dsh-arcvista 0.1.2 → 0.1.4

package/CHANGELOG.md

@@ -1,5 +1,13 @@
 # Changelog
 
+## 0.1.4
+
+- DSH 插件启动时清理旧版独立模型配置，不再在 SQLite 中保留旧 API Key。
+
+## 0.1.3
+
+- 健康检查与设置页现在报告实际使用的 SQLite 数据目录和包版本。
+
 ## 0.1.2
 
 - 设置页不再展示模型配置、环境变量或 Key 相关信息；模型统一由 DSH 提供。

package/README.md

@@ -50,6 +50,32 @@ dsh plugin --profile web add dsh-arcvista
 dsh plugin --profile web add /absolute/path/to/arc-vista
 ```
 
+### 内网离线安装
+
+内网（无外网、无 npm registry）环境使用离线安装包，由仓库内的构建脚本生成：
+
+```bash
+npm run package:intranet   # 生成 ../arc-vista-intranet-installer/ 与 ../arc-vista-intranet-installer.zip
+```
+
+把 zip 拷进内网后解压：
+
+- Windows：双击 `install.bat`；
+- macOS：双击 `install.command`；
+- 任意平台：`node install.mjs`（加 `--dry-run` 先看计划，`--verify` 检查状态，`--uninstall` 卸载）。
+
+安装器只做本地文件复制与 DSH profile 注册，不联网、不需要 pnpm；离线 tarball 会留在 profile 的
+`.dsh-offline-plugins/` 里，之后用 pnpm 也能离线解析。装完重启 DSH Web，左侧栏出现「ArcVista 观界」。
+安装包自身说明见 `packaging/intranet/README.md`。
+
+内网安全团队需要审查时，生成配套的安全审查材料包：
+
+```bash
+npm run package:security-review
+# 生成 ../arc-vista-security-review/ 与 ../arc-vista-security-review.zip
+# 含文件清单、SHA-256、SBOM、静态扫描证据、可复现构建步骤与审批申请模板
+```
+
 ### 发布与商店
 
 - 发布包名：`dsh-arcvista`

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-arcvista",
-  "version": "0.1.2",
+  "version": "0.1.4",
   "private": false,
   "type": "module",
   "description": "ArcVista 观界 —— DSH 内的架构观测台：架构图、安全守护、业务知识图谱、复杂度与分支风险对比",
@@ -54,7 +54,9 @@
     "start": "node --disable-warning=ExperimentalWarning server.js",
     "dev": "node --disable-warning=ExperimentalWarning --watch server.js",
     "test": "node --disable-warning=ExperimentalWarning --test tests/*.test.js",
-    "prepack": "node --disable-warning=ExperimentalWarning scripts/check-package.mjs"
+    "prepack": "node --disable-warning=ExperimentalWarning scripts/check-package.mjs",
+    "package:intranet": "node --disable-warning=ExperimentalWarning scripts/build-intranet-package.mjs",
+    "package:security-review": "node --disable-warning=ExperimentalWarning scripts/build-intranet-package.mjs && node --disable-warning=ExperimentalWarning scripts/build-security-review.mjs"
   },
   "dsh": {
     "bundle": {

package/server.js

@@ -11,6 +11,12 @@ import { analyzeModule } from './lib/analyze/drilldown.js';
 import { diffSnapshots } from './lib/diff.js';
 
 const ROOT = path.dirname(fileURLToPath(import.meta.url));
+let VERSION = '0.0.0';
+try {
+  VERSION = JSON.parse(fs.readFileSync(path.join(ROOT, 'package.json'), 'utf8')).version || VERSION;
+} catch {
+  /* package metadata is optional at runtime */
+}
 const PUBLIC_DIR = path.join(ROOT, 'public');
 const DATA_DIR = process.env.ARCVISTA_DATA ? path.resolve(process.env.ARCVISTA_DATA) : path.join(ROOT, 'data');
 const PORT = Number(
@@ -27,6 +33,15 @@ const HOST = process.env.HOST || '127.0.0.1';
  */
 export function createArcVistaApp({ dataDir = DATA_DIR, publicDir = PUBLIC_DIR, backupDir = null, llm = null } = {}) {
   const store = openDatabase(dataDir, backupDir ? { backupDir } : {});
+  // DSH manages the model. Remove legacy standalone model settings (including
+  // any old API key) so upgrading to the plugin cannot retain a stale secret.
+  if (llm?.provider === 'dsh') {
+    try {
+      store.db.prepare("DELETE FROM settings WHERE key LIKE 'llm_%'").run();
+    } catch {
+      /* best-effort cleanup for old databases */
+    }
+  }
   const git = new GitStore(dataDir);
   const jobs = new JobRunner(store);
   const interruptedJobs = store.jobs.interruptActive();
@@ -254,9 +269,9 @@ function snapshotOption(snapshot) {
 router.get('/api/health', () => ({
   ok: true,
   name: 'ArcVista',
-  version: '0.1.0',
+  version: VERSION,
   node: process.version,
-  dataDir: DATA_DIR,
+  dataDir: path.dirname(store.file),
   backups: store.backups.info(),
   llm: publicLlmSettings(),
   uptime: Math.round(process.uptime()),