dsh-bili-scroll 2.0.2 → 2.1.0

package/lib/login.mjs

@@ -16,6 +16,7 @@
  */
 import { spawn } from 'node:child_process'
 import { existsSync, mkdirSync, writeFileSync } from 'node:fs'
+import { execFileSync } from 'node:child_process'
 import { join } from 'node:path'
 
 const UA = 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36'
@@ -75,6 +76,23 @@ export async function loginPoll(key) {
 }
 
 /** 把凭证写进 MCP 读的那个文件（家目录里的 bili_credential.json） */
+/**
+ * ⭐ 2026-10-23 安全加固（审计 + issue #67）：凭证文件权限收紧到"只有自己能读" ——
+ *    Linux/macOS: chmod 0600；Windows: icacls 去掉继承（只留当前用户）。
+ *    失败也不报错（有些文件系统不支持），但会返回 false 让调用方可以说明。
+ */
+export function hardenPerms(file) {
+  try {
+    if (process.platform === 'win32') {
+      const user = process.env.USERNAME || ''
+      execFileSync('icacls', [file, '/inheritance:r', '/grant:r', user + ':F'], { stdio: 'ignore', windowsHide: true })
+    } else {
+      execFileSync('chmod', ['600', file], { stdio: 'ignore' })
+    }
+    return true
+  } catch { return false }
+}
+
 export function saveCredential(stateDir, credential) {
   mkdirSync(stateDir, { recursive: true })
   const file = join(stateDir, 'bili_credential.json')
@@ -84,6 +102,7 @@ export function saveCredential(stateDir, credential) {
     buvid3: credential.buvid3 || '',
     dedeuserid: credential.dedeuserid ?? '',
   }, null, 2), 'utf8')
+  try { hardenPerms(file) } catch { /* 收紧失败也不影响登录 */ }
   return file
 }
 

package/lib/mcp.mjs

@@ -67,12 +67,23 @@ export class McpClient {
   }
 
   /** 调一个 MCP 工具：能解析成 JSON 就返回对象，否则返回字符串 */
-  async call(name, args = {}, { timeoutMs = 180000 } = {}) {
+  async call(name, args = {}, opts = {}) {
+    return (await this.callRaw(name, args, opts)).json
+  }
+
+  /** 同 call，但保留图片块：返回 { json, images }，images 每项是 { data, mimeType } */
+  async callRaw(name, args = {}, { timeoutMs = 180000, signal } = {}) {
     await this.start()
-    const result = await this.#request('tools/call', { name, arguments: args }, timeoutMs)
-    const text = (result?.content ?? []).map((c) => c?.text ?? '').join('\n').trim()
+    const result = await this.#request('tools/call', { name, arguments: args }, timeoutMs, signal)
+    const blocks = result?.content ?? []
+    const text = blocks.map((c) => c?.text ?? '').filter(Boolean).join('\n').trim()
     if (result?.isError) throw new Error(text || `MCP 工具 ${name} 报错`)
-    try { return text ? JSON.parse(text) : {} } catch { return text }
+    const images = blocks
+      .filter((c) => c?.type === 'image' && c?.data)
+      .map((c) => ({ data: c.data, mimeType: c.mimeType || c.mime_type || 'image/jpeg' }))
+    let json = {}
+    try { json = text ? JSON.parse(text) : {} } catch { json = text }
+    return { json, images }
   }
 
   #onData(chunk) {
@@ -100,19 +111,33 @@ export class McpClient {
 
   #notify(method, params) { this.#send({ jsonrpc: '2.0', method, params }) }
 
-  #request(method, params, timeoutMs = 60000) {
+  #request(method, params, timeoutMs = 60000, signal) {
     const id = this.nextId++
     return new Promise((resolve, reject) => {
-      const timer = setTimeout(() => {
+      if (signal?.aborted) {
+        reject(new Error(`MCP ${method} 已取消`))
+        return
+      }
+      const cleanup = () => {
+        clearTimeout(timer)
         this.pending.delete(id)
+        signal?.removeEventListener?.('abort', onAbort)
+      }
+      const onAbort = () => {
+        cleanup()
+        reject(new Error(`MCP ${method} 已取消`))
+      }
+      const timer = setTimeout(() => {
+        cleanup()
         reject(new Error(`MCP ${method} 超时（${timeoutMs}ms）${this.stderr ? '：' + this.stderr.slice(-200) : ''}`))
       }, timeoutMs)
       this.pending.set(id, {
-        resolve: (v) => { clearTimeout(timer); resolve(v) },
-        reject: (e) => { clearTimeout(timer); reject(e) },
+        resolve: (v) => { cleanup(); resolve(v) },
+        reject: (e) => { cleanup(); reject(e) },
       })
+      signal?.addEventListener?.('abort', onAbort, { once: true })
       try { this.#send({ jsonrpc: '2.0', id, method, params }) } catch (e) {
-        clearTimeout(timer); this.pending.delete(id); reject(e)
+        cleanup(); reject(e)
       }
     })
   }

package/lib/state.mjs

@@ -88,18 +88,17 @@ export function ensureHomeFiles(pluginDir, stateDir, log = () => {}) {
       }
       const onDisk = readFileSync(to, 'utf8')
       if (onDisk === incoming) { if (!shipped) writeMark(incoming); continue }   // 本来就是同一份
-      if (shipped && sha(Buffer.from(onDisk, 'utf8')) === shipped) {
-        // 家里那份就是我们上次发的 ⇒ 正常升级
-        copyFileSync(from, to); writeMark(incoming); log(`已更新：${to}`)
-      } else if (!shipped) {
-        // 老版本升级上来，没有指纹：按老行为覆盖一次，从此开始记指纹
-        copyFileSync(from, to); writeMark(incoming); log(`已更新（首次记录指纹）：${to}`)
-      } else {
-        // 用户改过 ⇒ 不覆盖，新版放旁边
-        const side = to + '.new'
-        try { writeFileSync(side, incoming, 'utf8') } catch { /* 写不了就算了 */ }
-        log(`注意：${to} 你改过，这次没覆盖；新版放在 ${side}`)
-      }
+      // ⭐⭐ 2.1.0（2026-10-24 实证）：剩下两种情况的处理可以并成一条 ——
+      //    这几个文件是**我们发的运行时代码**（mcp_server.py / asr.py / favops.py），
+      //    用户改过也不该拦着升级：否则"宿主新、Python 侧旧"，新工具根本不出现 ✗
+      //    （今天就这么栽的：家目录那份停在 11:50，值班轮里说"没有 bili_cover 这个工具"）
+      //    ⇒ **先备份 .bak-<时间戳>，再覆盖**，改了什么都能自己捞回来 ✓
+      const stamp = new Date().toISOString().replace(/[:.]/g, "-").slice(0, 19)
+      const bak = to + ".bak-" + stamp
+      try { copyFileSync(to, bak) } catch { /* 备份不了也继续，原件在插件包里 */ }
+      copyFileSync(from, to)
+      writeMark(incoming)
+      log(`已覆盖：${to}（旧的那份备份在 ${bak}）`)
     } catch (e) { log(`铺 ${to} 失败：${e?.message ?? e}`) }
   }
 }

package/lib/uvfetch.mjs

@@ -1,161 +1,217 @@
-/**
- * lib/uvfetch.mjs —— 「机器上连 uv 和 Python 都没有」时，**插件自己把 uv 弄到手**
- * ============================================================================
- * 为什么值得单独做：uv 是**单个可执行文件**（Windows 上 ~32MB 的 uv.exe ✓），
- * **解压就能用、不用管理员、不用进 PATH** ✓，而且它还能自己把 Python 拉下来 ✓
- * ⇒ 只要拿到它，"首次安装"就从「先去装个 Python」变成「点一下就好」✓
- *
- * 两个源，按顺序试：
- *   ① **GitHub 官方 release**（`uv-x86_64-pc-windows-msvc.zip`）—— 有加速器时最快 ✓
- *   ② ⭐ **PyPI 清华镜像的 uv wheel** —— wheel 本身就是个 zip，里面装着 `uv.exe` ✓
- *      （国内速度快、不依赖 GitHub ✓）
- *
- * 解压：优先用 **系统自带的 `tar`**（Windows 10+ 的 bsdtar 能直接读 zip ✓），
- *       再退到 `unzip`；然后**在解压出来的整棵树里按文件名找** ✓
- *       —— 不管官方把它放在哪一层都能找着 ✓
- * ============================================================================
- */
-import { spawnSync } from 'node:child_process'
-import { createWriteStream, existsSync, mkdirSync, readdirSync, statSync, copyFileSync, chmodSync, rmSync, readFileSync } from 'node:fs'
-import { createHash } from 'node:crypto'
-import { join } from 'node:path'
-import { Readable } from 'node:stream'
-import { pipeline } from 'node:stream/promises'
-
-const ASSETS = {
-  win32: { name: 'uv-x86_64-pc-windows-msvc.zip', bin: 'uv.exe' },
-  darwin: { name: 'uv-aarch64-apple-darwin.tar.gz', bin: 'uv' },
-  linux: { name: 'uv-x86_64-unknown-linux-gnu.tar.gz', bin: 'uv' },
-}
-
-/** 算一个文件的 sha256 */
-function sha256Of(file) {
-  return createHash('sha256').update(readFileSync(file)).digest('hex')
-}
-
-/**
- * 取"官方期望的 sha256"：
- *   · PyPI wheel：JSON 里自带 `digests.sha256` ✓
- *   · GitHub 资产：同目录下有一份 `<文件名>.sha256` ✓（代理会一起转 ✓）
- * 取不到就返回 null（那时只记一句"未校验"，不拦着）
- */
-async function expectedSha(source) {
-  if (source.sha) return String(source.sha).toLowerCase()
-  try {
-    const r = await fetch(source.url + '.sha256')
-    if (!r.ok) return null
-    const m = /([0-9a-f]{64})/i.exec(await r.text())
-    return m ? m[1].toLowerCase() : null
-  } catch { return null }
-}
-
-/** 在目录树里按文件名找可执行文件（递归） */
-export function findBin(name, dir) {
-  let entries = []
-  try { entries = readdirSync(dir, { withFileTypes: true }) } catch { return null }
-  for (const e of entries) {
-    const p = join(dir, e.name)
-    if (e.isDirectory()) { const hit = findBin(name, p); if (hit) return hit }
-    else if (e.name === name) return p
-  }
-  return null
-}
-
-/** 解压一个压缩包并找出目标文件（tar 优先 —— Windows 自带那份能读 zip） */
-export function extractArchive(binName, archive, into) {
-  const attempts = [['tar', ['-xf', archive, '-C', into]], ['unzip', ['-o', archive, '-d', into]]]
-  for (const [cmd, args] of attempts) {
-    try {
-      const r = spawnSync(cmd, args, { stdio: 'ignore' })
-      if (r.status === 0) { const hit = findBin(binName, into); if (hit) return hit }
-    } catch { /* 换下一个工具 */ }
-  }
-  return null
-}
-
-/**
- * 确保家目录里有一份可用的 uv，返回它的路径（拿不到就返回 null）。
- * @param {{ dir: string, log?: (m: string) => void }} opts
- */
-export async function ensureUv({ dir, log = () => {} }) {
-  const a = ASSETS[process.platform] || ASSETS.linux
-  const target = join(dir, a.bin)
-  if (existsSync(target)) return target
-
-  mkdirSync(dir, { recursive: true })
-  const tmp = join(dir, '_tmp')
-  rmSync(tmp, { recursive: true, force: true })
-  mkdirSync(tmp, { recursive: true })
-
-  // 源按顺序试：直连 → 两个国内能用的 GitHub 加速代理（2026-10-14 实测这两条能出真 zip ✓）
-  //          → 最后兜底是 PyPI 镜像上的 uv wheel（⚠️ 那个停在 0.2.33/2024-08，能用但不是最新 ✗）
-  const asset = `https://github.com/astral-sh/uv/releases/latest/download/${a.name}`
-  const sources = [
-    { label: 'GitHub 直连', url: asset, file: join(tmp, a.name) },
-    { label: 'GitHub 加速代理 gh-proxy.com', url: `https://gh-proxy.com/${asset}`, file: join(tmp, a.name) },
-    { label: 'GitHub 加速代理 ghproxy.net', url: `https://ghproxy.net/${asset}`, file: join(tmp, a.name) },
-  ]
-  if (process.platform === 'win32') {
-    try {
-      const r = await fetch('https://pypi.tuna.tsinghua.edu.cn/pypi/uv/json')
-      const j = await r.json()
-      // ⚠️ PyPI 的 urls 顺序**不保证最新在前** ⇒ 必须按版本号自己排序挑最新（踩过：取到了 0.2.33 的老版本 ✗）
-      const verOf = (name) => { const m = /-(\d+\.\d+\.\d+(?:[.-][0-9A-Za-z.]+)?)-py3-none-win_amd64\.whl$/.exec(String(name)); return m ? m[1] : '0.0.0' }
-      const cmpVer = (a, b) => {
-        const A = verOf(a).split(/[.-]/).map(Number), B = verOf(b).split(/[.-]/).map(Number)
-        for (let i = 0; i < 4; i++) { if ((A[i] || 0) !== (B[i] || 0)) return (B[i] || 0) - (A[i] || 0) }
-        return 0
-      }
-      const w = (j.urls || [])
-        .filter((u) => /win_amd64\.whl$/.test(String(u.filename)))
-        .sort((x, y) => cmpVer(x.filename, y.filename))[0]
-      if (w?.url) {
-        sources.push({ label: 'PyPI 清华镜像（uv wheel）', url: w.url, file: join(tmp, String(w.filename)), sha: w.digests?.sha256 })
-        log(`  （备选源已就绪：${w.filename}）`)
-      }
-    } catch (e) {
-      log(`  列 PyPI 版本时出错（不影响，继续试别的源）：${e?.message ?? e}`)
-    }
-  }
-
-  for (const s of sources) {
-    try {
-      log(`正在下载 uv —— ${s.label}`)
-      const res = await fetch(s.url)
-      if (!res.ok) { log(`  → 返回 ${res.status}，换下一个源`); continue }
-      await pipeline(Readable.fromWeb(res.body), createWriteStream(s.file))
-      const mb = (statSync(s.file).size / 1048576).toFixed(1)
-      log(`  → 下载完成 ${mb} MB`)
-      // ⭐ 完整性校验：下载下来是要**被执行**的，必须跟官方 sha256 对上（防的是第三方代理动过包 ✗）
-      const want = await expectedSha(s)
-      if (want) {
-        const gotSha = sha256Of(s.file)
-        if (gotSha !== want) {
-          log(`  → ⚠️ sha256 校验不过（期望 ${want.slice(0, 12)}… 实际 ${gotSha.slice(0, 12)}…）⇒ 丢弃这个源`)
-          continue
-        }
-        log('  → 官方 sha256 校验通过 ✓')
-      } else {
-        log('  → 没取到官方 sha256，跳过校验（下载来自 HTTPS 的官方地址时风险很小）')
-      }
-      log('  → 开始解压')
-      const hit = extractArchive(a.bin, s.file, tmp)
-      if (!hit) { log('  → 解压后没找到可执行文件，换下一个源'); continue }
-      copyFileSync(hit, target)
-      try { chmodSync(target, 0o755) } catch { /* Windows 上不需要 */ }
-      try {
-        const r = spawnSync(target, ['--version'], { stdio: 'ignore' })
-        log('  → 版本检查：' + (r.status === 0 ? '能跑 ✓' : '跑不起来 ✗'))
-      } catch { /* 跑不起来也别拦着，后面自己会报错 */ }
-      rmSync(tmp, { recursive: true, force: true })
-      log(`  → uv 已就位：${target}`)
-      return target
-    } catch (e) {
-      log(`  → ${s.label} 失败：${e?.message ?? e}`)
-    }
-  }
-
-  rmSync(tmp, { recursive: true, force: true })
-  log('所有源都拿不到 uv（大概是网络到不了 GitHub / PyPI 镜像）')
-  return null
-}
+/**
+ * lib/uvfetch.mjs —— 「机器上连 uv 和 Python 都没有」时，**插件自己把 uv 弄到手**
+ * ============================================================================
+ * 为什么值得单独做：uv 是**单个可执行文件**（Windows 上 ~32MB 的 uv.exe ✓），
+ * **解压就能用、不用管理员、不用进 PATH** ✓，而且它还能自己把 Python 拉下来 ✓
+ * ⇒ 只要拿到它，"首次安装"就从「先去装个 Python」变成「点一下就好」✓
+ *
+ * 两个源，按顺序试：
+ *   ① **GitHub 官方 release**（`uv-x86_64-pc-windows-msvc.zip`）—— 有加速器时最快 ✓
+ *   ② ⭐ **PyPI 清华镜像的 uv wheel** —— wheel 本身就是个 zip，里面装着 `uv.exe` ✓
+ *      （国内速度快、不依赖 GitHub ✓）
+ *
+ * 解压：优先用 **系统自带的 `tar`**（Windows 10+ 的 bsdtar 能直接读 zip ✓），
+ *       再退到 `unzip`；然后**在解压出来的整棵树里按文件名找** ✓
+ *       —— 不管官方把它放在哪一层都能找着 ✓
+ * ============================================================================
+ */
+import { spawnSync } from 'node:child_process'
+import { createWriteStream, existsSync, mkdirSync, readdirSync, statSync, copyFileSync, chmodSync, rmSync, readFileSync } from 'node:fs'
+import { createHash } from 'node:crypto'
+import { join } from 'node:path'
+import { Readable } from 'node:stream'
+import { pipeline } from 'node:stream/promises'
+
+/** 本机 Linux 是不是 musl libc（glibc 系统的 report header 会带 glibcVersionRuntime） */
+function isMusl() {
+  if (process.platform !== 'linux') return false
+  try {
+    const v = process.report?.getReport?.()?.header?.glibcVersionRuntime
+    if (typeof v === 'string' && v.length) return false
+  } catch { /* 拿不到就继续，下面按动态链接器文件名判断 */ }
+  try {
+    return existsSync('/lib/ld-musl-aarch64.so.1') || existsSync('/lib/ld-musl-x86_64.so.1') || existsSync('/lib/ld-musl-i386.so.1')
+  } catch { return false }
+}
+
+/**
+ * 按 platform + arch 挑 uv 官方 release 的资产名（按优先级排序的候选列表）。
+ * 之前这里写死 x86_64（linux）/ aarch64（darwin）/ x86_64（win32）⇒ 别的架构会下错二进制，
+ * 解压后版本检查跑不起来（比如 arm64 机器拿到 x86-64 的包）。现在按 arch 选，linux 再把
+ * glibc/musl 各列一个候选，靠下面的版本检查兜底。
+ */
+function uvAssetCandidates() {
+  const p = process.platform
+  const a = process.arch
+  if (p === 'win32') {
+    if (a === 'arm64') return { bin: 'uv.exe', names: ['uv-aarch64-pc-windows-msvc.zip'] }
+    if (a === 'ia32') return { bin: 'uv.exe', names: ['uv-i686-pc-windows-msvc.zip'] }
+    return { bin: 'uv.exe', names: ['uv-x86_64-pc-windows-msvc.zip'] }
+  }
+  if (p === 'darwin') {
+    return a === 'arm64'
+      ? { bin: 'uv', names: ['uv-aarch64-apple-darwin.tar.gz'] }
+      : { bin: 'uv', names: ['uv-x86_64-apple-darwin.tar.gz'] }
+  }
+  // linux（及其余落到这行的 unix）；只列 uv 官方出资产的架构
+  const arch = {
+    x64: 'x86_64',
+    arm64: 'aarch64',
+    arm: 'armv7',
+    ia32: 'i686',
+    ppc64: 'powerpc64le',
+    s390x: 's390x',
+    riscv64: 'riscv64gc',
+  }[a]
+  if (!arch) return null
+  // armv7 的硬浮点是 gnueabihf / musleabihf，其余是 gnu / musl
+  const hf = arch === 'armv7' ? 'eabihf' : ''
+  const libcs = isMusl() ? ['musl', 'gnu'] : ['gnu', 'musl']
+  return { bin: 'uv', names: libcs.map((l) => `uv-${arch}-unknown-linux-${l}${hf}.tar.gz`) }
+}
+
+/** 算一个文件的 sha256 */
+function sha256Of(file) {
+  return createHash('sha256').update(readFileSync(file)).digest('hex')
+}
+
+/**
+ * 取"官方期望的 sha256"：
+ *   · PyPI wheel：JSON 里自带 `digests.sha256` ✓
+ *   · GitHub 资产：同目录下有一份 `<文件名>.sha256` ✓（代理会一起转 ✓）
+ * 取不到就返回 null（那时只记一句"未校验"，不拦着）
+ */
+async function expectedSha(source) {
+  if (source.sha) return String(source.sha).toLowerCase()
+  try {
+    const r = await fetch(source.url + '.sha256')
+    if (!r.ok) return null
+    const m = /([0-9a-f]{64})/i.exec(await r.text())
+    return m ? m[1].toLowerCase() : null
+  } catch { return null }
+}
+
+/** 在目录树里按文件名找可执行文件（递归） */
+export function findBin(name, dir) {
+  let entries = []
+  try { entries = readdirSync(dir, { withFileTypes: true }) } catch { return null }
+  for (const e of entries) {
+    const p = join(dir, e.name)
+    if (e.isDirectory()) { const hit = findBin(name, p); if (hit) return hit }
+    else if (e.name === name) return p
+  }
+  return null
+}
+
+/** 解压一个压缩包并找出目标文件（tar 优先 —— Windows 自带那份能读 zip） */
+export function extractArchive(binName, archive, into) {
+  const attempts = [['tar', ['-xf', archive, '-C', into]], ['unzip', ['-o', archive, '-d', into]]]
+  for (const [cmd, args] of attempts) {
+    try {
+      const r = spawnSync(cmd, args, { stdio: 'ignore' })
+      if (r.status === 0) { const hit = findBin(binName, into); if (hit) return hit }
+    } catch { /* 换下一个工具 */ }
+  }
+  return null
+}
+
+/**
+ * 确保家目录里有一份可用的 uv，返回它的路径（拿不到就返回 null）。
+ * @param {{ dir: string, log?: (m: string) => void }} opts
+ */
+export async function ensureUv({ dir, log = () => {} }) {
+  const a = uvAssetCandidates()
+  if (!a) { log(`这台机器的平台/架构没有对应的 uv 官方资产（${process.platform} ${process.arch}），请手动放一份 uv 到 bin/`); return null }
+  const target = join(dir, a.bin)
+  if (existsSync(target)) return target
+
+  mkdirSync(dir, { recursive: true })
+  const tmp = join(dir, '_tmp')
+  rmSync(tmp, { recursive: true, force: true })
+  mkdirSync(tmp, { recursive: true })
+
+  // 源按顺序试：每个候选资产名 ×（直连 → 两个国内能用的 GitHub 加速代理）
+  //          → 最后兜底是 PyPI 镜像上的 uv wheel（win32 才有，且只有 x64 的 wheel）
+  const sources = a.names.flatMap((name) => {
+    const asset = `https://github.com/astral-sh/uv/releases/latest/download/${name}`
+    return [
+      { label: `GitHub 直连（${name}）`, url: asset, file: join(tmp, name) },
+      { label: `GitHub 加速代理 gh-proxy.com（${name}）`, url: `https://gh-proxy.com/${asset}`, file: join(tmp, name) },
+      { label: `GitHub 加速代理 ghproxy.net（${name}）`, url: `https://ghproxy.net/${asset}`, file: join(tmp, name) },
+    ]
+  })
+  if (process.platform === 'win32') {
+    try {
+      const r = await fetch('https://pypi.tuna.tsinghua.edu.cn/pypi/uv/json')
+      const j = await r.json()
+      // ⚠️ PyPI 的 urls 顺序**不保证最新在前** ⇒ 必须按版本号自己排序挑最新（踩过：取到了 0.2.33 的老版本 ✗）
+      const verOf = (name) => { const m = /-(\d+\.\d+\.\d+(?:[.-][0-9A-Za-z.]+)?)-py3-none-win_amd64\.whl$/.exec(String(name)); return m ? m[1] : '0.0.0' }
+      const cmpVer = (a, b) => {
+        const A = verOf(a).split(/[.-]/).map(Number), B = verOf(b).split(/[.-]/).map(Number)
+        for (let i = 0; i < 4; i++) { if ((A[i] || 0) !== (B[i] || 0)) return (B[i] || 0) - (A[i] || 0) }
+        return 0
+      }
+      const w = (j.urls || [])
+        .filter((u) => /win_amd64\.whl$/.test(String(u.filename)))
+        .sort((x, y) => cmpVer(x.filename, y.filename))[0]
+      if (w?.url) {
+        sources.push({ label: 'PyPI 清华镜像（uv wheel）', url: w.url, file: join(tmp, String(w.filename)), sha: w.digests?.sha256 })
+        log(`  （备选源已就绪：${w.filename}）`)
+      }
+    } catch (e) {
+      log(`  列 PyPI 版本时出错（不影响，继续试别的源）：${e?.message ?? e}`)
+    }
+  }
+
+  for (const s of sources) {
+    try {
+      // 每个候选都从干净的解压目录开始，别让上一个候选的残留文件被 findBin 误判
+      rmSync(tmp, { recursive: true, force: true })
+      mkdirSync(tmp, { recursive: true })
+      log(`正在下载 uv —— ${s.label}`)
+      const res = await fetch(s.url)
+      if (!res.ok) { log(`  → 返回 ${res.status}，换下一个源`); continue }
+      await pipeline(Readable.fromWeb(res.body), createWriteStream(s.file))
+      const mb = (statSync(s.file).size / 1048576).toFixed(1)
+      log(`  → 下载完成 ${mb} MB`)
+      // ⭐ 完整性校验：下载下来是要**被执行**的，必须跟官方 sha256 对上（防的是第三方代理动过包 ✗）
+      const want = await expectedSha(s)
+      if (want) {
+        const gotSha = sha256Of(s.file)
+        if (gotSha !== want) {
+          log(`  → ⚠️ sha256 校验不过（期望 ${want.slice(0, 12)}… 实际 ${gotSha.slice(0, 12)}…）⇒ 丢弃这个源`)
+          continue
+        }
+        log('  → 官方 sha256 校验通过 ✓')
+      } else {
+        log('  → 没取到官方 sha256，跳过校验（下载来自 HTTPS 的官方地址时风险很小）')
+      }
+      log('  → 开始解压')
+      const hit = extractArchive(a.bin, s.file, tmp)
+      if (!hit) { log('  → 解压后没找到可执行文件，换下一个源'); continue }
+      copyFileSync(hit, target)
+      try { chmodSync(target, 0o755) } catch { /* Windows 上不需要 */ }
+      // ⭐ 版本检查：这个二进制得能**在这台机器上跑**——架构/ABI 不匹配（比如把 x86 的包下到了 arm64）会跑不起来 ✗
+      let runs = false
+      try {
+        const r = spawnSync(target, ['--version'], { stdio: 'ignore' })
+        runs = r.status === 0
+        log('  → 版本检查：' + (runs ? '能跑 ✓' : '跑不起来 ✗'))
+      } catch { runs = false }
+      if (!runs) {
+        log('  → 架构/ABI 不匹配，换下一个候选')
+        try { rmSync(target, { force: true }) } catch { /* 删不掉也不拦着 */ }
+        continue
+      }
+      rmSync(tmp, { recursive: true, force: true })
+      log(`  → uv 已就位：${target}`)
+      return target
+    } catch (e) {
+      log(`  → ${s.label} 失败：${e?.message ?? e}`)
+    }
+  }
+
+  rmSync(tmp, { recursive: true, force: true })
+  log('所有源都拿不到 uv（大概是网络到不了 GitHub / PyPI 镜像）')
+  return null
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-bili-scroll",
-  "version": "2.0.2",
+  "version": "2.1.0",
   "description": "DSH 插件：每天替你刷一轮 B站 —— 读字幕挑出值得的、写一份日报，值得的就 @ 你",
   "keywords": [
     "dsh",
@@ -22,6 +22,7 @@
     "./package.json": "./package.json"
   },
   "files": [
+    "profile-template",
     "index.js",
     "client.js",
     "cordis.patch.yml",