dsh-commandcode-quota 0.2.1 → 0.2.3

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-commandcode-quota",
-  "version": "0.2.1",
+  "version": "0.2.3",
   "description": "Command Code balance and quota panel for DeepSeek Harness: a status row under the composer showing balance and the 5-hour, weekly and monthly windows.",
   "type": "module",
   "license": "MIT",
@@ -51,7 +51,7 @@
     "access": "public"
   },
   "peerDependencies": {
-    "@deepseek-ai/dsh-credentials": "*"
+    "@deepseek-ai/dsh-credentials": ">=0.1.0-0 <0.2.0-0 || >=0.2.0-0 <0.3.0-0 || >=0.3.0-0 <0.4.0-0"
   },
   "peerDependenciesMeta": {
     "@deepseek-ai/dsh-credentials": {

package/src/index.js

@@ -24,7 +24,6 @@
  *
  * ESM module format (cordis bundle rule): named exports apply/inject/name.
  */
-import { credentialRef } from "@deepseek-ai/dsh-credentials";
 import { mkdirSync, readFileSync, writeFileSync } from "node:fs";
 import { homedir } from "node:os";
 import { dirname, join } from "node:path";
@@ -72,7 +71,7 @@ async function ccFetch(baseURL, path, apiKey, timeoutMs) {
       headers: {
         authorization: `Bearer ${apiKey}`,
         accept: "application/json",
-        "user-agent": "dsh-commandcode-quota/0.2.1"
+        "user-agent": "dsh-commandcode-quota/0.2.3"
       },
       signal: controller.signal
     });
@@ -265,6 +264,27 @@ async function resolveAccountOptions(ctx, account) {
 /** 合法凭据条目名：POSIX shell 标识符，与 dsh-credentials 的 REF_PATTERN 一致。 */
 const REF_PATTERN = /^[A-Za-z_][A-Za-z0-9_]*$/;
 
+/**
+ * 把环境变量名校验成凭据引用（等价于 @deepseek-ai/dsh-credentials 的 credentialRef）。
+ *
+ * 为什么本地实现而不 import 那个包：那是【运行时导入】，而插件的真实路径未必在
+ * profile 的 node_modules 里面（本地 junction 安装就是这种情况）。此时
+ * "@deepseek-ai/dsh-credentials" 只能靠 profiles/node_modules 下的链接解析，
+ * 而 DSH 升级会清空那里的 @deepseek-ai —— 导入立刻抛 ERR_MODULE_NOT_FOUND，
+ * 整个宿主端（连带界面面板）都不会上线；市场里的普通用户同样会踩到。
+ * 校验规则只有一行正则，本地实现即可让插件零 harness 运行时依赖。
+ *
+ * @param {unknown} value 候选引用，如 BAILIAN_API_KEY。
+ * @returns {string} 通过校验的引用本身。
+ * @throws {TypeError} 名字不符合 shell 标识符语法时。
+ */
+function credentialRef(value) {
+  if (typeof value !== "string" || !REF_PATTERN.test(value)) {
+    throw new TypeError(`credential ref "${String(value)}" must match ${String(REF_PATTERN)}`);
+  }
+  return value;
+}
+
 function dshHome() {
   const fromEnv = process.env.DSH_HOME;
   return typeof fromEnv === "string" && fromEnv.length > 0 ? fromEnv : join(homedir(), ".dsh");

package/test/host.test.cjs

@@ -38,7 +38,6 @@ function load() {
     join, dirname,
     homedir: () => fakeHome,
     process: { env: { DSH_HOME: fakeHome } },
-    credentialRef: (ref) => ref,
     fetch: async (url, options) => { requests.push({ url, options }); return reply(url, options); },
   });
   vm.runInContext(source.replace(/^import .*;\r?$/gm, "").replace(/^export .*;\r?$/gm, "") +
@@ -252,6 +251,20 @@ async function main() {
   // 发版时最容易漏的一处：user-agent 里的版本号要与 package.json 同步。
   const uaVersion = source.match(/"user-agent":\s*"[^"]*\/([^"]+)"/)?.[1];
   assert.equal(uaVersion, manifest.version, "user-agent 版本必须与 package.json 的 version 一致");
+  // 官方包的 peer 范围必须带显式预发布分支。node-semver 只让「相同 major.minor.patch
+  // 元组、且自身带预发布标签」的比较符放行预发布版本，所以 '*' 和 '>=0.0.0-0' 都匹配
+  // 不到任何 0.x.0-rc.y —— 而那正是 harness 官方包的版本形态。
+  const peerRange = manifest.peerDependencies["@deepseek-ai/dsh-credentials"];
+  assert.ok(
+    typeof peerRange === "string" && /-0/.test(peerRange),
+    `官方包 peer 范围必须含显式预发布分支（当前: ${peerRange}）`,
+  );
+  // 宿主端不得再有 @deepseek-ai 的【运行时导入】：插件真实路径可能在 profile 之外，
+  // 该包只能靠 profiles/node_modules 下的链接解析，而 DSH 升级会清掉那些链接，
+  // 导入即抛 ERR_MODULE_NOT_FOUND，整个插件（含界面）都不上线（2026-10-17 真挂过一次）。
+  // peer 声明只用于兼容性判定（读 package.json），不参与运行时解析，因此保留。
+  const runtimeHarnessImports = source.match(/^import[^\n]*from\s+"@deepseek-ai\/[^"]+";?$/gm) ?? [];
+  assert.deepEqual(runtimeHarnessImports, [], "宿主端不得 import harness 包（会在 profile 之外解析失败）");
   console.log("通过：单账号响应、主/回退凭据、完整/快速查询、缓存、401、405、重试和超时。");
   console.log("通过：凭据端点只回条目名、翻译供应商名、保存后覆盖 patch 配置、非法名被拒、无 key 时依然可用。");
   console.log("通过：宿主端导出、路由、包名与 bundle 补丁层一致。");