dsh-bottom-info-bar 1.16.2 → 1.16.4

package/README.md

@@ -20,9 +20,27 @@ A DeepSeek Harness plugin that replaces the stats row under the composer with on
 | Spend | this session (including subagents), today, last 30 days, all time |
 | Extras | main time, world time, custom text |
 
-Click the bar to switch between **full** and **compact** mode; colors follow DSH's light or dark theme.
+The bar has two densities — click it to switch. **Full** keeps DSH's native stats row above the plugin row; **compact** folds everything into one line. Both follow DSH's light or dark theme, and the context ring always stays on the same line as the text before it.
 
-![Bottom Info Bar in compact mode](assets/bar-compact.webp)
+## Compact mode
+
+Four real states — light and dark, balance and subscription quota.
+
+**Light · balance**
+
+![Balance mode, light theme](assets/bar-compact-light-balance.webp)
+
+**Dark · balance**
+
+![Balance mode, dark theme](assets/bar-compact-dark-balance.webp)
+
+**Light · subscription quota**
+
+![Subscription quota, light theme](assets/bar-compact-light-subscription.webp)
+
+**Dark · subscription quota**
+
+![Subscription quota, dark theme](assets/bar-compact-dark-subscription.webp)
 
 ## Three billing modes
 
@@ -32,8 +50,6 @@ The bar follows the active session and picks the mode from the provider. The thr
 
 Shows the real balance from the provider's own API. It refetches when the bar opens, the page refreshes or the provider changes, then polls every 60 seconds; a failed refresh keeps the last known figure on screen. Below 20 (in the account's currency) the amount and a **Low** label turn red.
 
-![Balance mode](assets/bar-balance.webp)
-
 ### Subscription quota
 
 Shows the remaining quota per window (5-hour / weekly / monthly) and a countdown to the next reset — both always come from the same window, so they can never disagree. Windows show **remaining** percent by default and can be switched to **used** in settings; the low-quota warning always follows the remaining ≤ 20% rule. Compact mode prefers the shortest available window (5-hour → weekly → monthly).
@@ -42,12 +58,6 @@ Shows the remaining quota per window (5-hour / weekly / monthly) and a countdown
 
 Shows this month's real spend from the provider's official billing API, for example `Together | This month $12.34` or `AWS Bedrock | This month $45.60 · Budget 46%`. Cloudflare also shows the daily free-quota remainder with a UTC-midnight reset countdown when the API actually reports a free allowance.
 
-## Dark mode
-
-Colors adapt to DSH's theme — there is no separate setting.
-
-![Dark mode](assets/bar-dark.webp)
-
 ## Install
 
 Requires DeepSeek Harness with the web interface (`dsh web`) and pnpm.
@@ -72,6 +82,8 @@ cd dsh-bottom-info-bar
 ./install.sh
 ```
 
+If you installed from a checkout before the package moved to the repository root, your profile points at `<repo>/plugin`. That path still resolves — the repository keeps `plugin/` as symlinks to the package root — so nothing needs reinstalling. If it does not resolve (a ZIP download, for instance, delivers those symlinks as plain files), remove the plugin and install again with one of the commands above.
+
 Then **restart `dsh web`** — plugins are composed when the host starts, so a page refresh is not enough. The plugin shows up in the Plugins list, enabled:
 
 ![Plugins list with Bottom Info Bar installed](assets/plugins-list.webp)
@@ -103,7 +115,7 @@ Everything lives on the plugin page — **Plugins → bottom-info-bar**. Changes
 
 **Custom text** — up to 64 characters, shown in the bar.
 
-![Custom text in the bar](assets/bar-custom.webp)
+![Custom text settings](assets/settings-custom.webp)
 
 **Billing data** — export the ledger as CSV or JSON, or clear it after confirmation. Settings and sign-in information stay untouched.
 
@@ -117,7 +129,7 @@ The bar detects the provider from DSH's current model — no configuration. Set
 |---|---|---|
 | deepseek / deepseek-official | DeepSeek | `DEEPSEEK_API_KEY` |
 | openai | OpenAI | `OPENAI_API_KEY` — estimated from your spending rate; there is no public balance API |
-| moonshotai / moonshotai-cn / kimi-coding | Kimi | `MOONSHOT_API_KEY` (fallback `KIMI_API_KEY`) |
+| moonshotai / moonshotai-cn / kimi-coding | Kimi | `MOONSHOT_API_KEY` |
 | openrouter | OpenRouter | `OPENROUTER_API_KEY` |
 | stepfun | StepFun | `STEPFUN_API_KEY` |
 | xiaomi | Xiaomi MiMo | `XIAOMI_API_KEY` |
@@ -150,7 +162,7 @@ Every model response is recorded (usage × unit price) and aggregated four ways:
 
 ## Updating
 
-Once per DSH startup the plugin checks npm for a newer version. When one exists, a red **Update available** label appears in the bar: click it to copy the update command, run it in a terminal, then restart `dsh web`.
+The plugin checks npm for a newer version at startup and re-checks at most every 15 minutes. When one exists, a red **Update available** label appears in the bar: click it to copy the update command, run it in a terminal, then restart `dsh web`.
 
 | Installed via | Command |
 |---|---|

package/README.zh-CN.md

@@ -20,9 +20,27 @@ DeepSeek Harness 插件：把输入框下方那行统计栏换成一行信息栏
 | 花费 | 本会话（含子代理）、今天、近 30 天、累计 |
 | 其它 | 主时间、世界时间、自定义文字 |
 
-点击信息栏可在**完整**与**简洁**之间切换；配色跟随 DSH 的深色或浅色主题。
+信息栏有两种密度，点击即可切换：**完整**保留 DSH 原生统计行，插件信息另起一行；**简洁**把全部内容收成一行。两种密度都跟随 DSH 的深色/浅色主题，上下文圆环始终与前面的文字同一行，不会单独折行。
 
-![信息栏简洁模式](assets/bar-compact.zh-CN.webp)
+## 简洁模式
+
+四种真实状态：浅色与深色、余额制与订阅额度制。
+
+**浅色 · 余额制**
+
+![余额制·浅色](assets/bar-compact-light-balance.zh-CN.webp)
+
+**深色 · 余额制**
+
+![余额制·深色](assets/bar-compact-dark-balance.zh-CN.webp)
+
+**浅色 · 订阅额度制**
+
+![订阅额度制·浅色](assets/bar-compact-light-subscription.zh-CN.webp)
+
+**深色 · 订阅额度制**
+
+![订阅额度制·深色](assets/bar-compact-dark-subscription.zh-CN.webp)
 
 ## 三种计费模式
 
@@ -32,8 +50,6 @@ DeepSeek Harness 插件：把输入框下方那行统计栏换成一行信息栏
 
 显示服务商官方接口返回的真实余额。信息栏打开、页面刷新或切换服务商时立即重查，之后每 60 秒轮询一次；刷新失败时保留上一次的数值。余额低于 20（按账户币种）时，金额与**低**标记转红。
 
-![余额制](assets/bar-balance.zh-CN.webp)
-
 ### 订阅额度制
 
 显示各窗口剩余额度（5 小时 / 周 / 月）与距下次重置的倒计时——两者始终取自同一个窗口，不会互相矛盾。窗口默认按**剩余**显示百分比，可在设置里切换为**已用**；低额度告警始终按剩余 ≤ 20% 判定。简洁模式优先显示时长最短的可用窗口（5 小时 → 周 → 月）。
@@ -42,12 +58,6 @@ DeepSeek Harness 插件：把输入框下方那行统计栏换成一行信息栏
 
 显示官方账单接口返回的本月真实花费，例如 `Together | 本月 $12.34`、`AWS Bedrock | 本月 $45.60 · 预算 46%`。Cloudflare 还会在接口确实返回免费额度时，显示每日免费额度剩余与 UTC 零点重置倒计时。
 
-## 深色模式
-
-配色跟随 DSH 主题，无需单独设置。
-
-![深色模式](assets/bar-dark.zh-CN.webp)
-
 ## 安装
 
 需要带 Web 界面的 DeepSeek Harness（`dsh web`）与 pnpm。
@@ -72,6 +82,8 @@ cd dsh-bottom-info-bar
 ./install.sh
 ```
 
+如果你在「包移到仓库根」之前用本地代码装过，profile 里的路径末尾是 `/plugin`。这条路径依然有效——仓库里保留了 `plugin/` 软链指向仓库根，所以不必重装。万一它不生效（例如用 ZIP 下载仓库时，软链会变成普通文件），先卸载，再用上面的任一方式装一次。
+
 然后**重启 `dsh web`** —— 插件在宿主启动时组合，刷新页面不够。重启后插件出现在插件列表并处于启用状态：
 
 ![插件列表：底部信息栏已安装](assets/plugins-list.zh-CN.webp)
@@ -103,7 +115,7 @@ cd dsh-bottom-info-bar
 
 **自定义文字** —— 最多 64 个字符，显示在信息栏中。
 
-![信息栏中的自定义文字](assets/bar-custom.zh-CN.webp)
+![自定义文字设置](assets/settings-custom.zh-CN.webp)
 
 **账单数据** —— 导出 CSV / JSON，或确认后清除记录。设置与登录信息不受影响。
 
@@ -117,7 +129,7 @@ cd dsh-bottom-info-bar
 |---|---|---|
 | deepseek / deepseek-official | DeepSeek | `DEEPSEEK_API_KEY` |
 | openai | OpenAI | `OPENAI_API_KEY` —— 按消耗速度估算；官方没有公开余额接口 |
-| moonshotai / moonshotai-cn / kimi-coding | Kimi | `MOONSHOT_API_KEY`（回退 `KIMI_API_KEY`） |
+| moonshotai / moonshotai-cn / kimi-coding | Kimi | `MOONSHOT_API_KEY` |
 | openrouter | OpenRouter | `OPENROUTER_API_KEY` |
 | stepfun | StepFun | `STEPFUN_API_KEY` |
 | xiaomi | 小米 MiMo | `XIAOMI_API_KEY` |
@@ -150,7 +162,7 @@ cd dsh-bottom-info-bar
 
 ## 更新
 
-插件在一次完整的 DSH 启动后检查一次 npm 上的新版本。有新版时，信息栏出现红色**新版本提醒**标签：点击即可复制更新命令，到终端执行后重启 `dsh web`。
+插件在 DSH 启动时检查一次 npm 上的新版本，之后最多每 15 分钟复查一次。有新版时，信息栏出现红色**新版本提醒**标签：点击即可复制更新命令，到终端执行后重启 `dsh web`。
 
 | 安装方式 | 命令 |
 |---|---|

package/docs/INSTALL.md

@@ -47,7 +47,7 @@ node scripts/build.mjs
 dsh plugin --profile web add /path/to/dsh-bottom-info-bar
 ```
 
-> 1.15.0 及更早的版本里，插件包放在仓库的 `plugin/` 子目录，安装路径末尾要写 `/plugin`。该目录已不存在 —— 如果你当初是这样装的，先 `dsh plugin --profile web remove dsh-bottom-info-bar`，再用上面的命令装一次。
+> 1.15.0 及更早的版本里，插件包放在仓库的 `plugin/` 子目录，安装路径末尾写的是 `/plugin`。仓库里保留了 `plugin/` 软链指向仓库根，所以旧路径依然可用、不必重装；万一不生效（例如用 ZIP 下载仓库时软链会变成普通文件），先 `dsh plugin --profile web remove dsh-bottom-info-bar`，再用上面的命令装一次。
 
 ### 安装原理
 

package/lib/client.js

@@ -586,6 +586,18 @@ function assembleInfoBarRow(groups, trailingErrorGroups, createElement) {
   return nodes;
 }
 
+// 上下文圆环的落位（2026-09-24 用户报「圆环被单独挤到下一行并居中」）：
+// 圆环原本作为主行的独立 flex 子项追加在末尾 —— 行满换行时它会独占一行，居中后非常难看。
+// 改为与「最后一个内容节点」一起包进同一个 nowrap 尾巴（.bi-tail）：要换行两者一起走，
+// 圆环永远不会孤零零占一行；没有内容节点时（只显示圆环）保持原样。
+function attachContextMeter(nodes, contextNode, createElement) {
+  if (!contextNode) return nodes.slice();
+  if (nodes.length === 0) return [contextNode];
+  const out = nodes.slice();
+  out[out.length - 1] = createElement('span', { key: 'tail', className: 'bi-tail' }, out[out.length - 1], contextNode);
+  return out;
+}
+
 // D6 用户拍板：全部字段隐藏 = 底栏彻底移除。此判定为纯函数供单测：
 // 注册表内没有任何可见字段，或渲染结果（原生行/主行/错误组）全空 → 信息栏整体不渲染，
 // 不留空行、占位高度或悬空分隔符；density 点击因无 DOM 而天然无副作用。
@@ -630,6 +642,8 @@ function installStyles() {
       /* 整条信息栏始终作为一个居中的内容组；不会超过上方对话框的内容宽度。 */
       .bi-root > .bi-row2 { flex: none; display: flex; flex-wrap: wrap; justify-content: center; align-items: center; width: 100%; }
       .bi-native-row > span, .bi-row2 > span { white-space: nowrap; }
+      /* 圆环与最后一个内容节点同组：换行时一起走，绝不单独占一行（见 attachContextMeter） */
+      .bi-tail { display: inline-flex; align-items: center; flex: 0 0 auto; max-width: 100%; white-space: nowrap; }
       /* 只有模型组可在窄宽度折行；服务商与模型详情仍成组，不会让圆点落在行尾。 */
       .bi-row2 > .bi-model-group { white-space: normal; }
       /* 组间 6px、模型内部圆点 4px：保留分组层级，同时避免 12px 信息栏被过大留白拉散。 */
@@ -681,7 +695,11 @@ function installStyles() {
       .bi-ctx-track { fill: none; stroke: var(--dsw-alias-border-l3, rgba(128, 128, 128, 0.35)); stroke-width: 2px; }
       .bi-ctx-fill { fill: none; stroke: currentColor; stroke-width: 2px; stroke-linecap: round; }
       /* 构成明细面板：与原生 ContextMeter 面板同构（264px 宽 / 12px 内边距 / 12px 圆角 / 4px 构成条）。 */
-      .bi-ctx-panel { z-index: 1100; box-sizing: border-box; width: min(264px, calc(100vw - 24px)); padding: 12px; border: 0; border-radius: 12px; background: var(--dsw-specific-menu, #fff); color: var(--dsw-alias-label-secondary, #5a6169); box-shadow: var(--dsw-elevation-prominent, 0 8px 24px rgba(0, 0, 0, 0.18)); font-size: 12px; line-height: 20px; cursor: default; position: fixed; }
+      /* 面板底色必须不透明（2026-09-24 用户报「面板透明、文字和底下的信息栏叠在一起看不清」）：
+         宿主 --dsw-specific-menu 是带 alpha 的色（浅 #f8f9fa94 / 深 #30313680），且宿主菜单另有毛玻璃层，
+         本面板悬在信息栏文字之上，直接用它必然透字。改用不透明的层级底色（浅 #fff / 深 #353638，随主题走），
+         并保留宿主阴影；不引用任何可能带 alpha 的 token。 */
+      .bi-ctx-panel { z-index: 1100; box-sizing: border-box; width: min(264px, calc(100vw - 24px)); padding: 12px; border: 0.5px solid var(--dsw-alias-border-l4, rgba(128, 128, 128, 0.28)); border-radius: 12px; background: var(--dsw-alias-bg-layer-3, #fff); color: var(--dsw-alias-label-secondary, #5a6169); box-shadow: var(--dsw-elevation-prominent, 0 8px 24px rgba(0, 0, 0, 0.18)); font-size: 12px; line-height: 20px; cursor: default; position: fixed; }
       .bi-ctx-panel-header { display: flex; align-items: center; gap: 6px; }
       .bi-ctx-panel-headline { color: var(--dsw-alias-label-tertiary, #8a9099); }
       .bi-ctx-panel-headline:empty { display: none; }
@@ -3490,7 +3508,7 @@ module.exports = {
          context: contextInfo,
          breakdown: breakdownProj,
        });
-       const row2 = React.createElement('div', { id: 'dsh-bottom-info-bar-primary', className: 'bi-row2' }, ...nodes, contextNode);
+       const row2 = React.createElement('div', { id: 'dsh-bottom-info-bar-primary', className: 'bi-row2' }, ...attachContextMeter(nodes, contextNode, React.createElement));
 
       let row1 = null;
       if (statsProj) {

package/lib/index.js

@@ -1,7 +1,7 @@
 // Generated by scripts/build.mjs from src/host.js — do not edit directly.
 // Bottom Info Bar（底部信息栏插件）— host half（静态 bundle 形态）
 // 业务：余额真实 API / 峰谷定价 / llm/stream 记账 / 会话聚合 / 显示名识别 / 订阅额度显示
-// RPC：webServer HTTP 路由（GET/POST /_dsh/dsh-bottom-info-bar/<method>，JSON 进出，同源防护）
+// RPC：webServer HTTP 路由（GET/POST /_dsh/dsh-bottom-info-bar/<method>，JSON 进出，宿主认证边界）
 // 依赖：inject ['credentials', 'timer']；可选服务 webServer / sessionController（按能力读取）
 // 记账持久化：追加账本 + 可恢复快照落盘 ~/.dsh/dsh-bottom-info-bar/（可用环境变量
 // DSH_BOTTOM_INFO_BAR_DATA_DIR 覆盖目录），重启/中断后真实累计花费不丢失。
@@ -17,9 +17,6 @@ import * as hostLocale from './host-locale.js'
 const t = hostLocale.createHostTranslator()
 
 const DATA_DIR = process.env.DSH_BOTTOM_INFO_BAR_DATA_DIR || join(homedir(), '.dsh', 'dsh-bottom-info-bar')
-// DSH_BOTTOM_INFO_BAR_PROFILE_ROOT 仅供测试隔离（指向临时 profiles 目录），运行期不设置。
-const PROFILE_ROOT = process.env.DSH_BOTTOM_INFO_BAR_PROFILE_ROOT || join(homedir(), '.dsh', 'profiles')
-const BUNDLE_NAME = 'dsh-bottom-info-bar'
 const DATA_FILE = join(DATA_DIR, 'usage-records.json')
 const DATA_BACKUP_FILE = DATA_FILE + '.bak'
 const DATA_TEMP_FILE = DATA_FILE + '.tmp'
@@ -1630,64 +1627,10 @@ export const __settingsInternals = {
   DEFAULT_TIME_ZONES: DEFAULT_TIME_ZONES,
 }
 
-// ---------- 运行时卸载：判定「真卸载」还是「只是停用 / 重启」 ----------
-// 新版插件管理（DSH 0.1.6-alpha.2）支持运行时卸载 bundle。插件行被 dispose 时，宿主自己
-// 分不清三件事：①用户真的把插件卸掉了 ②只是在插件页把这一排停用 ③DSH 正常重启。
-// 判据：真卸载时，profile 的 package.json 里已经不再有本 bundle（`dsh.profile.bundles`
-// 与 dependencies 都查）；停用只改 cordis.patch.yml 的 disabled，重启什么都不改，两者
-// 都仍能在 package.json 里查到本 bundle。
-// 安全底线：任何读取失败 / 无法判定的情况一律返回 true（按「还在装」处理，绝不删数据）。
-function bundleStillReferenced() {
-  try {
-    // 保险①：数据与 profile 必须同属一个 DSH home。数据目录被指到别处（自定义部署）时，
-    // profile 未必在默认位置，两者对不上就判定不了——一律按「还在装」处理。
-    if (dirname(DATA_DIR) !== dirname(PROFILE_ROOT)) return true
-    if (!existsSync(PROFILE_ROOT)) return true
-    let profileDirs = 0
-    let readableManifests = 0
-    const entries = readdirSync(PROFILE_ROOT, { withFileTypes: true })
-    for (const entry of entries) {
-      if (!entry.isDirectory()) continue
-      profileDirs += 1
-      const manifestPath = join(PROFILE_ROOT, entry.name, 'package.json')
-      if (!existsSync(manifestPath)) continue
-      let parsed = null
-      try {
-        parsed = JSON.parse(readFileSync(manifestPath, 'utf8'))
-      } catch (err) {
-        continue
-      }
-      if (!parsed || typeof parsed !== 'object') continue
-      readableManifests += 1
-      const profile = parsed.dsh && parsed.dsh.profile
-      const bundles = profile && Array.isArray(profile.bundles) ? profile.bundles : []
-      if (bundles.indexOf(BUNDLE_NAME) !== -1) return true
-      for (const key of ['dependencies', 'devDependencies', 'optionalDependencies']) {
-        const deps = parsed[key]
-        if (deps && typeof deps === 'object' && Object.hasOwn(deps, BUNDLE_NAME)) return true
-      }
-    }
-    // 保险②：一个 profile 目录都没有 / 一份 manifest 都没读出来 = 根本没判定成功，
-    // 按「还在装」处理，绝不删数据。
-    if (profileDirs === 0 || readableManifests === 0) return true
-  } catch (err) {
-    return true
-  }
-  return false
-}
-
-// 真卸载：连目录一起清掉（账本 + 设置 + 备份），不留残留。
-// 只在 bundleStillReferenced() 为 false 时调用；调用点必须已经确认「不再被任何 profile 引用」。
-function clearPluginData() {
-  try {
-    if (!existsSync(DATA_DIR)) return true
-    rmSync(DATA_DIR, { recursive: true, force: true })
-    return true
-  } catch (err) {
-    console.warn('[dsh-bottom-info-bar] 卸载清理数据目录失败：' + String((err && err.message) || err))
-    return false
-  }
-}
+// ---------- 卸载数据边界 ----------
+// 账本和设置属于用户，不属于可替换的插件代码。插件更新、停用、移除或宿主重启时都只冲刷
+// 尚未落盘的记录；真正清除只能由设置页的 clearUsageRecords 明确发起。这样桌面端在更新
+// bundle 时无需以卸载为代价，也不会丢失历史账单。
 
 export default {
   inject: ['credentials', 'timer'],
@@ -4813,8 +4756,8 @@ export default {
         return settingsPayload(persistError);
       },
     };
-    // 写操作与会触发宿主网络请求的方法一律要求同源（防跨站驱动宿主写文件/发请求）。
-    // 余额快照即使不带 force 也可能命中刷新路径，因此整个端点统一保护。
+    // 会写入或触发网络请求的方法必须使用 POST；浏览器和桌面端的认证/防重绑定由宿主
+    // connection 服务统一完成，插件不能根据 Origin/Host 自行判断。
     const MUTATING = { getBalanceSnapshot: true, setDisplayMode: true, setInfoDensity: true, getSubscriptionSnapshot: true, getBillingStatus: true, setFieldConfig: true, resetFieldConfig: true, resetFieldColors: true, clearUsageRecords: true };
     function invalidArgument(message) {
       const err = new Error(message);
@@ -4822,21 +4765,6 @@ export default {
       return err;
     }
 
-    function sameOrigin(req) {
-      const fetchSite = req.headers['sec-fetch-site'];
-      if (fetchSite === 'cross-site') return false;
-      const origin = req.headers.origin;
-      if (origin === undefined) return fetchSite === 'same-origin' || fetchSite === 'same-site';
-      const host = req.headers.host;
-      if (host === undefined) return false;
-      try {
-        const parsed = new URL(origin);
-        return (parsed.protocol === 'http:' || parsed.protocol === 'https:') && parsed.host === host;
-      } catch {
-        return false;
-      }
-    }
-
     function readBody(req, maxBytes) {
       return new Promise(function (resolve, reject) {
         const chunks = [];
@@ -4867,7 +4795,11 @@ export default {
       res.end(body);
     }
 
-    ctx.inject(['webServer'], function (webCtx) {
+    // Desktop validates dsh-app://app before forwarding, then deliberately removes renderer
+    // Origin/Host headers and adds its private Host cookie. requestRejection() is the shared
+    // boundary for both Web and Desktop; reproducing the browser-header check here rejects
+    // legitimate desktop requests.
+    ctx.inject(['connection', 'webServer'], function (webCtx) {
       webCtx.effect(function () {
         const dispose = webCtx.webServer.register({
           kind: 'prefix',
@@ -4875,6 +4807,11 @@ export default {
           handler: async function (req, res) {
             let method = '';
             try {
+              const rejection = webCtx.connection.requestRejection(req);
+              if (rejection !== undefined) {
+                respond(res, rejection, { error: rejection === 401 ? 'authentication required' : 'request rejected' });
+                return;
+              }
               const url = new URL(req.url || '/', 'http://localhost');
               const path = url.pathname;
               if (!path.startsWith(ROUTE_PREFIX + '/')) {
@@ -4887,8 +4824,8 @@ export default {
                 respond(res, 404, { error: 'unknown method: ' + method });
                 return;
               }
-              if (Object.hasOwn(MUTATING, method) && !sameOrigin(req)) {
-                respond(res, 403, { error: 'cross-origin request rejected' });
+              if (Object.hasOwn(MUTATING, method) && req.method !== 'POST') {
+                respond(res, 405, { error: 'mutating methods require POST' });
                 return;
               }
               let args = {};
@@ -4932,14 +4869,8 @@ export default {
     ctx.interval(refreshActiveSubscriptions, 60000);
     ctx.interval(refreshActiveBilling, 60000); // v1.7
 
-    // 卸载时冲刷未落盘的记账记录
+    // 生命周期结束时只冲刷未落盘的账本；数据的删除必须经过设置页的显式操作。
     return function () {
-      // 真卸载（profile 的 package.json 里已无本 bundle）：连数据目录一起清空，不留残留。
-      // 只是停用那一排、或 DSH 正常重启时，走下面的冲刷分支，一个字都不删。
-      if (!bundleStillReferenced()) {
-        clearPluginData();
-        return;
-      }
       if (dirty || summariesDirty) flushSave();
     };
   },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-bottom-info-bar",
-  "version": "1.16.2",
+  "version": "1.16.4",
   "description": "Shows the current model, balance and spend under the composer.",
   "keywords": [
     "deepseek",