dsh-app-updater 1.2.0 → 1.3.1

package/CHANGELOG.md

@@ -2,6 +2,94 @@
 
 本项目遵循 [语义化版本](https://semver.org/lang/zh-CN/)。
 
+## [1.3.1] — 2026-11-01
+
+### 安全
+
+- **「仅凭回环地址放行」改为默认拒绝**（插件市场 dshopen.org 对 1.3.0 的复核意见）：
+  1.3.0 接入 `connection` 准入后仍留了一条退回路径 —— 宿主没有 `connection` 服务，或请求
+  不带任何连接凭据且来自回环地址时，直接按「本机信任」放行。在没有准入服务的旧宿主上，
+  任何本机进程（以及能向回环发起请求的页面）都能借此调用 `/update`、`/settings` 等安装接口，
+  等于绕过认证。1.3.1 起这条路径**默认关闭**：
+  - 宿主有 `connection`：一律以 `admit()` 的结果为准，`401` / `403` / `409` 原样返回
+    （响应头 `X-DSH-Admission: denied`）。只有「401 + 回环 + 无凭据 + 用户显式开启兼容模式」
+    这一种例外，且必须在下面第 2 条的前提下才成立。
+  - 宿主没有 `connection`：**默认 403**，不再自动相信回环地址。
+- **兼容模式必须由用户显式开启**（保留给确实跑在旧宿主上的用户）：插件配置
+  `allowLegacyLoopback: true`（`cordis.patch.yml` 覆盖同名条目）或环境变量
+  `DSH_APP_UPDATER_ALLOW_LEGACY_LOOPBACK=1`，两者默认都没有。开启后：
+  - 放行的请求带 `X-DSH-Admission: loopback-legacy-optin` 与 `X-DSH-Admission-Warning`；
+  - `state.json` / `health.json` 新增 `admission` 字段（`mode` / `service` /
+    `allowLegacyLoopback` / `warning`），复核时不必读代码就能确认当前路径；
+  - 设置页顶部显示红色警示条，日志写一条 `warn`。
+- **准入拒绝统一返回 JSON**：`401`/`403`/`409` 带 `{ ok:false, error, admission:"denied" }`，
+  不再用纯文本，排障时能直接看出是被准入挡掉的。
+
+### 测试
+
+- `test/unit.mjs`：准入用例从 6 项扩到 25 项，覆盖兼容模式开关（配置 / 环境变量 / 缺省关闭）、
+  无 `connection` 服务默认拒绝、显式开启后放行、非回环仍拒绝、`409`、带凭据未认证不放行等。
+- 新增 `test/deny.mjs`：起真实 HTTP 服务，验证无 `connection` 且未开兼容模式时**每一条路由**
+  都是 `403 + X-DSH-Admission: denied`；再验证显式开启后放行并标注 opt-in 响应头。
+- `test/render.mjs`：新增兼容模式警示条 4 项（开启显示、样式、文案、默认不显示）。
+- 自测命令更新为 `node test/unit.mjs && node test/render.mjs && node test/deny.mjs`。
+
+## [1.3.0] — 2026-10-31
+
+### 修复
+
+- **机器级安装全部失败的问题**：进程没有管理员令牌时，MSI 直接失败（msiexec 1603，
+  MSI 日志里是 `Error 1925: You do not have sufficient privileges…`），而部分安装器是
+  **静默退出 0 却什么都没装**（实测 Logitech G HUB）。两个现象同源，都是权限。
+- **安装后复核**：退出码 0 不再等于成功。安装完成后用「安装前版本 / 安装后版本 / 目标版本」
+  判断是否真的生效，没生效就如实报失败 —— 原来只看退出码，会把 G HUB 那种
+  「退出码 0、版本没变」的情况误报成「更新完成」。
+- **架构过滤回退**：`winget download/upgrade --architecture x64` 在清单里没有该架构时现在能
+  正确识别（中文报错是「找不到适用的安装程序」，旧正则只匹配了「没有适用」）并退回不限架构
+  重试；`winget upgrade` 兜底同时补上 `--include-unknown`（虎牙直播的已装版本被读成 Unknown，
+  不带它直接「目录里没有适用的更新」）。
+- **Edge**：winget 目录里的 `Microsoft.Edge` 是企业版 MSI，与本机消费版 Edge 的安装技术不匹配，
+  winget 直接拒绝（`0x8A15008E`「安装技术与当前安装的版本不同，请卸载包并安装较新版本」），
+  现在先走 Edge 自带的更新服务 `MicrosoftEdgeUpdate.exe /ua`；若它没生效（实测该机的
+  EdgeUpdate 引擎目录是 `1.3.311.5` 而服务主程序还是 `1.3.275.13`，服务起不来，`/ua` 直接
+  `0x80070002`），自动退回安装 winget 目录里的官网全量包（企业版 MSI，提权执行）——
+  实测这一步能把 Edge 正常装到目标版本，winget 拒绝执行只是因为它的策略。
+- **读不到版本的应用**：虎牙直播的卸载信息里没有版本号，winget 永远显示 `Unknown`。
+  复核阶段不再把它误判为失败，改为「已安装、未复核」写进结果与日志。
+- **「安装包不生效」的软件给出可操作提示**：实测 Logitech G HUB 的更新包早已下载到
+  `%ProgramData%\LGHUB\next.json` 指向的 depots（build 880806 / 2026.7.992920），但安装器
+  `--silent` 与 `winget upgrade` 都会在 3 秒内退出 0 且什么都不装，只有**启动 G HUB 本体**
+  之后 `current.json` 才跳到新版本。插件承诺不启动用户的软件，所以这类情况现在会在失败
+  原因里直接给出「手动打开一次该应用即可完成升级」的提示（`updateHintFor`）。
+- **MSI 日志**：MSI 安装现在带 `/l*v <下载目录>\<包名>.msi.log`，失败时把日志路径写进错误信息
+  （「Error 1925」就是这么被找到的）。
+- **残留清单**：关闭「保留安装包」时，现在连 winget 落盘的 `.yaml` 清单一并删除。
+
+### 新增
+
+- **自动提权安装**（`lib/elevate.js`）：需要管理员的安装类命令交给 `Start-Process -Verb RunAs`
+  的提权副本执行，退出码与输出写进临时文件后读回。新增开关「自动提权安装」（默认开启）。
+  UAC 为「始终通知」时每次安装会弹一次确认；把 `ConsentPromptBehaviorAdmin` 设为 0
+  （管理员静默提权）时完全无感。
+- 说明：提权副本是独立进程，取消更新只会停掉启动器，已经开始的那次安装会自己跑完。
+
+### 安全
+
+- **接入宿主 connection 准入**（插件市场 dshopen.org 对 1.2.0 的复核意见）：所有
+  `/dsh-app-updater/*` 路由先过 `ctx.connection.admit(request)` —— DSH 用来做 Host/Origin
+  信任校验与浏览器会话 / API 认证的那套边界，宿主自己的 `/api` 路由用的就是它。
+  未通过准入的请求直接得到 `401`/`403`；带凭据的请求一律以准入结果为准。
+  只有在宿主没有 `connection` 服务、或者请求不带任何连接凭据且来自回环地址时，才退回旧的
+  「回环」规则，并在响应头标注 `X-DSH-Admission: loopback-legacy`（宿主自己的 Electron
+  载体与本机脚本都不带 Cookie，需要一个不误伤它们的路径）。
+- 因此 README 里「用 curl 直接改设置」的例子现在需要带上 DSH 的会话 Cookie，或在
+  `connection` 不可用的宿主上从回环地址调用。
+
+### 说明
+
+- 读类命令（`winget list` / `upgrade --include-unknown` / `--version`）不提权。
+- `update.results[]` 新增 `installOk`（安装器自身是否报成功）与 `manifest`（落盘的清单位置）。
+
 ## [1.2.0] — 2026-10-31
 
 ### 新增

package/CONTRACT.md

@@ -27,10 +27,28 @@ dsh-app-updater/
 - 架构匹配：`settings.matchSystemArch !== false` 时，Windows 侧把 `env.wingetArch` 传给
   `winget download/upgrade --architecture`；清单缺该架构时自动退回自动匹配并写日志。
   macOS 侧由 Homebrew 决定 cask 架构。
+- 提权（`lib/elevate.js`）：`settings.autoElevate !== false` 且当前进程没有管理员令牌时，
+  安装类命令（安装包本体、`winget upgrade` 兜底）交给 `Start-Process -Verb RunAs` 的提权副本
+  执行，退出码与输出写进临时文件后读回；`cancelled` 表示 UAC 被取消（1223）。
+  读类命令（`winget list` / `upgrade --include-unknown` / `--version`）不提权。
+- 复核：安装后必须用「安装前版本 / 安装后版本 / 目标版本」判断是否真的生效，退出码 0 不算成功
+  （机器级安装包在未提权时会静默退出 0 却什么都没装）。`update.results[].installOk` 记录
+  安装器自身是否报成功，`verified` 记录复核时读到的版本。
+- 自带更新服务：Edge 的 winget 目录条目是企业版 MSI，与本机消费版安装技术不匹配
+  （`0x8A15008E`），改走 `MicrosoftEdgeUpdate.exe /ua`，再由复核轮询确认版本就位。
 
 ## 宿主 HTTP 路由
 
-全部 `kind: "exact"`，前缀 `/dsh-app-updater/`。写操作要求 loopback + `confirm: true`。
+全部 `kind: "exact"`，前缀 `/dsh-app-updater/`。每个请求先过 **connection 准入**：
+`ctx.connection.admit(req)`（DSH 的 Host/Origin 信任校验 + 浏览器会话 / API 认证，
+宿主自己的 `/api` 路由用的同一套），被拒即返回 `401`（未认证）/ `403`（不可信来源）/
+`409`（连接被占用），响应头带 `X-DSH-Admission: denied`；写操作再要求 `confirm: true`。
+
+**默认拒绝**（1.3.1 起）：宿主没有 `connection` 服务时不再「仅凭回环地址放行」，而是 `403`。
+只有用户显式开启兼容模式（插件配置 `allowLegacyLoopback: true` 或环境变量
+`DSH_APP_UPDATER_ALLOW_LEGACY_LOOPBACK=1`）时，回环请求才放行，并带
+`X-DSH-Admission: loopback-legacy-optin` 与 `X-DSH-Admission-Warning`（见 `lib/index.js` 的
+`admissionGate` / `resolveLegacyLoopbackOptIn`）。
 
 ### GET /dsh-app-updater/state.json
 
@@ -48,7 +66,9 @@ dsh-app-updater/
   "update": { "running": false, "total": 0, "done": 0, "current": null, "error": null },
   "apps": { "scannedAt": 0, "stats": { "total": 0, "upgradable": 0, "unsupported": 0 }, "items": [], "engine": "winget" },
   "log": [ { "at": 0, "level": "info|warn|error|success", "text": "..." } ],
-  "settings": { "includeStoreApps": true, "includeRegistryOnly": true, "downloadDir": "", "keepInstallers": true, "hashFallbackUpgrade": true, "dryRun": false, "matchSystemArch": true }
+  "settings": { "includeStoreApps": true, "includeRegistryOnly": true, "downloadDir": "", "keepInstallers": true, "hashFallbackUpgrade": true, "dryRun": false, "matchSystemArch": true, "autoElevate": true },
+  // 准入现状，供界面与复核确认当前走哪条路径（默认 "deny" 不会出现在能读到响应的地方）
+  "admission": { "mode": "connection|connection+loopback-legacy|loopback-legacy-optin|deny", "service": true, "allowLegacyLoopback": false, "warning": null }
 }
 ```
 
@@ -81,11 +101,30 @@ body `{ "confirm": true, "force": true }` → `{ "ok": true, "started": true }`
 ### POST /dsh-app-updater/update
 
 body `{ "confirm": true, "ids": ["Google.Chrome", "..."], "mode": "silent" }`
-→ `{ "ok": true, "started": true, "queued": 3 }`（串行执行，逐条下载官网全量包 → 校验 → 静默安装）
+→ `{ "ok": true, "started": true, "queued": 3 }`
+（串行执行，逐条：下载官网全量包 → 校验哈希 → 静默安装（需要管理员时自动提权）→ 复核版本。
+Edge 由 `MicrosoftEdgeUpdate.exe /ua` 处理。`settings.dryRun` 时只下载、不安装、不复核。）
+
+`update.results[]`（每条一次更新）：
+
+```jsonc
+{
+  "id": "Microsoft.Edge",
+  "ok": false,              // 最终结论：复核不通过就是 false，哪怕安装器报成功
+  "installOk": true,        // 安装器自身是否报成功（退出码 0 / winget 成功）
+  "error": "安装报告成功，但没有生效：版本没有变化（仍为 156.0.4314.50，目标 156.0.4314.58）",
+  "installer": "C:\\...\\Microsoft Edge_156.0.4314.58_Machine_X64_msi_en-US.msi",
+  "manifest": "C:\\...\\Microsoft Edge_156.0.4314.58_Machine_X64_msi_en-US.yaml",
+  "verified": "156.0.4314.50",   // 复核时读到的已装版本
+  "selfUpdater": "edgeupdate",  // 走自带更新服务时存在
+  "note": "已交给 Microsoft Edge 更新服务，等待版本就位",
+  "durationMs": 33288
+}
+```
 
 ### POST /dsh-app-updater/cancel
 
-→ `{ "ok": true }`（取消尚未开始的项目；正在安装的进程会收到终止请求）
+→ `{ "ok": true }`（取消尚未开始的项目；提权副本是独立进程，取消只会停掉启动器，已经开始的那次安装会自己跑完）
 
 ### POST /dsh-app-updater/settings
 

package/README.en.md

@@ -95,6 +95,7 @@ State file: `%USERPROFILE%\.dsh\dsh-app-updater\state.json`
 | `hashFallbackUpgrade` | `true` | Fall back to `winget upgrade` when the download fails. |
 | `dryRun` | `false` | **Rehearsal mode**: download the vendor's full installer but never install it. |
 | `matchSystemArch` | `true` | Match the installer to the detected system and CPU architecture (Windows passes `--architecture`; macOS is resolved by Homebrew). |
+| `autoElevate` | `true` | **Automatic elevation**: install commands that need administrator rights run in an elevated copy (UAC prompts once per install, when UAC prompts at all). |
 
 Everything above is editable from the plugin's own settings panel inside the settings page.
 The panel also accepts API calls:
@@ -109,12 +110,36 @@ curl -X POST -H "Content-Type: application/json" \
 
 ## Safety boundaries
 
-- **Every write requires loopback + explicit confirmation**: `scan` / `update` / `cancel` /
-  `settings` / `open-downloads` accept only requests from loopback with `confirm:true`.
+- **Every route is deny-by-default**: each request first goes through `ctx.connection.admit(request)`
+  — DSH's Host/Origin fence plus browser-session / API authentication, the same gate the host uses for
+  its own `/api` routes. Rejected requests get `401` / `403` / `409` with `X-DSH-Admission: denied`.
+- **Legacy loopback mode is off by default** (since 1.3.1): when the host has no `connection`
+  service, requests are no longer trusted just because they come from loopback — they get `403`.
+  If you really need it on an old host, opt in explicitly, either via plugin config:
+
+  ```yaml
+  - id: dsh-app-updater
+    config:
+      allowLegacyLoopback: true
+  ```
+
+  or by exporting `DSH_APP_UPDATER_ALLOW_LEGACY_LOOPBACK=1` before starting DSH. Once enabled, allowed
+  requests carry `X-DSH-Admission: loopback-legacy-optin` and `X-DSH-Admission-Warning`, the
+  `admission` field in `state.json` / `health.json` reports `mode: "loopback-legacy-optin"`, the
+  settings page shows a red banner, and a `warn` line is written to the log.
+- **Every write still requires explicit confirmation**: `scan` / `update` / `cancel` /
+  `settings` / `open-downloads` require `confirm:true`.
 - **No guessed silent switches**: the publisher's declared `Silent` switches are preferred;
   generic defaults are used only when a manifest is unavailable.
-- **No silent elevation**: installers that need administrator rights show the normal UAC prompt.
-- **Version is verified after installing** and recorded in the log.
+- **Elevation only for installs, and on demand**: install commands that need administrator rights
+  (MSI packages, installers writing into `Program Files`, the `winget upgrade` fallback) run in an
+  elevated copy through `Start-Process -Verb RunAs`. With UAC set to "always notify" you get one
+  prompt per install; with `ConsentPromptBehaviorAdmin = 0` it is completely silent. Reads
+  (`winget list` / `upgrade --include-unknown` / `--version`) never elevate.
+- **A zero exit code is not success**: after installing, the plugin compares the installed version
+  against the target version and reports a failure when nothing actually changed — machine-scope
+  installers silently exit 0 without installing anything when they lack administrator rights
+  (Logitech G HUB used to be reported as "updated" that way).
 - **System components** (`.NET`, VC++ runtimes, …) are listed but not updated by default.
 - **Only its own directory is written**: state and logs live in `~/.dsh/dsh-app-updater/`.
 

package/README.md

@@ -13,6 +13,9 @@
 dsh plugin --profile web add dsh-app-updater
 ```
 
+> 刚发布的新版本可能被 pnpm 的 `minimumReleaseAge` 策略暂缓一段时间；想立刻装到指定版本就显式写版本号：
+> `dsh plugin --profile web add dsh-app-updater@1.2.0`（细节见 [RELEASING.md](RELEASING.md)）。
+
 不想走 npm，也可以用源码或发行包：
 
 ```bash
@@ -97,6 +100,7 @@ dsh plugin --profile web add https://github.com/19952730389/dsh-app-updater/rele
 | `hashFallbackUpgrade` | `true` | 下载失败时退回 `winget upgrade` 兜底。 |
 | `dryRun` | `false` | **演练模式**：只下载官网全量安装包、不执行安装。用来先看会装什么。 |
 | `matchSystemArch` | `true` | 按识别到的系统与芯片架构挑选安装包（Windows 传 `--architecture`；macOS 由 Homebrew 决定）。 |
+| `autoElevate` | `true` | **自动提权安装**：需要管理员的安装包（MSI、写入 `Program Files`）改由管理员上下文执行；UAC 开启时每次安装会弹一次确认。 |
 
 用 API 改设置（等价于设置面板，适合脚本化）：
 
@@ -109,14 +113,39 @@ curl -X POST -H "Content-Type: application/json" \
 `downloadDir` 会被校验：必须留空（用默认目录）或是绝对路径（`D:\Apps`）／UNC 路径（`\\server\share`），
 否则返回 `400` 并在面板里显示红字提示，不会把安装包写到意料之外的位置。
 
+> 这些路由**默认拒绝**：请求必须通过宿主的 `connection` 准入（浏览器里就是带上 DSH 页面的会话
+> Cookie），或在**没有 `connection` 服务的旧宿主**上由你显式开启兼容模式（见「安全边界」）。
+> 仅凭「来自 127.0.0.1」不再放行 —— 1.3.1 已把这条路径改成默认拒绝。
+
 ---
 
 ## 安全边界
 
-- **写操作全部要求本机来源 + 显式确认**：`scan` / `update` / `cancel` / `settings` / `open-downloads` 只接受 loopback 请求且必须带 `confirm:true`。
+- **路由默认拒绝**：每个请求先过 `ctx.connection.admit(request)` —— DSH 用来做
+  Host/Origin 信任校验与浏览器会话 / API 认证的那套边界（宿主自己的 `/api` 路由用的就是它），
+  未通过的请求直接得到 `401` / `403` / `409`，响应头带 `X-DSH-Admission: denied`。
+- **兼容模式默认关闭**（1.3.1 起）：宿主没有 `connection` 服务时**不再**「仅凭回环地址放行」，
+  一律 `403`。旧宿主上确实需要时，必须由你**显式**开启，二选一：
+  - 插件配置（`cordis.patch.yml` 里覆盖同名条目）：
+
+    ```yaml
+    - id: dsh-app-updater
+      config:
+        allowLegacyLoopback: true
+    ```
+
+  - 或启动 DSH 前设置环境变量 `DSH_APP_UPDATER_ALLOW_LEGACY_LOOPBACK=1`。
+
+  开启后：放行的回环请求带 `X-DSH-Admission: loopback-legacy-optin` 与
+  `X-DSH-Admission-Warning`，`state.json` / `health.json` 的 `admission` 字段会标明
+  `mode: "loopback-legacy-optin"`，设置页顶部也会出现红色提示条；日志里记一条 `warn`。
+- **写操作还要显式确认**：`scan` / `update` / `cancel` / `settings` / `open-downloads` 必须带 `confirm:true`。
 - **不猜测静默参数**：优先用发布方在清单里声明的 `Silent` 参数；清单缺失时才按安装包类型用保守的默认开关。
-- **不静默提权**：需要管理员权限的安装包会正常弹出 UAC，由你决定是否放行。
-- **安装后复核版本**：更新完会重新查询一次版本并记录，日志里能看到「更新完成，当前版本 X」。
+- **需要管理员时自动提权**：机器级安装包（MSI、写入 `Program Files`）交给
+  `Start-Process -Verb RunAs` 的提权副本执行（可在设置里关掉「自动提权安装」）；
+  UAC 为「始终通知」时每次安装会弹一次确认。
+- **安装后复核版本**：用「安装前 / 安装后 / 目标」三个版本判断这次更新是否真的生效 ——
+  退出码 0 不再等于成功（机器级安装包在没提权时会静默退出 0 却什么都没装）。
 - **不做系统组件更新**：`.NET` 运行时、VC++ 运行库等仍会列出来，但默认不作为一键更新的目标。
 - **只写自己的目录**：状态与日志写在 `~/.dsh/dsh-app-updater/`，不碰 profile 与宿主配置。
 
@@ -181,6 +210,15 @@ node test/harness.mjs --scan    # 用假 cordis ctx + 真 HTTP 把宿主半身
 
 还可以在设置面板里关掉「按本机架构安装包」——关闭后把选择权交回 winget 自己（Homebrew 一直按本机架构）。
 
+机器级安装（MSI、写入 `Program Files`）需要管理员权限，否则 MSI 会返回 1603（MSI 日志里是
+`Error 1925: You do not have sufficient privileges…`），部分安装器则可能**静默退出 0 却什么都没装**。
+因此安装类命令默认自动提权执行（设置里的「自动提权安装」，默认开启）：安装包本体与
+`winget upgrade` 兜底都交给 `Start-Process -Verb RunAs` 的提权副本，装完再按
+「安装前版本 / 安装后版本 / 目标版本」复核这次更新是否真的生效。
+UAC 为「始终通知」时每次安装会弹一次确认；把 DSH 本身以管理员身份运行则不会再弹。
+Edge 走它自带的更新服务：winget 目录里的 `Microsoft.Edge` 是企业版 MSI，与本机消费版的
+安装技术不匹配（`0x8A15008E`），winget 会直接拒绝。
+
 > macOS 的 Homebrew 路径是按 Homebrew 官方 CLI 行为实现的，识别与解析逻辑有单测覆盖；
 > 但本插件主要在 Windows 上开发，macOS 上的安装/更新没有真机验证过，遇到问题请开 Issue。
 

package/RELEASING.md

@@ -56,6 +56,19 @@ gh release create v<version> dsh-app-updater.tgz \
   - dshopen.org → https://github.com/polang233/dsh-plugin-index/issues/new?template=plugin-add.yml
   - awesome-dsh-plugin → 向仓库提 PR，新增 `data/plugins/<owner>__<repo>.yml`（见其 contributing.md）
 
+### 刚发版时别人可能装到旧版本
+
+pnpm 默认有 `minimumReleaseAge`（新发布的包先观察一段时间才参与解析）。profile 里若没写
+`minimumReleaseAge: 0`，`dsh plugin add <包名>` 在发版后的一段时间内可能仍解析到上一个版本：
+
+```bash
+# 立刻拿到刚发布的版本：显式指定版本号
+dsh plugin --profile web add dsh-app-updater@<version>
+```
+
+这不是包的问题，是消费端的供应链策略；等宽限期过去后不带版本号也会解析到新版。
+（排查时看 profile 的 `pnpm-workspace.yaml`：`minimumReleaseAge` 与 `minimumReleaseAgeExclude`。）
+
 ## 6. 本地开发时的桌面端安装
 
 Electron 托管的 `desktop` profile 不接受 `dsh plugin` 写入。做法是在

package/lib/client.js

@@ -52,6 +52,11 @@ window.__ModuleLoader__.load({
         label: "按本机架构安装包",
         hint: "按当前系统与芯片（Windows ARM64 / x64、Apple Silicon / Intel）挑选对应安装包",
       },
+      {
+        key: "autoElevate",
+        label: "自动提权安装",
+        hint: "需要管理员的安装包（MSI、写入 Program Files）改由管理员上下文执行；UAC 开启时每次安装会弹一次确认",
+      },
       {
         key: "hashFallbackUpgrade",
         label: "下载失败时回退 winget",
@@ -195,6 +200,8 @@ window.__ModuleLoader__.load({
 
       /* 演练模式警示条 */
       ".appupd-banner{display:flex;align-items:center;gap:8px;padding:6px 10px;border-radius:8px;border:1px solid rgba(251,191,36,.5);background:rgba(251,191,36,.12);color:#fbbf24;font-size:12px;}",
+      /* 兼容模式（仅回环放行）警示条：默认关闭，开启时用红色提醒 */
+      ".appupd-banner-warn{border-color:rgba(239,68,68,.55);background:rgba(239,68,68,.12);color:#f87171;}",
 
       /* 插件设置面板 */
       ".appupd-panel{border:1px solid var(--dsw-alias-border-l1,#4b5563);border-radius:8px;overflow:hidden;}",
@@ -922,6 +929,21 @@ window.__ModuleLoader__.load({
           )
         : null;
 
+      /* 兼容模式：只有用户显式开启（插件配置 / 环境变量）才会出现，默认不显示 */
+      const admission = (state && state.admission) || null;
+      const legacyOn = Boolean(admission && admission.allowLegacyLoopback);
+      const legacyBanner = legacyOn
+        ? h(
+            "div",
+            { className: "appupd-banner appupd-banner-warn", role: "alert" },
+            h(
+              "span",
+              null,
+              "兼容模式已开启：没有连接凭据的本机回环请求会被放行（旧宿主没有 connection 准入时才会用到）。非必要请关闭，见 README 的「安全」一节。"
+            )
+          )
+        : null;
+
       const switchEl = (key) => {
         const on = Boolean(settings[key]);
         return h("button", {
@@ -1190,6 +1212,9 @@ window.__ModuleLoader__.load({
         /* 3. 演练模式提示 */
         dryRunBanner,
 
+        /* 3b. 兼容模式（仅回环放行）提示：默认不出现 */
+        legacyBanner,
+
         /* 4. 进度 */
         progress,
 

package/lib/elevate.js

@@ -0,0 +1,205 @@
+/**
+ * Windows 提权执行。
+ *
+ * 为什么需要它：winget 目录里的「官网全量包」有一大半是**机器级**安装 —— MSI 要
+ * 写 HKLM / Program Files，安装器要往 Program Files 落文件。进程没有管理员令牌
+ * 时有两种失败方式：
+ *  1) MSI 直接失败（msiexec 返回 1603，MSI 日志里是 Error 1925「权限不足」）；
+ *  2) 安装器**静默退出 0 却什么都没装**（实测 Logitech G HUB）。
+ * 第 2 种最坑：只看退出码就会误报「更新成功」，所以安装之后必须复核版本
+ * （见 engine.js 的 verifyInstalled）。
+ *
+ * Windows 的进程令牌创建后无法原地提升，因此这里把**一条命令**写进临时
+ * PowerShell 助手脚本，用 `Start-Process -Verb RunAs` 在提权副本里执行，再把
+ * 退出码与输出回传到文件后读回。两个脚本都写成 UTF-8 **带 BOM**：Windows
+ * PowerShell 5.1 读 .ps1 时若无 BOM 会按本地代码页解码，中文路径会乱。
+ */
+
+import { existsSync } from "node:fs";
+import { mkdtemp, readFile, rm, writeFile } from "node:fs/promises";
+import { tmpdir } from "node:os";
+import { join } from "node:path";
+
+import { runProcess } from "./proc.js";
+
+const PS_PROBE_TIMEOUT_MS = 20000;
+
+/** Windows 取消提权的退出码（ERROR_CANCELLED）。 */
+export const ELEVATION_CANCELLED = 1223;
+
+/** PowerShell 单引号字面量：内部的 `'` 要写成 `''`。 */
+export function psQuote(value) {
+  return `'${String(value == null ? "" : value).replace(/'/g, "''")}'`;
+}
+
+/** Windows PowerShell 5.1 的绝对路径。 */
+export function powershellPath(env = process.env) {
+  const root = env.SystemRoot || env.windir || "C:\\Windows";
+  return join(root, "System32", "WindowsPowerShell", "v1.0", "powershell.exe");
+}
+
+/** 本机是否有可用的 PowerShell（没有它就无法提权）。 */
+export function elevationAvailable(env = process.env) {
+  try {
+    return existsSync(powershellPath(env));
+  } catch {
+    return false;
+  }
+}
+
+let cachedElevated = null;
+
+/** 清掉「是否已提权」的缓存（单元测试与提权后复核用）。 */
+export function resetElevationCache() {
+  cachedElevated = null;
+}
+
+/**
+ * 当前进程是否在管理员上下文里。
+ * 非 Windows 平台按 uid==0 判断（macOS 的 brew 永远不需要提权）。
+ */
+export async function isElevated(opts = {}) {
+  if (cachedElevated !== null && !opts.refresh) return cachedElevated;
+  if (process.platform !== "win32") {
+    cachedElevated = typeof process.getuid === "function" ? process.getuid() === 0 : true;
+    return cachedElevated;
+  }
+  if (!elevationAvailable()) {
+    cachedElevated = false;
+    return cachedElevated;
+  }
+  const res = await runProcess(
+    powershellPath(),
+    [
+      "-NoProfile",
+      "-NonInteractive",
+      "-ExecutionPolicy",
+      "Bypass",
+      "-Command",
+      "[Security.Principal.WindowsPrincipal]::new([Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)",
+    ],
+    { timeoutMs: PS_PROBE_TIMEOUT_MS, signal: opts.signal }
+  );
+  cachedElevated = res.ok && /true/i.test(res.stdout);
+  return cachedElevated;
+}
+
+function stripBom(text) {
+  return String(text || "").replace(/^\ufeff/, "");
+}
+
+/**
+ * 在提权副本里执行一条命令。
+ *
+ * 返回结构与 proc.js 的 runProcess 一致（外加 cancelled），因此调用方可以
+ * 无差别地把它当成「另一个 runProcess」。
+ *
+ * @param {string} exe 绝对路径
+ * @param {string[]} args 参数数组
+ * @param {{ timeoutMs?: number, signal?: AbortSignal }} [opts]
+ * @returns {Promise<{ok:boolean, code:number|null, stdout:string, stderr:string, timedOut:boolean, spawnError:string|null, cancelled:boolean}>}
+ */
+export async function runElevated(exe, args, opts = {}) {
+  const timeoutMs = opts.timeoutMs || 60 * 60 * 1000;
+  const fail = (spawnError) => ({
+    ok: false,
+    code: null,
+    stdout: "",
+    stderr: "",
+    timedOut: false,
+    spawnError,
+    cancelled: false,
+  });
+
+  if (process.platform !== "win32") return fail("非 Windows 平台不支持提权执行");
+  if (!elevationAvailable()) return fail("未找到 powershell.exe，无法提权执行");
+
+  const ps = powershellPath();
+  const dir = await mkdtemp(join(tmpdir(), "dsh-app-updater-elev-"));
+  const outFile = join(dir, "out.txt");
+  const codeFile = join(dir, "code.txt");
+  const helperFile = join(dir, "helper.ps1");
+  const launchFile = join(dir, "launch.ps1");
+
+  const helper = [
+    "$ErrorActionPreference = 'Continue'",
+    "[Console]::OutputEncoding = [System.Text.Encoding]::UTF8",
+    "$OutputEncoding = [System.Text.Encoding]::UTF8",
+    `$exe = ${psQuote(exe)}`,
+    `$argv = @(${(args || []).map(psQuote).join(", ")})`,
+    `& $exe @argv 2>&1 | Out-File -FilePath ${psQuote(outFile)} -Encoding UTF8`,
+    "$code = $LASTEXITCODE",
+    "if ($null -eq $code) { $code = 0 }",
+    `Set-Content -Path ${psQuote(codeFile)} -Value $code -Encoding ASCII`,
+    "exit $code",
+    "",
+  ].join("\r\n");
+
+  // 启动器只负责「把助手脚本以管理员身份跑起来并把退出码带回来」。
+  const launch = [
+    "$ErrorActionPreference = 'Stop'",
+    "try {",
+    `  $p = Start-Process -FilePath ${psQuote(ps)} -ArgumentList @('-NoProfile','-NonInteractive','-ExecutionPolicy','Bypass','-File', ${psQuote(helperFile)}) -Verb RunAs -WindowStyle Hidden -Wait -PassThru`,
+    `} catch { exit ${ELEVATION_CANCELLED} }`,
+    `if ($null -eq $p) { exit ${ELEVATION_CANCELLED} }`,
+    "exit $p.ExitCode",
+    "",
+  ].join("\r\n");
+
+  try {
+    await writeFile(helperFile, `\ufeff${helper}`, "utf8");
+    await writeFile(launchFile, `\ufeff${launch}`, "utf8");
+  } catch (err) {
+    await rm(dir, { recursive: true, force: true }).catch(() => {});
+    return fail(String((err && err.message) || err));
+  }
+
+  const res = await runProcess(
+    ps,
+    ["-NoProfile", "-NonInteractive", "-ExecutionPolicy", "Bypass", "-File", launchFile],
+    { timeoutMs, signal: opts.signal }
+  );
+
+  let stdout = "";
+  try {
+    stdout = stripBom(await readFile(outFile, "utf8"));
+  } catch {
+    // 安装器没有产出任何输出：正常（GUI 安装包），失败原因由退出码与 MSI 日志给
+  }
+
+  let code = res.code;
+  let reported = false;
+  try {
+    const raw = stripBom(await readFile(codeFile, "utf8")).trim();
+    if (/^-?\d+$/.test(raw)) {
+      code = Number(raw);
+      reported = true;
+    }
+  } catch {
+    // 提权副本没能跑到写退出码那一步
+  }
+
+  // 超时时提权副本可能还在跑（安装器），保留临时目录不删，避免动到正在执行的脚本
+  if (!res.timedOut) {
+    await rm(dir, { recursive: true, force: true }).catch(() => {});
+  }
+
+  const cancelled = res.code === ELEVATION_CANCELLED || code === ELEVATION_CANCELLED;
+  const spawnError = res.spawnError
+    ? res.spawnError
+    : cancelled
+      ? "提权被拒绝（UAC 被取消）"
+      : !reported && !res.timedOut && code !== 0
+        ? "提权副本未能报告退出码（可能被 UAC 拒绝）"
+        : null;
+
+  return {
+    ok: !res.timedOut && !spawnError && code === 0,
+    code,
+    stdout,
+    stderr: "",
+    timedOut: res.timedOut,
+    spawnError,
+    cancelled,
+  };
+}