dsh-agentone 0.5.5 → 0.5.7

package/lib/index.js

@@ -32,7 +32,7 @@ import { applyPlatformModel, removePlatformModel } from './model.js';
 import { installPlatformSkill, listPlatformSkills, removePlatformSkill } from './skill.js';
 import { platformFetch } from './http.js';
 import { donePageHtml, statusPageHtml } from './page.js';
-import { dshPluginCli, probeCliTool, pnpmCli } from './proc.js';
+import { dshPluginCli, probeCliDetail, pnpmViewLatest, upgradeCliTool } from './proc.js';
 
 import { clearCredentials, loadCredentials, resolveDshHome, saveCredentials, updateCredentials } from './store.js';
 
@@ -218,7 +218,22 @@ function specLabel(spec) {
   return '';
 }
 
-/** dsh 官方 in-box bundle：profile 模板自带，不是用户可管理的插件。 */
+/** dsh 插件与 CLI 操作白名单：用户输入不得进入 execFile 的 tool 位。 */
+const CLI_TOOLS = new Set(['lark-cli', 'ccpg-cli']);
+
+/**
+ * 插件自身是否由平台托管镜像管理：镜像 Dockerfile 固有 ENV
+ * `DSH_FORWARDER_LISTEN_PORT`（forwarder 是镜像特有组件，独立桌面版不存在）。
+ * 托管镜像内插件版本随镜像走，禁自助升级；独立 dsh（用户自装）没有镜像
+ * 通道，允许在插件页自助升级 —— 否则用户会被卡在旧版只能命令行破局。
+ */
+function isSelfManaged() {
+  return Boolean(process.env.DSH_FORWARDER_LISTEN_PORT);
+}
+
+/**
+ * dsh 官方 in-box bundle：profile 模板自带，不是用户可管理的插件。
+ */
 const INBOX_BUNDLES = new Set([
   '@deepseek-ai/dsh-base',
   '@deepseek-ai/dsh-web-app',
@@ -234,25 +249,6 @@ const INBOX_BUNDLES = new Set([
  */
 const BUILTIN_PLUGINS = ['dsh-better-sidebar', 'dsh-harness-one', 'dshmarket', 'dsh-im'];
 
-/**
- * 解析 pnpm outdated 输出：两行一组，包名行 + "current => latest" 行。
- * 输出格式随 pnpm 版本变化：解析出的条目必须满足「上一行是已知的插件
- * 包名」才采纳，格式不认识时返回空表（所有 latest 为 null，「升级」按钮
- * 整体不出现），而不是错配出假版本号。
- */
-function parseOutdatedList(stdout, knownNames = []) {
-  const result = {};
-  const known = new Set(knownNames);
-  const rows = String(stdout).split('\n').map((line) => line.trim()).filter(Boolean);
-  rows.forEach((line, i) => {
-    const match = i > 0 ? /^(\S+)\s+=>\s+(\S+)$/.exec(line) : null;
-    if (match && (!known.size || known.has(rows[i - 1]))) {
-      result[rows[i - 1]] = { current: match[1], latest: match[2] };
-    }
-  });
-  return result;
-}
-
 /**
  * 内置插件的用途说明（以各自官方 README 为准）：用户视角讲清楚装了能
  * 干什么、在哪里用到。
@@ -293,7 +289,7 @@ async function listProfilePlugins(config) {
       active: bundle && bundles.includes(name),
       builtin: BUILTIN_PLUGINS.includes(name),
       // 自身随平台镜像升级：前端据此隐藏卸载/升级按钮（与后端拒绝逻辑同源）
-      self_managed: name === PLUGIN_PACKAGE_NAME,
+      self_managed: name === PLUGIN_PACKAGE_NAME && isSelfManaged(),
       description: BUILTIN_PLUGIN_DESCRIPTIONS[name] || null,
     });
   }
@@ -356,16 +352,36 @@ async function removeProfilePlugin(config, name) {
   return listProfilePlugins(config);
 }
 
-/** 升级到 manifest 区间内最新版：dsh plugin update；in-box 随 dsh 本体升级。 */
+/** 升级到 registry 最新版：view 查实时 latest → 显式版本号 add（会重写
+ * package.json spec）→ 校验落盘版本。不能用 `dsh plugin update`（即
+ * `pnpm update`）：它只在 spec range 内升级，`dsh plugin add` 写入的精确
+ * pin（如 "0.19.1"）下永远是 no-op，却返回成功——历史上「点升级提示已
+ * 升级、版本永不变」的根因。 */
 async function upgradeProfilePlugin(config, name) {
   assertValidPackage(name);
   if (INBOX_BUNDLES.has(name)) {
     throw new Error('dsh 内置组件随 dsh 一同升级，请等待平台更新 dsh');
   }
-  if (name === PLUGIN_PACKAGE_NAME) {
+  if (name === PLUGIN_PACKAGE_NAME && isSelfManaged()) {
     throw new Error('AgentOne 插件随平台镜像一同升级，无需手动操作');
   }
-  await runPluginCli(['update', name]);
+  const dir = pluginProfileDir(config);
+  const [latest, current] = await Promise.all([
+    pnpmViewLatest(name, dir).catch(() => null),
+    installedVersion(dir, name),
+  ]);
+  if (!latest) {
+    throw new Error('查询插件最新版本失败，请稍后重试');
+  }
+  if (latest === current) {
+    throw new Error(`已是最新版本（v${latest}）`);
+  }
+  await runPluginCli(['add', `${name}@${latest}`, ...(BUILTIN_PLUGIN_ALLOW_BUILD[name] || [])]);
+  const after = await installedVersion(dir, name);
+  if (after !== latest) {
+    // 兑现「插件已升级」提示的前置校验：没升上去就明说，不再假报成功
+    throw new Error(`升级未生效（当前 v${after ?? '未安装'}，目标 v${latest}），请稍后重试`);
+  }
   return listProfilePlugins(config);
 }
 
@@ -825,20 +841,19 @@ export function apply(ctx, config) {
         return;
       }
       try {
-        const [state, outdatedStdout] = await Promise.all([
-          listProfilePlugins(config),
-          pnpmCli(['outdated', '--format', 'list'], 60000, pluginProfileDir(config))
-            .then((r) => r.stdout)
-            .catch(() => ''),
-        ]);
-        const outdated = parseOutdatedList(
-          outdatedStdout,
-          state.plugins.map((plugin) => plugin.name),
+        const state = await listProfilePlugins(config);
+        // latest 逐包实时查询（pnpm view <name>@latest version，并行）：
+        // 不用 pnpm outdated——它受元数据缓存与 minimumReleaseAge 冷却期
+        // 影响，新发布的版本一段时间内查不到，升级按钮追着发版延迟出现。
+        // 只查已装且来自 npm 的包；未安装/本地链接没有版本可查。
+        const dir = pluginProfileDir(config);
+        await Promise.all(
+          state.plugins
+            .filter((item) => item.version !== null && item.source === 'npm')
+            .map(async (item) => {
+              item.latest = await pnpmViewLatest(item.name, dir).catch(() => null);
+            }),
         );
-        for (const plugin of state.plugins) {
-          const spread = outdated[plugin.name];
-          plugin.latest = spread ? spread.latest : null;
-        }
         sendJson(response, 200, state);
       } catch (error) {
         sendJson(response, 500, { error: error?.message || '读取插件列表失败' });
@@ -900,15 +915,39 @@ export function apply(ctx, config) {
         response.end();
         return;
       }
-      // 真实探测本机 CLI：与平台 cli-deployd 的判定口径一致（tokenStatus
-      // valid/needs_refresh = 已授权）。并发探测，单个失败不影响另一个。
+      // 真实探测本机 CLI：三态与平台 cli-deployd 判定口径一致，附带版本
+      // 与最新版（查询失败降级 null，不阻塞三态）。并发探测，单个失败不影
+      // 响另一个。
       const [lark, ccpg] = await Promise.all([
-        probeCliTool('lark-cli').catch(() => 'missing'),
-        probeCliTool('ccpg-cli').catch(() => 'missing'),
+        probeCliDetail('lark-cli').catch(() => ({ state: 'missing', version: null, latest: null })),
+        probeCliDetail('ccpg-cli').catch(() => ({ state: 'missing', version: null, latest: null })),
       ]);
       sendJson(response, 200, { tools: { 'lark-cli': lark, 'ccpg-cli': ccpg } });
     });
 
+    register('/agentone/api/cli/upgrade', async (request, response) => {
+      if (request.method !== 'POST') {
+        response.writeHead(405, { allow: 'POST' });
+        response.end();
+        return;
+      }
+      try {
+        const body = await readJsonBody(request);
+        const tool = String(body.tool || '');
+        if (!CLI_TOOLS.has(tool)) {
+          sendJson(response, 400, { error: '不支持的 CLI 工具' });
+          return;
+        }
+        // 官方自升级（ccpg 下载二进制可达分钟级），输出尾部透传给前端
+        // （lark-cli 手动安装时含 GitHub 下载地址）
+        const output = await upgradeCliTool(tool);
+        const detail = await probeCliDetail(tool).catch(() => null);
+        sendJson(response, 200, { ok: true, output, tool: detail });
+      } catch (error) {
+        sendJson(response, 502, { error: error?.message || 'CLI 升级失败，请稍后重试' });
+      }
+    });
+
     register('/agentone/api/plan', async (request, response) => {
       if (request.method !== 'GET') {
         response.writeHead(405, { allow: 'GET' });

package/lib/page.js

@@ -423,19 +423,56 @@ const renderCli = async (s) => {
     return;
   }
   const rows = Object.entries(CLI_TOOL_META).map(([name, meta]) => {
-    const state = tools[name] || 'missing';
+    const info = tools[name] || { state: 'missing' };
+    const state = info.state || 'missing';
     const status = state === 'authorized'
       ? '<span class="pill ok" style="font-size:11px">已授权</span>'
       : state === 'unauthorized'
         ? '<span class="pill warn" style="font-size:11px">未授权</span>'
         : '<span class="pill warn" style="font-size:11px">未安装</span>';
+    // 版本展示：当前版 · 有新版时「v旧 → v新」+ 升级按钮（查询失败静默退化）
+    const versionLine = meta.desc + ' · ' + meta.label
+      + (info.version ? ' · v' + esc(info.version) : '')
+      + (info.latest && info.latest !== info.version
+        ? ' → <b>v' + esc(info.latest) + '</b>'
+        : '');
+    const upgradable = info.latest && info.latest !== info.version;
+    const actions = upgradable
+      ? '<button class="btn small primary" data-cli-upgrade="' + esc(name) + '">升级</button>'
+      : '';
     return '<div class="skill-item"><div class="skill-info"><div class="skill-name">'
       + esc(name) + status + '</div><div class="skill-sub">'
-      + esc(meta.desc) + ' · ' + esc(meta.label) + '</div></div></div>';
+      + versionLine + '</div></div><div>' + actions + '</div></div>';
   });
   body.innerHTML = rows.join('')
     + '<div class="hint">在对话中直接使用（如 /lark 帮助），由 dsh 自动调用。</div>'
-    + '<div class="hint">未安装/未授权时，请联系管理员在镜像或本机完成 lark-cli、ccpg-cli 的安装与授权。</div>';
+    + '<div class="hint">未安装/未授权时，请联系管理员在镜像或本机完成安装与授权；有新版本时可在此一键升级。</div>';
+  body.querySelectorAll('[data-cli-upgrade]').forEach((btn) => {
+    btn.onclick = () => cliUpgrade(btn.dataset.cliUpgrade, btn);
+  });
+};
+
+/** CLI 一键升级：官方 tool update（ccpg 下载二进制可达分钟级）。 */
+const cliUpgrade = async (tool, btn) => {
+  btn.disabled = true;
+  btn.textContent = '升级中，可能需要 1–2 分钟…';
+  try {
+    const resp = await fetch('api/cli/upgrade', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify({ tool }),
+    });
+    const data = await resp.json().catch(() => ({}));
+    if (!resp.ok) throw new Error(data.error || 'CLI 升级失败');
+    // lark-cli 手动安装时 update 只会打印下载地址，原样展示给用户
+    if (data.output) alert(data.output);
+    renderCli._probedAt = 0;
+    renderCli(lastStatus);
+  } catch (error) {
+    alert(error.message || 'CLI 升级失败，请稍后重试');
+    btn.disabled = false;
+    btn.textContent = '升级';
+  }
 };
 const pluginAction = (name, action, btn) => withLoading(
   btn,

package/lib/proc.js

@@ -51,11 +51,35 @@ export function dshPluginCli(args, profile = 'web') {
   return runCliTool('dsh', ['plugin', '--profile', profile, ...args]);
 }
 
-/** pnpm 子命令（当前仅 outdated 查询）；cwd 指向目标 profile 目录。 */
+/** pnpm 子命令（当前仅 view 查询）；cwd 指向目标 profile 目录。 */
 export function pnpmCli(args, timeoutMs, cwd) {
   return runCliTool('pnpm', args, { timeoutMs, cwd });
 }
 
+/** pnpm view 输出里挑出第一个「纯版本号」行。pnpm 偶尔附加提示行（如
+ * "If you need the full list..."），只有语义化版本行才是我们要的 latest。 */
+export function parseLatestVersionLine(stdout) {
+  const VERSION_LINE_RE = /^\d+(?:\.\d+){0,3}(?:[-+][a-z0-9._-]+)?$/i;
+  for (const line of String(stdout).split('\n')) {
+    const trimmed = line.trim();
+    if (VERSION_LINE_RE.test(trimmed)) return trimmed;
+  }
+  return null;
+}
+
+/**
+ * 查询包在 registry 的最新版本（`pnpm view <name>@latest version`）。
+ * 为什么不用 `pnpm outdated` / `update -L` / `add pkg@latest`：实测 pnpm 11
+ * 里 outdated 受 dist-tag 元数据缓存与 minimumReleaseAge 冷却期影响（新版
+ * 发布后一段时间查不到），update -L 对精确 pin 的依赖是 no-op，add@latest
+ * 会解析到缓存旧版；只有显式版本号可用。view 单字段查询每次真实打
+ * registry，是这里唯一的实时数据源。查询失败返回 null（前端按钮不出现）。
+ */
+export async function pnpmViewLatest(name, cwd) {
+  const { stdout } = await pnpmCli(['view', `${name}@latest`, 'version'], 30000, cwd);
+  return parseLatestVersionLine(stdout);
+}
+
 /**
  * 探测本机 CLI 工具状态。返回 'missing'（未安装）/ 'authorized' /
  * 'unauthorized'（已装未授权）。与平台 instance_service 的判定口径一致：
@@ -65,7 +89,29 @@ export function pnpmCli(args, timeoutMs, cwd) {
  *              ∈ {valid, needs_refresh}（access 过期但 refresh 可用仍算已授权）
  */
 export async function probeCliTool(tool, { timeoutMs = 15000 } = {}) {
+  const detail = await probeCliDetail(tool, { timeoutMs });
+  return detail.state;
+}
+
+/** --version 输出解析：提取首个 x.y[.z…] 版本号（两 CLI 均为
+ * "xxx version 1.2.3" 形态）。 */
+export function parseCliVersion(stdout) {
+  const match = /(\d+\.\d+(?:\.\d+)*)/.exec(String(stdout || ''));
+  return match ? match[1] : null;
+}
+
+/**
+ * 三态探测 + 版本 + 最新版（任一失败降级为 null，不阻塞三态）：
+ *   version: `tool --version`
+ *   latest:  ccpg-cli 走官方 `update --check --json`（结构化，为 agent
+ *            设计）；lark-cli 无 check 子命令，用 `npm view @larksuite/cli
+ *            version`（版本号全局一致，对 npm/pnpm/手动安装都成立）。
+ * npm view 需要 npm 在 PATH（node 环境下成立）；查询超时/失败返回 null，
+ * 前端只显示当前版本不显示升级按钮。
+ */
+export async function probeCliDetail(tool, { timeoutMs = 15000 } = {}) {
   let stdout;
+  let state = 'unauthorized';
   try {
     ({ stdout } = await execFileAsync(tool, ['auth', 'status'], {
       timeout: timeoutMs,
@@ -73,11 +119,55 @@ export async function probeCliTool(tool, { timeoutMs = 15000 } = {}) {
       env: tool === 'ccpg-cli' ? { ...process.env, CCPG_FULL_CLI: '1' } : process.env,
     }));
   } catch (error) {
-    if (error.code === 'ENOENT') return 'missing';
+    if (error.code === 'ENOENT') return { state: 'missing', version: null, latest: null };
     // 探测失败不区分超时/非零退出：统一按已装但状态未知处理
     stdout = `${error.stdout || ''}`;
   }
-  return larkStyleAuthorized(stdout) || ccpgStyleAuthorized(stdout) ? 'authorized' : 'unauthorized';
+  if (larkStyleAuthorized(stdout) || ccpgStyleAuthorized(stdout)) state = 'authorized';
+
+  const [version, latest] = await Promise.all([
+    execFileAsync(tool, ['--version'], { timeout: 10_000, killSignal: 'SIGKILL' })
+      .then((r) => parseCliVersion(r.stdout))
+      .catch(() => null),
+    cliLatestVersion(tool, timeoutMs).catch(() => null),
+  ]);
+  return { state, version, latest };
+}
+
+/** 最新版查询：ccpg-cli 官方 check 接口；lark-cli 查 npm 包 dist-tag。 */
+async function cliLatestVersion(tool, timeoutMs) {
+  if (tool === 'ccpg-cli') {
+    const { stdout } = await execFileAsync(
+      tool,
+      ['update', '--check', '--json'],
+      { timeout: timeoutMs, killSignal: 'SIGKILL', env: { ...process.env, CCPG_FULL_CLI: '1' } },
+    );
+    const data = JSON.parse(String(stdout).trim());
+    return typeof data?.latest_version === 'string' ? data.latest_version : null;
+  }
+  if (tool === 'lark-cli') {
+    const { stdout } = await execFileAsync(
+      'npm',
+      ['view', '@larksuite/cli', 'version'],
+      { timeout: timeoutMs, killSignal: 'SIGKILL' },
+    );
+    return parseCliVersion(stdout);
+  }
+  return null;
+}
+
+/**
+ * 触发 CLI 官方自升级（`tool update`）：ccpg-cli 从更新服务器下载二进制
+ * （~17MB），lark-cli 自动探测 npm/pnpm/手动安装方式（手动时只打印
+ * GitHub 下载地址）。返回输出尾部给前端展示（含手动安装的下载链接）。
+ */
+export async function upgradeCliTool(tool, { timeoutMs = 300_000 } = {}) {
+  const { stdout } = await runCliTool(tool, ['update'], {
+    timeoutMs,
+    env: tool === 'ccpg-cli' ? { ...process.env, CCPG_FULL_CLI: '1' } : process.env,
+  });
+  const lines = String(stdout).split('\n').map((l) => l.trim()).filter(Boolean);
+  return lines.slice(-6).join('\n');
 }
 
 /** lark-cli 形态：identities 下的 tokenStatus 或新版 status/available 组合。 */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-agentone",
-  "version": "0.5.5",
+  "version": "0.5.7",
   "description": "AgentOne 平台集成插件：飞书登录、平台模型、SkillHub 技能、套餐申请、插件管理、lark-cli / ccpg-cli 探测（请求超时与错误码透传、令牌轮换 single-flight、凭据损坏容错、状态页 UX 增强）",
   "type": "module",
   "main": "lib/index.js",