dsh-artifact-linker 0.2.7 → 0.3.6

package/CHANGELOG.md

@@ -1,5 +1,168 @@
 # Changelog
 
+## 0.3.6 — 2026-10-29
+
+### 修：安全闸按候选 base 逐个判定
+
+`reveal` / `open` 两条路由原本用 `isInside(process.cwd(), abs)` 做越界检查——而宿主的 `process.cwd()` 并不等于会话 workspace，这是个潜伏的错判点（`allowOutside: true` 时被掩盖，一旦关掉就会误拒 workspace 内的合法文件）。改为 `insideAnyBase(abs, allowOutside)`，逐候选 base 判定。
+
+## 0.3.5 — 2026-10-29
+
+### 新：「在侧边栏预览」
+
+右键菜单新增一项，把文件交给 DSH 内置右侧边栏渲染——和聊天里点文件链接走同一条通道（`dsh-resource://file/` 地址 + 宿主 `openResource`），所以 PDF、Word、Excel、PowerPoint、Markdown、纯文本、CSV、图片、音视频都能在里面看。
+
+实现上做了两件事：一是地址构造与官方 `dsh-util-workspace-path` 逐字对齐（不新增依赖）；二是加了一道类型闸——查看器渲染不了的扩展名**自动改走默认程序**，不会给出一个空白面板。客户端插件声明 `inject: ["slots"]`，预览器缺席时该菜单项自动隐藏。
+
+## 0.3.4 — 2026-10-29
+
+### 修：右键偶尔「假死」
+
+右键菜单弹出后立刻点菜单项，第一次点击有时被吞。改为用 pointer 事件绑定菜单项，并避开菜单挂载那一帧的焦点竞态。
+
+### 新：音视频扩展名
+
+白名单补上 `.flac .wav .mp3 .m4a .ogg .mp4 .mkv .mov .webm .avi`——音频产物（TTS 输出、母带）此前完全点不动。
+
+## 0.3.3 — 2026-10-28
+
+### 修：先确认文件存在，才让它变成芯片
+
+之前的判定只看「文字形状」——正文里任何像文件名的片段都会被画成可点芯片（悬停变手型、蓝色虚线高亮、右键弹自己的菜单）。日志摘录、示例路径、报错原文全中招；点开只会得到一句「没解析到这个文件」。
+
+这条提示本身就是设计错误：**给出一个点不开的入口，比根本不认识这个文件更糟**。
+
+改法是加一道存在性闸门：
+
+- 悬停命中候选后先异步 `resolve`，**只有文件真的存在**才变手型 + 画虚线；
+- 右键时若已确认「不是产物」，直接**放行宿主原生菜单**，绝不 `preventDefault` 抢走；
+- 左键同理，确认不是产物就什么都不做；
+- 解析结果进 30 秒 TTL 缓存（`raw → {ok, abs}`），同一段文字反复悬停不重复请求，同一次事件里的并发查询合并成一次往返；
+- 彻底删掉「没解析到这个文件」提示——静默收场，不装作成功也不打扰。
+
+副作用是好的：正文里的普通文字现在**看起来就是普通文字**，不会再有一堆点不动的伪芯片。
+
+## 0.3.2 — 2026-10-28
+
+### 修：「在文件夹中显示」改成 Explore 开窗 + SelectItem(29) 选中
+
+0.3.1 换成了 `SHOpenFolderAndSelectItems`，`hr = 0`、`SelectedItems()` 也真有值，但用户实测**窗口完全不弹**。这个 API 是「在已打开的窗口里定位」语义，没有现成窗口时什么也不显示，不能当「打开」入口用。
+
+同时回头查清了 0.2.8 的老毛病：`SelectItem($item, 1)` 只带 `SVSI_SELECT`，在窗口刚打开、目录项还没填充好的瞬间调用会静默无效——当时既没轮询也没校验 `SelectedItems()`，只看到脚本退出码 0 就记「成功」，于是「日志全绿、实际没选中」。
+
+现在分工明确：
+
+- **开窗**交给 `Shell.Application.Explore($dir)`——实测唯一可靠的开窗入口；
+- **选中**交给 `SelectItem($item, 29)`，`29 = SVSI_SELECT | SVSI_DESELECTOTHERS | SVSI_ENSUREVISIBLE | SVSI_FOCUSED`，缺 `ENSUREVISIBLE` 就不会滚到可视区；
+- 两处都加轮询：`Windows()` 最多等 6 秒，`ParseName` 最多等 6 秒；
+- **成功判据改为 `SelectedItems()` 非空**，不再是「脚本没报错」。
+
+实测（`powershell.exe` 5.1，与插件同款；跑前先关掉目标目录全部窗口）：`window_found=yes`、`item_found=yes`、`sel_count=1`、`sel_item=目标文件`。
+
+降级链不变：拿不到窗口（exit 5）、拿不到目录项（exit 3）、选不中（exit 4）→ 退回 `explorer.exe <目录>`，保证至少能开。
+
+## 0.3.1 — 2026-10-28
+
+### 修：「在文件夹中显示」只打开目录、不定位到文件
+
+0.2.8 把 reveal 从 `explorer.exe /select` 换成了 `Shell.Application` COM（`Explore` + 轮询 `Windows()` + `SelectItem`）。脚本退出码 0、日志写「成功」，但用户实测**只打开了目录、没有自动定位到文件**。
+
+根因：跨进程 COM 里 `$w.Document.Folder.ParseName($name)` 拿到的 `FolderItem` 与目标窗口不保证落在同一 PIDL 空间，`SelectItem` 会**静默失败**——不报错，也不选中。日志之所以显示「成功」，是因为脚本确实正常退出了。
+
+改用 `shell32!SHOpenFolderAndSelectItems`（资源管理器自己执行「在文件夹中显示」时调的就是它）：`ILCreateFromPath` 建 PIDL → 一次 API 调用完成「打开目录 + 选中项」→ `ILFree` 释放。不依赖窗口枚举，也没有跨进程 COM 的对象归属问题。
+
+实测：`hr = 0`，`SelectedItems()` 立即返回目标文件名。
+
+降级链保留：PIDL 建不出（exit 3）或 API 非 0（exit 4）→ 退回 `explorer.exe <dir>`，保证「至少能开」。
+
+## 0.3.0 — 2026-10-28
+
+### 新增：右键菜单补齐「搬运」和「喂给 AI」两类动作
+
+原来右键只有三项（打开 / 定位 / 复制路径），文件能看见、能打开，但**搬不走**。这次补三项，并按用途分组：
+
+| 分组 | 菜单项 | 做什么 |
+|---|---|---|
+| 看 | 用默认程序打开 | `explorer.exe <file>`，交给系统默认关联程序 |
+| 看 | 在文件夹中显示 | Shell COM 定位并选中（0.2.8 已修） |
+| 搬运 | **另存为…** | 弹系统保存窗口，把文件复制到用户选的位置 |
+| 搬运 | **复制文件** | 文件本身进剪贴板（`CF_HDROP`），可粘到任意文件夹 |
+| 搬运 | 复制文件路径 | 只复制路径文字 |
+| 喂 AI | **添加到对话框** | 把绝对路径插入上方聊天输入框 |
+
+菜单项之间加了 1px 分隔线，视觉上把三组分开。
+
+### 「复制文件」不是「复制路径」
+
+这两个必须分清，因为用户拿到的东西完全不同：
+
+- **复制文件路径** → 剪贴板里是字符串，粘到记事本得到一行文字；
+- **复制文件** → 剪贴板里是 `CF_HDROP`（文件列表），粘到资源管理器得到**文件副本本身**。
+
+实现走 `Set-Clipboard -LiteralPath`（PowerShell 5.1+ 能力）。本机实测：单个文件、含中文与空格的文件名（`路径 带空格.pdf`）都能正确写入并被 `Get-Clipboard -Format FileDropList` 读回。
+
+### 「另存为」的两个坑
+
+Node 侧没有跨平台的保存对话框，Windows 只能用 WinForms `SaveFileDialog`，而它：
+
+1. **必须跑在 STA 线程** —— 默认 MTA 直接抛 `InvalidOperationException`；
+2. **不给 owner 窗口时会弹到主窗口背后** —— 用户以为点了没反应，这是最容易踩的一条。
+
+所以脚本里既加了 `-STA`，又造了一个 1×1、`Opacity=0`、`TopMost` 的隐形 owner form；对话框返回后 `finally` 里关掉它。超时给到 10 分钟（用户可能慢慢挑目录、当场新建文件夹）。
+
+用户点「取消」时 PowerShell `exit 1`，这**不是错误**，路由返回 `reason: "cancelled"`，客户端静默不弹红字。
+
+另外挡掉了一种会毁数据的输入：**目标路径与源路径相同**。`copyFileSync` 对同一路径会抛 `EINVAL`，极端情况可能把原文件截断，所以提前返回 `reason: "same-path"`。
+
+### 「添加到对话框」为什么要三种写法兜底
+
+DSH 的输入框会随版本变（`textarea` / `contenteditable` / Lexical 都出现过），所以不写死单个选择器，而是：
+
+1. 一批候选选择器逐个试，按「宽度 ≥150px、可见、非只读」筛出最像输入区的那一个（从 DOM 末尾往前找，聊天输入框通常在最后）；
+2. **优先 `document.execCommand("insertText")`** —— 走浏览器真实输入管线，React / Lexical 的受控状态能同步更新；
+3. 回退到原生 `value` + `input` 事件（textarea / input）；
+4. 再回退到 `textContent` 追加 + `input` 事件（contenteditable）。
+
+三步全失败就明确提示「没找到聊天输入框」，**绝不假装成功**。
+
+### 安全边界
+
+- 新增路由同样只接受 loopback 请求，非回环来源一律 403；
+- `/saveas` `/copyfile` 是**有副作用**的文件操作，比 reveal/open 多挡三种输入：目录、不存在的文件、目标==源；
+- 路径全部经 `statOne` 先行确认，参数走 `execFile` 数组不经 shell，无命令注入面。
+
+### 校验
+
+五套探针共 **105 项全绿**：
+
+```
+probe-client-materialize   13/13
+probe-host-apply           21/21   （路由断言同步到 8 条）
+probe-regex                39/39
+probe-batch2               22/22
+probe-real-files           10/10
+```
+
+---
+
+## 0.2.8 — 2026-10-28
+
+### 修复：Windows「在资源管理器里揭示」点了没反应
+
+`explorer.exe /select,"<路径>"` 在本机实测**根本不起作用**：命令确实发出、退出码 1、日志无异常，但资源管理器既不新开窗口、也不改变选中项。四种传参写法（整串带引号 / 裸路径 / 拆成两个 argv / 去掉 `windowsVerbatimArguments`）逐一试过，全部无效 —— 请求转交给已运行的 explorer 实例时，选中意图被丢掉了。
+
+改为走 **Shell COM**：`Shell.Application.Explore(dir)` 打开目录，再用 `Folder.ParseName(name)` + `Document.SelectItem(item, 1)` 精确选中文件。已验证 `SelectedItems()` 能返回目标文件，中文文件名与深层路径均正常。
+
+实现细节：
+
+- PowerShell 脚本经 `-EncodedCommand` 以 **UTF-16LE Base64** 传入，绕开控制台代码页 —— 直接 `-Command` 传中文路径会变成 mojibake；
+- `windowsHide` 只隐藏 `powershell.exe` 自身（不闪黑窗），COM 拉起的资源管理器窗口照常显示；
+- 轮询等待目标窗口出现（最多约 3 秒）；失败时降级为「打开父目录」，保证不会毫无反应。
+
+`open`（默认程序打开）不受影响，仍是 `explorer.exe <file>`，实测对中文/空格路径有效。
+
+---
+
 ## 0.2.7 — 2026-10-28
 
 ### 文档：加上实机截图

package/README.md

@@ -26,58 +26,53 @@ Two halves, one contract.
 
 | Half | Responsibility |
 | --- | --- |
-| **Host** (`lib/index.js`) | Registers a **resident system-prompt section** so "declare artifacts with full absolute paths" holds in *every* session and *every* preset — no skill needs to be loaded. Exposes six loopback-only routes for path resolution, `stat`, reveal and open. |
-| **Client** (`lib/client.js`) | Turns artifact names in the transcript into clickable targets: left click reveals, right click opens a menu. **No resident UI, no scanning, no timers.** |
+| **Host** (`lib/index.js`) | Registers a **resident system-prompt section** so "declare artifacts with full absolute paths" holds in *every* session and *every* preset — no skill needs to be loaded. Exposes eight loopback-only routes for path resolution, `stat`, reveal, open, save-as and copy-file. |
+| **Client** (`lib/client.js`) | Turns artifact names in the transcript into clickable targets: left click reveals, right click opens a seven-item menu (sidebar preview, open, reveal, save-as, copy file, copy path, add to composer). **No resident UI, no scanning, no timers.** |
 
 The host half closes the loop: even when the model only says `result.h5`, the route layer resolves it against the session workspace, then falls back to a shallow recursive basename search, and returns the real absolute path.
 
 ## What it looks like
 
-Hover an artifact name and it picks up a Codex-style blue dashed outline — that is the only visual hint, nothing is rewritten in your transcript:
-
-![Hover highlight](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/hover-highlight.png)
-
-Right click for the three actions:
+Hover an artifact name and it picks up a Codex-style blue dashed outline — that is the only visual hint, nothing is rewritten in your transcript. Right click for the full menu:
 
 ![Context menu](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/context-menu.png)
 
-"Copy file path" puts the real absolute path on your clipboard:
-
-![Copy path](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/copy-path.png)
-
 ## Interaction
 
-Click behaviour is decided by the modifier key — no menu, no first-time setup:
+Click behaviour is decided by the modifier key — no first-time setup:
 
 | Action | Result |
 | --- | --- |
 | **Left click** on a file name / path | Reveal in File Explorer *with the file selected* |
 | **Ctrl / Shift / Cmd + click** | Open with the system's default application |
 | **Alt + click** | Copy the full absolute path to the clipboard |
-
-### Interactions (v0.2 — no floating pill any more)
-
-| Action | Result |
-|---|---|
-| **Left click** an artifact name | Reveals and selects the file in Explorer |
-| **Right click** an artifact name | Inline menu: `📍 reveal` / `↗ open with default app` / `⧉ copy absolute path` |
-| **Hover** an artifact name | Cursor turns into a pointer (the only visual hint) |
-| Right click on **non-artifact** text | Fully passed through — the host's native menu appears as usual |
+| **Right click** on an artifact | Inline menu — seven actions, listed below |
+| **Right click** on non-artifact text | Fully passed through, the host's native menu appears as usual |
+| **Hover** | Cursor becomes a pointer *only after* the file is confirmed to exist |
 | File missing / unresolvable | Silent pass-through or a one-shot toast. **Never pretends to succeed.** |
 
-The following describes the removed v0.1 design:
+### Right-click menu
 
-The panel refreshes on its own; there are also explicit refresh / flush-cache / clear / close controls.
+| Item | What it does |
+| --- | --- |
+| **Preview in sidebar** | Opens the file in DSH's built-in right sidebar — the same route as clicking a file link in chat. That viewer handles PDF, Word, Excel, PowerPoint, Markdown, plain text, CSV, images, audio and video; an extension it cannot render is redirected to the default app instead of showing a blank pane |
+| **Open with default app** | Hands the file to the OS association (Explorer / Excel / VLC / …) |
+| **Reveal in Explorer** | Opens the containing folder and selects the file |
+| **Save as…** | Copies the file to a location you pick |
+| **Copy file** | Puts the file *itself* on the clipboard (`CF_HDROP`), so you can paste it into Explorer, mail or chat |
+| **Copy path** | Puts the real absolute path on the clipboard |
+| **Add to composer** | Inserts the path into the input box for the next message |
 
 ## How paths resolve
 
-A single path may arrive in three shapes, tried in order:
+A single path may arrive in four shapes, tried in order:
 
 1. **Absolute** — used as-is (`E:\project\out\case.h5`, `\\nas\share\a.zip`). Both drive letters and UNC are recognised.
 2. **Relative** — joined against the session workspace (`out\case.h5` → `<workspace>\out\case.h5`).
-3. **Bare file name** — a shallow recursive basename search under the workspace (depth 2 by default), used only when exactly one match is found. Multiple matches are surfaced as candidates instead of guessing.
+3. **Workspace roots** — every known profile and session workspace is tried, not only the current one.
+4. **Bare file name** — a shallow recursive basename search (depth 2 by default), used only when exactly one match is found. Multiple matches are surfaced as candidates instead of guessing. When a mention swallows leading words (`结果#1_速度云图.png` arriving as `#1_速度云图.png`), segments are shrunk from the left until one resolves.
 
-Results are cached with a 10 s TTL so that repeated queries from DOM re-renders do not hammer the disk, while a just-deleted file still flips to "gone" quickly.
+Results are cached — 10 s for `stat`, 30 s for the basename index — so repeated hovers from DOM re-renders do not hammer the disk, while a just-deleted file still flips to "gone" quickly.
 
 ## Install
 
@@ -113,6 +108,7 @@ On `allowOutside`: artifacts almost always live on a project drive (`E:\`, `D:\`
 
 - **Never modifies a single DOM node.** React owns the transcript; mutating its nodes causes blank renders on re-render. Clickability comes from a capture-phase `click` listener plus `caretRangeFromPoint` to work out which word was hit.
 - **Never takes over markdown image or link syntax.** Rewriting `![](path)` into a chip would break the image.
+- **Never draws a chip for a file that does not exist.** Chat text is full of filename-shaped fragments — log excerpts, example paths, error messages. Turning those into chips produces a clickable target that only ever answers "not resolved", which is worse than not recognising the file at all. So there is an existence gate: on hover the client resolves asynchronously and only becomes a pointer / dashed highlight when the file is really there. Confirmed non-artifacts stay plain text and the right-click falls through to the host's native menu. Results are cached for 30 s.
 - **Never writes a file, never phones home.** Zero telemetry. The only `spawn` calls are the explicit `/reveal` and `/open` routes, using `execFile` with an argument array (no shell, no injection surface), guarded by a loopback-origin check.
 - **Never renames or moves anything.** Read-only by construction.
 - **Does not unify with the official `present` card.** If an artifact was already delivered as a card, the injected rules tell the model not to repeat it.
@@ -135,11 +131,10 @@ dsh-artifact-linker/
 ├── package.json          # dsh.bundle + dsh.client, peer >=0.2.1-rc.3
 ├── cordis.patch.yml      # the patch entry (never duplicate this id)
 ├── lib/
-│   ├── index.js          # host: prompt section + 6 loopback routes
+│   ├── index.js          # host: prompt section + 8 loopback routes
 │   └── client.js         # client: __ModuleLoader__ bundle, read-only DOM
 ├── locale/{zh,en}.json   # meta.title / meta.description
 ├── icon.svg
-├── scripts/probe-regex.mjs
 ├── README.md / README.zh.md
 ├── CHANGELOG.md
 └── LICENSE

package/README.zh.md

@@ -21,24 +21,16 @@ DSH 里预览器已经能开图片、代码、pdf、office。但**插件、脚
 | 半边 | 做什么 |
 |---|---|
 | **宿主（提示词层）** | 常驻注入一条「产物路径铁律」，要求模型把产物写成**完整绝对路径**、而给用户看的正文**只写文件名**——路径有据可查，正文又不被长串路径污染 |
-| **客户端（渲染层）** | 正文里的产物名变成可点目标：左键揭示、右键菜单。**零常驻 UI、零扫描、零定时器** |
+| **客户端（渲染层）** | 正文里的产物名变成可点目标：左键揭示、右键七项菜单（侧边栏预览 / 默认程序打开 / 在文件夹中显示 / 另存为 / 复制文件 / 复制路径 / 添加到对话框）。**零常驻 UI、零扫描、零定时器** |
 
 第 1 条管「模型把路径写对」，第 2 条管「用户点得动」。缺前者，路径经常是猜的、点开是死链；缺后者，路径再对也要人去复制。
 
 ## 长什么样
 
-悬停到产物名上，会出现 Codex 风格的蓝色虚线框——这是唯一的视觉提示，正文一个字都不会被改写：
-
-![悬停高亮](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/hover-highlight.png)
-
-右键是三个动作：
+悬停到产物名上，会出现 Codex 风格的蓝色虚线框——这是唯一的视觉提示，正文一个字都不会被改写。右键弹出完整菜单：
 
 ![右键菜单](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/context-menu.png)
 
-「复制文件路径」把真实绝对路径放进剪贴板：
-
-![复制路径](https://raw.githubusercontent.com/loyalchiiina/dsh-artifact-linker/main/docs/copy-path.png)
-
 ---
 
 ## 交互
@@ -50,27 +42,22 @@ DSH 里预览器已经能开图片、代码、pdf、office。但**插件、脚
 | **左键** | 在系统资源管理器里**揭示并选中**该文件（不是打开它，是把它亮在你面前） |
 | **Ctrl / Shift / Cmd + 左键** | 用系统默认关联程序打开（Excel、PS、播放器……） |
 | **Alt + 左键** | 复制完整绝对路径到剪贴板 |
-
-### 三种交互（v0.2 起不再有浮球）
-
-正文里出现产物名时：
-
-| 操作 | 效果 |
-|---|---|
-| **左键**点产物名 | 在资源管理器里揭示并选中该文件 |
-| **右键**点产物名 | 本插件菜单：`📍 揭示` / `↗ 默认程序打开` / `⧉ 复制完整路径` |
-| **悬停**在产物名上 | 鼠标变手型（唯一的视觉提示） |
-| 在**非产物**文字上右键 | 完全放行，宿主原生菜单照常出现 |
+| **右键**产物名 | 插件菜单，共七项（见下表） |
+| **右键**非产物文字 | 完全放行，宿主原生菜单照常出现 |
+| **悬停** | 只有**确认文件真的存在**才变手型、才画虚线 |
 | 文件不存在 / 解析不到 | 静默放行或一次性提示，**绝不假装成功** |
 
-以下为 v0.1 的历史设计（已移除）：
-
-- 点击展开清单，按发现时间倒序，每行给出：类型图标 · 文件名 · 状态点 · 完整路径 · 大小 · 修改时间；
-- 状态点：🟢 存在 / 🔴 已不存在（划掉） / ⚪ 尚未确认；
-- 每行右侧三个按钮：`📍` 揭示 · `↗` 打开 · `⧉` 复制；
-- 顶部：`刷新`（重查状态）· `清缓存`（清宿主 stat 缓存）· `清空`（只清面板清单，**不动任何文件**）。
+### 右键菜单
 
-同一文件名出现多次只记一条（按次数累计），清单上限 200 条，超出后按发现顺序淘汰最旧。
+| 菜单项 | 作用 |
+|---|---|
+| **在侧边栏预览** | 在 DSH 内置右侧边栏里打开，和聊天里点文件链接是同一条通道。该查看器支持 PDF、Word、Excel、PowerPoint、Markdown、纯文本、CSV、图片、音视频；它渲染不了的扩展名会**自动改走默认程序**，不会给你一个空白面板 |
+| **用默认程序打开** | 交给系统关联（资源管理器 / Excel / 播放器……） |
+| **在文件夹中显示** | 打开所在目录并选中该文件 |
+| **另存为…** | 复制到你指定的位置 |
+| **复制文件** | 把文件**本身**放进剪贴板（`CF_HDROP`），可以直接粘到资源管理器、邮件、聊天窗口 |
+| **复制文件路径** | 把真实绝对路径放进剪贴板 |
+| **添加到对话框** | 把路径插入输入框，供下一条消息使用 |
 
 ---
 
@@ -79,14 +66,17 @@ DSH 里预览器已经能开图片、代码、pdf、office。但**插件、脚
 模型嘴里的话不可全信，插件按顺序试：
 
 1. **`/workspace/<...>`** —— DSH 工作区的虚拟根，映射到真实 workspace 目录；
-2. **原生绝对路径** —— `E:\proj\out\a.xlsx` 直接用；
-3. **workspace 内的相对路径** —— 以 workspace 为基准拼接；
-4. **裸文件名** —— 在 workspace 内递归搜同名文件（跳过 `node_modules/.git/dist/build/` 等），按「最近修改优先」+「目录深度浅优先」排序：
+2. **原生绝对路径** —— `E:\proj\out\a.xlsx` 直接用（盘符和 UNC 都认）；
+3. **会话相对路径** —— 以会话 workspace 为基准拼接；
+4. **各 workspace 根** —— 遍历所有已知的 profile / 会话 workspace，不只当前那一个；
+5. **裸文件名** —— 深浅递归搜同名文件（跳过 `node_modules/.git/dist/build/` 等），按「最近修改优先」+「目录深度浅优先」排序：
    - 命中 **1 个** → 直接用；
    - 命中 **多个** → 返回候选列表交给用户，**绝不猜**（猜错比不猜更糟）；
    - 命中 **0 个** → 若 `allowOutside: true`，再在磁盘上按名字做一次浅层搜索。
 
-结果一律带 10 秒 TTL 缓存，避免重复 stat 打满磁盘。
+提到时若「提及吞掉了前面几个词」（`结果#1_速度云图.png` 只剩 `#1_速度云图.png`），会**从左逐段收缩重试**直到能命中。
+
+缓存两层：`stat` 10 秒、同名索引 30 秒——避免重复打满磁盘，同时刚删掉的文件也能很快翻成「已不存在」。
 
 ---
 
@@ -148,6 +138,7 @@ GET http://127.0.0.1:<port>/dsh-artifact-linker/info
 4. **不 spawn shell**。`reveal`/`open` 走 `execFile(cmd, args)` 参数数组，路径里的 `& | ; %VAR%` 全是字面量，没有命令注入面。
 5. **不猜多候选路径**。搜到多个同名文件时把选择权还给人。
 6. **不保证文件存在**。库里的文件随时可能被删、被移走、被别的进程占用——所以每次打开前都重新 stat，点开发现没了就明说「已不存在」，不会装作没事。
+7. **不给不存在的文件画芯片**。正文里长得像文件名的片段很多（日志摘录、示例路径、报错原文），只看「形状」就画成可点芯片，点开只会得到一句「没解析到」——那比根本不认识更糟。所以判定加了存在性闸门：悬停时先异步 `resolve`，**只有文件真的在**才变手型、画蓝色虚线；确认不是产物的就当普通文字，右键直接放行宿主原生菜单。解析结果进 30 秒 TTL 缓存，反复悬停不重复请求。
 
 ---
 
@@ -159,7 +150,7 @@ GET http://127.0.0.1:<port>/dsh-artifact-linker/info
 | 点开提示「解析不到绝对路径」 | 裸文件名不在 workspace 内，且 `allowOutside: false`。先确认文件真实路径，再决定是否放宽 |
 | 点开提示「文件已不存在」 | 路径是真的，文件被删/移了。清单里该行会打上删除线 |
 | 点产物名没反应 | ① 文件不在候选 base 下（访问宿主 `/info` 看 `bases`）；② 扩展名不在白名单（`lib/client.js` 的 `EXT`）；③ 直接看 `/resolve?p=<名字>` 返回的 `reason` |
-| 右键没出本插件菜单 | 该处文字没解析成文件（同上）；**对非产物右键本来就不接管**，出的是宿主原生菜单 |
+| 右键没出本插件菜单 | 该处文字没解析成文件（同上）；**对非产物右键本来就不接管**，出的是宿主原生菜单。0.3.3 起会先确认文件存在——不存在的片段既不画虚线也不接管右键 |
 | 日志里出现 N 份相同输出 | 热重载堆叠了多个实例。**Ctrl+R 无效，必须完全重启 DSH**；同时确认 `window.__dshArtifactLinkerV1.dispose()` 守卫在 |
 
 ---
@@ -171,7 +162,7 @@ dsh-artifact-linker/
 ├── package.json          # dsh.bundle + dsh.client（两个都要，缺 bundle 装不上）
 ├── cordis.patch.yml      # 插件注册补丁（entry id = 包名，唯一）
 ├── lib/
-│   ├── index.js          # 宿主：prompt 段 + 6 条回环路由 + 三源路径解析
+│   ├── index.js          # 宿主：prompt 段 + 8 条回环路由 + 多源路径解析
 │   └── client.js         # 客户端：__ModuleLoader__.load bundle（id 必须 = 包名）
 ├── locale/{zh,en}.json
 ├── icon.svg
@@ -186,8 +177,8 @@ dsh-artifact-linker/
 `dsh-artifact-linker` turns every delivered artifact into a one-click target, so you never copy a path into Explorer again.
 
 - **Host half** injects a resident system-prompt rule: always emit **absolute** artifact paths in tooling, but only the **file name** in user-facing prose.
-- **Client half** makes those names clickable — **left click** reveals and selects the file in Explorer, **right click** opens a small menu (reveal / open with default app / copy absolute path). Hovering turns the cursor into a pointer. No floating UI, no document scanning, no timers.
-- Bare file names are resolved with a three-tier fallback (native absolute → workspace-relative → recursive same-name search). Ambiguous matches are surfaced as candidates rather than guessed.
+- **Client half** makes those names clickable — **left click** reveals and selects the file in Explorer, **right click** opens a seven-item menu: preview in sidebar, open with default app, reveal in Explorer, save as, copy the file itself, copy absolute path, add to composer. Hovering turns the cursor into a pointer only after the file is confirmed to exist. No floating UI, no document scanning, no timers.
+- Bare file names are resolved with a multi-tier fallback (native absolute → session-relative → every known workspace root → recursive same-name search), shrinking the mention from the left when leading words are swallowed. Ambiguous matches are surfaced as candidates rather than guessed.
 - All routes are loopback-only, telemetry-free, and spawn nothing through a shell. The client never mutates React-rendered DOM.
 
 MIT licensed.

package/lib/client.js

@@ -29,10 +29,51 @@ window.__ModuleLoader__.load({
     var exports = module.exports;
 
     var GUARD = "__dshArtifactLinkerV1";
-    var VERSION = "0.2.7";
+    var VERSION = "0.3.6";
     // 路由前缀必须与宿主的 ROUTE_PREFIX 一致；永远根相对，绝不拼宿主 origin
     var ROUTE = "/dsh-artifact-linker";
 
+    // ── 侧边栏预览：地址构造 ────────────────────────────────────────────────
+    // 宿主 ctx.sidebarRight.openResource 只认 dsh-resource:// 地址，不认裸绝对路径。
+    // 下面这组函数与官方 @deepseek-ai/dsh-util-workspace-path 的实现逐字对齐
+    // （见 dsh-client-ui-reference/lib/client.js），自己抄一份是为了不新增运行时依赖。
+    var FILE_ADDRESS_PREFIX = "dsh-resource://file/";
+    function encodeSegment(segment) {
+      return encodeURIComponent(segment).replace(/%3A/gi, ":");
+    }
+    function encodePath(p) {
+      return p.split("/").map(encodeSegment).join("/");
+    }
+    function sessionFileAddress(sessionId, p) {
+      var normalized = p.replace(/\\/g, "/").replace(/^(?:\.\/)+/, "");
+      return FILE_ADDRESS_PREFIX + "session/" + encodeSegment(sessionId) + "/" + encodePath(normalized);
+    }
+    function isWinAbs(p) {
+      return /^[A-Za-z]:[/\\]/.test(p) || p.indexOf("\\\\") === 0;
+    }
+    function fileAddressFor(sessionId, cwd, p) {
+      var normalized = p.replace(/\\/g, "/");
+      if (!(normalized.charAt(0) === "/" || isWinAbs(normalized))) return sessionFileAddress(sessionId, normalized);
+      var root = cwd === undefined || cwd === null ? "" : String(cwd).replace(/\\/g, "/").replace(/\/+$/, "");
+      if (root !== "" && normalized === root) return sessionFileAddress(sessionId, "");
+      if (root !== "" && normalized.indexOf(root + "/") === 0) return sessionFileAddress(sessionId, normalized.slice(root.length + 1));
+      // 工作区外的绝对路径：原样保留在 session 地址里，宿主按 Session 读权限解析
+      return sessionFileAddress(sessionId, normalized);
+    }
+
+    // 侧边栏 documentpreview 真正能渲染的类型（读官方 README 得出，不是猜的）：
+    //   md/代码/纯文本 → 分页文本；pdf → PDF.js；图片 → 完整字节；
+    //   xlsx/xls/csv/tsv → 浏览器内只读表格；doc/docx/ppt/pptx → 本地转 PDF
+    // 音视频与压缩包没有注册渲染器，走「不支持预览」空状态，所以干脆不显示这一项。
+    var PREVIEWABLE = /^(pdf|docx?|pptx?|xls[xm]?|csv|tsv|md|markdown|txt|log|json|ya?ml|ini|toml|xml|html?|png|jpe?g|gif|webp|bmp|tiff?|svg|py|js|mjs|cjs|ts|tsx|ipynb|ps1|sh|cas|dat|h5|hsf|cxa|trn|rfile|plt|flprj|jou|set|out)$/i;
+
+    function extOf(p) {
+      var base = String(p).split(/[\\/]/).pop() || "";
+      var dot = base.lastIndexOf(".");
+      return dot > 0 ? base.slice(dot + 1) : "";
+    }
+
+
     // 产物扩展名白名单。刻意**不含 exe/msi/dll** 之类可执行体：
     // 正文里出现这些名字多半是命令输出/报错文本，不是「要打开看的产物」。
     var EXT = [
@@ -42,7 +83,11 @@ window.__ModuleLoader__.load({
       "log", "txt", "md", "json", "ya?ml", "ini", "toml", "xml", "html?",
       "py", "js", "mjs", "cjs", "ts", "tsx", "ipynb", "ps1", "sh",
       "cas", "dat", "h5", "hsf", "cxa", "trn", "rfile", "plt", "flprj", "jou", "set", "out",
-      "scdocx?", "pmdb", "unv", "msh", "stp", "step", "igs", "iges", "dwg", "dxf", "inp"
+      "scdocx?", "pmdb", "unv", "msh", "stp", "step", "igs", "iges", "dwg", "dxf", "inp",
+      // 音频/视频：合成音频（YuE、TTS、音色克隆）与录屏导出很常见，
+      // 之前不在白名单里，用户右键 audio.flac 就完全没反应。
+      "flac", "wav", "mp3", "m4a", "aac", "ogg", "opus", "wma", "amr",
+      "mp4", "mkv", "mov", "avi", "webm", "wmv", "flv", "m4v"
     ].join("|");
 
     // 一段文本里「像产物路径」的片段：
@@ -190,6 +235,112 @@ window.__ModuleLoader__.load({
       menuEl = null;
     }
 
+    // ── 「添加到对话框」：把路径插进 DSH 的聊天输入框 ────────────────────────
+    // DSH 的输入框实现会随版本变（textarea / contenteditable / Lexical 都出现过），
+    // 所以这里不写死单个选择器，而是「一批候选 → 挑最像输入区的那个 → 三种写入方式兜底」。
+    // 任何一步都失败就返回 false，由调用方明确提示 —— 绝不假装成功。
+    var INPUT_SELECTORS = [
+      'textarea[placeholder]',
+      '[contenteditable="true"]',
+      '[role="textbox"]',
+      '[data-lexical-editor="true"]',
+      '.composer [contenteditable]',
+      'textarea'
+    ];
+
+    function findComposer() {
+      for (var s = 0; s < INPUT_SELECTORS.length; s++) {
+        var list;
+        try { list = document.querySelectorAll(INPUT_SELECTORS[s]); } catch (e) { continue; }
+        // 从后往前：聊天输入框通常位于 DOM 末尾
+        for (var k = list.length - 1; k >= 0; k--) {
+          var el = list[k];
+          if (!el) continue;
+          if (el.disabled || el.readOnly) continue;
+          var r = el.getBoundingClientRect();
+          // 太窄太矮多半是搜索框 / 标签栏；真正的输入区宽度都在 150px 以上
+          if (r.width < 150 || r.height < 18) continue;
+          var cs = window.getComputedStyle ? window.getComputedStyle(el) : null;
+          if (cs && (cs.display === "none" || cs.visibility === "hidden")) continue;
+          return el;
+        }
+      }
+      return null;
+    }
+
+    function quoteToComposer(abs) {
+      var el = findComposer();
+      if (!el) return false;
+      var text = " " + abs;
+      try { el.focus(); } catch (e) { }
+
+      // ① 首选 execCommand：走浏览器真实输入管线，React / Lexical 的受控状态
+      //    能同步更新；直接改 textContent 会让框架内部状态与 DOM 脱档。
+      try {
+        if (document.execCommand && document.execCommand("insertText", false, text)) return true;
+      } catch (e) { }
+
+      // ② 原生 value 控件（textarea / input）
+      try {
+        if (typeof el.value === "string") {
+          var a = el.selectionStart == null ? el.value.length : el.selectionStart;
+          var b = el.selectionEnd == null ? el.value.length : el.selectionEnd;
+          el.value = el.value.slice(0, a) + text + el.value.slice(b);
+          el.selectionStart = el.selectionEnd = a + text.length;
+          el.dispatchEvent(new Event("input", { bubbles: true }));
+          return true;
+        }
+      } catch (e) { }
+
+      // ③ 最后兜底：contenteditable 直接追加。极端情况下框架状态会不同步，
+      //    但用户至少看得见路径已经进去，可以自己删改，比「点了没反应」强。
+      try {
+        el.textContent = (el.textContent || "") + text;
+        el.dispatchEvent(new Event("input", { bubbles: true }));
+        return true;
+      } catch (e) { }
+
+      return false;
+    }
+
+    // 客户端根 ctx，apply 时存下来；侧边栏预览要用它取 sessions / sidebarRight。
+    var rootCtx = null;
+
+    // 在右侧边栏打开一个文件。
+    // 用的是官方导航入口 ctx.sidebarRight.openResource(address)，和聊天里点文件链接
+    // 走的是同一条路，所以不会和宿主自己的预览行为打架。
+    // 返回 false 表示「这次开不了」，调用方据此给提示，绝不假装成功。
+    function openInSidebar(abs) {
+      try {
+        if (!rootCtx || typeof rootCtx.get !== "function") return false;
+        var sidebar = rootCtx.get("sidebarRight");
+        if (!sidebar || typeof sidebar.openResource !== "function") return false;
+        var sessions = rootCtx.get("sessions");
+        if (!sessions || !sessions.list || typeof sessions.list.getSnapshot !== "function") return false;
+        var snap = sessions.list.getSnapshot();
+        var byId = (snap && snap.byId) || {};
+        // 找当前会话：优先 mounted（屏幕上那个），否则取第一个带 cwd 的
+        var sid = null;
+        var mounted = sidebar.mounted;
+        if (mounted && typeof mounted.get === "function") {
+          var m = mounted.get();
+          if (m && m.sessionId) sid = m.sessionId;
+        } else if (mounted && mounted.sessionId) {
+          sid = mounted.sessionId;
+        }
+        if (!sid) {
+          for (var k in byId) { if (byId[k] && byId[k].cwd) { sid = k; break; } }
+        }
+        if (!sid) return false;
+        var cwd = byId[sid] ? byId[sid].cwd : undefined;
+        sidebar.openResource(fileAddressFor(sid, cwd, abs));
+        return true;
+      } catch (e) {
+        // 服务缺失、地址不被任何 tab 类型认领、会话还没就绪 —— 一律当作开不了
+        return false;
+      }
+    }
+
     function showMenu(x, y, abs) {
       hideMenu();
       if (!document || !document.body) return;
@@ -215,15 +366,40 @@ window.__ModuleLoader__.load({
       var ICON = {
         reveal: '<path d="M3 7.2A1.7 1.7 0 0 1 4.7 5.5h3.9l1.8 2.1h8.9A1.7 1.7 0 0 1 21 9.3v8A1.7 1.7 0 0 1 19.3 19H4.7A1.7 1.7 0 0 1 3 17.3Z"/><path d="M9 13.6h6"/>',
         open: '<path d="M14.5 4.5h5v5"/><path d="M19.7 4.3 11 13"/><path d="M18 13.8v4.5A1.7 1.7 0 0 1 16.3 20H5.7A1.7 1.7 0 0 1 4 18.3V7.7A1.7 1.7 0 0 1 5.7 6h4.4"/>',
-        copy: '<rect x="9.2" y="9.2" width="10.8" height="10.8" rx="2.2"/><path d="M15 5.8A1.8 1.8 0 0 0 13.2 4H5.8A1.8 1.8 0 0 0 4 5.8v7.4A1.8 1.8 0 0 0 5.8 15"/>'
+        copy: '<rect x="9.2" y="9.2" width="10.8" height="10.8" rx="2.2"/><path d="M15 5.8A1.8 1.8 0 0 0 13.2 4H5.8A1.8 1.8 0 0 0 4 5.8v7.4A1.8 1.8 0 0 0 5.8 15"/>',
+        // 另存为：向下箭头入托盘
+        saveas: '<path d="M12 3.5v9.5"/><path d="m8.6 9.6 3.4 3.4 3.4-3.4"/><path d="M4.5 16.2v2.1a1.8 1.8 0 0 0 1.8 1.8h11.4a1.8 1.8 0 0 0 1.8-1.8v-2.1"/>',
+        // 复制文件：两张纸 + 中间的文件线，和「复制路径」区分开
+        copyfile: '<rect x="8.6" y="3.4" width="11" height="13" rx="2"/><path d="M5.4 7.4h-.7A1.7 1.7 0 0 0 3 9.1v9.4a1.7 1.7 0 0 0 1.7 1.7h8.4a1.7 1.7 0 0 0 1.7-1.7v-.7"/><path d="M11.6 8.2h5"/><path d="M11.6 11.4h5"/>',
+        // 添加到对话框：带横线的气泡
+        quote: '<path d="M20.5 11.6a8.3 8.3 0 0 1-8.3 8.3H7.4L3.5 21.9l1-4.1A8.3 8.3 0 1 1 20.5 11.6Z"/><path d="M9 11h6"/><path d="M9 14.2h3.6"/>',
+        // 侧边栏预览：一块面板 + 右侧分栏
+        preview: '<rect x="3.2" y="4.4" width="17.6" height="15.2" rx="2.2"/><path d="M14.4 4.4v15.2"/>'
       };
       // 文案要说人话：「资源管理器」这个词很多用户不认识，改成「文件夹窗口」。
-      var items = [
-        ["reveal", "在文件夹中显示", "打开 Windows 文件夹窗口，并选中这个文件"],
-        ["open", "用默认程序打开", "按文件类型用对应软件打开：PDF 用阅读器、表格用 Excel 那类"],
-        ["copy", "复制文件路径", "把完整路径复制到剪贴板"]
-      ];
+      // 顺序按「最常做的动作」排，并用 "sep" 占位分成三组：
+      //   看（侧边栏预览 / 打开 / 定位）→ 搬运（另存为 / 复制文件 / 复制路径）→ 喂给 AI（添加到对话框）
+      // 侧边栏预览只对宿主真能渲染的类型出现：音视频、压缩包在侧边栏里只有
+      // 「不支持预览」空状态，摆一个点了白点的入口不如不摆。
+      var canPreview = PREVIEWABLE.test(extOf(abs));
+      var items = [];
+      if (canPreview) items.push(["preview", "在侧边栏预览", "在右侧边栏里直接看，不用切出去"]);
+      items.push(["open", "用默认程序打开", "按文件类型用对应软件打开：PDF 用阅读器、表格用 Excel 那类"]);
+      items.push(["reveal", "在文件夹中显示", "打开 Windows 文件夹窗口，并选中这个文件"]);
+      items.push(["sep", "", ""]);
+      items.push(["saveas", "另存为…", "另存一份到别的位置（会弹出系统保存窗口）"]);
+      items.push(["copyfile", "复制文件", "把文件本身放进剪贴板，可直接粘到任意文件夹"]);
+      items.push(["copy", "复制文件路径", "只复制路径文字，不复制文件本身"]);
+      items.push(["sep", "", ""]);
+      items.push(["quote", "添加到对话框", "把完整路径插入上方的聊天输入框"]);
       for (var i = 0; i < items.length; i++) {
+        // 分隔线：一个 1px 的 div，左右留白对齐文字缩进，不加任何可点区域
+        if (items[i][0] === "sep") {
+          var hr = document.createElement("div");
+          hr.style.cssText = "height:1px;margin:4px 8px;background:#33363e";
+          box.appendChild(hr);
+          continue;
+        }
         (function (action, label, tip) {
           var row = document.createElement("div");
           row.title = tip;
@@ -241,6 +417,15 @@ window.__ModuleLoader__.load({
             ev.preventDefault();
             ev.stopPropagation();
             hideMenu();
+
+            // ① 侧边栏预览 —— 纯客户端，走宿主导航入口
+            if (action === "preview") {
+              if (openInSidebar(abs)) toast("已在侧边栏打开");
+              else toast("侧边栏打不开这个文件");
+              return;
+            }
+
+            // ② 只复制路径文字 —— 纯客户端，不必过宿主
             if (action === "copy") {
               try {
                 navigator.clipboard.writeText(abs);
@@ -248,6 +433,41 @@ window.__ModuleLoader__.load({
               } catch (e) { toast("复制失败"); }
               return;
             }
+
+            // ② 添加到对话框 —— 也是纯客户端：找输入框、把路径插进去
+            if (action === "quote") {
+              if (quoteToComposer(abs)) toast("已添加到对话框");
+              else toast("没找到聊天输入框");
+              return;
+            }
+
+            // ③ 另存为 —— 宿主会弹系统保存窗，用户挑位置期间不能提前报成功
+            if (action === "saveas") {
+              toast("请在弹出窗口里选择保存位置…");
+              hostGet("/saveas", { p: abs }).then(function (r) {
+                if (!r || !r.ok) {
+                  // 用户自己点取消不是失败，别弹红字打扰
+                  if (r && r.reason === "cancelled") return;
+                  if (r && r.reason === "same-path") { toast("不能存回原文件"); return; }
+                  toast("另存为失败：" + ((r && r.reason) || "未知原因"));
+                  return;
+                }
+                var short = String(r.dest).split(/[\\/]/).pop() || r.dest;
+                toast("已另存为 " + short);
+              });
+              return;
+            }
+
+            // ④ 复制文件本体（CF_HDROP），粘到文件夹里得到的是文件
+            if (action === "copyfile") {
+              hostGet("/copyfile", { p: abs }).then(function (r) {
+                if (!r || !r.ok) { toast("复制失败：" + ((r && r.reason) || "未知原因")); return; }
+                toast("已复制文件，可直接粘贴");
+              });
+              return;
+            }
+
+            // ⑤ 打开 / 在文件夹中显示
             hostGet("/" + action, { p: abs }).then(function (r) {
               if (!r || !r.ok) toast("打开失败：" + ((r && r.reason) || "未知原因"));
             });
@@ -267,22 +487,64 @@ window.__ModuleLoader__.load({
 
     // ── 事件处理 ────────────────────────────────────────────────────────────
 
-    function act(raw, mode, x, y) {
+    // 产物存在性缓存：raw → { ok, abs, at, pending, waiters }
+    // 为什么需要这一层：正文里长得像文件名的片段太多了（日志摘录、示例路径、报错原文，
+    // 甚至我自己贴出来的乱码文件名）。只看「形状」就画成可点芯片，用户点开只会得到
+    // 一句「没解析到这个文件」——那比根本不认识更糟。现在改成：
+    // **先确认文件真的存在，才允许它变成芯片**。不存在的，就当普通文字，静默。
+    var vcache = Object.create(null);
+    var VCACHE_TTL = 30000;
+
+    function verify(raw, cb) {
+      var now = Date.now();
+      var c = vcache[raw];
+      if (c && c.pending) { c.waiters.push(cb); return; }
+      if (c && (now - c.at) < VCACHE_TTL) { cb(c); return; }
+
+      var rec = { ok: false, abs: null, at: now, pending: true, waiters: [cb] };
+      vcache[raw] = rec;
+      function settle(ok, abs) {
+        rec.ok = ok;
+        rec.abs = abs;
+        rec.at = Date.now();
+        rec.pending = false;
+        var ws = rec.waiters;
+        rec.waiters = [];
+        for (var i = 0; i < ws.length; i++) { try { ws[i](rec); } catch (e) { } }
+      }
       hostGet("/resolve", { p: raw }).then(function (d) {
+        var ok = !!(d && d.ok && d.abs);
+        settle(ok, ok ? d.abs : null);
+      }).catch(function () { settle(false, null); });
+    }
+
+    // 只有「已有结论且未过期」时才返回，pending 一律当没有 → 调用方自己决定等不等
+    function cached(raw) {
+      var c = vcache[raw];
+      if (!c || c.pending) return null;
+      if ((Date.now() - c.at) >= VCACHE_TTL) return null;
+      return c;
+    }
+
+    function setCursor(v) {
+      if (v === lastCursor) return;
+      lastCursor = v;
+      document.body.style.cursor = v;
+    }
+
+    function act(raw, mode, x, y) {
+      verify(raw, function (rec) {
         if (disposed) return;
-        if (!d || !d.ok || !d.abs) {
-          // 解析不到就当普通文字，绝不装作成功
-          if (mode === "menu") toast("没解析到这个文件");
-          return;
-        }
+        // 解析不到就当普通文字，静默收场：不弹提示、不装作成功。
+        if (!rec.ok || !rec.abs) return;
         if (mode === "reveal") {
-          hostGet("/reveal", { p: d.abs }).then(function (r) {
+          hostGet("/reveal", { p: rec.abs }).then(function (r) {
             if (disposed) return;
             if (!r || !r.ok) toast("打开失败：" + ((r && r.reason) || "未知原因"));
           });
           return;
         }
-        showMenu(x, y, d.abs);
+        showMenu(x, y, rec.abs);
       });
     }
 
@@ -299,6 +561,9 @@ window.__ModuleLoader__.load({
       // （defaultPrevented 仍为 false）时才补一次 reveal。
       setTimeout(function () {
         if (ev.defaultPrevented) return;   // 宿主已经处理（例如开了侧边栏预览）→ 让路，不抢
+        var c = cached(hit.raw);
+        // 已确认「根本不是产物」→ 什么都不做（别为一段普通文字去弹资源管理器）
+        if (c && !c.ok) return;
         act(hit.raw, "reveal", ev.clientX, ev.clientY);
       }, 0);
     }
@@ -312,9 +577,26 @@ window.__ModuleLoader__.load({
       }
       var hit = hitAt(ev.clientX, ev.clientY);
       if (!hit) return;                    // 非产物处右键 → 放行宿主原生菜单
-      ev.preventDefault();
-      ev.stopPropagation();
-      act(hit.raw, "menu", ev.clientX, ev.clientY);
+      var c = cached(hit.raw);
+      // 已确认不是产物 → 同样放行宿主原生菜单，绝不抢
+      if (c && !c.ok) return;
+      // 有结论且确实存在 → 直接弹自己的菜单，省一次往返
+      if (c && c.ok) {
+        ev.preventDefault();
+        ev.stopPropagation();
+        showMenu(ev.clientX, ev.clientY, c.abs);
+        return;
+      }
+      // 🔴 还没有结论时**绝不先 preventDefault**。
+      // 旧版在这里无条件拦下原生菜单，然后异步去解析；一旦解析失败（正文里
+      // 形状像文件名、实际不存在的那类片段），act() 直接静默返回 ——
+      // 结果是原生菜单被拦掉、自己的菜单也没弹出，右键**彻底无反应**。
+      // 宁可让原生菜单先闪一下，也不能让右键失灵。
+      verify(hit.raw, function (rec) {
+        if (disposed) return;
+        if (!rec.ok || !rec.abs) return;
+        showMenu(ev.clientX, ev.clientY, rec.abs);
+      });
     }
 
     // ── 悬停高亮：让「这几个字是可以点的产物」一眼看得出来 ──────────────────
@@ -352,12 +634,15 @@ window.__ModuleLoader__.load({
         hoverTimer = null;
         if (disposed || !document || !document.body) return;
         var hit = hitAt(x, y);
-        var want = hit ? "pointer" : "";
-        if (want !== lastCursor) {
-          lastCursor = want;
-          document.body.style.cursor = want;
-        }
-        drawHover(hit && hit.rect);
+        if (!hit) { setCursor(""); hideHover(); return; }
+        // 先确认文件真的存在，再给「可点」的视觉信号：
+        // 不存在的片段不画虚线、不变手型，用户根本看不出它曾被识别过。
+        verify(hit.raw, function (rec) {
+          if (disposed) return;
+          if (!rec.ok) { setCursor(""); hideHover(); return; }
+          setCursor("pointer");
+          drawHover(hit.rect);
+        });
       }, 150);
     }
 
@@ -427,6 +712,7 @@ window.__ModuleLoader__.load({
 
       disposed = false;
       mounted = false;
+      rootCtx = ctx || null;
       api = { apply: apply, dispose: dispose, version: VERSION };
       try { window[GUARD] = api; } catch (e) { /* 极端沙箱下挂不上，不影响本实例 */ }
 
@@ -448,7 +734,9 @@ window.__ModuleLoader__.load({
     exports.apply = apply;
     exports.dispose = dispose;
     exports.version = VERSION;
-    exports.inject = [];       // 不依赖任何宿主服务，纯 DOM 事件
+    // 侧边栏预览要 sessions + sidebarRight。两个服务由官方 bundle 提供，
+    // 桌面端与 web 端都在；万一某个组合没有，cordis 会跳过本插件而不影响其它插件。
+    exports.inject = ["sessions", "sidebarRight"];
     return module.exports;
   }
 });

package/lib/index.js

@@ -22,11 +22,11 @@
 //   clientChips  (默认 true)  = 客户端是否启用芯片（此值由客户端自己读 /info 得知）
 //   allowOutside (默认 false) = 是否允许解析 base 之外的绝对路径（安全闸）
 
-import { readFileSync, statSync, readdirSync } from "node:fs";
+import { readFileSync, statSync, readdirSync, copyFileSync } from "node:fs";
 import { homedir } from "node:os";
 import { execFile } from "node:child_process";
 import { fileURLToPath } from "node:url";
-import { dirname, join, resolve as pathResolve, basename, sep } from "node:path";
+import { dirname, join, resolve as pathResolve, basename, extname, sep } from "node:path";
 
 var PKG_VERSION = (function () {
   try {
@@ -230,6 +230,19 @@ function candidateBases() {
   return out.slice();
 }
 
+// allowOutside 关闭时的安全闸：落在**任意一个候选 workspace**里就算合法。
+// 2026-10-28 修正：原来这两个守卫只拿 process.cwd() 比对，但宿主 cwd 并不是会话
+// workspace（同 201 行那次的同一个坑），一旦有人为了给别人用把 allowOutside 关掉，
+// workspace 内的合法文件会被误拒成 outside-base。改成逐候选 base 判定。
+function insideAnyBase(abs, allowOutside) {
+  if (allowOutside) return true;
+  var cand = candidateBases();
+  for (var i = 0; i < cand.length; i++) {
+    try { if (isInside(cand[i], abs)) return true; } catch (e) { }
+  }
+  return false;
+}
+
 function resolveAcross(raw, extraBase, allowOutside) {
   var bases = [];
   if (extraBase) bases.push(pathResolve(extraBase));
@@ -344,6 +357,173 @@ function resolveOne(raw, base, allowOutside) {
   return { ok: false, reason: "not-found", raw: cleaned, abs: null, exists: false, kind: null, candidates: candidates };
 }
 
+// ── Windows「揭示并选中」：Shell.Application Explore 开窗 + SelectItem 选中 ──
+// 三代实现的历史（别再走回头路）：
+//   ① explorer.exe /select,"path" —— 命令发出、退出码 1、日志正常，但资源管理器
+//      **既不新开窗口也不改选中项**（带引号/裸路径/拆 argv/不加 verbatim 四种全无效）。
+//   ② Shell.Application COM（Explore + 轮询 Windows() + SelectItem）——脚本 exit 0、
+//      日志写「成功」，但**实际不选中**。跨进程 COM 里 Document.Folder.ParseName 拿到的
+//      FolderItem 与目标窗口不保证落在同一 PIDL 空间，SelectItem 会静默失败。
+//      （用户 2026-10-28 实测反馈：「打开了但是没有自动定位到文件位置」）
+//   ③ 试过 shell32!SHOpenFolderAndSelectItems：hr=0、SelectedItems() 也确实有值，
+//      但**窗口根本不弹**（用户实测：「现在都不弹窗了」）。它走的是「复用已有窗口」
+//      语义，没有现成窗口时什么都不显示 —— 所以它不能当「打开」的入口，
+//      只有「已开着的窗口里定位」这一半能力。
+//   ④ 当前方案：Shell.Application.Explore 负责**开窗**（唯一可靠的开窗入口），
+//      再 SelectItem(item, 29) 负责**选中**。两处易错点都补了轮询：
+//      · Explore 之后窗口与目录项都不是立刻可用的，ParseName 会先返回 $null；
+//      · SelectItem 的标志位必须带 SVSI_ENSUREVISIBLE|SVSI_FOCUSED（=29），
+//        只传 SVSI_SELECT(1) 时部分窗口状态下静默无效。
+//      正确性判据是 SelectedItems() 非空，不是「脚本没报错」。
+//      实测（powershell.exe 5.1，与插件同款；先关掉目标目录全部窗口再跑）：
+//      window_found=yes, item_found=yes, sel_count=1, sel_item=目标文件。
+// 实现要点：
+//   · 全程只用 Shell.Application COM，不编译 C#（Add-Type 首次编译慢，且受运行环境影响）；
+//   · 脚本用 -EncodedCommand 以 UTF-16LE Base64 传入 —— 绕开控制台代码页，
+//     中文/空格路径不会变成 mojibake（直接 -Command 传中文必乱）；
+//   · windowsHide 只作用于 powershell.exe 自身（不闪黑窗），shell 拉起的资源管理器
+//     窗口照常显示；
+//   · 退出码：3 = 目录项取不到，4 = 选中失败，5 = 窗口没等出来；调用方见非 0
+//     就降级为「只打开目录」，保证「至少能开」。
+function psLiteral(s) {
+  return "'" + String(s).replace(/'/g, "''") + "'";
+}
+
+function revealViaShellCom(abs, done) {
+  var lines = [
+    "$ErrorActionPreference = 'Stop'",
+    "$dir = " + psLiteral(dirname(abs)),
+    "$nm = " + psLiteral(basename(abs)),
+    "$sh = New-Object -ComObject Shell.Application",
+    // Explore 是唯一能可靠「把窗口摆到用户眼前」的入口。
+    // SHOpenFolderAndSelectItems 能选中却不弹窗（它复用已有窗口，没有就什么都不显示），
+    // 所以开窗这一步必须交给 Explore，选中的事再交给 SelectItem。
+    "$sh.Explore($dir)",
+    "$w = $null",
+    "for ($i = 0; $i -lt 60; $i++) {",
+    "  foreach ($x in @($sh.Windows())) {",
+    "    try { if ($x.Document.Folder.Self.Path -eq $dir) { $w = $x; break } } catch { }",
+    "  }",
+    "  if ($w) { break }",
+    "  Start-Sleep -Milliseconds 100",
+    "}",
+    "if (-not $w) { exit 5 }",
+    // 窗口刚 Explore 出来时目录可能还没填充完，ParseName 会返回 $null，必须轮询。
+    "$it = $null",
+    "for ($i = 0; $i -lt 60; $i++) {",
+    "  $it = $w.Document.Folder.ParseName($nm)",
+    "  if ($it) { break }",
+    "  Start-Sleep -Milliseconds 100",
+    "}",
+    "if (-not $it) { exit 3 }",
+    // 29 = SVSI_SELECT(1) | SVSI_DESELECTOTHERS(4) | SVSI_ENSUREVISIBLE(8) | SVSI_FOCUSED(16)。
+    // 旧代码只传 1，在某些窗口状态下静默无效；带上 ENS|FOCUSED 才保证滚到可视区并高亮。
+    // 循环校验 SelectedItems()，选中了才 exit 0 —— 不靠「脚本没报错」自欺。
+    "for ($i = 0; $i -lt 25; $i++) {",
+    "  $w.Document.SelectItem($it, 29)",
+    "  Start-Sleep -Milliseconds 120",
+    "  if (@($w.Document.SelectedItems()).Count -ge 1) { exit 0 }",
+    "}",
+    "exit 4",
+  ];
+  runPwshEncoded(lines, { timeout: 30000 }, done);
+}
+
+// ── 另存为 / 复制文件到剪贴板 ────────────────────────────────────────────────
+// 这两件事都得借 PowerShell，原因各不相同：
+//
+//   saveas  —— Node 没有跨平台的「选个目标位置」原生接口。Windows 上只有
+//              WinForms 的 SaveFileDialog，且它有两个坑：
+//                (a) 必须跑在 STA 线程（默认 MTA 会抛 InvalidOperationException）；
+//                (b) 不给 owner 窗口时对话框可能弹到主窗口背后，用户以为没反应。
+//              所以下面既加了 -STA，又造了一个 1×1 的隐形 TopMost owner form。
+//
+//   copyfile —— 「复制文件」不是把路径字符串塞进剪贴板，而是写 CF_HDROP
+//              （文件列表），这样粘到资源管理器里得到的是文件本身。
+//              PowerShell 5.1+ 的 Set-Clipboard -LiteralPath 正是干这个的。
+//
+// 两者统一用 -EncodedCommand + UTF-16LE 传脚本（与 revealViaShellCom 同款），
+// 中文/空格路径不会因控制台代码页变成乱码。
+
+function runPwshEncoded(lines, opts, done) {
+  var b64 = Buffer.from(lines.join("\n"), "utf16le").toString("base64");
+  var args = ["-NoProfile", "-EncodedCommand", b64];
+  if (opts && opts.sta) args.splice(1, 0, "-STA");
+  var pw = execFile(
+    "powershell.exe",
+    args,
+    {
+      windowsHide: true,
+      timeout: (opts && opts.timeout) || 30000,
+      maxBuffer: 1024 * 1024
+    },
+    function (err, stdout) { done(err, stdout); }
+  );
+  if (pw && typeof pw.unref === "function") pw.unref();
+}
+
+// 回调契约：done(err, dest)
+//   dest === null  → 用户主动取消（不是错误，调用方应静默返回）
+function saveAsViaDialog(abs, done) {
+  var dir = dirname(abs);
+  var name = basename(abs);
+  var ext = extname(name);
+  // 过滤器第一项锁定原扩展名，第二项兜底「所有文件」
+  var psFilter = ext
+    ? "*" + ext + "|*" + ext + "|所有文件 (*.*)|*.*"
+    : "所有文件 (*.*)|*.*";
+
+  var lines = [
+    "$ErrorActionPreference = 'Stop'",
+    "Add-Type -AssemblyName System.Windows.Forms",
+    "Add-Type -AssemblyName System.Drawing",
+    "$d = New-Object System.Windows.Forms.SaveFileDialog",
+    "$d.Title = " + psLiteral("另存为"),
+    "$d.FileName = " + psLiteral(name),
+    "$d.InitialDirectory = " + psLiteral(dir),
+    "$d.Filter = " + psLiteral(psFilter),
+    "$d.FilterIndex = 1",
+    "$d.OverwritePrompt = $true",
+    "$d.AddExtension = $false",
+    "$d.RestoreDirectory = $true",
+    // 隐形 owner：只为把对话框顶到前台。没有它，用户切到别的窗口再回来时会找不到框。
+    "$o = New-Object System.Windows.Forms.Form",
+    "$o.TopMost = $true",
+    "$o.ShowInTaskbar = $false",
+    "$o.FormBorderStyle = [System.Windows.Forms.FormBorderStyle]::None",
+    "$o.StartPosition = [System.Windows.Forms.FormStartPosition]::CenterScreen",
+    "$o.Width = 1",
+    "$o.Height = 1",
+    "$o.Opacity = 0",
+    "$o.Show()",
+    "try { $r = $d.ShowDialog($o) } finally { $o.Close(); $o.Dispose() }",
+    "if ($r -eq [System.Windows.Forms.DialogResult]::OK) {",
+    "  [Console]::Out.Write($d.FileName)",
+    "  exit 0",
+    "}",
+    "exit 1"
+  ];
+
+  // 超时给足 10 分钟：用户可能在对话框里慢慢挑目录、甚至去新建文件夹
+  runPwshEncoded(lines, { sta: true, timeout: 600000 }, function (err, stdout) {
+    var dest = String(stdout || "").trim();
+    if (dest) { done(null, dest); return; }
+    if (!err) { done(new Error("no-path")); return; }
+    // 退出码 1 = 用户点了「取消」，属于正常路径，绝不当失败弹红字
+    if (err.code === 1) { done(null, null); return; }
+    done(err);
+  });
+}
+
+function copyFileToClipboard(abs, done) {
+  var lines = [
+    "$ErrorActionPreference = 'Stop'",
+    "Set-Clipboard -LiteralPath " + psLiteral(abs),
+    "exit 0"
+  ];
+  runPwshEncoded(lines, { timeout: 20000 }, function (err) { done(err); });
+}
+
 // ── 打开动作（唯一一处 spawn 进程的地方）─────────────────────────────────────
 // 安全设计：
 //   1) 只接受**绝对路径**且必须**当前存在**（先 statOne 确认，避免拿路径去撞文件系统）；
@@ -358,15 +538,30 @@ function launchPath(abs, action, res) {
     return;
   }
   var isDir = st.kind === "dir";
+
+  // Windows 的 reveal 走 Shell COM，不经过 explorer 命令行（原因见 revealViaShellCom 上方注释）
+  if (process.platform === "win32" && action === "reveal") {
+    revealViaShellCom(abs, function (err) {
+      if (!err) {
+        try { console.log("[dsh-artifact-linker] reveal selected via shell COM -> " + abs); } catch (e) { }
+        return;
+      }
+      // 降级：COM 没成时至少把父目录打开，避免「完全没反应」
+      try { console.log("[dsh-artifact-linker] reveal COM failed (" + (err.code == null ? "exit-or-timeout" : err.code) + "); falling back to opening the folder"); } catch (e) { }
+      var fb = execFile("explorer.exe", [isDir ? abs : dirname(abs)], {}, function () { });
+      if (fb && typeof fb.unref === "function") fb.unref();
+    });
+    json(res, 200, { ok: true, abs: abs, action: action, kind: st.kind, method: "shell-com" });
+    return;
+  }
+
   var cmd;
   var args;
   if (process.platform === "win32") {
     cmd = "explorer.exe";
-    // 🔴 /select,"path" 必须作为**一整串（含引号）**原样交给 explorer，配合下面的
-    // windowsVerbatimArguments:true，Node 才不会自己决定要不要加引号。
-    // 2026-10-28 实测：裸传中文/带空格路径（不加引号）时 explorer 解析不了，
-    // 返回码非 0 却 stdout/stderr 全空 —— 这是「点了没反应」的真凶之一。
-    args = (action === "reveal") ? ['/select,"' + abs + '"'] : [abs];
+    // 仅剩 open（reveal 已在上面由 COM 分支处理）：explorer.exe <file> 实测对
+    // 中文/空格路径有效（会调起默认程序），退出码 1 是移交实例的常态，不是失败。
+    args = [abs];
   } else if (process.platform === "darwin") {
     cmd = "open";
     args = (action === "reveal" && !isDir) ? ["-R", abs] : [abs];
@@ -560,7 +755,7 @@ export function apply(ctx, config) {
           return;
         }
         abs = pathResolve(abs);
-        if (!allowOutside && !isInside(process.cwd(), abs)) {
+        if (!insideAnyBase(abs, allowOutside)) {
           json(res, 200, { ok: false, reason: "outside-base", abs: abs });
           return;
         }
@@ -575,6 +770,91 @@ export function apply(ctx, config) {
     routes.push(ctx.webServer.register({ kind: "exact", path: ROUTE_PREFIX + "/reveal", handler: makeLauncher("reveal") }));
     routes.push(ctx.webServer.register({ kind: "exact", path: ROUTE_PREFIX + "/open", handler: makeLauncher("open") }));
 
+    // /saveas?p=<abs>   —— 弹系统「另存为」对话框，把文件复制到用户选的位置
+    // /copyfile?p=<abs> —— 把文件本身（不是路径字符串）写入剪贴板，可直接粘到资源管理器
+    //
+    // 与 reveal/open 的区别：这两个是**有副作用**的文件操作，所以额外挡了三种输入：
+    //   目录（另存为目录无意义）、不存在的文件、以及目标路径 == 源路径（会自覆盖）。
+    function makeFileOp(op) {
+      return function (req, res) {
+        if (!isLoopback(req)) { res.writeHead(403); res.end(); return; }
+        var url;
+        try {
+          url = new URL(req.url || "/", "http://127.0.0.1");
+        } catch (e) {
+          json(res, 400, { ok: false, reason: "bad-url" });
+          return;
+        }
+        var abs = cleanRaw(url.searchParams.get("p") || "");
+        if (!abs || !looksAbsolute(abs)) {
+          json(res, 200, { ok: false, reason: "need-absolute-path" });
+          return;
+        }
+        abs = pathResolve(abs);
+        if (!insideAnyBase(abs, allowOutside)) {
+          json(res, 200, { ok: false, reason: "outside-base", abs: abs });
+          return;
+        }
+        var st = statOne(abs);
+        if (!st.exists) {
+          json(res, 200, { ok: false, reason: "not-found", abs: abs });
+          return;
+        }
+        if (st.kind === "dir") {
+          json(res, 200, { ok: false, reason: "is-directory", abs: abs });
+          return;
+        }
+        if (process.platform !== "win32") {
+          json(res, 200, { ok: false, reason: "unsupported-platform" });
+          return;
+        }
+
+        if (op === "copyfile") {
+          copyFileToClipboard(abs, function (err) {
+            if (err) {
+              try { console.log("[dsh-artifact-linker] copyfile failed -> " + (err.message || err)); } catch (e) { }
+              json(res, 200, { ok: false, reason: "clipboard-failed", message: String(err.message || err) });
+              return;
+            }
+            try { console.log("[dsh-artifact-linker] copyfile ok (CF_HDROP) -> " + abs); } catch (e) { }
+            json(res, 200, { ok: true, abs: abs, action: "copyfile" });
+          });
+          return;
+        }
+
+        saveAsViaDialog(abs, function (err, dest) {
+          if (err) {
+            try { console.log("[dsh-artifact-linker] saveas dialog failed -> " + (err.message || err)); } catch (e) { }
+            json(res, 200, { ok: false, reason: "dialog-failed", message: String(err.message || err) });
+            return;
+          }
+          if (!dest) {
+            // 用户取消：静默，客户端不该弹「失败」
+            json(res, 200, { ok: false, reason: "cancelled" });
+            return;
+          }
+          var target = pathResolve(dest);
+          // 同一路径复制到自己会抛 EINVAL / 把文件截断，必须提前拦
+          if (target.toLowerCase() === abs.toLowerCase()) {
+            json(res, 200, { ok: false, reason: "same-path", dest: target });
+            return;
+          }
+          try {
+            copyFileSync(abs, target);
+          } catch (e) {
+            json(res, 200, { ok: false, reason: "copy-failed", message: String(e && e.message || e) });
+            return;
+          }
+          var nst = statOne(target);
+          try { console.log("[dsh-artifact-linker] saveas ok -> " + target); } catch (e) { }
+          json(res, 200, { ok: true, abs: abs, dest: target, size: nst.size, action: "saveas" });
+        });
+      };
+    }
+
+    routes.push(ctx.webServer.register({ kind: "exact", path: ROUTE_PREFIX + "/saveas", handler: makeFileOp("saveas") }));
+    routes.push(ctx.webServer.register({ kind: "exact", path: ROUTE_PREFIX + "/copyfile", handler: makeFileOp("copyfile") }));
+
     return function () {
       for (var i = 0; i < routes.length; i++) {
         try { routes[i](); } catch (e) { /* ignore */ }
@@ -582,5 +862,5 @@ export function apply(ctx, config) {
     };
   }, "dsh-artifact-linker: loopback routes");
 
-  ctx.logger.info("dsh-artifact-linker: routes registered at " + ROUTE_PREFIX + " (info/resolve/stat/flush-cache)");
+  ctx.logger.info("dsh-artifact-linker: routes registered at " + ROUTE_PREFIX + " (info/resolve/stat/flush-cache/reveal/open/saveas/copyfile)");
 }

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "dsh-artifact-linker",
-  "version": "0.2.7",
-  "description": "DSH 产物路径联动器：常驻注入「产物路径铁律」让模型输出完整绝对路径，同时把聊天正文里的文件名/路径渲染成一键可点的产物芯片——左键预览、右键在资源管理器揭示、Ctrl 点击强制系统打开。宿主端提供 /resolve /stat /info 只读回环路由（相对路径与裸文件名三源兜底、批量 stat + TTL 缓存），客户端零侵入、不改 React 节点、不接管 markdown 图片语法。解决「产物要打开得先复制路径再粘到文件管理器」的反复割裂。Zero telemetry; loopback-only routes. / Turn declared artifact paths into one-click chips: resident system-prompt rules force absolute paths, the client half renders file names as clickable chips (preview / reveal in Explorer / open with system app), and the host exposes loopback-only /resolve,/stat,/info routes with bare-filename fallback and cached batch stat.",
+  "version": "0.3.6",
+  "description": "DSH 产物路径联动器：常驻注入「产物路径铁律」让模型输出完整绝对路径，同时把聊天正文里的文件名/路径渲染成一键可点的产物芯片——左键预览、右键菜单可打开/定位/另存为/复制文件/复制路径/添加到对话框。宿主端提供回环只读路由与 /saveas /copyfile 两个文件搬运动作（Shell COM 揭示、WinForms 保存对话框、CF_HDROP 剪贴板），客户端零侵入、不改 React 节点、不接管 markdown 图片语法。解决「产物要打开得先复制路径再粘到文件管理器」的反复割裂。/ Turn declared artifact paths into one-click chips: resident system-prompt rules force absolute paths, the client half renders file names as clickable chips, and the right-click menu offers open / reveal in Explorer / save-as / copy-file / copy-path / insert-into-composer. Host routes are loopback-only; zero telemetry.",
   "type": "module",
   "main": "lib/index.js",
   "sideEffects": false,