dsh-armory 1.9.0 → 1.9.1

package/README.en.md

@@ -9,6 +9,7 @@
 <p align="center">
   <a href="https://github.com/2026heshao/dsh-armory/stargazers"><img src="https://img.shields.io/github/stars/2026heshao/dsh-armory?style=social" alt="stars"></a>
   <a href="https://github.com/2026heshao/dsh-armory/releases"><img src="https://img.shields.io/github/v/release/2026heshao/dsh-armory?label=release" alt="release"></a>
+  <a href="https://www.npmjs.com/package/dsh-armory"><img src="https://img.shields.io/npm/dt/dsh-armory?label=npm%20downloads" alt="npm downloads"></a>
   <a href="./LICENSE"><img src="https://img.shields.io/badge/license-MIT-green" alt="license"></a>
   <img src="https://img.shields.io/badge/DSH-%3E%3D0.1.5--rc.1-blue" alt="DSH">
   <a href="https://github.com/topics/dsh-plugin"><img src="https://img.shields.io/badge/topic-dsh--plugin-8b5cf6" alt="topic: dsh-plugin"></a>
@@ -17,10 +18,14 @@
 ## Install in one line
 
 ```sh
+# npm (recommended: no build-approval step, ready to use)
+dsh plugin --profile web add dsh-armory
+
+# GitHub
 dsh plugin --profile web add github:2026heshao/dsh-armory
 ```
 
-Restart DSH, then open **Skills · MCP** from the global panel list at the top of the sidebar (or the floating button bottom-right). Desktop users on the `desktop` profile: swap `--profile web` for `--profile desktop`.
+Restart DSH, then open **Skills · MCP · Experts** from the global panel list at the top of the sidebar (or the floating button bottom-right). Desktop users on the `desktop` profile: swap `--profile web` for `--profile desktop`. You can also search `armory` and one-click install inside [dsh-market](https://github.com/dsh-market/dsh-market#readme).
 
 ## What it solves
 
@@ -87,10 +92,14 @@ A **unified board** for DeepSeek Harness (Web and desktop): five top-level tabs
 ## Install (details)
 
 ```sh
+# npm (recommended)
+dsh plugin --profile web add dsh-armory
+
+# GitHub
 dsh plugin --profile web add github:2026heshao/dsh-armory
 ```
 
-Then **restart `dsh web`**. To upgrade (GitHub installs: re-add with a new tag):
+Then **restart DSH** (restart the desktop app, or `dsh web` for the browser GUI; desktop users: swap `--profile web` for `--profile desktop`). To upgrade: npm installs can click the in-panel upgrade banner; GitHub installs re-add with a new tag:
 
 ```sh
 dsh plugin --profile web update dsh-armory
@@ -113,7 +122,7 @@ Details, local development installs, and troubleshooting: [docs/installation.md]
 Two entry points, one panel:
 
 - **Floating button (bottom-right)**: draggable, position remembered;
-- **Sidebar entry at the bottom**: above "Settings" when expanded, icon-only in the 56px rail.
+- **Sidebar entry "Skills · MCP · Experts"**: above "Settings" when expanded, icon-only in the 56px rail.
 
 The panel floats above the session; closing it ("Close" or Esc) does not affect the conversation.
 

package/README.md

@@ -9,6 +9,7 @@
 <p align="center">
   <a href="https://github.com/2026heshao/dsh-armory/stargazers"><img src="https://img.shields.io/github/stars/2026heshao/dsh-armory?style=social" alt="stars"></a>
   <a href="https://github.com/2026heshao/dsh-armory/releases"><img src="https://img.shields.io/github/v/release/2026heshao/dsh-armory?label=release" alt="release"></a>
+  <a href="https://www.npmjs.com/package/dsh-armory"><img src="https://img.shields.io/npm/dt/dsh-armory?label=npm%20downloads" alt="npm downloads"></a>
   <a href="./LICENSE"><img src="https://img.shields.io/badge/license-MIT-green" alt="license"></a>
   <img src="https://img.shields.io/badge/DSH-%3E%3D0.1.5--rc.1-blue" alt="DSH">
   <a href="https://github.com/topics/dsh-plugin"><img src="https://img.shields.io/badge/topic-dsh--plugin-8b5cf6" alt="topic: dsh-plugin"></a>
@@ -17,10 +18,14 @@
 ## 一键安装
 
 ```sh
+# npm（推荐：免构建授权，装完即用）
+dsh plugin --profile web add dsh-armory
+
+# GitHub
 dsh plugin --profile web add github:2026heshao/dsh-armory
 ```
 
-装完**重启 DSH**，侧栏顶部「全局面板」里点 **技能 · MCP**（或右下角悬浮按钮）。桌面端装在 `desktop` profile 时把 `--profile web` 换成 `--profile desktop`。
+装完**重启 DSH**，侧栏顶部「全局面板」里点 **技能 · MCP · 专家**（或右下角悬浮按钮）。桌面端装在 `desktop` profile 时把 `--profile web` 换成 `--profile desktop`。也可以在装了 [dsh-market](https://github.com/dsh-market/dsh-market#readme) 的 DSH 里搜 `armory` 一键安装。
 
 ## 它解决什么
 
@@ -73,10 +78,14 @@ dsh plugin --profile web add github:2026heshao/dsh-armory
 ## 安装
 
 ```sh
+# 从 npm 安装（推荐）
+dsh plugin --profile web add dsh-armory
+
+# 从 GitHub 安装
 dsh plugin --profile web add github:2026heshao/dsh-armory
 ```
 
-装完**重启 `dsh web`**（桌面端把 `--profile web` 换成 `--profile desktop`）。升级：换新版 tag 重新 `add`，或在面板「一键升级」提示条上直接点。卸载（不会删除 profile 里已有的 MCP 条目）：
+装完**重启 DSH**（桌面端重启应用，Web 端重启 `dsh web`；桌面端把 `--profile web` 换成 `--profile desktop`）。升级：npm 安装可在面板「一键升级」提示条上直接点，GitHub 安装换新版 tag 重新 `add`。卸载（不会删除 profile 里已有的 MCP 条目）：
 
 ```sh
 dsh plugin --profile web remove dsh-armory
@@ -93,7 +102,7 @@ dsh plugin --profile web remove dsh-armory
 两个入口，同一个面板：
 
 - **右下角悬浮按钮**：可拖拽移动，位置会被记住；
-- **侧栏底部「MCP」**：展开态在「设置」上方，侧栏收起成 56px 轨道时只剩图标。
+- **侧栏「技能 · MCP · 专家」**：展开态在「设置」上方，侧栏收起成 56px 轨道时只剩图标。
 
 面板浮在会话之上，关掉它（右上角「关闭」或 Esc）不会影响会话。
 
@@ -181,12 +190,18 @@ dsh plugin --profile web remove dsh-armory
 ## 开发
 
 ```sh
-npm test                              # 全部测试（含真机集成用例）
-dsh --profile web --dump-config       # 看 profile 的有效配置
-dsh web                               # 起 Web 做真实操作验证
+npm install --no-save yaml@2            # 测试唯一的裸依赖（node:test 内置）
+npm test                                # 专家市场写链 33 断言（与 CI / 发版门槛同一条）
+npm run test:e2e                        # 可选：用宿主补丁算法验证专家预设进入组合树
+dsh --profile web --dump-config         # 看 profile 的有效配置
+dsh web                                 # 起 Web 做真实操作验证
 ```
 
-`npm test` 里除替身用例（验证插件内部自洽）外，还有一组**真机集成用例**：真 `cordis` + 真 `dsh-tools` + 真 `dsh-scope` + 真 `dsh-mcp-client` + 一个真 stdio MCP 子进程，覆盖「同项目两个会话共用一份连接、工具投射进会话层、不泄漏到全局、子进程随最后一个会话退出」。CI（push 到 main / PR，以及推 tag 发版）跑的是同一条门槛，发版流程见 [安装与升级](docs/installation.md#发布流程维护者)。
+`npm test` 跑的是 `test/expert-manual.mjs`：真网拉 WorkBuddy 专家目录（ETag 命中后走磁盘缓存）与 senior-developer 人设，再对 `lib/expert-market.js` 的 patch 写链做 33 条断言——含 1.9.1 修复的回归用例（召唤预设必须写成顶层 `- insert:` 指令、旧版顶层裸条目要能被迁移）。本机存在 `~/.dsh/profiles/desktop/cordis.patch.yml` 时会追加一组真实 profile 往返断言，没有则记 `SKIP`。
+
+CI（push 到 main / PR，见 `.github/workflows/ci.yml`）与发版门槛（推 tag，见 `.github/workflows/release.yml`）跑的是**逐字相同**的命令（装 `yaml@2` → `node ./test/run-expert-manual.mjs`），两处口径不许分叉；发版流程见 [安装与升级](docs/installation.md#发布流程维护者)。
+
+> 本机若没有 `yaml`，`npm test` 会以 `ERR_MODULE_NOT_FOUND` 退出——`test/loader.mjs` 会先试标准解析，失败才回退开发机的 profile 副本（`~/.dsh/profiles/desktop/node_modules`），所以干净环境必须先装依赖。
 
 ## 文档
 

package/docs/installation.md

@@ -116,25 +116,35 @@ npm 与 GitHub Releases 必须**同一次发布里都更新**：用户从 npm
 
 ```sh
 # 1) 改版本：package.json + README/docs 里的版本与 tag 引用 + lib/whats-new.js 的更新条目
-#    + .github/release-notes/v<新版本>.md（后两项缺一项，下面的 npm test 就会红）
-npm test
+#    + .github/release-notes/v<新版本>.md（后两项缺一项，release.yml 的校验步骤就会红）
+npm install --no-save yaml@2   # 测试唯一的裸依赖；干净 checkout 必须先装
+npm test                       # 专家市场写链 33 断言（与 CI / 发版门槛同一条命令）
 
 # 2) 真机过一遍（触发条件见下），**必须在打 tag 之前**
 dsh web    # 打开面板点一遍
 
-# 3) 提交并推 tag（CI 会校验 tag 与 version 一致，不一致就拒绝发布）
+# 3) 提交并推 tag（release.yml 会校验 tag 与 version 一致，不一致就拒绝发布）
 git add -A && git commit -m "..."
 git push origin main
-git tag -a v1.9.0 -m "v1.8.0 ..." && git push origin v1.9.0
+git tag -a v1.9.1 -m "v1.9.1 ..." && git push origin v1.9.1
 ```
 
-推 tag 后 CI 依次做：校验版本 → `pnpm install --frozen-lockfile` → `npm test` → `npm publish`（trusted publishing，无需 token）→ `gh release create`。
+推 tag 后 `.github/workflows/release.yml` 依次做：校验 tag 与版本一致 → 校验 whats-new 有当前版本条目 → 校验 release notes 稿存在 → 装 `yaml@2` → `node ./test/run-expert-manual.mjs` → `npm publish`（trusted publishing，无需 token）→ `gh release create`。
 
-**第 2 步的真机检查什么时候必须做**：客户端那一半是替身测试——组件在 node 里渲染不起来（见[设计与限制](design.md#版本范围怎么定以及它管不到什么)），所以 CI 全绿也证明不了面板能显示。因此**只要本次改动碰了 `lib/client.js`、或推进了 DSH 基线，就必须做**：起 `dsh web`，确认侧栏入口能打开面板、悬浮按钮在位，然后导入 / 预览 / 启停各点一次。本次改名恰好动了 `lib/client.js`（插件 id、CSS 去重键、typert method id、localStorage 迁移），所以这一遍不能省。
+CI 分工（两条工作流，门槛命令**逐字相同**，改一处必须改另一处）：
+
+| 工作流 | 触发 | 跑什么 |
+| --- | --- | --- |
+| `.github/workflows/ci.yml` | push 到 main、PR、手动 | 装 `yaml@2` → `node ./test/run-expert-manual.mjs`（只验证，不发布） |
+| `.github/workflows/release.yml` | 推 `v*.*.*` tag、手动 | 同上门槛 + 版本 / whats-new / release-notes 三项校验 → `npm publish` → GitHub Release |
+
+> **本仓库没有 `pnpm-lock.yaml`**（运行依赖全是宿主提供的 peer，不装进包），而 devDependencies 里的 `@deepseek-ai/*` 是宿主内部包、npm registry 上不存在。所以两条工作流都**不能用** `pnpm install --frozen-lockfile`——改回它会立刻红（历史上失败过一次）。测试只需 `yaml`，用 `npm install --no-save` 装。
+
+**第 2 步的真机检查什么时候必须做**：客户端那一半是替身测试——组件在 node 里渲染不起来（见[设计与限制](design.md#版本范围怎么定以及它管不到什么)），所以 CI 全绿也证明不了面板能显示。因此**只要本次改动碰了 `lib/client.js`、或推进了 DSH 基线，就必须做**：起 `dsh web`，确认侧栏入口能打开面板、悬浮按钮在位，然后导入 / 预览 / 启停各点一次。
 
 为什么不能交给 CI：这类失败的表现是**面板白屏**，不会让任何用例变红（注册契约是好的，渲染不出来而已）。宿主改 slot 就是这种改动的典型——`0.1.6-alpha.2` 的发布说明里有「客户端 Session 会话支持多实例共存，相关 API 及 slot 有变化」，2026-09-24 推进基线到 `0.1.7-rc.1`、09-28 推进到 `0.1.7-rc.2` 时也属于这一类，所以它固定成检查单而不是靠记得。纯 Host 侧改动（`lib/index.js`、`lib/workspace-*.js` 等）可以跳过这一步。
 
-**Release notes 是必写的**，稿子放 `.github/release-notes/vX.Y.Z.md`（**不要**放 `docs/`，docs 会随包发布到 npm）；有稿子就用它，没有才退回 `--generate-notes`。为什么必写：本仓库全部直接提交到 main、没有 PR，自动生成几乎生成不出内容（v1.3.0 及之前每个 Release 页面都只有一行 compare 链接），而面板的更新提示正是把用户指到那一页。`test/package-contract.test.mjs` 会拦下「bump 了版本却没写稿」，所以在打 tag 之前本地就会红。
+**Release notes 是必写的**，稿子放 `.github/release-notes/vX.Y.Z.md`（**不要**放 `docs/`，docs 会随包发布到 npm）；`release.yml` 的「校验 release notes 稿子存在」步骤会拦下漏写，`gh release create --notes-file` 用它作为 Release 页面正文。为什么必写：本仓库全部直接提交到 main、没有 PR，自动生成几乎生成不出内容（v1.3.0 及之前每个 Release 页面都只有一行 compare 链接），而面板的更新提示正是把用户指到那一页。
 
 **应用内的「更新到 vX」提示是另一件事**：它的内容真源是 `lib/whats-new.js`（随包发布，宿主的 `whatsNew` RPC 直接转发它），发布前必须给它写上当前版本那一条——`test/whats-new.test.mjs` 会拦下「bump 了版本却没写更新内容」。只写一条就够，不必和 GitHub Release notes 逐字一致。
 

package/lib/client.js

@@ -1529,21 +1529,35 @@ const McpTab = (props) => {
   // 探测一键升级的可用性：官方 pluginManager 在不在 + 本插件是不是 npm 装的。
   // 与 updateHint 同一条纪律：任何失败都静默（按钮不出现即可），绝不因它让面板报错。
   // 只在确实有新版时才探测——没有新版时按钮本来就不显示，省一次 remote 调用。
+  //
+  // 安装来源必须问宿主（call('installInfo')）：宿主 listBundles() 的行里没有 source
+  // 字段，客户端拿它判来源会恒判「npm 装的」；而 installBundle 执行 `pnpm add <spec>`，
+  // 本地 file:/link: 安装的用户一点就把开发副本换成 npm 包。installInfo 读的是 profile
+  // manifest 里本插件那一行的真实 spec，是唯一可信判据。
   useEffect(() => {
     if (!updateHint?.latest || !pluginManager || typeof pluginManager[UPGRADE_METHOD] !== 'function') return undefined;
     let cancelled = false;
     (async () => {
       try {
-        const res = await pluginManager.listBundles();
-        if (cancelled || !res || res.ok !== true || !Array.isArray(res.value)) return;
-        const bundle = res.value.find((b) => b && b.name === UPGRADE_PACKAGE) || null;
-        // 只有判定为「可升级」才记 state；不可升级时保持 idle，按钮走旧的链接形态。
-        const plan = upgradePlan({ service: pluginManager, hint: updateHint, bundle });
-        if (!cancelled && plan.supported) setUpgradeState({ phase: 'idle', bundle, spec: plan.spec });
+        const [bundleRes, installRes] = await Promise.all([
+          pluginManager.listBundles(),
+          call('installInfo').catch(() => null),
+        ]);
+        if (cancelled) return;
+        const bundle = bundleRes && bundleRes.ok === true && Array.isArray(bundleRes.value)
+          ? bundleRes.value.find((b) => b && b.name === UPGRADE_PACKAGE) || null
+          : null;
+        const install = installRes && installRes.ok ? installRes : null;
+        // 只有判定为「可升级」才记 spec；不可升级时也记下 source/reason，
+        // 供横幅按真实来源说清「为什么不能一键升」（本地安装 vs 来源未知）。
+        const plan = upgradePlan({ service: pluginManager, hint: updateHint, bundle, spec: install?.spec ?? null, source: install?.source ?? null });
+        if (cancelled) return;
+        if (plan.supported) setUpgradeState({ phase: 'idle', bundle, spec: plan.spec, source: install?.source ?? null });
+        else setUpgradeState({ phase: 'idle', bundle, source: install?.source ?? null, reason: plan.reason });
       } catch { /* 探测失败 = 没有一键升级，退回链接；不报错 */ }
     })();
     return () => { cancelled = true; };
-  }, [pluginManager, updateHint]);
+  }, [pluginManager, updateHint, call]);
 
   // 挂载失败按 serverName 索引：既标到列表行上，也注入详情的错误区，避免「顶部报错但那一行看着正常」。
   // 挂载失败的汇总横幅用的就是这个列表；行与详情都读 Host 标在行上的 mountFailed。
@@ -1710,33 +1724,31 @@ const McpTab = (props) => {
   // 更不该报错（这一整块是纯增值信息，与 updateHint 同一条纪律）。
   const [upgradeState, setUpgradeState] = useState({ phase: 'idle' });
   const runUpgrade = async () => {
-    const svc = pluginManager;
-    const plan = upgradePlan({ service: svc, hint: updateHint, bundle: upgradeState.bundle || null });
-    if (!plan.supported) {
-      // 只有「本地链接安装」值得明说：其余情况（宿主没提供、已是最新）按钮本来就不显示。
-      setUpgradeState({ phase: 'blocked', reason: plan.reason });
-      return;
-    }
-    setUpgradeState({ phase: 'running', version: plan.version });
+    // 判定在探测 effect 里已用真实 spec（宿主 installInfo）做完；按钮只在 supported 时
+    // 才渲染，所以这里拿到 spec 就能执行。状态过期（spec 被清掉）时只提示、不动安装。
+    const targetSpec = upgradeState.spec;
+    if (!targetSpec) { setUpgradeState({ phase: 'blocked', reason: upgradeState.reason || 'not-ready' }); return; }
+    const targetVersion = targetSpec.split('@^')[1] || updateHint?.latest || '';
+    setUpgradeState((current) => ({ ...current, phase: 'running', version: targetVersion }));
     try {
       // 两个参数：installBundle(spec, options)。少传第二个会被 wire 直接拒绝
       // （client api: pluginManager/installBundle expected 2 argument(s), got 1）。
-      const res = await svc[UPGRADE_METHOD](plan.spec, {});
+      const res = await pluginManager[UPGRADE_METHOD](targetSpec, {});
       if (!res || res.ok !== true) {
-        setUpgradeState({ phase: 'failed', text: (res && res.error && (res.error.message || res.error.code)) || '调用失败' });
+        setUpgradeState((current) => ({ ...current, phase: 'failed', text: (res && res.error && (res.error.message || res.error.code)) || '调用失败' }));
         return;
       }
       const r = res.value || {};
       if (r.application === 'failed' || r.application === 'cancelled') {
-        setUpgradeState({ phase: 'failed', text: upgradeFailureText(r.error, r.packageResult && r.packageResult.exitCode) });
+        setUpgradeState((current) => ({ ...current, phase: 'failed', text: upgradeFailureText(r.error, r.packageResult && r.packageResult.exitCode) }));
         return;
       }
       // applied / restart-required / overridden 都算装上了。宿主代码在进程内执行，升级已存在的包
       // 时官方**无条件**返回 restart-required（installBundle 里 `if (Object.hasOwn(before, name))
       // return 'restart-required'`，与 HMR 开不开无关），所以这里必须告诉用户去重启。
-      setUpgradeState({ phase: 'done', version: plan.version || updateHint?.latest || '' });
+      setUpgradeState({ phase: 'done', version: targetVersion });
     } catch (e) {
-      setUpgradeState({ phase: 'failed', text: String(e?.message || e) });
+      setUpgradeState((current) => ({ ...current, phase: 'failed', text: String(e?.message || e) }));
     }
   };
   const filtered = useMemo(() => {
@@ -1814,8 +1826,12 @@ const McpTab = (props) => {
           : upgradeState.phase === 'done' ? '已升级到 v' + upgradeState.version + '，重启宿主后生效'
             : upgradeState.phase === 'failed' ? '升级失败：' + upgradeState.text
               : upgradeState.phase === 'blocked' && upgradeState.reason === 'not-npm'
-                ? '本地链接安装，无法一键升级' + (updateHint?.current ? '（当前 v' + updateHint.current + '）' : '')
-                : '新版本 v' + updateHint.latest + ' 可用'),
+                ? '本地安装（' + (upgradeState.source || 'file') + '），一键升级会把本地副本换成 npm 包，故只提示' + (updateHint?.current ? '（当前 v' + updateHint.current + '）' : '')
+                : upgradeState.phase === 'idle' && upgradeState.reason === 'not-npm'
+                  // 探测阶段就判定不可一键升：这是本地开发安装的常态（file:/link:），
+                  // 说清原因，免得用户以为按钮坏了。
+                  ? '新版本 v' + updateHint.latest + ' 可用；本地安装（' + (upgradeState.source || 'file') + '）请手动更新后重启'
+                  : '新版本 v' + updateHint.latest + ' 可用'),
       // 可升级时给按钮，否则退回链接。按钮只在探测确认过 service + npm 来源后出现——
       // 探测失败时这一整条与改动前完全一致，不会出现点了没反应的按钮。
       upgradeState.phase === 'idle' && upgradeState.spec
@@ -3933,26 +3949,43 @@ const UPGRADE_PACKAGE = 'dsh-armory';
 /**
  * 这次升级能不能做、为什么不能——纯判定，便于单测。
  *
- * 三种「不能升」的来源各不相同，报给用户的话也必须不同：
+ * 四种「不能升」的来源各不相同，报给用户的话也必须不同：
  *   - 宿主没提供 pluginManager（老宿主 / 非 web 形态）→ 退回手动命令；
  *   - 插件不是 npm 装的（link:/file:/github:）→ 覆盖安装会把它换成 npm 包，不能做；
+ *   - 安装来源未知（宿主没回 installInfo / 读不到 profile manifest）→ 同样不做：
+ *     宁可少一个按钮，也不做可能毁掉用户本地副本的写操作；
  *   - 当前版本不低于最新 → 无需升级。
  *
  * @param {object} input - 判定输入。
  * @param {object|null} input.service - 探测到的 pluginManager 命名空间（null = 宿主没提供）。
  * @param {object|null} input.hint - updateHint 的结果（current / latest / updateAvailable）。
- * @param {object|null} input.bundle - listBundles 里本插件那一行（source / installed / version）。
- * @returns {{supported: boolean, reason: string, spec: string|null, canRestart: boolean}} 判定结果。
+ * @param {object|null} input.bundle - listBundles 里本插件那一行（version / installed / …）。
+ * @param {string|null} input.spec - 宿主 installInfo 报回的 profile manifest spec。
+ * @param {string|null} input.source - 宿主 installInfo 报回的来源分类（registry/file/link/…）。
+ * @returns {{supported: boolean, reason: string, spec: string|null, version?: string}} 判定结果。
  */
-function upgradePlan({ service, hint, bundle }) {
+function upgradePlan({ service, hint, bundle, spec = null, source = null }) {
   const hasMethod = !!service && typeof service[UPGRADE_METHOD] === 'function';
   if (!hasMethod) return { supported: false, reason: 'no-service', spec: null };
   if (!hint?.updateAvailable || !hint?.latest) return { supported: false, reason: 'up-to-date', spec: null };
-  // 本地安装形态（link:/file:/github:/tarball）不归 installBundle 管：拿 npm spec 覆盖会把
-  // 用户的本地开发链接换成 npm 包，那是破坏而不是升级。只认 registry 来源。
-  const source = typeof bundle?.source === 'string' ? bundle.source : '';
-  const isRegistry = source === '' || /^\d|^\^|^~|^latest$/.test(source);
-  if (!isRegistry) return { supported: false, reason: 'not-npm', spec: null };
+  // 本地安装形态不归 installBundle 管：它执行的是 `pnpm add <npm spec>`，会把用户的本地开发
+  // 链接/文件依赖换成 npm 包——那是破坏而不是升级。只认 registry 来源。
+  //
+  // 判据必须来自宿主 installInfo（读 profile manifest 的真实 spec），**不能用
+  // bundle.source**：宿主 listBundles() 的行里没有该字段（只有 name/version/description/
+  // meta/enabled/installed/optional/removable/readOnlyReason/rows/overrides），旧实现据此
+  // 恒判「可以升」，本地 file: 安装的用户一点就把开发副本换成了 npm 包。
+  const sourceText = typeof source === 'string' ? source.trim() : '';
+  const specText = typeof spec === 'string' ? spec.trim() : '';
+  // 来源未知（新客户端配旧宿主，installInfo 还没上线 / manifest 读不到）→ 不做写操作。
+  if (sourceText === '' || sourceText === 'unknown') return { supported: false, reason: 'unknown-source', spec: null };
+  if (sourceText !== 'registry') return { supported: false, reason: 'not-npm', spec: null };
+  // 双保险：spec 前缀也必须像 registry spec（宿主分类与客户端判据两处独立成立才算数）。
+  const looksRegistry = specText === '' || /^[\^~]?\d/.test(specText) || /^(latest|\*|next|\*)$/i.test(specText);
+  if (!looksRegistry) return { supported: false, reason: 'not-npm', spec: null };
+  // 宿主将来若补上 bundle.source，两种信号取更保守的一侧（任一像本地就否决）。
+  const legacySource = typeof bundle?.source === 'string' ? bundle.source.trim() : '';
+  if (legacySource !== '' && !/^\d|^\^|^~|^latest$/.test(legacySource)) return { supported: false, reason: 'not-npm', spec: null };
   return {
     supported: true,
     reason: 'ok',
@@ -4276,6 +4309,9 @@ const MCP_CONTRIBUTION = {
     { id: 'dsh-armory#mcpManager/projectConnections', service: 'mcpManager', namespace: 'mcpManager', method: 'projectConnections', invocation: { kind: 'direct' }, parameters: [], result: mcpCodec('ProjectConnectionsResult') },
     { id: 'dsh-armory#mcpManager/reconnectWorkspaceServer', service: 'mcpManager', namespace: 'mcpManager', method: 'reconnectWorkspaceServer', invocation: { kind: 'direct' }, parameters: [mcpParam('payload', 'ImportPayload')], result: mcpCodec('NoteResult') },
     { id: 'dsh-armory#mcpManager/updateHint', service: 'mcpManager', namespace: 'mcpManager', method: 'updateHint', invocation: { kind: 'direct' }, parameters: [], result: mcpCodec('UpdateHintResult') },
+    // 安装形态（spec / source）：一键升级的安全判据。与宿主 method、typert.js 三处必须同步，
+    // 漏一处就是恒 404（toolTailor 踩过）。
+    { id: 'dsh-armory#mcpManager/installInfo', service: 'mcpManager', namespace: 'mcpManager', method: 'installInfo', invocation: { kind: 'direct' }, parameters: [], result: mcpCodec('InstallInfoResult') },
     // 「这次更新了什么」：数据在 lib/whats-new.js，宿主只转发，判定“该不该弹”在客户端。
     { id: 'dsh-armory#mcpManager/whatsNew', service: 'mcpManager', namespace: 'mcpManager', method: 'whatsNew', invocation: { kind: 'direct' }, parameters: [], result: mcpCodec('WhatsNewResult') },
     // ── Skill 看板：与 MCP 同一命名空间、同一信封（payload 进、{ok} 出）──

package/lib/index.js

@@ -167,6 +167,32 @@ function patchPath(ctx) {
 	const filename = path.startsWith("file:") ? fileURLToPath(path) : path;
 	return join(dirname(filename), "cordis.patch.yml");
 }
+// profile 目录：与 patchPath 同一条受信发现路径（根 include 的 path 所在目录），
+// 不是从 ctx.fs 或 cwd 猜出来的——installInfo 只读它下面的 package.json。
+function profileDirOf(ctx) {
+	const path = patchPath(ctx);
+	return path ? dirname(path) : null;
+}
+/**
+ * 安装来源分类：客户端据此决定「一键升级」能不能做。
+ * 本仓库历史上踩过的坑：listBundles() 的返回行里**没有 source 字段**，客户端拿它判
+ * 来源会恒判「npm 装的」，于是本地 file: 安装的用户一点升级就被 `pnpm add` 换成 npm 包。
+ * 这里只按 profile manifest 里的 spec 前缀分类，分类结果直接决定按钮出不出现。
+ * @returns {"registry"|"file"|"link"|"git"|"remote"|"path"|"unknown"}
+ */
+function classifyInstallSpec(spec) {
+	const text = typeof spec === "string" ? spec.trim() : "";
+	if (text === "") return "unknown";
+	if (/^(file:|portal:|workspace:)/i.test(text)) return "file";
+	if (/^link:/i.test(text)) return "link";
+	if (/^(github:|git\+|git:|https?:\/\/.*\.git)/i.test(text)) return "git";
+	if (/^https?:/i.test(text)) return "remote";
+	if (/^(\.{1,2}[\\/]|[A-Za-z]:[\\/]|\/)/.test(text)) return "path";
+	// registry spec：版本范围（^1.9.0 / ~1.9.0 / 1.9.0 / latest / * / 空=latest）
+	if (/^[\^~]?\d/.test(text) || /^(latest|\*)$/i.test(text)) return "registry";
+	if (/^[a-z@]/i.test(text)) return "registry";
+	return "unknown";
+}
 // Profile persistence is a Host-owned configuration capability, not a session workspace mutation.
 // `ctx.fs` is intentionally fenced by the active workspace-write policy, so this target is
 // derived only from the trusted root include and committed through the Host atomic writer.
@@ -312,6 +338,10 @@ const UPDATE_CHECK_URL = "https://api.github.com/repos/2026heshao/dsh-armory/rel
 const UPDATE_CHECK_INTERVAL_MS = 24 * 60 * 60 * 1000;
 const UPDATE_CHECK_TIMEOUT_MS = 5000;
 const UPDATE_CHECK_DISABLED_ENV = "DSH_ARMORY_DISABLE_UPDATE_CHECK";
+// 本插件的两个 profile 依赖名：1.9.0 改名后新名是 dsh-armory，旧名 dsh-skill-mcp-board
+// 是「从旧版升级但还没删掉旧条目」的过渡态——installInfo 两行都查，命中哪行就报哪行。
+const UPGRADE_PACKAGE_NAME = "dsh-armory";
+const LEGACY_PACKAGE_NAME = "dsh-skill-mcp-board";
 let updateCheckState = { checkedAt: 0, result: null };
 
 function pluginVersion() {
@@ -1286,6 +1316,45 @@ let McpManagerGateway = (() => {
 	async updateHint() {
 		return checkForUpdate();
 	}
+	/**
+	 * 本插件的安装形态与来源 spec —— 客户端「一键升级」的安全判据。
+	 *
+	 * 为什么必须由宿主读：客户端问得到的 listBundles() 行里**没有 source 字段**
+	 * （只有 name/version/description/meta/enabled/installed/optional/removable/
+	 * readOnlyReason/rows/overrides），客户端据此判断会恒判「可以一键升级」，而
+	 * installBundle 执行的是 `pnpm add <npm spec>`——本地 file:/link: 安装的用户一点
+	 * 就会把开发副本换成 npm 包。真源只有 profile manifest 的 dependencies。
+	 *
+	 * 只读、只回本插件自己的两行（新名 + 兼容旧名），失败一律降级为 unknown 而不是抛错：
+	 * 升级按钮不该因为读不到 manifest 就让面板报错。
+	 */
+	async installInfo() {
+		const names = [UPGRADE_PACKAGE_NAME, LEGACY_PACKAGE_NAME];
+		const info = {
+			packageName: UPGRADE_PACKAGE_NAME,
+			version: pluginVersion(),
+			spec: null,
+			source: "unknown",
+			profileDir: null,
+		};
+		try {
+			const dir = profileDirOf(this.ctx);
+			if (dir) {
+				info.profileDir = dir;
+				const manifest = JSON.parse(readFileSync(join(dir, "package.json"), "utf8"));
+				const deps = manifest && typeof manifest.dependencies === "object" && manifest.dependencies ? manifest.dependencies : {};
+				const hit = names.find((name) => typeof deps[name] === "string");
+				if (hit) {
+					info.spec = String(deps[hit]);
+					info.installedAs = hit;
+					info.source = classifyInstallSpec(info.spec);
+				}
+			}
+		} catch {
+			// 读不到就维持 unknown：客户端据此退回「查看更新方式」链接，不做写操作。
+		}
+		return info;
+	}
 	async whatsNew() {
 		// 只回数据，不在宿主判定「该不该弹」：「上次看到的版本」是每台浏览器自己的事实
 		// （localStorage），宿主没有这个视角；判定在客户端（whatsNewFor）。

package/lib/typert.js

@@ -71,6 +71,9 @@ export const TYPERT = {
     mv('reconnectWorkspaceServer', [payloadParam], 'NoteResult'),
     mv('updateHint', [], 'UpdateHintResult'),
     mv('whatsNew', [], 'WhatsNewResult'),
+    // 安装形态（spec / source / profileDir）：客户端「一键升级」的安全判据。
+    // 缺这一行 = 客户端 call('installInfo') 恒 404 → 按钮退回链接形态（同 toolTailor 的坑）。
+    mv('installInfo', [], 'InstallInfoResult'),
     // Skill 看板（与 MCP 同一命名空间、同一信封：payload 进、{ok} 出）。
     mv('listSkills', [payloadParam], 'SkillListResult'),
     mv('skillDetail', [payloadParam], 'SkillDetailResult'),

package/lib/whats-new.js

@@ -8,9 +8,10 @@
 // **顺序就是语义**：客户端按数组顺序算「上次看到的版本之后还有哪些」，所以只能从旧到新
 // 追加，不要按版本号大小或字母重排。
 //
-// 维护约定（由 test/whats-new.test.mjs 钉住）：`package.json` 的版本必须是这里的最后一条。
-// 也就是说——bump 了版本却没写更新内容，本地就会红。这正是「新功能没人发现」的根治点：
-// 发布前不写清楚「变了什么、在哪找」，就发不出去。
+// 维护约定（由 test/upgrade-plan.mjs 第 8 组断言钉住）：`package.json` 的版本必须是这里的
+// 最后一条，且 `.github/release-notes/v<版本>.md` 必须存在。也就是说——bump 了版本却没写
+// 更新内容、或没写 Release 稿，本地 `npm test` 与 CI 都会红。这正是「新功能没人发现」的
+// 根治点：发布前不写清楚「变了什么、在哪找」，就发不出去。
 //
 // 条目形状：`{ version, items: [{ text, where? }] }`。`where` 用来回答「在哪儿能找到它」，
 // 是这次加这个提示的直接原因（新开关藏在面板头部，不主动指路等于没加）。
@@ -207,4 +208,25 @@ export const WHATS_NEW = [
       },
     ],
   },
+  {
+    version: '1.9.1',
+    items: [
+      {
+        text: '修复「挂载失败：Unknown agent preset」：召唤专家写的预设行以前是写在补丁顶层的裸条目，宿主按「覆盖已有行」解释后整条跳过（预设永远不注册）；现在按宿主规范写成 insert 指令，并自动把旧格式的行迁移过来——升级后首次打开面板/重新召唤即修复，已有会话的正常使用',
+        where: '会话输入框召唤菜单 → 专家',
+      },
+      {
+        text: '会话已开始也能用专家：宿主规则不允许中途换预设，改为提供「带「专家」新建会话」一键路径（自动建新会话 → 挂上专家 → 跳过去），不再是死路一条',
+        where: '召唤菜单 → 专家 → 提示条下方的按钮',
+      },
+      {
+        text: '召唤菜单两处体验修复：鼠标移过「技能」不再把菜单关掉（开合判定收归整个菜单，提示区不再误判为「离开」）；提示条让菜单变高时页面不再抖动（菜单改为视口浮层，不再撑动会话滚动区）',
+        where: '会话输入框工具行右侧的看板小图标',
+      },
+      {
+        text: '一键升级更安全：以前它靠宿主返回的一个并不存在的字段判断「是不是 npm 装的」，本地 file:/link: 安装的用户一点升级就会把开发副本换成 npm 包；现在改问宿主读 profile 里的真实安装来源，本地安装与来源不明一律只提示、不写盘',
+        where: '面板顶部的更新提示条',
+      },
+    ],
+  },
 ]

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "dsh-armory",
-  "version": "1.9.0",
-  "description": "Unified Skill + MCP + Expert board for DeepSeek Harness Web — global panel page, JSON import, WorkBuddy connector & SkillHub & Expert market installs, tool-usage tailor, and profile-backed Host Remote management.",
+  "version": "1.9.1",
+  "description": "Unified Skill + MCP + Expert board for DeepSeek Harness (desktop app and Web GUI) — global panel page, JSON import, WorkBuddy connector & SkillHub & Expert market installs, tool-usage tailor, and profile-backed Host Remote management.",
   "repository": {
     "type": "git",
     "url": "git+https://github.com/2026heshao/dsh-armory.git"
@@ -13,7 +13,12 @@
   "type": "module",
   "main": "lib/index.js",
   "scripts": {
-    "test": "node --test"
+    "test": "node ./test/run-all.mjs",
+    "test:expert": "node ./test/run-expert-manual.mjs",
+    "test:upgrade": "node ./test/upgrade-plan.mjs",
+    "test:install": "node ./test/verify-install-info.mjs",
+    "test:e2e": "node ./test/run-e2e.mjs",
+    "migrate": "node ./test/run.mjs migrate"
   },
   "exports": {
     "./typert": "./lib/typert.js",