dsh-config-manager 0.1.72 → 0.1.76

package/lib/core/analyzer.d.ts

@@ -171,11 +171,20 @@ export declare class Analyzer {
      * 未采用其导入内容的 Conflict 都不写目标，记录只会保守化 reconcile 而无收益。
      */
     private shouldJournalStep;
-    /** 文件类且可指纹 → 返回 home-relative 目标路径（posix）；否则 null（不可指纹外部项）。
+    /** 文件类且可指纹 → 返回「根相对路径」（journal 的 ref 身份）；否则 null（不可指纹外部项）。
      *  profile 必须传入：plugins 分区的 pnpm-workspace.yaml / patch 文件位于
      *  `profiles/<profile>/` 下，缺了它算出的相对路径不存在 → 指纹恒 null（issue #35）。 */
     private static fileRelFor;
-    /** 读目标文件算 sha256（home-relative；经 HostContext.fs 使测试 mock 可注入）。失败返回 null。 */
+    /**
+     * 文件类且可指纹 → 返回「该分区自己的门面 + 绝对路径」。
+     *
+     * 为什么不能只拿 home-relative 路径去读：`pluginData` / `pluginAssets` 的根是**系统 home**
+     * （见 `core/backup.ts` 的 `fsForSection`），用 `ctx.fs` 读会落到 $DSH_HOME 下的错误位置
+     * 或被越界守卫拦下 —— 指纹会静默变成「读不到」，reconcile 因此永远判不出是否已应用。
+     * 宿主未提供该门面 / 路径不可解析 → null（保守：不可证明）。
+     */
+    private static fileTargetFor;
+    /** 读目标文件算 sha256（经该分区自己的门面，测试 mock 可注入）。失败返回 null。 */
     private fileFp;
     private applyOne;
 }

package/lib/core/analyzer.js

@@ -19,7 +19,7 @@ import { isAbsolutePath, applyPrefixMappings } from '../utils/paths.js';
 import { parseZip } from '../utils/zip.js';
 import { loadTombstones, isTombstoned } from '../schema/tombstones.js';
 import { DEFAULT_SENSITIVE_RELS, restoreVaultFiles } from '../security/vault.js';
-import { createSnapshot, planItemWritesTarget, resolveFileTarget, resolveFileTargetRel } from './backup.js';
+import { createSnapshot, fsForSection, planItemWritesTarget, resolveFileTarget, resolveFileTargetRel } from './backup.js';
 import { isCredentialConfigured } from './credential-status.js';
 import { rollback } from './rollback.js';
 import { compatibilityReasons, computeCompatibility } from './validator.js';
@@ -790,7 +790,7 @@ export class Analyzer {
                 let beforeFp = null;
                 if (Analyzer.fileRelFor(item, importCtx.target.profile) !== null) {
                     rel = Analyzer.fileRelFor(item, importCtx.target.profile);
-                    beforeFp = await this.fileFp(importCtx, rel);
+                    beforeFp = await this.fileFp(importCtx, item);
                 }
                 beforeFpByItem.set(item.id, beforeFp);
                 await sb.recordStep({
@@ -896,7 +896,7 @@ export class Analyzer {
                     const rel = Analyzer.fileRelFor(item, importCtx.target.profile);
                     let afterFp = null;
                     if (rel !== null && outcome.executed.status === 'ok') {
-                        afterFp = await this.fileFp(importCtx, rel);
+                        afterFp = await this.fileFp(importCtx, item);
                     }
                     await sb.recordStep({
                         id: item.id,
@@ -1227,7 +1227,7 @@ export class Analyzer {
     shouldJournalStep(item) {
         return planItemWritesTarget(item);
     }
-    /** 文件类且可指纹 → 返回 home-relative 目标路径（posix）；否则 null（不可指纹外部项）。
+    /** 文件类且可指纹 → 返回「根相对路径」（journal 的 ref 身份）；否则 null（不可指纹外部项）。
      *  profile 必须传入：plugins 分区的 pnpm-workspace.yaml / patch 文件位于
      *  `profiles/<profile>/` 下，缺了它算出的相对路径不存在 → 指纹恒 null（issue #35）。 */
     static fileRelFor(item, profile) {
@@ -1238,11 +1238,34 @@ export class Analyzer {
             return null;
         return resolveFileTargetRel(item.adapter, ref, profile);
     }
-    /** 读目标文件算 sha256（home-relative；经 HostContext.fs 使测试 mock 可注入）。失败返回 null。 */
-    async fileFp(ctx, rel) {
+    /**
+     * 文件类且可指纹 → 返回「该分区自己的门面 + 绝对路径」。
+     *
+     * 为什么不能只拿 home-relative 路径去读：`pluginData` / `pluginAssets` 的根是**系统 home**
+     * （见 `core/backup.ts` 的 `fsForSection`），用 `ctx.fs` 读会落到 $DSH_HOME 下的错误位置
+     * 或被越界守卫拦下 —— 指纹会静默变成「读不到」，reconcile 因此永远判不出是否已应用。
+     * 宿主未提供该门面 / 路径不可解析 → null（保守：不可证明）。
+     */
+    static fileTargetFor(ctx, item) {
+        if (!isFileSection(item.adapter))
+            return null;
+        const ref = item.target?.ref;
+        if (ref === undefined || ref === '')
+            return null;
+        try {
+            return { fs: fsForSection(ctx.target, item.adapter), abs: resolveFileTarget(ctx.target, item.adapter, ref) };
+        }
+        catch {
+            return null;
+        }
+    }
+    /** 读目标文件算 sha256（经该分区自己的门面，测试 mock 可注入）。失败返回 null。 */
+    async fileFp(ctx, item) {
+        const target = Analyzer.fileTargetFor(ctx, item);
+        if (target === null)
+            return null;
         try {
-            const data = await ctx.target.fs.readFile(rel);
-            return sha256Hex(data);
+            return sha256Hex(await target.fs.readFile(target.abs));
         }
         catch {
             return null;

package/lib/core/backup-plan.d.ts

@@ -11,6 +11,16 @@ export declare const DEFAULT_BACKUP_SECTIONS: readonly SectionId[];
 export declare const OPT_IN_BACKUP_SECTIONS: readonly SectionId[];
 /** 全部可离线收集的分区（默认 ∪ 显式选中） */
 export declare const OFFLINE_BACKUP_SECTIONS: readonly SectionId[];
+/**
+ * 离线 CLI **明确不收集**的分区（第三方插件数据）。
+ *
+ * 为什么不做：它的收集目标不是静态路径，而是「本机内置来源注册表 + 已安装插件自述声明」推导出来的
+ * 区域（见 `core/plugin-data-registry.ts`），还要尊重环境变量覆盖判定 —— 这套判定住在 adapter 里
+ * （走 HostContext 门面），而 CLI 的硬约束是**绝不 import DSH 门面**（peer 缺失也要能跑）。
+ * 在这里手抄一份区域表会立刻与注册表漂移（正是本文件开头反复说的那类缺陷），所以选择**显式不适用**：
+ * 用户显式 `--sections pluginData` 时给一条可执行的提示（改用 GUI 导出/导入），而不是静默不收。
+ */
+export declare const OFFLINE_EXCLUDED_SECTIONS: readonly SectionId[];
 /**
  * 离线**无法**收集的分区（需要 DSH Service 门面读值/权威脱敏）。仅用于报告与参数校验，
  * 绝不写进归档：这些分区的权威形态是 GUI 导出（经 DSH `describe({redactSecrets:true})`

package/lib/core/backup-plan.js

@@ -63,6 +63,16 @@ export const OPT_IN_BACKUP_SECTIONS = ['pluginFiles'];
 export const OFFLINE_BACKUP_SECTIONS = [
     ...DEFAULT_BACKUP_SECTIONS, ...OPT_IN_BACKUP_SECTIONS,
 ];
+/**
+ * 离线 CLI **明确不收集**的分区（第三方插件数据）。
+ *
+ * 为什么不做：它的收集目标不是静态路径，而是「本机内置来源注册表 + 已安装插件自述声明」推导出来的
+ * 区域（见 `core/plugin-data-registry.ts`），还要尊重环境变量覆盖判定 —— 这套判定住在 adapter 里
+ * （走 HostContext 门面），而 CLI 的硬约束是**绝不 import DSH 门面**（peer 缺失也要能跑）。
+ * 在这里手抄一份区域表会立刻与注册表漂移（正是本文件开头反复说的那类缺陷），所以选择**显式不适用**：
+ * 用户显式 `--sections pluginData` 时给一条可执行的提示（改用 GUI 导出/导入），而不是静默不收。
+ */
+export const OFFLINE_EXCLUDED_SECTIONS = ['pluginData', 'pluginAssets'];
 /**
  * 离线**无法**收集的分区（需要 DSH Service 门面读值/权威脱敏）。仅用于报告与参数校验，
  * 绝不写进归档：这些分区的权威形态是 GUI 导出（经 DSH `describe({redactSecrets:true})`
@@ -74,7 +84,10 @@ export const OFFLINE_UNAVAILABLE_SECTIONS = [
 // 加载期自检（注册表派生，t30）：三个离线清单里的 id 必须都是**已注册分区**。
 // 「离线可收集性」是注册表未建模的另一条轴（要脱离 DSH 读盘收集），故这三份清单仍是显式声明；
 // 但拼错 id / 分区改名过去会让该分区「静默永不收集、永不报告」，现在模块加载即失败。
-for (const id of [...DEFAULT_BACKUP_SECTIONS, ...OPT_IN_BACKUP_SECTIONS, ...OFFLINE_UNAVAILABLE_SECTIONS]) {
+for (const id of [
+    ...DEFAULT_BACKUP_SECTIONS, ...OPT_IN_BACKUP_SECTIONS, ...OFFLINE_UNAVAILABLE_SECTIONS,
+    ...OFFLINE_EXCLUDED_SECTIONS,
+]) {
     requireSectionMeta(id);
 }
 /**
@@ -112,7 +125,7 @@ const SECTION_SPECS = {
         baseDir: '',
         files: ['dsh-ssh.json', 'pet.json'],
         dirs: ['plugin-config'],
-        label: 'Plugin Files',
+        label: "Other Plugins' Loose Files",
         get risk() { return engineMsg('core.backupPlan.pluginFilesRisk'); },
     },
     // adapters/self.ts（baseDir='dsh-config-manager'，SELF_CONFIG_FILES 白名单）
@@ -127,7 +140,7 @@ const SECTION_SPECS = {
             'dsh-config-manager/market/market-config.json',
             'dsh-config-manager/exports/.backup-notes.json',
         ],
-        label: 'Plugin Self Config',
+        label: "This Plugin's Own Config",
     },
 };
 /**
@@ -188,6 +201,11 @@ export function parseSectionsArg(raw) {
     if (parts.length === 0) {
         return { ok: false, error: engineMsg('core.backupPlan.sectionsMissingValue') };
     }
+    // 显式请求「不支持离线」的分区 → 单独一条可执行提示（不得当成「不存在的分区」）
+    const notOffline = parts.filter((p) => OFFLINE_EXCLUDED_SECTIONS.includes(p));
+    if (notOffline.length > 0) {
+        return { ok: false, error: engineMsg('core.backupPlan.sectionNotOffline', { section: notOffline.join(', ') }) };
+    }
     const unknown = parts.filter((p) => !OFFLINE_BACKUP_SECTIONS.includes(p));
     if (unknown.length > 0) {
         return {

package/lib/core/backup.d.ts

@@ -1,5 +1,5 @@
 import type { SectionId } from '../schema/types.ts';
-import type { ConfigAdapter, HostContext, ImportPlan, PlanItem, Snapshot, SnapshotStatus, SnapshotStore } from './types.ts';
+import type { ConfigAdapter, FileSystemFacade, HostContext, ImportPlan, PlanItem, Snapshot, SnapshotStatus, SnapshotStore } from './types.ts';
 /**
  * 「会写目标」的**单点事实源**：该计划项是否会被引擎交给 `adapter.applyItem`
  * （即可能产生目标写入）。
@@ -38,6 +38,25 @@ export declare function planItemWritesTarget(item: PlanItem, exec?: PlanItemExec
  * 行 id 是任意字符串，无法靠形状判断它是不是一个路径。
  */
 export declare const PLUGIN_PATCH_REF_PREFIX = "patchFile:";
+/**
+ * 以**系统 home 为根**的文件类分区（ref 是系统 home 相对路径）。
+ *
+ * 为什么单独一组：`FileSystemFacade` 被限制在 $DSH_HOME 内，而第三方插件的数据常在 $DSH_HOME 之外
+ * （`~/.dsh-wallpaper-engine/`、`~/.mnemon/` …）。这两个分区的路径解析与 I/O 门面都换根，
+ * 其余分区一字不动 —— 单根不变量只在**这两个分区**上被显式放宽，且仍然只允许白名单区域。
+ */
+export declare const OS_HOME_FILE_SECTIONS: ReadonlySet<SectionId>;
+/** 该分区文件目标的根（`dsh` = $DSH_HOME；`osHome` = 系统 home） */
+export declare function sectionFileRoot(adapter: SectionId): 'dsh' | 'osHome';
+/** 系统 home：宿主显式给就用它，否则进程 `homedir()`（`~` 的定义，不是猜） */
+export declare function osHomeDirOf(ctx: HostContext): string;
+/**
+ * 该分区文件 I/O 应使用的门面。
+ *
+ * `osHome` 分区必须用 `homeFs`：缺了它**显式抛错**，绝不退回 `ctx.fs` —— 那会把
+ * `~/.mnemon/x.db` 写成 `$DSH_HOME/.mnemon/x.db`（看起来成功、实际写错位置）。
+ */
+export declare function fsForSection(ctx: HostContext, adapter: SectionId): FileSystemFacade;
 /** 解析文件类目标的绝对路径（引擎通用快照与回滚共用） */
 export declare function resolveFileTarget(ctx: HostContext, adapter: SectionId, ref: string): string;
 /**

package/lib/core/backup.js

@@ -7,6 +7,7 @@
  */
 import { engineMsg } from './messages-core.js';
 import fs from 'node:fs/promises';
+import { homedir } from 'node:os';
 import path from 'node:path';
 import crypto from 'node:crypto';
 import { parseJsonSafe } from '../utils/json.js';
@@ -96,6 +97,10 @@ const FILE_BASES = {
     agentPresets: '.agent-presets',
     agentInstructions: '', // homeDir 根（~/.dsh/AGENTS.md）
     pluginFiles: '',
+    // 第三方插件数据：baseDir '' = home 根，ref 是**完整的 home 相对路径**
+    // （.dsh-wallpaper-engine/config.json / .mnemon/data/x.db）
+    pluginData: '',
+    pluginAssets: '',
     sessions: 'sessions',
     self: 'dsh-config-manager',
 };
@@ -118,8 +123,41 @@ function profileDirOf(ctx) {
     const profile = ctx.profile !== undefined && ctx.profile !== '' ? ctx.profile : 'web';
     return path.join(ctx.homeDir, 'profiles', profile);
 }
+/**
+ * 以**系统 home 为根**的文件类分区（ref 是系统 home 相对路径）。
+ *
+ * 为什么单独一组：`FileSystemFacade` 被限制在 $DSH_HOME 内，而第三方插件的数据常在 $DSH_HOME 之外
+ * （`~/.dsh-wallpaper-engine/`、`~/.mnemon/` …）。这两个分区的路径解析与 I/O 门面都换根，
+ * 其余分区一字不动 —— 单根不变量只在**这两个分区**上被显式放宽，且仍然只允许白名单区域。
+ */
+export const OS_HOME_FILE_SECTIONS = new Set(['pluginData', 'pluginAssets']);
+/** 该分区文件目标的根（`dsh` = $DSH_HOME；`osHome` = 系统 home） */
+export function sectionFileRoot(adapter) {
+    return OS_HOME_FILE_SECTIONS.has(adapter) ? 'osHome' : 'dsh';
+}
+/** 系统 home：宿主显式给就用它，否则进程 `homedir()`（`~` 的定义，不是猜） */
+export function osHomeDirOf(ctx) {
+    return ctx.osHomeDir !== undefined && ctx.osHomeDir !== '' ? ctx.osHomeDir : homedir();
+}
+/**
+ * 该分区文件 I/O 应使用的门面。
+ *
+ * `osHome` 分区必须用 `homeFs`：缺了它**显式抛错**，绝不退回 `ctx.fs` —— 那会把
+ * `~/.mnemon/x.db` 写成 `$DSH_HOME/.mnemon/x.db`（看起来成功、实际写错位置）。
+ */
+export function fsForSection(ctx, adapter) {
+    if (sectionFileRoot(adapter) === 'dsh')
+        return ctx.fs;
+    if (ctx.homeFs === undefined)
+        throw new Error(engineMsg('core.backup.osHomeUnavailable', { section: adapter }));
+    return ctx.homeFs;
+}
 /** 解析文件类目标的绝对路径（引擎通用快照与回滚共用） */
 export function resolveFileTarget(ctx, adapter, ref) {
+    // 系统 home 根的分区：整体换根（plugins 的两个 profile 特例与它们互不相干）
+    if (sectionFileRoot(adapter) === 'osHome') {
+        return path.join(osHomeDirOf(ctx), FILE_BASES[adapter] ?? '', ref);
+    }
     // plugins 分区的 pnpm-workspace.yaml：位于 profiles/<profile>/ 下（非 FILE_BASES 静态基准）
     if (adapter === 'plugins' && ref === 'pnpm-workspace.yaml') {
         return path.join(profileDirOf(ctx), 'pnpm-workspace.yaml');
@@ -143,6 +181,9 @@ export function resolveFileTarget(ctx, adapter, ref) {
  * 指纹恒为 null，crash 后 reconcile 无法证明该项是否已应用（保守但可避免的精度损失）。
  */
 export function resolveFileTargetRel(adapter, ref, profile) {
+    // 系统 home 根的分区：ref 本身就是「根相对路径」，原样归一即可
+    if (sectionFileRoot(adapter) === 'osHome')
+        return normalizePath(ref);
     if (adapter === 'plugins') {
         const profileDir = `profiles/${profile !== undefined && profile !== '' ? profile : 'web'}`;
         if (ref === 'pnpm-workspace.yaml')
@@ -243,13 +284,17 @@ async function engineSnapshotEntry(ctx, target) {
         case 'agentPresets':
         case 'agentInstructions':
         case 'pluginFiles':
+        case 'pluginData':
+        case 'pluginAssets':
         case 'sessions':
         case 'self': {
+            // 门面按分区选：pluginData / pluginAssets 在系统 home 根（见 fsForSection 的说明）
+            const fsFacade = fsForSection(ctx, target.adapter);
             const abs = resolveFileTarget(ctx, target.adapter, target.ref);
-            if (!(await ctx.fs.exists(abs))) {
+            if (!(await fsFacade.exists(abs))) {
                 return { kind: 'file', adapter: target.adapter, ref: target.ref, before: null, existed: false };
             }
-            const data = await ctx.fs.readFile(abs);
+            const data = await fsFacade.readFile(abs);
             // 文件字节不放进 SnapshotEntry（契约纯净），由 createSnapshot 收集进 blobs Map 统一落盘
             return {
                 kind: 'file',
@@ -335,7 +380,7 @@ export async function createSnapshot(opts) {
             if (entry.kind === 'file' && entry.copiedTo && entry.existed) {
                 const abs = resolveFileTarget(ctx, adapterId, target.ref);
                 // 与改动前**完全相同的读调用**，只是延后到被消费时执行（路径语义与异常传播不变）
-                lazyBlobSources.push({ blobPath: entry.copiedTo, read: () => ctx.fs.readFile(abs) });
+                lazyBlobSources.push({ blobPath: entry.copiedTo, read: () => fsForSection(ctx, adapterId).readFile(abs) });
             }
             entries.push(entry);
         }

package/lib/core/command-rollback.d.ts

@@ -10,8 +10,12 @@
  *   **绝不绕过**（命令入口没有「确认按钮」，用户敲下 id 就是那次确认；其余门照旧全量生效）。
  *
  * 纪律（与 src/core/model-tools.ts 的 registerModelTools 同口径）：
- *  · 命令服务**惰取**：一律 ctx.get('commands') 调用期读取，绝不属性访问 ctx.commands、
- *    绝不放进 inject —— 未组合该服务的部署必须照常启动（命令是可选能力，不是硬依赖）；
+ *  · 命令服务**惰取**：一律 ctx.get('commands')，绝不属性访问 ctx.commands、绝不放进 inject ——
+ *    未组合该服务的部署必须照常启动（命令是可选能力，不是硬依赖）；
+ *    **读的时机是装配期一次**（见 registerRollbackCommand）：Cordis 的 ctx.get 在 apply 期只能拿到
+ *    **已 apply** 的服务，所以 `commands` 行晚于本插件时 `/rollback` 不会注册（只 warn 一行、无重试入口）。
+ *    DSH 内置插件与本插件的实际 apply 顺序**未坐实**（asar 不可直接读、本机 profile 无相关行）；
+ *    要彻底消除这个窗口需要 `ctx.inject(['commands'])` 式的「服务就绪再注册」回调 —— 未做，如实记在这里。
  *  · 注册失败只 warn：命令挂不上不得影响其它装配（宿主启动 = blocker）；
  *  · 用户可见文案一律走宿主字典 engineMsg（key: command.rollback.*），**取文案那一刻**解析语言；
  *  · 本模块不 import @deepseek-ai/dsh-commands 的运行时值（只做结构化窄化），core 保持与 DSH 解耦。

package/lib/core/command-rollback.js

@@ -10,8 +10,12 @@
  *   **绝不绕过**（命令入口没有「确认按钮」，用户敲下 id 就是那次确认；其余门照旧全量生效）。
  *
  * 纪律（与 src/core/model-tools.ts 的 registerModelTools 同口径）：
- *  · 命令服务**惰取**：一律 ctx.get('commands') 调用期读取，绝不属性访问 ctx.commands、
- *    绝不放进 inject —— 未组合该服务的部署必须照常启动（命令是可选能力，不是硬依赖）；
+ *  · 命令服务**惰取**：一律 ctx.get('commands')，绝不属性访问 ctx.commands、绝不放进 inject ——
+ *    未组合该服务的部署必须照常启动（命令是可选能力，不是硬依赖）；
+ *    **读的时机是装配期一次**（见 registerRollbackCommand）：Cordis 的 ctx.get 在 apply 期只能拿到
+ *    **已 apply** 的服务，所以 `commands` 行晚于本插件时 `/rollback` 不会注册（只 warn 一行、无重试入口）。
+ *    DSH 内置插件与本插件的实际 apply 顺序**未坐实**（asar 不可直接读、本机 profile 无相关行）；
+ *    要彻底消除这个窗口需要 `ctx.inject(['commands'])` 式的「服务就绪再注册」回调 —— 未做，如实记在这里。
  *  · 注册失败只 warn：命令挂不上不得影响其它装配（宿主启动 = blocker）；
  *  · 用户可见文案一律走宿主字典 engineMsg（key: command.rollback.*），**取文案那一刻**解析语言；
  *  · 本模块不 import @deepseek-ai/dsh-commands 的运行时值（只做结构化窄化），core 保持与 DSH 解耦。

package/lib/core/messages-core.d.ts

@@ -200,7 +200,9 @@ export declare const zh: {
     'core.backupPlan.depDirSkipped': string;
     'core.backupPlan.followedLinks': string;
     'core.backupPlan.sectionsMissingValue': string;
+    'core.backup.osHomeUnavailable': string;
     'core.backupPlan.unknownSections': string;
+    'core.backupPlan.sectionNotOffline': string;
     'core.backupPlan.unsafeEntryName': string;
     'core.backupPlan.statFailed': string;
     'core.backupPlan.readFailed': string;

package/lib/core/messages-core.js

@@ -220,7 +220,9 @@ export const zh = {
     'core.backupPlan.depDirSkipped': '运行时依赖目录未进备份（可重建，目标机需重新安装依赖）/ runtime dependency directory NOT in this backup (rebuildable; reinstall on the target): {path}（{files}）',
     'core.backupPlan.followedLinks': '已跟随 {count} 个链接目录收集内容 / followed {count} linked director(ies)',
     'core.backupPlan.sectionsMissingValue': '`--sections` 缺值 / missing value for `--sections`',
+    'core.backup.osHomeUnavailable': '分区 {section} 的数据在系统主目录下，但宿主未提供该目录的文件门面（旧版本宿主）；本次不读也不写 / section {section} stores data under the system home directory but the host provides no file facade for it (older host); nothing is read or written this time',
     'core.backupPlan.unknownSections': '未知分区 / unknown section(s): {unknown}（可用 / available: {available}）',
+    'core.backupPlan.sectionNotOffline': '分区 {section} 不支持离线 CLI 备份（它的收集依赖插件来源注册表与本机插件清单），请用 GUI 的导出/导入迁移它 / section {section} is not supported by the offline CLI backup (its collection depends on the plugin-data source registry and the local plugin manifests); use the GUI export/import instead',
     'core.backupPlan.unsafeEntryName': '跳过不安全条目名 / unsafe entry name skipped: {name}',
     'core.backupPlan.statFailed': '探测失败 / stat failed: {path}（{reason}）',
     'core.backupPlan.readFailed': '读取失败 / read failed: {path}（{reason}）',
@@ -512,7 +514,9 @@ export const en = {
     'core.backupPlan.depDirSkipped': 'runtime dependency directory NOT in this backup (rebuildable; reinstall dependencies on the target): {path} ({files})',
     'core.backupPlan.followedLinks': 'followed {count} linked director(ies) to collect content',
     'core.backupPlan.sectionsMissingValue': 'missing value for `--sections`',
+    'core.backup.osHomeUnavailable': 'section {section} stores data under the system home directory but the host provides no file facade for it (older host); nothing is read or written this time',
     'core.backupPlan.unknownSections': 'unknown section(s): {unknown} (available: {available})',
+    'core.backupPlan.sectionNotOffline': 'section {section} is not supported by the offline CLI backup (its collection depends on the plugin-data source registry and the local plugin manifests); use the GUI export/import instead',
     'core.backupPlan.unsafeEntryName': 'unsafe entry name skipped: {name}',
     'core.backupPlan.statFailed': 'stat failed: {path} ({reason})',
     'core.backupPlan.readFailed': 'read failed: {path} ({reason})',

package/lib/core/messages.d.ts

@@ -333,6 +333,7 @@ export declare const zh: {
     readonly 'sync.credentialsReadFailed': '读取凭据文件失败，本次快照不含任何凭据值: {reason}';
     readonly 'sync.credentialsEmpty': '本机凭据文件为空或无法解析，本次快照不含任何凭据值';
     readonly 'sync.credentialsItemDesc': '凭据 {ref} 随加密快照迁移（确认后写入本机凭据存储）';
+    readonly 'sync.credentialsItemSame': '凭据 {ref} 与本机一致，跳过写入（保留本机值）';
     readonly 'sync.credentialsNeedPassword': '快照 {id} 含加密凭据载荷，需要解密密码才能读取';
     readonly 'sync.encryptedNeedsPassword': '快照 {id} 已加密，需要解密密码才能读取（自动同步无法解密，请手动同步）';
     readonly 'sync.noPortableSections': '没有可同步的 portable 分区（全部导出失败）';
@@ -430,7 +431,7 @@ export declare const zh: {
     readonly 'command.rollback.restorableYes': '可回退';
     readonly 'command.rollback.restorableNo': '不可回退';
     readonly 'command.rollback.restorableSummary': '{parts} ⇒ {verdict}';
-    readonly 'command.rollback.rewindRestored': '已回退到 {id}。{detail}';
+    readonly 'command.rollback.rewindRestored': '已回退到 {id}。{detail}当前对话不会切换：回退出的新会话在左侧栏（未分组时排在列表末尾），打开它继续聊。';
     readonly 'command.rollback.rewindPartial': '回退只完成了一部分（会话段已 fork，工作区段见下）——{id}：{segments}。{detail}';
     readonly 'command.rollback.segmentFacts': '段：{facts}';
     readonly 'command.rollback.rewindFailed': '回退失败（{code}）：{id}。{detail}';

package/lib/core/messages.js

@@ -327,6 +327,7 @@ export const zh = {
     'sync.credentialsReadFailed': '读取凭据文件失败，本次快照不含任何凭据值: {reason}',
     'sync.credentialsEmpty': '本机凭据文件为空或无法解析，本次快照不含任何凭据值',
     'sync.credentialsItemDesc': '凭据 {ref} 随加密快照迁移（确认后写入本机凭据存储）',
+    'sync.credentialsItemSame': '凭据 {ref} 与本机一致，跳过写入（保留本机值）',
     'sync.credentialsNeedPassword': '快照 {id} 含加密凭据载荷，需要解密密码才能读取',
     'sync.encryptedNeedsPassword': '快照 {id} 已加密，需要解密密码才能读取（自动同步无法解密，请手动同步）',
     'sync.noPortableSections': '没有可同步的 portable 分区（全部导出失败）',
@@ -429,7 +430,7 @@ export const zh = {
     'command.rollback.restorableYes': '可回退',
     'command.rollback.restorableNo': '不可回退',
     'command.rollback.restorableSummary': '{parts} ⇒ {verdict}',
-    'command.rollback.rewindRestored': '已回退到 {id}。{detail}',
+    'command.rollback.rewindRestored': '已回退到 {id}。{detail}当前对话不会切换：回退出的新会话在左侧栏（未分组时排在列表末尾），打开它继续聊。',
     'command.rollback.rewindPartial': '回退只完成了一部分（会话段已 fork，工作区段见下）——{id}：{segments}。{detail}',
     'command.rollback.segmentFacts': '段：{facts}',
     'command.rollback.rewindFailed': '回退失败（{code}）：{id}。{detail}',
@@ -763,6 +764,7 @@ export const en = {
     'sync.credentialsReadFailed': 'Failed to read the credentials file; this snapshot carries no credential value: {reason}',
     'sync.credentialsEmpty': 'The local credentials file is empty or unparseable; this snapshot carries no credential value',
     'sync.credentialsItemDesc': 'Credential {ref} travels with the encrypted snapshot (written to the local credential store once confirmed)',
+    'sync.credentialsItemSame': 'Credential {ref} already matches this machine; write skipped (local value kept)',
     'sync.credentialsNeedPassword': 'Snapshot {id} carries an encrypted credentials payload; a decryption password is required',
     'sync.encryptedNeedsPassword': 'Snapshot {id} is encrypted; a decryption password is required (auto sync cannot decrypt — sync manually)',
     'sync.noPortableSections': 'No portable sections to sync (all exports failed)',
@@ -864,7 +866,7 @@ export const en = {
     'command.rollback.restorableYes': 'restorable',
     'command.rollback.restorableNo': 'not restorable',
     'command.rollback.restorableSummary': '{parts} => {verdict}',
-    'command.rollback.rewindRestored': 'Rewound to {id}. {detail}',
+    'command.rollback.rewindRestored': 'Rewound to {id}. {detail}This conversation is not switched: the new session is in the left sidebar (at the end of the list when ungrouped) — open it to continue.',
     'command.rollback.rewindPartial': 'The rewind only completed partially (session segment forked; see workspace segment below) - {id}: {segments}. {detail}',
     'command.rollback.segmentFacts': 'segments: {facts}',
     'command.rollback.rewindFailed': 'Rewind failed ({code}): {id}. {detail}',

package/lib/core/plugin-data-registry.d.ts

@@ -0,0 +1,124 @@
+/**
+ * 第三方插件「数据目录」来源注册表（pluginData / pluginAssets 两个分区的唯一知识源）。
+ *
+ * 为什么需要它：DSH 插件的数据目录不由宿主统一提供（2026-10-14 核对 dsh-config-manager /
+ * dsh-mnemon / dsh-better-sidebar 的 package.json，均无任何「数据目录」声明字段），而现实里它们
+ * 散落在 ~/.dsh-<name>/、~/.<name>/、~/.dsh/<name>/ 三种形态 —— 既有的 pluginFiles 分区只认
+ * 「相对 ~/.dsh 根的白名单文件」，够不到其中任何一类。
+ *
+ * 本模块只做三件事，全部是纯函数 / 静态数据（零 I/O、零 node 内置依赖）：
+ *  ① 冻结来源与「区域（area）」的形状；
+ *  ② 内置已取证来源（每条如实标注取证强度，与 src/foreign/types.ts 的 ForeignEvidenceKind 同款纪律）；
+ *  ③ 提供「路径 → 区域」的最长前缀匹配与 dsh.dataDirs 自述声明的解析。
+ *
+ * 三条不变量：
+ *  - 不猜：路径一律来自插件自己的 README 明示位置或本机实测；不确定的来源宁可不收。
+ *  - 缓存永不收录：role === 'cache' 的区域只用于报告（「我知道它在那儿，但不带」），绝不进包 ——
+ *    缓存是可再生产物，带出去只会撑爆包体。
+ *  - 环境变量覆盖即跳过且不读值：区域被环境变量覆盖时，绝不去读那个变量指向的目录（目标机的
+ *    同名变量可能指向完全不同的盘符，按 home 相对路径写进包，换机后就落到「看起来对」的错误位置）。
+ */
+import type { SectionId } from '../schema/types.ts';
+/** 第三方插件数据分区（两个：配置类与资产类） */
+export type PluginDataSection = Extract<SectionId, 'pluginData' | 'pluginAssets'>;
+/**
+ * 区域角色 —— 决定它进哪个分区：
+ *  - config：配置与轻量状态（进 pluginData）；
+ *  - assets：大体积用户数据（上传的壁纸、本地数据库；进 pluginAssets）；
+ *  - cache：可再生产物，两个分区都不进，只出现在报告里。
+ */
+export type PluginDataRole = 'config' | 'assets' | 'cache';
+/** 取证强度（字段必填：未取证的来源不可能被悄悄列出来） */
+export type PluginDataEvidence = 
+/** 本机实测：目录确实存在，且据此实现 */
+'measured'
+/** 有可复现取证方式：夹具 + 单测端到端跑同一份布局 */
+ | 'fixture'
+/** 只有插件自己的文档（README 明示的位置/环境变量） */
+ | 'documented';
+/** 一个数据区域：home 相对 POSIX 路径（文件或目录同形，按磁盘实际形态判定） */
+export interface PluginDataArea {
+    readonly relPath: string;
+    readonly role: PluginDataRole;
+    /**
+     * 会整体搬走本区域的环境变量名（任一存在即跳过本区域并报码）。
+     *
+     * 必须把「祖先区域的环境变量」也列进来：wallpaper-engine 的 DSH_WE_DATA_DIR 搬走的是整个
+     * ~/.dsh-wallpaper-engine，只列 DSH_WE_UPLOAD_DIR 会让 uploads 在数据目录已被搬走时仍被当成
+     * 「默认位置」去读（读到空目录 → 用户以为「没有上传的壁纸」）。
+     */
+    readonly envOverrides?: readonly string[];
+    /** 仅目录区域：永不收集的**区域相对**子路径（POSIX 前缀），如 cache / bin */
+    readonly excludeRel?: readonly string[];
+}
+/** 一个第三方插件来源 */
+export interface PluginDataSource {
+    /** 稳定机器 id（进单元 id 与报告；不随文案变化） */
+    readonly id: string;
+    /** 该来源对应的 npm 包名（自述声明的去重键） */
+    readonly packages: readonly string[];
+    readonly evidence: PluginDataEvidence;
+    readonly areas: readonly PluginDataArea[];
+}
+/**
+ * 内置来源 —— 只放已取证的。
+ *
+ * 收录口径（2026-10-14 调研：按 GitHub star + npm 周下载量排序后逐一核对）：
+ *  - 有自有数据目录（不在 DSH 三个核心存储里，也不在 profile 树里）；
+ *  - 目录里不含凭据（~/.commandcode/auth.json、~/.dsh/agy-accounts 这类命中即整来源不收录 ——
+ *    文件类分区的内容不进 SecretScanner 的剥离路径，带出去就是明文）；
+ *  - 位置由插件自己的 README 明示，或本机实测。
+ *
+ * 未收录但确实有数据目录的插件（如实登记，避免「没列出来 = 不存在」的误读）：
+ *  - dsh-better-sidebar（4175 star）：状态全在 DSH settings/storages，已被既有分区覆盖；
+ *  - @mars-sea/dsh-commandcode-provider（389 star）：~/.commandcode/ 含 auth.json（凭据）；
+ *  - dsh-agy-link（111 star）：~/.dsh/agy-accounts 为账号池（凭据）。
+ */
+export declare const BUILTIN_PLUGIN_DATA_SOURCES: readonly PluginDataSource[];
+/** 角色 → 分区（cache 不属于任何分区） */
+export declare function sectionOfRole(role: PluginDataRole): PluginDataSection | null;
+/** 该分区要收集的区域清单（保序：来源顺序 → 区域内顺序） */
+export declare function areasForSection(sources: readonly PluginDataSource[], section: PluginDataSection): readonly {
+    source: PluginDataSource;
+    area: PluginDataArea;
+}[];
+/**
+ * home 相对路径归一化 + 安全判定。
+ *
+ * 只接受 POSIX 相对路径：拒绝绝对路径（含 Windows 盘符写法 C:/x）、..、反斜杠、空段、
+ * 以 / 结尾、含 NUL 的值。
+ * 返回 null = 调用方必须报错/跳过，绝不「尽力而为」地拼一个路径出来。
+ */
+export declare function normalizeHomeRel(value: unknown): string | null;
+/**
+ * 目录区域的排除判定（issue：**excludeRel 是区域相对路径，rel 是 home 相对路径**）。
+ *
+ * 必须先把 rel 折成区域相对再比：`excludeRel: ['uploads']` 配 `.dsh-wallpaper-engine` 区域时，
+ * 真正的判别对象是 `uploads/a.mp4`（区域相对），不是 `.dsh-wallpaper-engine/uploads/a.mp4`（home 相对）——
+ * 直接拿 home 相对路径去 startsWith，排除项永远不命中，缓存与大资产会悄悄跟着配置分区一起进包。
+ */
+export declare function isExcludedRel(area: PluginDataArea, rel: string): boolean;
+/** rel 是否属于该区域（文件区域 = 精确相等；目录区域 = 精确相等或前缀） */
+export declare function relInArea(area: PluginDataArea, rel: string): boolean;
+/**
+ * 路径 → 区域（最长前缀优先）。
+ *
+ * 为什么必须最长优先：.dsh-wallpaper-engine 与 .dsh-wallpaper-engine/uploads 同时是区域，
+ * 短前缀先匹配会把上传的壁纸算进「配置」分区（用户取消勾选大资产也照样带走几百 MB）。
+ */
+export declare function areaOfPath(entries: readonly {
+    source: PluginDataSource;
+    area: PluginDataArea;
+}[], rel: string): {
+    source: PluginDataSource;
+    area: PluginDataArea;
+} | null;
+/**
+ * 解析一个已安装插件 package.json 里的自述声明（dsh.dataDirs）—— 「让别的插件自己适配」的钩子。
+ *
+ * 契约（对外文档见 docs/spec/plugin-data-declaration.md）：
+ *   { "dsh": { "dataDirs": [ { "path": ".my-plugin", "role": "config", "env": ["MY_PLUGIN_DIR"] } ] } }
+ *
+ * 形状不认识就整条丢弃（返回 null），绝不猜；path 非法（绝对路径 / .. / 空段）同样丢弃。
+ */
+export declare function parseDeclaredDataDirs(packageName: string, manifest: unknown): PluginDataSource | null;