), 'off', 'none']).default(DEFAULTS.redact)),
+  githubRepo: volatileField(z.string().default(DEFAULTS.githubRepo)),
+  updateCheck: volatileField(z.boolean().default(DEFAULTS.updateCheck)),
 });
 
+/** 宿主装载条目时读取的 Config schema（0.1.7+ 的设置表单来源）。 */
+export const Config = SCHEMA;
+
 const SETTINGS_FIELDS = ['destination', 'keep', 'exclude', 'redact', 'githubRepo', 'updateCheck'];
 
 /** 校验并归一化单个字段到 `out`；非法值忽略。 */
@@ -515,7 +545,13 @@ export function apply(ctx, pluginConfig) {
   let settingsService;
   ctx.inject(['settings'], (sctx) => {
     settingsService = sctx.settings;
-    settingsService.register(NS, SCHEMA, { base: resolveBase(pluginConfig) });
+    // 0.1.7 起宿主移除了 settings.register（新模型改由「profile 条目自带的
+    // Config schema」派生表单）；旧宿主（≤0.1.6-alpha.1）仍走自注册命名空间。
+    // 两级都留：有 register 就注册，没有就跳过——请求侧按「命名空间缺失」显式
+    // 降级，而不是在装配期抛错（旧实现在新宿主上是静默 TypeError）。
+    if (typeof settingsService.register === 'function') {
+      settingsService.register(NS, SCHEMA, { base: resolveBase(pluginConfig) });
+    }
     // detach 清理：服务中途 dispose 时置空，resolvedConfig() 自动降级到 pluginConfig
     return () => { settingsService = undefined; };
   });
@@ -678,6 +714,9 @@ export function apply(ctx, pluginConfig) {
   // （'D:' + '/' + name 仍是合法路径，renameBeside 等不受影响）。
   const parentTar = (p) => (p.endsWith('/') ? p : `${p}/`);
 
+  /** 仓库地址：CLI 首次备份的 star 提示用（面板侧另有常驻入口，见 src/client.js）。 */
+  const STAR_URL = 'https://github.com/xiaoyuyu6420/dsh-backup';
+
   /** semver 比较（常见形态，含 prerelease）：a > b 才返回 true；解析失败保守降为 false。 */
   function semverGt(a, b) {
     const parse = (s) => {
@@ -816,6 +855,18 @@ export function apply(ctx, pluginConfig) {
     return out;
   }
 
+  /**
+   * vault 串行锁：同一进程内「备份刷新镜像」与「凭据存底」（启动钩子 / migrate
+   * 预检）都写同一个 vault 目录。旧实现是"整目录 rm -rf 再重写"，两路并发时
+   * 互相踩——Linux 上实测 ENOTEMPTY 直接让整个备份失败（CI 稳定复现）。
+   */
+  let vaultChain = Promise.resolve();
+  function withVaultLock(task) {
+    const next = vaultChain.then(task, task);
+    vaultChain = next.then(() => {}, () => {});
+    return next;
+  }
+
   /**
    * 刷新本机 vault：把 ~/.dsh 中现存的敏感文件按相对路径镜像到
    * `<备份目录>/vault/`（先清空旧镜像，vault 永远对应最新一次备份）。
@@ -827,29 +878,41 @@ export function apply(ctx, pluginConfig) {
     const vaultDir = `${root}/${VAULT_DIR}`;
     if (!rels.length) return [];
     if (signal?.aborted) throw new Error('操作已取消');
-    await rm(vaultDir, { recursive: true, force: true });
-    const stored = [];
-    for (const rel of rels) {
-      const src = `${dshHome}/${rel}`;
-      const ok = await fsStat(src).then(() => true, (err) => {
-        if (err && err.code === 'ENOENT') return false;
-        throw err;
-      });
-      if (!ok) continue;
-      const dst = `${vaultDir}/${rel}`;
-      await mkdir(dirname(dst), { recursive: true });
-      await copyFile(src, dst);
-      stored.push(rel);
-    }
-    if (stored.length && !IS_WIN) {
-      const chmod = await ctx.subprocess.resolveExecutable('chmod');
+    return withVaultLock(async () => {
+      // 只清 vault 里的**镜像条目**：`preserved/`（凭据存底）绝不能被下一次备份
+      // 抹掉——它正是为"升级后想回退"留的后路。镜像文件随后会被 copyFile 覆盖成
+      // 最新内容，所以清理失败（另一实例正在写）一律容忍，不值得让备份失败。
+      let names = [];
       try {
-        await spawnRun([chmod, '-R', 'go-rwx', vaultDir], home, signal);
-      } catch {
-        // chmod 失败不阻断备份：vault 已在用户私有目录下，权限收紧是纵深防御
+        names = await readdir(vaultDir);
+      } catch { /* vault 尚不存在：下面逐文件 mkdir 会建 */ }
+      for (const n of names) {
+        if (n === PRESERVED_DIR) continue;
+        await rm(`${vaultDir}/${n}`, { recursive: true, force: true }).catch(() => {});
       }
-    }
-    return stored;
+      const stored = [];
+      for (const rel of rels) {
+        const src = `${dshHome}/${rel}`;
+        const ok = await fsStat(src).then(() => true, (err) => {
+          if (err && err.code === 'ENOENT') return false;
+          throw err;
+        });
+        if (!ok) continue;
+        const dst = `${vaultDir}/${rel}`;
+        await mkdir(dirname(dst), { recursive: true });
+        await copyFile(src, dst);
+        stored.push(rel);
+      }
+      if (stored.length && !IS_WIN) {
+        const chmod = await ctx.subprocess.resolveExecutable('chmod');
+        try {
+          await spawnRun([chmod, '-R', 'go-rwx', vaultDir], home, signal);
+        } catch {
+          // chmod 失败不阻断备份：vault 已在用户私有目录下，权限收紧是纵深防御
+        }
+      }
+      return stored;
+    });
   }
 
   function stampNow() {
@@ -997,7 +1060,11 @@ export function apply(ctx, pluginConfig) {
   }
 
   // 校验和：POSIX 优先 sha256sum（macOS 回退 shasum）流式计算；
-  // 都不可用时（Windows）回退 node:fs 读取 + node:crypto 内存哈希。
+  // 都不可用时（Windows 典型）回退 node:crypto 流式哈希。
+  // #103：旧实现是 readFile 整包进内存 + 同步 update，且 >256MB 直接抛错——
+  // Windows 上 3GB 级归档因此**必然失败**，备份写完 tar 却永远收不了尾，
+  // 锚点不前进 → 每次启动重跑一次全量 tar → 宿主 boot 窗口被拖死。
+  // 改为 createReadStream 分块喂哈希：不整包入内存、每块之间让出事件循环、无体积上限。
   async function sha256File(absPath, home, signal) {
     for (const candidate of [['sha256sum', []], ['shasum', ['-a', '256']]]) {
       try {
@@ -1010,12 +1077,18 @@ export function apply(ctx, pluginConfig) {
         // 尝试下一个
       }
     }
-    const info = await fsStat(absPath);
-    if (info.size > HASH_MAX_BYTES) {
-      throw new Error(`计算 sha256 失败：文件 ${Math.floor(info.size / 1048576)}MB 超过 ${Math.floor(HASH_MAX_BYTES / 1048576)}MB 回退上限`);
+    const hash = createHash('sha256');
+    const stream = createReadStream(absPath, { highWaterMark: HASH_CHUNK_BYTES });
+    try {
+      for await (const chunk of stream) {
+        if (signal?.aborted) throw new Error('操作已取消');
+        hash.update(chunk);
+      }
+    } catch (err) {
+      stream.destroy();
+      throw err;
     }
-    const bytes = await readFile(absPath);
-    return createHash('sha256').update(bytes).digest('hex');
+    return hash.digest('hex');
   }
 
   async function existsStat(p) {
@@ -1843,17 +1916,23 @@ export function apply(ctx, pluginConfig) {
         if (mergedProfiles.length) {
           try {
             const pnpm = await ctx.subprocess.resolveExecutable('pnpm');
+            // 单个 profile 装失败记入 failed 并继续（与全量恢复路径同语义）；
+            // pnpm 本身缺失才落到外层 note。
             for (const p of mergedProfiles) {
               try {
                 await spawnRun([pnpm, 'install', '--frozen-lockfile'], `${dshHome}/profiles/${p}`, signal);
                 deps.installed.push(p);
               } catch {
-                await spawnRun([pnpm, 'install'], `${dshHome}/profiles/${p}`, signal);
-                deps.installed.push(p);
+                try {
+                  await spawnRun([pnpm, 'install'], `${dshHome}/profiles/${p}`, signal);
+                  deps.installed.push(p);
+                } catch {
+                  deps.failed.push(p);
+                }
               }
             }
           } catch {
-            deps.note = 'pnpm 不可用，跳过依赖重装（配置已恢复）';
+            deps.note = '未找到 pnpm，请在各 profile 目录手动执行 pnpm install';
           }
         }
       }
@@ -2428,14 +2507,17 @@ export function apply(ctx, pluginConfig) {
   async function preserveFlatCredentials() {
     const { dshHome, root } = paths();
     if (!(await credentialsIsFlatLayout(dshHome))) return null;
-    const dir = `${root}/${VAULT_DIR}/preserved`;
-    await mkdir(dir, { recursive: true });
-    const dest = `${dir}/credentials-flat-${new Date().toISOString().replace(/[:.]/g, '-').slice(0, 19)}.yaml`;
-    await copyFile(`${dshHome}/.credentials.yaml`, dest);
-    // 轮换：只留最近 3 份（按文件名时间戳排序即时间序）
-    const old = (await readdir(dir)).filter((n) => n.startsWith('credentials-flat-')).sort();
-    for (const n of old.slice(0, Math.max(old.length - 3, 0))) await rm(`${dir}/${n}`, { force: true });
-    return dest;
+    // 与备份侧的 vault 刷新共用串行锁：并发写入同一 vault 目录互相踩（ENOTEMPTY）
+    return withVaultLock(async () => {
+      const dir = `${root}/${VAULT_DIR}/${PRESERVED_DIR}`;
+      await mkdir(dir, { recursive: true });
+      const dest = `${dir}/credentials-flat-${new Date().toISOString().replace(/[:.]/g, '-').slice(0, 19)}.yaml`;
+      await copyFile(`${dshHome}/.credentials.yaml`, dest);
+      // 轮换：只留最近 3 份（按文件名时间戳排序即时间序）
+      const old = (await readdir(dir)).filter((n) => n.startsWith('credentials-flat-')).sort();
+      for (const n of old.slice(0, Math.max(old.length - 3, 0))) await rm(`${dir}/${n}`, { force: true });
+      return dest;
+    });
   }
 
   /** 环境级探测：硬链接支持（v3 发布用 fs.link，exFAT 等会 ENOTSUP）+ 凭据布局。 */
@@ -2598,6 +2680,30 @@ export function apply(ctx, pluginConfig) {
   // 上次见到的宿主列车（detectHostTrain 代理值）：null=尚未记录（首启动只记
   // 录不拍快照），非 null 且变化 → 升/降级 → 自动拍 dsh-pre-upgrade- 快照。
   let lastTrain = null;
+  // 增长：CLI 回执的 star 提示只出现一次（持久化在 auto.json；旧版读未知字段安全忽略）
+  let starHinted = false;
+  // #103 循环防护三件套：
+  //  - lastAutoAttemptAt：每次自动备份**起跑即记**（不等到成功）。写盘后即使进程
+  //    被强杀（重活干到一半被杀正是本 issue 的形态），下次启动也知道"刚试过"，
+  //    不会以 delay≤0 立刻重跑；旧版读未知字段安全忽略。
+  //  - newestArchiveAt：备份目录里最新归档的 mtime，调度锚点的最终兜底——磁盘上
+  //    躺着新归档就说明不必马上再打一份，避免锚点丢失导致的重跑。
+  //  - lastAutoError：上次失败原因（成功即清），让"备份一直在失败"这件事在
+  //    /backup 与面板上可见，而不是只躺在没人看的宿主日志里。
+  let lastAutoAttemptAt = null;
+  let newestArchiveAt = 0;
+  let lastAutoError = null;
+  // 连续失败次数（内存态）：失败重试按 30min × 2^(n-1) 退避、封顶一个周期，
+  // 避免确定性失败（磁盘满/权限）变成每 30 分钟烧一次 CPU 的热循环。
+  let autoFailStreak = 0;
+  // 无人值守的重活串行队列：开机补跑与列车快照可能同时到点，两份 GB 级 tar
+  // 并行会把机器彻底压死。手动备份/恢复快照是用户在等结果的显式操作，不入队。
+  let heavyChain = Promise.resolve();
+  function enqueueHeavy(task) {
+    const next = heavyChain.then(task, task);
+    heavyChain = next.then(() => {}, () => {});
+    return next;
+  }
 
   /**
    * 等待 settings 用户层加载完成（describe 出现 revision）。启动钩子若在
@@ -2640,7 +2746,7 @@ export function apply(ctx, pluginConfig) {
     // （先到者 rename 走，后到者 ENOENT），UUID 跨实例唯一
     const tmp = `${target}.${randomUUID()}.tmp`;
     try {
-      await writeOwned(tmp, `${JSON.stringify({ hours: autoHours, lastAutoAt, github: githubState, lastTrain })}\n`);
+      await writeOwned(tmp, `${JSON.stringify({ hours: autoHours, lastAutoAt, github: githubState, lastTrain, starHinted, lastAutoAttemptAt, lastAutoError })}\n`);
       await rename(tmp, target);
     } catch (err) {
       await rm(tmp, { force: true }).catch(() => {});
@@ -2648,6 +2754,32 @@ export function apply(ctx, pluginConfig) {
     }
   }
 
+  /**
+   * 磁盘上最新全量归档的 mtime（#103 兜底锚点）：锚点丢失/不前进时，只要备份
+   * 目录里躺着新归档就不该马上再打一份——这是"失败→重跑→再失败"死循环的
+   * 第二道断路（第一道是 lastAutoAttemptAt）。口径与 listBackups 一致：
+   * 只看用户可见的全量归档，不含内部快照与分类型归档。
+   */
+  async function refreshNewestArchiveAt() {
+    const { root } = paths();
+    let dirents;
+    try {
+      dirents = await readdir(root, { withFileTypes: true });
+    } catch {
+      return; // 备份目录还没有/不可读：锚点保持 0
+    }
+    let newest = 0;
+    for (const d of dirents) {
+      if (!d.name.startsWith('dsh-') || !d.name.endsWith('.tar.gz')) continue;
+      if (SNAPSHOT_PREFIXES.some((p) => d.name.startsWith(p)) || d.name.startsWith(TYPED_PREFIX)) continue;
+      try {
+        const st = await fsStat(`${root}/${d.name}`);
+        if (st.mtimeMs > newest) newest = st.mtimeMs;
+      } catch { /* 与轮换/删除竞态：忽略 */ }
+    }
+    newestArchiveAt = newest;
+  }
+
   async function loadAutoState() {
     try {
       const { root } = paths();
@@ -2665,7 +2797,16 @@ export function apply(ctx, pluginConfig) {
       // 故一律视为非法 → null，从当前时间起算 catch-up。
       const lastTs = typeof parsed?.lastAutoAt === 'string' ? Date.parse(parsed.lastAutoAt) : NaN;
       lastAutoAt = Number.isNaN(lastTs) || lastTs > Date.now() ? null : parsed.lastAutoAt;
+      const attTs = typeof parsed?.lastAutoAttemptAt === 'string' ? Date.parse(parsed.lastAutoAttemptAt) : NaN;
+      lastAutoAttemptAt = Number.isNaN(attTs) || attTs > Date.now() ? null : parsed.lastAutoAttemptAt;
       lastTrain = typeof parsed?.lastTrain === 'string' && parsed.lastTrain ? parsed.lastTrain : null;
+      starHinted = parsed?.starHinted === true;
+      const e = parsed?.lastAutoError;
+      lastAutoError = e && typeof e === 'object' && typeof e.message === 'string'
+        ? { at: typeof e.at === 'string' ? e.at : '', message: e.message }
+        : null;
+      // 旧版写的 auto.json 没有这些字段 → 全部按缺失处理，行为与旧版一致
+      await refreshNewestArchiveAt();
       return Number.isFinite(h) && h >= 1 && h <= 720 ? Math.floor(h) : 0;
     } catch (err) {
       // ENOENT = 首次使用还没有 auto.json，是正常初始状态，静默按未配置处理；
@@ -2673,16 +2814,20 @@ export function apply(ctx, pluginConfig) {
       if (err && err.code !== 'ENOENT') {
         console.warn(`[dsh-backup] 自动备份计划文件读取失败，定时备份已暂停（不影响已有备份）：执行 /backup auto <小时数> 可重新开启（${String(err && err.message ? err.message : err)}）`);
       }
+      await refreshNewestArchiveAt();
       return 0;
     }
   }
 
-  /** 下次自动备份触发时间（毫秒）：上次执行 + 周期；无锚点从当前时间起算。 */
+  /** 调度锚点（毫秒）：上次成功 / 磁盘最新归档，取最晚者；皆无则 0。 */
+  function autoAnchorAt() {
+    return Math.max(Number(new Date(lastAutoAt)) || 0, newestArchiveAt || 0);
+  }
+
+  /** 下次自动备份触发时间（毫秒）：锚点 + 周期；无锚点从当前时间起算。 */
   function nextAutoAt() {
     const cycle = autoHours * 3600 * 1000;
-    // 非法/缺失 lastAutoAt 按 0 处理：从当前时间起算，避免 NaN 传染延迟计算
-    const anchor = (Number(new Date(lastAutoAt)) || 0) + cycle;
-    return Math.max(anchor, Date.now());
+    return Math.max(autoAnchorAt() + cycle, Date.now());
   }
 
   /** 本地时间显示：YYYY-MM-DD HH:mm——不依赖运行时 locale（裸跑环境会落 en-US）。 */
@@ -2692,43 +2837,82 @@ export function apply(ctx, pluginConfig) {
     return `${d.getFullYear()}-${p(d.getMonth() + 1)}-${p(d.getDate())} ${p(d.getHours())}:${p(d.getMinutes())}`;
   }
 
+  /** 失败提示（若有）：让"备份一直在失败"在 /backup 与面板上可见，而不是只躺在宿主日志里。 */
+  function autoErrorNote() {
+    if (!lastAutoError) return '';
+    const when = lastAutoError.at ? formatWhen(Date.parse(lastAutoError.at)) : '';
+    const msg = lastAutoError.message.length > 200 ? `${lastAutoError.message.slice(0, 200)}…` : lastAutoError.message;
+    return `\n⚠️ 上次自动备份未完成${when ? `（${when}）` : ''}：${msg}`;
+  }
+
   function autoSummary() {
-    if (!autoDispose) return '自动备份未开启（/backup auto <N小时> 开启）';
-    // 绝对节奏：下次 = 上次执行 + 周期；错过（重启间隔超周期）则按现在显示，调度会立即补跑。
-    return `自动备份已开启：每 ${autoHours} 小时一次（已持久化，重启续跑），下次 ${formatWhen(nextAutoAt())}${lastAuto ? `；上次自动备份: ${lastAuto}` : ''}`;
+    if (!autoDispose) return `自动备份未开启（/backup auto <N小时> 开启）${autoErrorNote()}`;
+    // 绝对节奏：下次 = 锚点 + 周期；错过（重启间隔超周期）则按现在显示，调度会在启动宽限后补跑。
+    return `自动备份已开启：每 ${autoHours} 小时一次（已持久化，重启续跑），下次 ${formatWhen(nextAutoAt())}${lastAuto ? `；上次自动备份: ${lastAuto}` : ''}${autoErrorNote()}`;
   }
 
-  /** 链式 timeout 调度：每次触发后按上次执行时间推算下一次，重启后节奏不重置。 */
-  function scheduleAuto() {
+  /**
+   * 链式 timeout 调度：每次触发后按锚点推算下一次，重启后节奏不重置。
+   * #103 两条断路，缺一不可：
+   *  1. boot 宽限——启动路径的首次触发绝不落在宿主 boot 窗口内（delay≤0 的补跑
+   *     正是把 GB 级 tar 塞进 boot 窗口、拖垮 HostRpc 的元凶）；
+   *  2. 尝试冷却——上次**起跑**（不要求成功）之后 30 分钟（失败按 2^n 退避）内
+   *     不再起跑。锚点落盘，所以"干到一半被强杀 → 下次启动又立刻重跑"的循环断开。
+   */
+  function scheduleAuto(opts = {}) {
     // 关闭竞态保护：auto off 时 in-flight 备份完成后的续链会以 autoHours=0
     // 算出 delay=0，形成无限备份循环——关闭后绝不续链。
     if (autoHours <= 0) return;
-    const delay = nextAutoAt() - Date.now();
+    const cycle = autoHours * 3600 * 1000;
+    let delay = nextAutoAt() - Date.now();
+    const attemptAt = Number(new Date(lastAutoAttemptAt)) || 0;
+    const cooldown = autoFailStreak > 0
+      ? Math.min(AUTO_RETRY_MS * 2 ** (autoFailStreak - 1), cycle)
+      : AUTO_RETRY_MS;
+    if (attemptAt) delay = Math.max(delay, attemptAt + cooldown - Date.now());
+    if (opts.boot) delay = Math.max(delay, AUTO_BOOT_GRACE_MS);
     autoDispose = ctx.timeout(async () => {
-      await runAutoBackup();
+      // 无人值守重活串行：与列车快照等其它无人值守任务排队，不并行抢机器
+      await enqueueHeavy(runAutoBackup);
       scheduleAuto();
     }, delay);
   }
 
   async function runAutoBackup() {
+    // 起跑留痕（先写盘再干活）：进程被强杀也不丢"刚试过"这个事实，
+    // 下次启动据此冷却，不会在 boot 窗口里重跑（#103）。
+    lastAutoAttemptAt = new Date().toISOString();
+    await saveAutoState().catch(() => { /* 记录失败不阻断备份本身 */ });
     try {
       const r = await doBackup(autoKeep());
       lastAuto = r.path.split('/').pop();
       lastAutoAt = new Date().toISOString();
+      lastAutoError = null;
+      autoFailStreak = 0;
+      newestArchiveAt = Date.now();
       await saveAutoState();
       console.log(`[dsh-backup] 自动备份完成: ${r.path} (sha ${r.sha.slice(0, 12)}…)`);
     } catch (err) {
-      // 失败也推进内存锚点：否则下次 delay=0 立即重试形成热循环。不落盘
-      // （失败路径 auto.json 大概率也写失败），下次成功备份会持久化。
-      lastAutoAt = new Date().toISOString();
-      console.error(`[dsh-backup] 自动备份失败: ${String(err && err.message ? err.message : err)}`);
+      // 失败不再"只推进内存锚点"（旧实现不落盘 → 每次启动 delay≤0 重跑，
+      // 3GB 归档必然失败时就是无限重跑；#103）。改记失败原因 + 退避重试，
+      // 由 lastAutoAttemptAt（已落盘）负责跨重启冷却。
+      autoFailStreak += 1;
+      const message = String(err && err.message ? err.message : err);
+      lastAutoError = { at: new Date().toISOString(), message };
+      await saveAutoState().catch(() => { /* 失败路径写盘也可能失败，不影响内存退避 */ });
+      console.error(`[dsh-backup] 自动备份失败（第 ${autoFailStreak} 次，${Math.round(Math.min(AUTO_RETRY_MS * 2 ** (autoFailStreak - 1), autoHours * 3600 * 1000) / 60000)} 分钟后重试）: ${message}`);
     }
   }
 
   async function setAuto(h) {
     if (autoDispose) { autoDispose(); autoDispose = null; }
     autoHours = h;
+    // 开启/重设 = 用户要一次基线备份：清掉旧锚点与失败退避，让下次触发落在"现在"
     lastAutoAt = null;
+    lastAutoAttemptAt = null;
+    newestArchiveAt = 0;
+    autoFailStreak = 0;
+    lastAutoError = null;
     if (h > 0) scheduleAuto();
     await saveAutoState();
   }
@@ -2918,9 +3102,17 @@ export function apply(ctx, pluginConfig) {
         const typesMatch = input.match(/--(?:types|only)\s+([\w,]+)/);
         const types = typesMatch ? [...new Set(typesMatch[1].split(',').map((s) => s.trim()).filter(Boolean))] : undefined;
         const r = await doBackup(keep, invocation.signal, types ? { types } : {});
+        // 增长（每周增长仪表盘配套）：首次手动备份成功后给一次 star 提示，此后永不再现；
+        // 自动备份的日志不加（噪音），面板有常驻入口。
+        let starNote = '';
+        if (!starHinted) {
+          starNote = `\n\n💡 觉得好用的话，给个 Star 是对我们最大的支持: ${STAR_URL}`;
+          starHinted = true;
+          await saveAutoState().catch(() => { /* 记录失败不影响回执内容 */ });
+        }
         return {
           kind: 'success',
-          text: `✅ 备份完成${types ? `（类型: ${types.join(', ')}${r.hasCredentials ? '，含明文凭据·不进 GitHub 同步' : ''}）` : ''}\n  文件: ${r.path}\n  校验和: ${r.sha.slice(0, 16)}…\n  轮换: 删除 ${r.stale} 份旧备份（保留 ${r.keep} 份）${quarantineNote(r)}\n  ${autoSummary()}`,
+          text: `✅ 备份完成${types ? `（类型: ${types.join(', ')}${r.hasCredentials ? '，含明文凭据·不进 GitHub 同步' : ''}）` : ''}\n  文件: ${r.path}\n  校验和: ${r.sha.slice(0, 16)}…\n  轮换: 删除 ${r.stale} 份旧备份（保留 ${r.keep} 份）${quarantineNote(r)}\n  ${autoSummary()}${starNote}`,
         };
       } catch (err) {
         return { kind: 'error', text: `备份失败: ${friendlyReason(err)}` };
@@ -3306,8 +3498,22 @@ export function apply(ctx, pluginConfig) {
             sendJson(res, 503, { error: 'settings-unavailable' });
             return;
           }
+          // 0.1.7 起宿主换了 settings 模型：插件的 register(ns, schema) 被移除，
+          // 描述符改由「profile 条目自带的 Config schema」派生——我们自注册的
+          // 命名空间因此不在 describe() 里（0.1.6-alpha.1 及更早仍是旧模型）。
+          // 旧实现在这里直接抛 TypeError（读 undefined.value），面板只看到一句
+          // 原始报错、编辑还静默失败。改为显式降级：如实说明并指向配置出路。
+          const desc = describeOwn(settingsService, NS);
+          if (!desc) {
+            sendJson(res, 200, {
+              unavailable: true,
+              reason: 'settings-namespace-missing',
+              note: '此宿主版本的设置面板由宿主自带的配置表单接管（0.1.7 起插件自注册的设置命名空间不再生效）；本插件的选项请写在 profile 的 cordis.yml / cordis.patch.yml 的插件条目 config 下。',
+            });
+            return;
+          }
           if (req.method === 'GET' || req.method === 'HEAD') {
-            sendJson(res, 200, describeResponse(describeOwn(settingsService, NS)));
+            sendJson(res, 200, describeResponse(desc));
             return;
           }
           if (req.method !== 'POST') {
@@ -3340,7 +3546,7 @@ export function apply(ctx, pluginConfig) {
             }
             throw err;
           }
-          sendJson(res, 200, describeResponse(describeOwn(settingsService, NS)));
+          sendJson(res, 200, describeResponse(describeOwn(settingsService, NS) ?? desc));
         } catch (err) {
           sendJson(res, 400, { error: String(err && err.message ? err.message : err) });
         }
@@ -3348,7 +3554,8 @@ export function apply(ctx, pluginConfig) {
     }), 'dsh-backup: settings route');
   });
 
-  // 启动时恢复持久化的定时备份计划（不阻塞插件装配）；错过则 delay=0 立即补跑。
+  // 启动时恢复持久化的定时备份计划（不阻塞插件装配）；错过则在**启动宽限期之后**
+  // 补跑——绝不在宿主 boot 窗口内启动 GB 级 tar（#103）。
   // 同处做升级前快照：宿主列车变化（升/降级）先拍一份 dsh-pre-upgrade- 安全网
   // 再继续——命中社区"想试新版怕搞坏"的最大恐惧。首见列车只记录不拍。
   void (async () => {
@@ -3357,7 +3564,7 @@ export function apply(ctx, pluginConfig) {
     const h = await loadAutoState();
     if (h > 0 && !autoDispose) {
       autoHours = h;
-      scheduleAuto();
+      scheduleAuto({ boot: true });
     }
     // 凭据哨兵：宿主首次读档会把扁平布局的 .credentials.yaml 原子替换成
     // version:1（不可逆——旧宿主读不回 versioned，官方 #6358）。启动即检测，
@@ -3379,14 +3586,21 @@ export function apply(ctx, pluginConfig) {
     }
     if (lastTrain === train) return;
     const oldTrain = lastTrain;
-    try {
-      const snap = await doBackup(undefined, undefined, { namePrefix: 'dsh-pre-upgrade-' });
-      await prunePrefixedSnapshots('dsh-pre-upgrade-', 2, snap.name);
-      lastTrain = train;
-      await saveAutoState();
-      console.log(`[dsh-backup] 宿主列车变化（${oldTrain} → ${train}），已自动拍升级前快照: ${snap.name}${snap.quarantined?.length ? `（${snap.quarantined.length} 个损坏会话文件未入档）` : ''}`);
-    } catch (err) {
-      console.warn(`[dsh-backup] 升级前快照失败（不影响运行，下次启动会重试）: ${String(err && err.message ? err.message : err)}`);
-    }
+    // 列车快照同样是 GB 级重活：与自动补跑一样推迟到 boot 窗口之外，并走同一条
+    // 无人值守队列（两者同时到点时串行而非并行）。失败时不更新 lastTrain，
+    // 下次启动重试——语义与旧版一致。
+    ctx.timeout(() => {
+      void enqueueHeavy(async () => {
+        try {
+          const snap = await doBackup(undefined, undefined, { namePrefix: 'dsh-pre-upgrade-' });
+          await prunePrefixedSnapshots('dsh-pre-upgrade-', 2, snap.name);
+          lastTrain = train;
+          await saveAutoState();
+          console.log(`[dsh-backup] 宿主列车变化（${oldTrain} → ${train}），已自动拍升级前快照: ${snap.name}${snap.quarantined?.length ? `（${snap.quarantined.length} 个损坏会话文件未入档）` : ''}`);
+        } catch (err) {
+          console.warn(`[dsh-backup] 升级前快照失败（不影响运行，下次启动会重试）: ${String(err && err.message ? err.message : err)}`);
+        }
+      });
+    }, AUTO_BOOT_GRACE_MS);
   })();
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@xiaoyuyu6420/dsh-backup",
-  "version": "0.13.1",
+  "version": "0.13.2",
   "description": "一键备份与恢复 DeepSeek Harness（dsh）的全部用户数据（~/.dsh）：定时自动备份、升级快照、会话日志体检修复、迁移预检、宿主起不来也能用的救援通道、凭据脱敏、GitHub 同步跨机迁移，附可视化面板。 One command to back up & restore all of ~/.dsh: /backup, scheduled auto-backup, upgrade snapshots, session doctor & repair, migrate precheck, out-of-process rescue console, credential redaction, GitHub sync.",
   "type": "module",
   "packageManager": "pnpm@11.24.0",
@@ -53,12 +53,12 @@
   ],
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.1",
-    "@deepseek-ai/dsh-commands": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
-    "@deepseek-ai/dsh-fs": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
-    "@deepseek-ai/dsh-settings": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
-    "@deepseek-ai/dsh-subprocess": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
-    "@deepseek-ai/dsh-tools": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
-    "@deepseek-ai/dsh-typert-protocol": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1",
+    "@deepseek-ai/dsh-commands": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-fs": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-settings": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-subprocess": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-tools": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
+    "@deepseek-ai/dsh-typert-protocol": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1",
     "@deepseek-ai/schemastery": "^3.18.1"
   },
   "devDependencies": {
@@ -69,7 +69,7 @@
   },
   "engines": {
     "node": ">=20",
-    "dsh": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1"
+    "dsh": "^0.1.1-rc.2 || ^0.1.2-rc.1 || ^0.1.5-rc.1 || ^0.1.6-alpha.1 || ^0.1.7-alpha.1 || ^0.2.0-rc.1"
   },
   "license": "MIT",
   "repository": {