@xrxs-ai/dsh-xrxs-plugins-store 0.2.0 → 0.2.1

package/lib/host/installer.d.ts

@@ -1,6 +1,6 @@
 import type { ApiClient } from './api-client.ts';
 import { ApiError } from './api-client.ts';
-import type { HostInfo } from './host-info.ts';
+import type { HostInfo, HostKind } from './host-info.ts';
 /**
  * dsh CLI 发现 + 安装执行链路(设计文档 §3.1 / §3.2 / §3.4):
  * - 执行通道按优先级:PATH/常见位置里的 dsh shim(**先探测再用**)→ RunAsNode 兜底 → 降级「复制命令」;
@@ -48,8 +48,9 @@ export interface DshCliResolution {
 /** CLI 输出里的「本机不可用」信号 → 中文原因;不是这类信号返回 null。 */
 export declare function describeUnavailableCliOutput(output: string): string | null;
 /** 探测 + 解析可用通道(异步:会真实执行 shim 的 --version,只在安装/卸载路径调用)。
+ *  `kind` 决定 RunAsNode 兜底通道优先哪个桌面应用(见 DESKTOP_APP_NAMES_BY_KIND);
  *  `appRoots` 是测试注入点(覆盖桌面应用候选根目录),生产调用不传。 */
-export declare function resolveDshCli(env?: NodeJS.ProcessEnv, execPath?: string, appRoots?: readonly string[]): Promise<DshCliResolution>;
+export declare function resolveDshCli(env?: NodeJS.ProcessEnv, execPath?: string, appRoots?: readonly string[], kind?: HostKind): Promise<DshCliResolution>;
 /** 只要通道(兼容旧调用形态)。 */
 export declare function discoverDshCli(env?: NodeJS.ProcessEnv, execPath?: string): Promise<DshCli | null>;
 /** 「两个通道都不可用」的中文说明(讲清哪一层不可用,不回显 CLI 英文原文)。 */
@@ -61,7 +62,9 @@ export type KnownInstallErrorKind = 'minimum-release-age' | 'version-incompatibl
 /** 市场记录的版本在 registry 上不存在(ERR_PNPM_NO_MATCHING_VERSION)。 */
  | 'version-not-published'
 /** 整个包在 registry 上不存在(404)。 */
- | 'package-not-found';
+ | 'package-not-found'
+/** 依赖的安装脚本被 pnpm 10+ 默认拦截(ERR_PNPM_IGNORED_BUILDS),需用户批准构建。 */
+ | 'build-scripts-ignored';
 export interface KnownInstallError {
     kind: KnownInstallErrorKind;
     hint: string;

package/lib/host/installer.js

@@ -16,8 +16,22 @@ const CLI_UNAVAILABLE_PATTERNS = [
     /Node\.js runtime not found/i,
     /Please run DeepSeek Harness Desktop/i,
 ];
-/** 桌面应用的候选名(macOS 为 <名>.app;Windows/Linux 为安装目录名)。 */
-const DESKTOP_APP_NAMES = ['DSH Desktop', 'DeepSeek Harness Desktop'];
+/** 各宿主对应的桌面应用名(按优先序)。RunAsNode 兜底通道从应用内置的 desktop-cli.js 跑,
+ *  而 CLI 的 peer 校验按**其所在应用**内置的 dsh 版本来 —— 必须优先用与当前宿主同源的应用,
+ *  否则会出现「插件装在薪灵(~/.xsh)、却借 DSH Desktop 的旧运行时校验」的错位拒绝
+ *  (实测:薪灵 0.2.1-rc.2 的机器上按 DSH Desktop 0.2.0-rc.2 拒装)。 */
+const DESKTOP_APP_NAMES_BY_KIND = {
+    cinlyn: ['薪灵'],
+    dsh: ['DSH Desktop', 'DeepSeek Harness Desktop'],
+};
+/** 全部应用候选:当前 kind 的在前,其余 kind 的追加在后仅作兜底(跨源应用的 dsh 版本可能错位,见上)。 */
+function desktopAppNames(kind) {
+    const primary = DESKTOP_APP_NAMES_BY_KIND[kind];
+    const rest = Object.values(DESKTOP_APP_NAMES_BY_KIND)
+        .flat()
+        .filter((name) => !primary.includes(name));
+    return [...primary, ...rest];
+}
 function shimNames(platform) {
     return platform === 'win32' ? ['dsh.cmd', 'dsh.exe', 'dsh'] : ['dsh'];
 }
@@ -107,7 +121,7 @@ function desktopDirCandidate(appRoot, appName, platform) {
     return isRunnableFile(executable, platform) ? { executable, cliJs } : null;
 }
 /** RunAsNode 候选 2:按 OS 常见安装位置兜底。 */
-function runAsNodeFromKnownLocations(platform, env, home, overrideRoots) {
+function runAsNodeFromKnownLocations(platform, env, home, appNames, overrideRoots) {
     const roots = overrideRoots ??
         (platform === 'darwin'
             ? ['/Applications', join(home, 'Applications')]
@@ -115,12 +129,12 @@ function runAsNodeFromKnownLocations(platform, env, home, overrideRoots) {
                 ? [join(env.LOCALAPPDATA ?? join(home, 'AppData', 'Local'), 'Programs')]
                 : ['/opt', join(home, '.local', 'share')]);
     for (const root of roots) {
-        for (const appName of DESKTOP_APP_NAMES) {
+        for (const appName of appNames) {
             const candidate = platform === 'darwin'
                 ? macAppCandidate(join(root, `${appName}.app`), appName, platform)
                 : desktopDirCandidate(join(root, appName), appName, platform);
             if (candidate !== null)
-                return candidate;
+                return { ...candidate, appName };
         }
     }
     return null;
@@ -129,11 +143,16 @@ function runAsNodeFromKnownLocations(platform, env, home, overrideRoots) {
  *  运行时优先 `DSH_NODE`(应用注入给子进程的自家 node;本机实测应用主进程环境里没有该变量,
  *  所以实际走「应用可执行文件 + ELECTRON_RUN_AS_NODE=1」),两者都要求落地校验。
  *  全部失败 → null,由调用方降级为「复制命令」。 */
-function findRunAsNode(platform, env, home, execPath, notes, appRoots) {
+function findRunAsNode(platform, env, home, execPath, notes, kind, appRoots) {
     const candidate = runAsNodeFromCurrentProcess(execPath, platform) ??
-        runAsNodeFromKnownLocations(platform, env, home, appRoots);
+        runAsNodeFromKnownLocations(platform, env, home, desktopAppNames(kind), appRoots);
     if (candidate === null)
         return null;
+    // 跨宿主兜底:命中的不是当前 kind 对应的应用,peer 校验会按那个应用的 dsh 版本来,提前写进日志
+    const primary = DESKTOP_APP_NAMES_BY_KIND[kind];
+    if (candidate.appName !== undefined && !primary.includes(candidate.appName)) {
+        notes.push(`本机没找到与当前宿主(${kind === 'cinlyn' ? '薪灵' : 'DSH Desktop'})同源的桌面应用,安装命令借用了「${candidate.appName}」内的 dsh CLI —— 它内置的 dsh 版本可能与当前运行时不一致,peer 校验可能因此误拒`);
+    }
     const dshNode = env.DSH_NODE?.trim();
     if (dshNode !== undefined && dshNode !== '') {
         if (isRunnableFile(dshNode, platform)) {
@@ -171,8 +190,9 @@ export function describeUnavailableCliOutput(output) {
     return null;
 }
 /** 探测 + 解析可用通道(异步:会真实执行 shim 的 --version,只在安装/卸载路径调用)。
+ *  `kind` 决定 RunAsNode 兜底通道优先哪个桌面应用(见 DESKTOP_APP_NAMES_BY_KIND);
  *  `appRoots` 是测试注入点(覆盖桌面应用候选根目录),生产调用不传。 */
-export async function resolveDshCli(env = process.env, execPath = process.execPath, appRoots) {
+export async function resolveDshCli(env = process.env, execPath = process.execPath, appRoots, kind = 'dsh') {
     const platform = process.platform;
     const home = env.HOME ?? env.USERPROFILE ?? homedir();
     const rejected = [];
@@ -187,7 +207,7 @@ export async function resolveDshCli(env = process.env, execPath = process.execPa
             return { cli: { kind: 'shim', path: shimPath }, rejected, notes };
         rejected.push({ kind: 'shim', path: shimPath, reason: probe.reason });
     }
-    const runAsNode = findRunAsNode(platform, env, home, execPath, notes, appRoots);
+    const runAsNode = findRunAsNode(platform, env, home, execPath, notes, kind, appRoots);
     return { cli: runAsNode, rejected, notes };
 }
 /** 只要通道(兼容旧调用形态)。 */
@@ -255,6 +275,21 @@ export function buildPluginRemoveCommand(cli, packageName, host, withProfile = t
 }
 /** pnpm 的 NO_MATCHING_VERSION 文案里带可用最新版本:`The latest release of <name> is "0.4.11".` */
 const LATEST_RELEASE_PATTERN = /The latest release of\s+([^\s]+)\s+is\s+"?([0-9]+\.[0-9]+\.[0-9]+[0-9A-Za-z.+-]*)"?/i;
+/** 从 pnpm 的「Ignored build scripts: @scope/pkg@1.2.3, other@4.5.6」行提取包名(剥掉版本号)。 */
+function parseIgnoredBuildPackages(output) {
+    const match = /Ignored build scripts:\s*(.+)/.exec(output);
+    if (match === null)
+        return [];
+    return (match[1] ?? '')
+        .split(',')
+        .map((item) => item.trim())
+        .filter((item) => item !== '')
+        .map((item) => {
+        const at = item.lastIndexOf('@');
+        // scoped 名(@scope/pkg@1.2.3)与非 scoped(pkg@1.2.3)都剥最后一段 @版本;无版本原样保留
+        return at > 0 ? item.slice(0, at) : item;
+    });
+}
 /** 从 CLI 输出里解析 registry 上实际存在的最新版本;解析不到返回 null。 */
 export function parseLatestPublishedVersion(output) {
     const matched = LATEST_RELEASE_PATTERN.exec(output);
@@ -279,6 +314,22 @@ export function parseKnownInstallError(stderr, packageName, version, profile) {
             ].join('\n'),
         };
     }
+    // pnpm 10+ 默认不执行依赖的安装脚本(供应链防护):插件依赖带 postinstall 的包会触发。
+    // 这不是包坏了,是「需要用户显式批准」—— 给出批准入口,不替用户做供应链决定。
+    if (/ERR_PNPM_IGNORED_BUILDS|Ignored build scripts/i.test(stderr)) {
+        const packages = parseIgnoredBuildPackages(stderr);
+        return {
+            kind: 'build-scripts-ignored',
+            hint: [
+                'pnpm 10+ 默认不执行依赖包的安装脚本(供应链防护),该插件依赖的下列包需要构建批准:',
+                packages.length > 0 ? `  ${packages.join(' , ')}` : '',
+                '请在 DSH 终端执行:cd <你的 profile 目录> && pnpm approve-builds,勾选上述包后重新安装。',
+                '批准 = 允许这些包在本机运行安装脚本,请自行确认后再批(一次批准长期有效)。',
+            ]
+                .filter((line) => line !== '')
+                .join('\n'),
+        };
+    }
     if (/ERR_PNPM_NO_MATCHING_VERSION|No matching version found/i.test(stderr)) {
         const latest = parseLatestPublishedVersion(stderr);
         const recorded = version !== undefined && version !== '' ? version : '未知';
@@ -419,7 +470,7 @@ export async function installPlugin(request, deps) {
     const resolved = request.sourceType === 'npm'
         ? { spec: request.version !== '' ? `${request.name}@${request.version}` : request.name, version: request.version }
         : await downloadTgzSpec(request, deps);
-    const resolution = await resolveDshCli(deps.env ?? process.env, deps.execPath ?? process.execPath, deps.appRoots);
+    const resolution = await resolveDshCli(deps.env ?? process.env, deps.execPath ?? process.execPath, deps.appRoots, host.kind);
     logCliResolution(deps.log, resolution);
     if (resolution.cli === null) {
         // 两个通道都不可用才降级;降级原因进日志(契约 §1.3:降级返回 200 + 可复制命令)
@@ -447,7 +498,7 @@ export async function installPlugin(request, deps) {
 export async function uninstallPlugin(packageName, deps) {
     assertRemovablePackageName(packageName); // 宽松守卫(见函数注释:卸载不套 npm 严格正则,避免挡到 legacy 包)
     const host = deps.getHostInfo();
-    const resolution = await resolveDshCli(deps.env ?? process.env, deps.execPath ?? process.execPath, deps.appRoots);
+    const resolution = await resolveDshCli(deps.env ?? process.env, deps.execPath ?? process.execPath, deps.appRoots, host.kind);
     logCliResolution(deps.log, resolution);
     if (resolution.cli === null) {
         deps.log.warn?.(`xrxs-plugins-store: ${describeUnavailableCli(resolution)},卸载降级为可复制命令`);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@xrxs-ai/dsh-xrxs-plugins-store",
-  "version": "0.2.0",
+  "version": "0.2.1",
   "description": "DSH 私有插件市场插件(静态持久 bundle,双 face)",
   "type": "module",
   "license": "MIT",