dsh-chubby-whale 1.1.57 → 1.1.58

package/CHANGELOG.md

@@ -4,6 +4,39 @@
 
 ## [未发布]
 
+## [1.1.58] - 2026-11-07
+
+### 修复（B74 配置/备份/迁移分身）
+- **坏 `config.json` 被静默吞掉**：用户只看到「Key 没了、语音没反应」；现在按「未配置」降级并**只告警一次**（坑 35：没反应比报错更糟）
+- **`sanitizePluginConfig` 可被原型链注入**：`{"__proto__":{...}}` 会改结果对象原型（实测 `out.dataSource` 能从原型读到）；已拒收 `__proto__`/`constructor`/`prototype`
+- **`prefs.json` 是数组时缓存开关永远写不进去**：`load` 原样返回数组/标量，属性写入被 `JSON.stringify` 丢弃；已归一 + 单次提示
+- **迁移半途失败会留下「假已迁移」**：直写目标，`copyFileSync` 失败留半截文件，下次 `existsSync` 为真就永远跳过；改为「临时名 + link 优先/rename 兜底」原子落地
+- **自动备份快照非原子写 + 时间口径双源**：崩溃会留半截 JSON 被当成一份备份；裁剪按文件名、`lastAt` 按 mtime，目录被拷贝后时间漂移。已统一（文件名时间优先、mtime 兜底）+ 原子写 + 定时器按运行目录去重
+
+### 修复（B75 主代理：备份定时器停不下来）
+- **`ctx.on('dispose')` 在 cordis 里永不触发**：卸载只派发 `internal/plugin`，全仓没有 dispose 事件——热重载/禁用后旧备份定时器会一直写到进程退出。改用 `ctx.effect` 把「停备份」登记成 fiber 清理器
+
+### 修复（B76 媒体/提醒分身）
+- **提醒轮询收尾不彻底**：`start()` 只返回 `stopPoll`，全仓没有 `dispose()` 调用 → 卸载后待播队列与 gap/retry 定时器继续冒泡/朗读（基线实测还播了第 2 条）；收尾改为撤定时器→清队列→停轮询
+- **收尾后迟到的轮询响应仍入队**：补 `alive` 守卫（并发纪律「每个 await 之后校验我还是当前那次」）
+- **空正文提醒被静默丢掉**：`if (it && it.text)` 让「时间到了」兜底成死代码；现在空正文走兜底
+- **顺延跨零点提示错误**：23:55 顺延到 00:05 只说 `00:05`，会被读成今晨；现在显示「明天 00:05」，多天显示日期
+- **`image.ts` 抛错漏 revoke**：`createObjectURL` 之后 `new Image()`/赋值抛错时只 `resolve(null)`，泄漏一份 Blob；已覆盖
+- **TTS 抛错把「看图成功」改判成失败**：朗读回调裸在 try 里；已包 try/catch
+
+### 修复（B77 语音桥/唤醒分身）
+- **打断词漏「别」「不」**：桥里的整句正则只有「停/停下/…/够了」，而宿主专门放行五个打断词、队列测试也断言「别」「不」必须放行 → 朗读中说「别」「不」被当正文送模型，停不下来；已统一走 `shared/noise.ts` 的 `INTERRUPT_WORDS`（并认「大肥鱼，停」），叙述锁分支同口径
+- **`beforeunload` 匿名监听每次重建都多挂一个**：dispose 摘不掉（旧监听攥着废弃实例）；改为单例 + dispose 摘除
+- **`wakeInfo` 交出内部词表数组**：调用方可直接改唤醒门词表；改为返回副本
+- **自定义唤醒词后旧词谐音仍生效**：换词后仍能被「大肥鱼/大粉鱼」叫醒并剥正文，与「只用这一个词」的契约冲突
+- **单字唤醒词被误剥**：「好的」会剥成「的」送模型；单字只认整句
+- **浏览器朗读兜底首句被吞**：上层每次兜底前都 `cancel()`，而模块只在 `busy` 时让 80ms → 立刻 speak 被吞；改为 cancel 后统一隔 80ms
+- **看门狗判死不开扬声器回收**：只 resolve 不 cancel，下一段（可能是 edge-tts 音频）会叠着播；现在判死即 cancel
+
+### 测试
+- 新增 `scripts/test-prefs-config.mjs`(84)、`test-media-reminders.mjs`(171)、`test-voice-bridge.mjs`(59)，均接入 `npm test`
+- 全链 **2723 项 0 失败**（2409 + 84 + 171 + 59）
+
 ## [1.1.57] - 2026-11-07
 
 ### 修复（B73 主代理：统计与备份）

package/dist/client.js

@@ -14,7 +14,7 @@
   }
 
   // src/client/version.ts
-  var VERSION = "1.1.57";
+  var VERSION = "1.1.58";
 
   // src/client/styles.ts
   var W = 240;
@@ -787,6 +787,7 @@
     const ms2 = opts && typeof opts.watchdog === "number" && opts.watchdog > 0 ? opts.watchdog : watchdogMs(src);
     return new Promise((resolve) => {
       let done = false;
+      let timedOut = false;
       let startTimer = null;
       let voiceTimer = null;
       let onVoices = null;
@@ -815,9 +816,18 @@
         } catch (e) {
         }
         onVoices = null;
+        if (timedOut) {
+          try {
+            if (synthRef && typeof synthRef.cancel === "function") synthRef.cancel();
+          } catch (e) {
+          }
+        }
         resolve();
       };
-      const watch = setTimeout(finish, ms2);
+      const watch = setTimeout(() => {
+        timedOut = true;
+        finish();
+      }, ms2);
       const realFinish = () => {
         clearT(watch);
         finish();
@@ -884,8 +894,8 @@
               if (typeof Synth.cancel === "function") Synth.cancel();
             } catch (e) {
             }
-            startTimer = setTimeout(speak, 80);
-          } else speak();
+          }
+          startTimer = setTimeout(speak, 80);
         };
         let waiting = false;
         try {
@@ -2859,18 +2869,24 @@
           resolve(null);
           return;
         }
-        const url = URLRef.createObjectURL(file);
-        const img = new ImageRef();
+        let url = "";
         const done = (v) => {
           try {
-            URLRef.revokeObjectURL(url);
+            if (url) URLRef.revokeObjectURL(url);
           } catch (e) {
           }
+          url = "";
           resolve(v);
         };
-        img.onload = () => done(img);
-        img.onerror = () => done(null);
-        img.src = url;
+        try {
+          url = URLRef.createObjectURL(file);
+          const img = new ImageRef();
+          img.onload = () => done(img);
+          img.onerror = () => done(null);
+          img.src = url;
+        } catch (e) {
+          done(null);
+        }
       } catch (e) {
         resolve(null);
       }
@@ -3045,7 +3061,12 @@
         const reply0 = await post({ message: VISION_PROMPT, image: b64, imageMime: mime });
         const reply = String(reply0 && reply0.reply || "").trim() || "这条鱼看不懂这张图……";
         bubble("（看图）" + reply, 1e4);
-        if (speak) speak(reply);
+        if (speak) {
+          try {
+            speak(reply);
+          } catch (e2) {
+          }
+        }
         return { ok: true, kind: "image", message: VISION_PROMPT, reply };
       } catch (e) {
         return fail(e, "图片处理失败");
@@ -3063,7 +3084,12 @@
         const reply0 = await post({ message });
         const reply = String(reply0 && reply0.reply || "").trim() || "这份文档本鲸没看懂……";
         bubble("（文档）" + reply, 12e3);
-        if (speak) speak(reply);
+        if (speak) {
+          try {
+            speak(reply);
+          } catch (e2) {
+          }
+        }
         return { ok: true, kind: "text", message, reply };
       } catch (e) {
         return fail(e, "文档处理失败");
@@ -3573,6 +3599,11 @@
   function escapeRe(s) {
     return s.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
   }
+  function isDefaultWords(words) {
+    if (!words || words.length !== WAKE_WORDS.length) return false;
+    for (let i = 0; i < WAKE_WORDS.length; i++) if (words[i] !== WAKE_WORDS[i]) return false;
+    return true;
+  }
   function stripWakeWords(input, words = WAKE_WORDS) {
     const raw = str(input);
     const norm = normalizeWakeText(raw);
@@ -3581,11 +3612,12 @@
     const hits = sorted.filter((w) => {
       const nw = normalizeWakeText(w);
       if (!nw) return false;
+      if (nw.length === 1) return norm === nw;
       if (nw.length >= 3) return norm.indexOf(nw) >= 0;
       return norm.startsWith(nw) || norm.length <= 4 && norm.indexOf(nw) >= 0;
     });
     if (!hits.length) {
-      if (norm.length <= 12) {
+      if (isDefaultWords(words) && norm.length <= 12) {
         for (const re of WAKE_FUZZY) {
           const m = norm.match(re);
           if (m) {
@@ -3642,6 +3674,14 @@
   }
 
   // src/client/voice-bridge.ts
+  var STOP_PHRASES = ["停下", "停一下", "别说了", "别讲了", "别念了", "别吵", "安静", "够了"];
+  var NARR_STOP_RE = /停|别念|不念|够了|算了|打住/;
+  var HAS_CONTENT_RE = /[\u4e00-\u9fa5a-z0-9]/i;
+  function isStopCommand(norm) {
+    if (!norm) return false;
+    if (isInterruptWord(norm)) return true;
+    return STOP_PHRASES.indexOf(norm) >= 0;
+  }
   function bump(key) {
     try {
       const w = typeof window !== "undefined" ? window : null;
@@ -3675,6 +3715,7 @@
     }
     const wakeStats = { passed: 0, dropped: 0, hits: 0, lastHitAt: 0, dropNotifiedAt: 0 };
     let asrNoKeyNotified = false;
+    let unloadHandler = null;
     function wakeInfo() {
       syncWakeWords();
       const now = Date.now();
@@ -3683,7 +3724,8 @@
         awake: remainingMs > 0,
         remainingMs,
         windowMs: gate.windowMs,
-        words: gate.words,
+        // 给出去的是副本：调用方（菜单/诊断）拿到的是可写数组，不能顺着它改门里的词表
+        words: gate.words.slice(),
         hits: wakeStats.hits,
         passed: wakeStats.passed,
         dropped: wakeStats.dropped,
@@ -3696,6 +3738,47 @@
       } catch (e) {
       }
     }
+    function stopNarration(notice) {
+      try {
+        host.stopSpeaking();
+      } catch (e) {
+      }
+      try {
+        host.narration.clear();
+      } catch (e) {
+      }
+      try {
+        host.bubble(notice, 2500);
+      } catch (e) {
+      }
+    }
+    function tryInterrupt(text) {
+      let spoken = "";
+      try {
+        const probe = stripWakeWords(text, gate.words);
+        spoken = normalizeWakeText(probe.hit ? probe.text : text);
+      } catch (e) {
+        return false;
+      }
+      if (!isStopCommand(spoken)) return false;
+      let speaking = false;
+      try {
+        speaking = host.speaking ? !!host.speaking() : true;
+      } catch (e) {
+        speaking = false;
+      }
+      if (!speaking) return false;
+      try {
+        host.stopSpeaking();
+      } catch (e) {
+      }
+      try {
+        host.bubble("好，不说了", 2e3);
+      } catch (e) {
+      }
+      bump("wakeBreak");
+      return true;
+    }
     function build() {
       const make = host.makeVoice || ((o) => createVoice(o));
       const v = make({
@@ -3708,38 +3791,18 @@
           }
           try {
             if (host.narration.active()) {
-              if (/停|别念|不念|够了|算了|打住/.test(String(text || ""))) {
-                try {
-                  host.stopSpeaking();
-                } catch (e) {
-                }
-                host.narration.clear();
-                host.bubble("好，不念了", 2500);
-              } else {
-                bump("narrDrop");
+              let narrStop = false;
+              try {
+                narrStop = NARR_STOP_RE.test(String(text || "")) || isStopCommand(normalizeWakeText(text));
+              } catch (e) {
               }
+              if (narrStop) stopNarration("好，不念了");
+              else bump("narrDrop");
               return;
             }
           } catch (e) {
           }
-          try {
-            if (/^(停|停下|停一下|别说了|别讲了|别念了|别吵|闭嘴|安静|打住|够了)$/.test(normalizeWakeText(text))) {
-              const speaking = host.speaking ? !!host.speaking() : true;
-              if (speaking) {
-                try {
-                  host.stopSpeaking();
-                } catch (e) {
-                }
-                try {
-                  host.bubble("好，不说了", 2e3);
-                } catch (e) {
-                }
-                bump("wakeBreak");
-                return;
-              }
-            }
-          } catch (e) {
-          }
+          if (tryInterrupt(text)) return;
           try {
             if (host.voiceChat && !host.voiceChat()) {
               wakeStats.dropped++;
@@ -3756,14 +3819,16 @@
           }
           const said = r.hit ? r.text : String(text || "").trim();
           wakeStats.passed++;
-          if (!said) {
-            try {
-              if (host.say) host.say("本鲸在呢～", 3200);
-              else host.bubble("本鲸在呢～", 3200);
-            } catch (e) {
+          if (!HAS_CONTENT_RE.test(said)) {
+            if (r.hit) {
               try {
-                host.bubble("本鲸在呢～", 3200);
-              } catch (e2) {
+                if (host.say) host.say("本鲸在呢～", 3200);
+                else host.bubble("本鲸在呢～", 3200);
+              } catch (e) {
+                try {
+                  host.bubble("本鲸在呢～", 3200);
+                } catch (e2) {
+                }
               }
             }
             pushWake();
@@ -3815,16 +3880,30 @@
         host.diag({ voice: v, wake: wakeInfo() });
       } catch (e) {
       }
+      bindUnload();
+      return v;
+    }
+    function bindUnload() {
+      if (unloadHandler) return;
       try {
-        if (typeof window !== "undefined") window.addEventListener("beforeunload", () => {
+        if (typeof window === "undefined" || !window.addEventListener) return;
+        unloadHandler = () => {
           try {
-            v.stop();
+            if (voice) voice.stop();
           } catch (e) {
           }
-        });
+        };
+        window.addEventListener("beforeunload", unloadHandler);
       } catch (e) {
+        unloadHandler = null;
       }
-      return v;
+    }
+    function unbindUnload() {
+      try {
+        if (unloadHandler && typeof window !== "undefined" && window.removeEventListener) window.removeEventListener("beforeunload", unloadHandler);
+      } catch (e) {
+      }
+      unloadHandler = null;
     }
     function ensure() {
       return voice || build();
@@ -3847,6 +3926,10 @@
           } catch (e) {
           }
         }
+        try {
+          gate.reset();
+        } catch (e) {
+        }
       },
       dispose() {
         if (voice) {
@@ -3856,6 +3939,7 @@
           }
         }
         voice = null;
+        unbindUnload();
         try {
           gate.reset();
         } catch (e) {
@@ -7270,6 +7354,7 @@
     const queue = [];
     let dueTimer = null;
     let pollTimer = null;
+    let alive = false;
     function pump() {
       if (dueTimer) return;
       if (queue.length === 0) return;
@@ -7302,19 +7387,24 @@
     }
     function start() {
       stopPoll();
+      alive = true;
       pollTimer = setInterval(() => {
         fetchJson(DUE_PATH).then((d) => {
+          if (!alive) return;
           const due = d && d.due || [];
           for (const it of due) {
-            if (it && it.text) queue.push(it);
+            if (it && typeof it === "object") queue.push(it);
           }
           pump();
         }).catch(() => {
         });
       }, intervalMs);
-      return stopPoll;
+      return () => {
+        dispose();
+      };
     }
     function dispose() {
+      alive = false;
       if (dueTimer !== null) {
         clearT(dueTimer);
         dueTimer = null;
@@ -7346,6 +7436,20 @@
     const mm = String(d.getMinutes()).padStart(2, "0");
     return hh + ":" + mm;
   }
+  function formatClockWithDay(at, nowMs) {
+    const d = new Date(at);
+    if (isNaN(d.getTime())) return "--:--";
+    const clock = formatClock(d);
+    const baseMs = typeof nowMs === "number" && isFinite(nowMs) ? nowMs : Date.now();
+    const today = new Date(baseMs);
+    const startToday = new Date(today.getFullYear(), today.getMonth(), today.getDate()).getTime();
+    const startTarget = new Date(d.getFullYear(), d.getMonth(), d.getDate()).getTime();
+    const days = Math.round((startTarget - startToday) / (24 * 60 * 60 * 1e3));
+    if (days === 0) return clock;
+    if (days === 1) return "明天 " + clock;
+    if (days === -1) return "昨天 " + clock;
+    return d.getMonth() + 1 + "月" + d.getDate() + "日 " + clock;
+  }
   function stampOf(item2) {
     const raw = item2.nextAt || item2.at;
     const d = new Date(raw);
@@ -7489,7 +7593,7 @@
       const dueMs = new Date(pick.nextAt || pick.at).getTime();
       const base = Number.isFinite(dueMs) ? Math.max(clock(), dueMs) : clock();
       const at = new Date(base + POSTPONE_MS);
-      const when = formatClock(at);
+      const when = formatClockWithDay(at, clock());
       const body = {
         text: pick.text,
         at: at.toISOString(),

package/dist/host/auto-backup.js

@@ -8,12 +8,21 @@
  *   · 只读运行数据文件、写到 RUNTIME_DIR/backup/ 目录（不进插件包、不碰 data/）；
  *   · 一份备份 = 一个 JSON（{ at, files: { 文件名: 内容 } }），失败静默（绝不因备份失败影响插件）；
  *   · 保留策略按文件名（auto-时间戳）排序删旧，最多 keep 份；
+ *     诊断口径（autoBackupInfo.lastAt）也从文件名取时间——两处同一真源（坑 28），
+ *     备份目录被整体拷贝/恢复过（mtime 变成恢复时间）时不会与裁剪口径打架；
+ *   · 快照走 atomic.ts 的原子写：进程被杀不会留半截 JSON 假装是“一份备份”，
+ *     再借裁剪把好的旧份挤掉；
  *   · setInterval 加 unref（不拖住进程退出）；启动时先备一份，之后每小时一次。
+ *   · 同一定时器只允许一份（2026-11-07 B74）：index.ts 用 `ctx.on('dispose')` 兜清理，
+ *     而 cordis 没有该事件（详见 docs/坑.md 坑 11，cordis 卸载只发 internal/plugin），
+ *     热重载/禁用再启用时旧定时器不会被停掉；这里按运行目录去重，重复 start 先停旧的，
+ *     至少保证不会一次比一次多出定时器、也不会在插件停用后继续叠写备份。
  *
  * 兼容：宿主侧改动要重启 dsh web 才生效；备份目录只增不减（除旧份）。
  */
-import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, statSync, writeFileSync } from 'node:fs';
-import { join } from 'node:path';
+import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, statSync } from 'node:fs';
+import { join, resolve } from 'node:path';
+import { writeFileAtomic } from './atomic.js';
 /** 需要备份的运行数据文件（都在 RUNTIME_DIR 根下） */
 export const AUTO_BACKUP_FILES = [
     'memory.json',
@@ -28,12 +37,22 @@ export const AUTO_BACKUP_FILES = [
 ];
 /** 备份目录名 */
 export const AUTO_BACKUP_DIR = 'backup';
+/** setInterval 允许的最大延时；超过会被 Node 折成 1ms（TimeoutOverflowWarning），变成疯狂写盘 */
+const MAX_TIMER_MS = 2147483647;
 /** 时间戳 → auto-YYYYMMDD-HHmmss（文件名安全，无冒号） */
 function stamp(ms) {
     const d = new Date(ms);
     const p = (n) => (n < 10 ? '0' + n : String(n));
     return 'auto-' + d.getFullYear() + p(d.getMonth() + 1) + p(d.getDate()) + '-' + p(d.getHours()) + p(d.getMinutes()) + p(d.getSeconds());
 }
+/** 从备份文件名反解时间（与裁剪同一口径）；解析不出返回 0 */
+function stampMs(name) {
+    const m = /^auto-(\d{4})(\d{2})(\d{2})-(\d{2})(\d{2})(\d{2})\.json$/.exec(name);
+    if (!m)
+        return 0;
+    const t = new Date(Number(m[1]), Number(m[2]) - 1, Number(m[3]), Number(m[4]), Number(m[5]), Number(m[6])).getTime();
+    return Number.isFinite(t) ? t : 0;
+}
 /** 立即备份一次，返回是否写成功（失败静默，不抛） */
 export function backupOnce(opts) {
     try {
@@ -59,7 +78,7 @@ export function backupOnce(opts) {
         const nowMs = (opts.now || (() => Date.now()))();
         const out = join(dir, stamp(nowMs) + '.json');
         // 同一秒内重复备份：覆盖同名文件即可（幂等）
-        writeFileSync(out, JSON.stringify({ at: nowMs, files }), 'utf8');
+        writeFileAtomic(out, JSON.stringify({ at: nowMs, files }));
         // 保留最近 keep 份（按文件名排序 = 时间顺序）
         const keep = Math.max(1, Number(opts.keep) || 7);
         let list = [];
@@ -90,27 +109,45 @@ export function autoBackupInfo(runtimeDir) {
             return { lastAt: 0, count: 0 };
         const list = readdirSync(dir).filter((f) => /^auto-.*\.json$/.test(f));
         let lastAt = 0;
+        let lastMtime = 0;
         for (const f of list) {
+            // 口径与裁剪一致：时间优先取文件名里的时间戳；文件名不合规（手工放进去的）才退回 mtime
+            const named = stampMs(f);
+            if (named > lastAt)
+                lastAt = named;
+            if (named > 0)
+                continue;
             try {
                 const st = statSync(join(dir, f));
-                if (st.mtimeMs > lastAt)
-                    lastAt = st.mtimeMs;
+                if (st.mtimeMs > lastMtime)
+                    lastMtime = st.mtimeMs;
             }
             catch { }
         }
-        return { lastAt, count: list.length };
+        return { lastAt: lastAt || lastMtime, count: list.length };
     }
     catch {
         return { lastAt: 0, count: 0 };
     }
 }
+/** 运行目录 → 停止函数：同一定时器只留一份（见文件头 2026-11-07 说明） */
+const activeBackupTimers = new Map();
 /**
  * 启动自动备份：立即备一份，之后每 intervalMs 一份。
  * 返回停止函数（插件 dispose 时调用，别让定时器挂着）。
+ * 同一运行目录重复调用会先停掉上一份定时器，不会叠加；停止函数可安全重复调用。
  * 定时器 unref：不拖住宿主进程退出。
  */
 export function startAutoBackup(opts) {
-    const intervalMs = Math.max(60_000, Number(opts.intervalMs) || 3600_000);
+    const key = resolve(opts.runtimeDir);
+    const prev = activeBackupTimers.get(key);
+    if (prev) {
+        try {
+            prev();
+        }
+        catch { }
+    }
+    const intervalMs = Math.min(MAX_TIMER_MS, Math.max(60_000, Number(opts.intervalMs) || 3600_000));
     try {
         backupOnce(opts);
     }
@@ -124,8 +161,14 @@ export function startAutoBackup(opts) {
             timer.unref();
     }
     catch { }
-    return () => { try {
-        clearInterval(timer);
-    }
-    catch { } };
+    const stop = () => {
+        try {
+            clearInterval(timer);
+        }
+        catch { }
+        if (activeBackupTimers.get(key) === stop)
+            activeBackupTimers.delete(key);
+    };
+    activeBackupTimers.set(key, stop);
+    return stop;
 }

package/dist/host/config.js

@@ -11,13 +11,41 @@
  */
 import { readFileSync } from 'node:fs';
 import { join } from 'node:path';
+import { isMissingFileError, stripBom } from './atomic.js';
+/**
+ * 读本插件 config.json。
+ *
+ * 降级口径（2026-11-07 B74 加固）：
+ *   · 没有文件（ENOENT/ENOTDIR）是常态（Key 全走环境变量），静默按“未配置”处理；
+ *   · 坏 JSON / 数组 / 标量 / null 一律按“未配置”处理，且**只提示一次**（readApiKey 在每次聊天都会被调用，
+ *     不能让坏文件把日志刷满）；旧实现是全静默，用户只会看到“Key 没了、语音没反应”，
+ *     照坑 35 的教训，“没反应”比“报错”更糟；
+ *   · 配置对象必须是普通对象：数组/字符串没有对应字段，照原样返回只会让 cfg.deepseekKey 取到原型链上的怪值。
+ */
 function readConfigJson(pluginDir) {
+    const file = join(pluginDir, 'config.json');
+    let text;
     try {
-        return JSON.parse(String(readFileSync(join(pluginDir, 'config.json'), 'utf8')).replace(/^\uFEFF/, ''));
+        text = String(readFileSync(file, 'utf8'));
     }
-    catch {
+    catch (err) {
+        if (!isMissingFileError(err))
+            warnConfig('config.json 读取失败（' + file + '）：' + String((err && err.message) || err));
+        return null;
+    }
+    let parsed;
+    try {
+        parsed = JSON.parse(stripBom(text));
+    }
+    catch (err) {
+        warnConfig('config.json 不是合法 JSON（' + file + '），已按未配置处理：' + String((err && err.message) || err));
+        return null;
+    }
+    if (parsed == null || typeof parsed !== 'object' || Array.isArray(parsed)) {
+        warnConfig('config.json 应为对象（实际 ' + shortValue(parsed) + '），已按未配置处理');
         return null;
     }
+    return parsed;
 }
 function fromEnv(own, legacy) {
     try {
@@ -220,6 +248,13 @@ export function sanitizePluginConfig(raw) {
     }
     const out = {};
     for (const [key, value] of Object.entries(raw)) {
+        // 原型链保留字一律拒收（2026-11-07 B74）：`out[key] = value` 对 `__proto__` 会**改掉 out 的原型**，
+        // 于是 {"__proto__":{"dataSource":"cloud"}} 这种“未知键”会通过原型链让 config.dataSource 读到 cloud，
+        // 甚至让 config.enabled 读到 false —— 配置笔误/恶意键都能把插件静默改状态，与导入侧拒收 __proto__ 同一口径。
+        if (key === '__proto__' || key === 'constructor' || key === 'prototype') {
+            warnConfig('配置键 ' + key + ' 已忽略（原型链保留字，不允许写入配置对象）');
+            continue;
+        }
         if (key === 'enabled') {
             if (typeof value === 'boolean')
                 out.enabled = value;

package/dist/host/migrate.js

@@ -3,37 +3,99 @@
  *
  * 只在目标不存在时拷贝，绝不覆盖用户现有数据；失败静默（环境差异）。
  * 从 index.ts 抽出：架构宪章要求 index 只做组装。
+ *
+ * 2026-11-07（B74）加固，两处都是“半途失败留下坏状态”的坑：
+ *   · 先拷到同目录唯一临时名，再原子改名到位：copyFileSync 写到一半失败（磁盘满 / 进程被杀）
+ *     不会在目标位置留半截文件。旧实现直接写目标，半截文件还能被解析成坏 JSON；
+ *     更糟的是下次启动会因「目标已存在」把它永久当成“已迁移”，再也不会重试。
+ *   · 落地用 link 优先、rename 兜底：link 天然 EEXIST，两个实例（主实例与临时 3099 实例）
+ *     共用同一个运行目录时，不会把对方刚写出的新数据用插件包里的旧副本盖掉。
+ *     link 不可用（跨卷 / FAT / exFAT）时退回“先查存在再改名”，只保留极小的竞态窗口。
+ *   · 缓存目录整目录迁移同样走临时目录 + 改名。
  */
-import { existsSync, mkdirSync, copyFileSync, cpSync } from 'node:fs';
+import { existsSync, mkdirSync, copyFileSync, cpSync, linkSync, renameSync, rmSync } from 'node:fs';
 import { join } from 'node:path';
-export function migrateRuntimeData(dataDir, runtimeDir) {
-    const files = [
-        'memory.json', 'state.json', 'growth.json', 'fishfood.json', 'reminders.json',
-        'story_progress.json', 'culture-seen.json', 'poem-seen.json', 'pet_state.json',
-    ];
+/** 需要迁移的运行数据文件（都在插件包 data/ 根下） */
+const MIGRATED_FILES = [
+    'memory.json', 'state.json', 'growth.json', 'fishfood.json', 'reminders.json',
+    'story_progress.json', 'culture-seen.json', 'poem-seen.json', 'pet_state.json',
+];
+/** 临时名：与目标同目录（保证 rename 不跨卷），进程 + 随机串保证并发实例不撞名 */
+function tempNameFor(dst) {
+    return dst + '.migrating-' + process.pid + '-' + Math.random().toString(36).slice(2, 8);
+}
+function discard(path) {
     try {
-        mkdirSync(runtimeDir, { recursive: true });
+        rmSync(path, { recursive: true, force: true });
     }
     catch { }
-    for (const f of files) {
-        const src = join(dataDir, f);
-        const dst = join(runtimeDir, f);
+}
+/**
+ * 把临时副本原子落到目标位置；目标已存在时返回 false（绝不覆盖用户数据）。
+ * 成功/失败都不会留下临时名：link 成功后临时名只是第二个硬链接，删掉目录项即可。
+ */
+function placeIfAbsent(tmp, dst) {
+    try {
+        linkSync(tmp, dst);
+        discard(tmp);
+        return true;
+    }
+    catch (err) {
+        if (err && err.code === 'EEXIST') {
+            discard(tmp);
+            return false;
+        }
+    }
+    // 目录不支持 link，部分文件系统（FAT/exFAT/跨卷）也不支持：退回“先查存在再改名”
+    if (existsSync(dst)) {
+        discard(tmp);
+        return false;
+    }
+    renameSync(tmp, dst);
+    return true;
+}
+/** 单个文件迁移：源存在且目标不存在才动手；任何失败都只清临时文件，不抛给插件加载 */
+function migrateFile(src, dst, copyFile, label) {
+    try {
+        if (!existsSync(src) || existsSync(dst))
+            return;
+        const tmp = tempNameFor(dst);
         try {
-            if (existsSync(src) && !existsSync(dst)) {
-                copyFileSync(src, dst);
-                console.log('[chubby-whale] 迁移运行数据 ' + f + ' → ' + runtimeDir);
-            }
+            copyFile(src, tmp);
+            if (placeIfAbsent(tmp, dst))
+                console.log('[chubby-whale] 迁移运行数据 ' + label + ' → ' + dst);
+        }
+        catch {
+            discard(tmp);
         }
-        catch { }
     }
-    // 缓存目录整目录搬迁（只在目标不存在时）
+    catch { }
+}
+/** 缓存目录迁移：与文件同一套“临时 + 原子落地”，部分拷贝不会留在 cache/ 里 */
+function migrateDir(src, dst, copyDir, label) {
     try {
-        const src = join(dataDir, 'cache');
-        const dst = join(runtimeDir, 'cache');
-        if (existsSync(src) && !existsSync(dst)) {
-            cpSync(src, dst, { recursive: true });
-            console.log('[chubby-whale] 迁移缓存 → ' + dst);
+        if (!existsSync(src) || existsSync(dst))
+            return;
+        const tmp = tempNameFor(dst);
+        try {
+            copyDir(src, tmp);
+            if (placeIfAbsent(tmp, dst))
+                console.log('[chubby-whale] ' + label + ' → ' + dst);
+        }
+        catch {
+            discard(tmp);
         }
     }
     catch { }
 }
+export function migrateRuntimeData(dataDir, runtimeDir, io) {
+    const copyFile = (io && io.copyFile) || copyFileSync;
+    const copyDir = (io && io.copyDir) || ((src, dst) => cpSync(src, dst, { recursive: true }));
+    try {
+        mkdirSync(runtimeDir, { recursive: true });
+    }
+    catch { }
+    for (const f of MIGRATED_FILES)
+        migrateFile(join(dataDir, f), join(runtimeDir, f), copyFile, f);
+    migrateDir(join(dataDir, 'cache'), join(runtimeDir, 'cache'), copyDir, '迁移缓存');
+}

package/dist/host/prefs.js

@@ -7,20 +7,53 @@
  */
 import { readFileSync } from 'node:fs';
 import { join } from 'node:path';
-import { writeJsonAtomic } from './atomic.js';
+import { stripBom, writeJsonAtomic } from './atomic.js';
 import { sendJson } from './respond.js';
 import { isBodyTooLarge, readBody, sendTooLarge } from './http.js';
 /** /cache-toggle 请求体上限：只需一个 {"enabled":true}，16KB 足够，超限回 413 */
 const CACHE_TOGGLE_MAX_BODY = 16 * 1024;
 export function createPrefs(runtimeDir) {
     const PREFS_FILE = join(runtimeDir, 'prefs.json');
+    /** 坏文件只提示一次：chatCacheEnabled 每次聊天都会被调用，不能让坏文件把日志刷满 */
+    let warnedBadFile = false;
+    function warnBadFile(msg) {
+        if (warnedBadFile)
+            return;
+        warnedBadFile = true;
+        console.error('[prefs] ' + msg);
+    }
+    /**
+     * 读偏好。降级口径（2026-11-07 B74 加固）：
+     *   · 没有文件是常态（首次运行），静默返回 {}（chatCache 缺省 true）；
+     *   · 坏 JSON / 数组 / 标量一律返回 {}，并提示一次；
+     *     旧实现把数组原样返回，setChatCache 往数组上挂 chatCache 属性后 JSON.stringify 不保留它，
+     *     于是“关了缓存”永远写不进去、每次读回来还是 true——用户看到的开关像坏了一样。
+     */
     function load() {
+        let text;
         try {
-            return JSON.parse(String(readFileSync(PREFS_FILE, 'utf8')).replace(/^\uFEFF/, ''));
+            text = String(readFileSync(PREFS_FILE, 'utf8'));
         }
-        catch {
+        catch (err) {
+            const code = err && err.code;
+            if (code !== 'ENOENT' && code !== 'ENOTDIR') {
+                warnBadFile('READ-FAIL ' + String(PREFS_FILE) + ' err=' + String((err && err.message) || err));
+            }
+            return {};
+        }
+        let parsed;
+        try {
+            parsed = JSON.parse(stripBom(text));
+        }
+        catch (err) {
+            warnBadFile('READ-FAIL ' + String(PREFS_FILE) + ' 坏 JSON，已按默认值处理 err=' + String((err && err.message) || err));
+            return {};
+        }
+        if (parsed == null || typeof parsed !== 'object' || Array.isArray(parsed)) {
+            warnBadFile('READ-FAIL ' + String(PREFS_FILE) + ' 形状不是对象，已按默认值处理');
             return {};
         }
+        return parsed;
     }
     function save(p) {
         // 原子写：写坏一次就整份偏好丢失（与 store 同一套工具）

package/dist/index.js

@@ -318,15 +318,19 @@ export function apply(ctx, rawConfig) {
         // 导入记忆/人格后作废旧聊天缓存（服务端保证，不依赖客户端补刀）
         clearChatCache: () => chatCache.clear(),
     });
-    // 可视化汇总：全部读现有 store / cache / 人格，不新增持久化
-    // 运行数据自动定时备份（每小时一份、保留 7 份；失败静默；插件 dispose 时停）
+    // 运行数据自动定时备份（每小时一份、保留 7 份；失败静默；卸载时停）
+    //
+    // 这里**不能**用 ctx.on('dispose')：cordis 卸载只派发 internal/plugin，全仓没有 dispose 事件，
+    // 订阅了也永远不触发，旧定时器会一直写到进程退出（2026-11-07 分身取证：cordis/lib/index.js:969、1079）。
+    // 改用 ctx.effect 把「停备份」登记成当前 fiber 的清理器，卸载/热重载时由框架调用。
     try {
         const stopAutoBackup = startAutoBackup({ runtimeDir: RUNTIME_DIR });
-        if (ctx && typeof ctx.on === 'function')
-            ctx.on('dispose', () => { try {
+        if (ctx && typeof ctx.effect === 'function') {
+            ctx.effect(() => () => { try {
                 stopAutoBackup();
             }
-            catch { } });
+            catch { } }, 'chubby-whale: auto-backup');
+        }
     }
     catch { }
     // 只读配置视图：主人能在菜单里看到当前生效的设置（绝不回 Key 内容，也不写盘）

package/docs//350/267/250/345/271/263/345/217/260/344/270/216/345/210/206/345/267/245.md

@@ -116,3 +116,7 @@
 | B71 | 2026-11-07 | 主代理：唤醒词立即生效——`voice-bridge` 判定前同步 `loadCustomWakeWords()`（原地换数组、保留 30s 有效窗），诊断与提示同源；版本 1.1.56 | 双 tsc 0 / build 0 / 2307 项 0 失败 | 见 git |
 | B72 | 2026-11-07 | 客户端聊天分身：`reactTo` 移到流式之前（修「人设情绪在默认路径从不触发」）/ 流式回退前补纪元守卫 / P0 打断条件补 `storyBusy` / 占线阈值改用 `BUSY_STALE_MS`；新增 `test-chat-client.mjs`(96)；版本 1.1.56 | 双 tsc 0 / build 0(+85B) / 2403 项 0 失败 | 见 git |
 | B73 | 2026-11-07 | 主代理：`/stats` 四个自检字段接线（deps 支持 getter，TTS 形状显式映射，`cooling` 不臆造）/ `BackupDeps.clearChatCache`——导入记忆·人格后服务端清新聊天缓存（不再只靠客户端补刀）；`test.mjs` 补 2 条、`test-misc-routes` 补 4 条；版本 1.1.57 | 双 tsc 0 / build 0 / **2409 项 0 失败** / 119 模块 717 导出 | 见 git |
+| B74 | 2026-11-07 | 配置/备份/迁移分身：坏 config 单次告警 + 拒收 `__proto__`/`constructor`/`prototype` / prefs 形状归一 / migrate 临时名 + link·rename 原子落地 / auto-backup 定时器去重 + 原子快照 + 文件名单一时间源；新增 `test-prefs-config.mjs`(84)；版本 1.1.58 | 双 tsc 0 / build 0 / 2723 项 0 失败 | 见 git |
+| B75 | 2026-11-07 | 主代理：`ctx.on('dispose')` 永不触发（cordis 无该事件）→ 备份定时器卸载后不停；改用 `ctx.effect` 登记清理器；版本 1.1.58 | 双 tsc 0 / build 0 / 2723 项 0 失败 | 见 git |
+| B76 | 2026-11-07 | 媒体/提醒分身：`start()` 收尾完整 + `alive` 守卫 / 空正文提醒走兜底 / 顺延跨零点提示 / `image` 抛错也 revoke objectURL / 朗读失败不改判看图失败；新增 `test-media-reminders.mjs`(171)；版本 1.1.58 | 双 tsc 0 / build 0(+1165B) / 2723 项 0 失败 | 见 git |
+| B77 | 2026-11-07 | 语音桥/唤醒分身：打断词统一 `shared/noise` 五词（补别·不）/ `beforeunload` 单例 + dispose 摘 / `wakeInfo` 返回副本 / 自定义词不套旧谐音 / 单字只认整句 / 兜底 cancel 后统一 80ms / 看门狗判死即 cancel；新增 `test-voice-bridge.mjs`(59)；版本 1.1.58 | 双 tsc 0 / build 0(+2019B) / 2723 项 0 失败 | 见 git |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-chubby-whale",
-  "version": "1.1.57",
+  "version": "1.1.58",
   "description": "DSH 网页版桌面宠物「肥鲸」——蓝发鲸鱼娘，固定在 harness 页面右下角：会眨眼、能拖拽、点击可聊天，支持语音对话、念诗说书、饭点提醒。",
   "keywords": [
     "dsh",
@@ -74,7 +74,7 @@
   "scripts": {
     "build": "node scripts/gen-version.mjs && node scripts/check-bom.mjs && tsc -p tsconfig.json && tsc -p tsconfig.client.json && esbuild src/client.ts --bundle --format=iife --external:react --charset=utf8 --outfile=dist/client.js",
     "prepublishOnly": "npm run build",
-    "test": "tsc -p tsconfig.json && tsc -p tsconfig.client.json && node scripts/check-imports.mjs && node scripts/gen-module-index.mjs --check && node scripts/check-boundaries.mjs && node scripts/check-diag-keys.mjs && node scripts/check-text.mjs && node scripts/test.mjs && node scripts/test-chat-limits.mjs && node scripts/test-stream-ledger.mjs && node scripts/test-story-security.mjs && node scripts/test-behavior-regressions.mjs && node scripts/verify-voice.mjs && node scripts/smoke-client.mjs && node scripts/ape-bench.mjs && node scripts/smoke-host.mjs && node scripts/test-voice-queue.mjs && node scripts/test-tts-engine.mjs && node scripts/test-data-layer.mjs && node scripts/test-repos.mjs && node scripts/test-personality.mjs && node scripts/test-story-player.mjs && node scripts/test-chat-routes.mjs && node scripts/test-menu-actions.mjs && node scripts/test-story-client.mjs && node scripts/test-story-auto.mjs && node scripts/test-content-routes.mjs && node scripts/test-render-layer.mjs && node scripts/test-store-cache.mjs && node scripts/test-actions-rest.mjs && node scripts/test-misc-routes.mjs && node scripts/test-chat-client.mjs && node scripts/platform-check.mjs",
+    "test": "tsc -p tsconfig.json && tsc -p tsconfig.client.json && node scripts/check-imports.mjs && node scripts/gen-module-index.mjs --check && node scripts/check-boundaries.mjs && node scripts/check-diag-keys.mjs && node scripts/check-text.mjs && node scripts/test.mjs && node scripts/test-chat-limits.mjs && node scripts/test-stream-ledger.mjs && node scripts/test-story-security.mjs && node scripts/test-behavior-regressions.mjs && node scripts/verify-voice.mjs && node scripts/smoke-client.mjs && node scripts/ape-bench.mjs && node scripts/smoke-host.mjs && node scripts/test-voice-queue.mjs && node scripts/test-tts-engine.mjs && node scripts/test-data-layer.mjs && node scripts/test-repos.mjs && node scripts/test-personality.mjs && node scripts/test-story-player.mjs && node scripts/test-chat-routes.mjs && node scripts/test-menu-actions.mjs && node scripts/test-story-client.mjs && node scripts/test-story-auto.mjs && node scripts/test-content-routes.mjs && node scripts/test-render-layer.mjs && node scripts/test-store-cache.mjs && node scripts/test-actions-rest.mjs && node scripts/test-misc-routes.mjs && node scripts/test-chat-client.mjs && node scripts/test-prefs-config.mjs && node scripts/test-media-reminders.mjs && node scripts/test-voice-bridge.mjs && node scripts/platform-check.mjs",
     "version:check": "node tools/version-check.mjs",
     "typecheck": "node scripts/gen-version.mjs && tsc -p tsconfig.json --noEmit && tsc -p tsconfig.client.json --noEmit",
     "smoke:client": "node scripts/smoke-client.mjs",