dsh-config-manager 0.1.76 → 0.1.78

package/src/adapters/plugin-data-declared.ts

@@ -0,0 +1,60 @@
+/**
+ * 「已安装插件自述数据目录（dsh.dataDirs）」的**单一扫描实现**。
+ *
+ * 为什么单独一个模块：这份扫描有两个消费者 ——
+ *  - \`pluginData\` / \`pluginAssets\` adapter（决定要收集哪些区域）；
+ *  - \`plugins\` adapter（导出选择器「按插件看」需要知道**每个插件自己声明的数据区域**，
+ *    才能在不读任何数据目录的前提下画出树骨架）。
+ * 两处各写一份必然漂移（同一条铁律：同一事实只有一份实现）。
+ *
+ * 语义（与改造前 plugin-data.ts 的私有实现逐字一致）：
+ *  - 读的是 **profile 实际安装**的那份 manifest（\`profiles/<profile>/node_modules/<pkg>/package.json\`），
+ *    不是全局目录 —— 同一个包在不同 profile 可以是不同版本，声明必须取本 profile 装的；
+ *  - 读不到（未安装 / 无声明 / 形状非法）一律跳过：本机制是**附加**信息，绝不因为一个包读不出来
+ *    就影响内置来源或整次导出；
+ *  - 本函数**不缓存**（缓存策略由调用方决定：pluginData 有实例级 TTL 缓存，plugins 有模块级缓存）。
+ */
+import { parseDeclaredDataDirs } from '../core/plugin-data-registry.ts';
+import type { PluginDataSource } from '../core/plugin-data-registry.ts';
+import type { HostContext } from '../core/types.ts';
+
+/** 单次扫描最多读取多少个已安装插件的 manifest（防御性上限：profile 依赖数量异常时不无限读） */
+export const MAX_DECLARED_PACKAGES = 300;
+
+/**
+ * 解析声明时用的 profile 目录名。
+ *
+ * 与 DSH 的 profile 解析同口径：空 / undefined = \`web\`（与改造前的私有实现一致）。
+ */
+export function declaredProfileName(profile: string | undefined): string {
+  return profile !== undefined && profile !== '' ? profile : 'web';
+}
+
+/** 扫描本机已安装插件自述的数据目录声明（零副作用；读不到的一律跳过）。 */
+export async function scanDeclaredDataSources(
+  ctx: HostContext,
+  maxPackages: number = MAX_DECLARED_PACKAGES,
+): Promise<PluginDataSource[]> {
+  const base = 'profiles/' + declaredProfileName(ctx.profile);
+  const out: PluginDataSource[] = [];
+  let deps: string[] = [];
+  try {
+    const raw = await ctx.fs.readFile(base + '/package.json');
+    const parsed: unknown = JSON.parse(new TextDecoder().decode(raw));
+    const dep = (parsed as { dependencies?: unknown } | null)?.dependencies;
+    if (dep !== null && typeof dep === 'object') deps = Object.keys(dep).slice(0, maxPackages);
+  } catch {
+    deps = [];
+  }
+  for (const name of deps) {
+    try {
+      const raw = await ctx.fs.readFile(base + '/node_modules/' + name + '/package.json');
+      const manifest: unknown = JSON.parse(new TextDecoder().decode(raw));
+      const source = parseDeclaredDataDirs(name, manifest);
+      if (source !== null) out.push(source);
+    } catch {
+      // 未安装 / 无 manifest → 无声明，跳过
+    }
+  }
+  return out;
+}

package/src/adapters/plugin-data.ts

@@ -33,8 +33,8 @@ import type { RecursiveListing } from '../utils/recursive-walk.ts';
 import { sectionMeta } from '../schema/section-registry.ts';
 import {
   BUILTIN_PLUGIN_DATA_SOURCES, areaOfPath, areasForSection, isExcludedRel, normalizeHomeRel,
-  parseDeclaredDataDirs,
 } from '../core/plugin-data-registry.ts';
+import { declaredProfileName, scanDeclaredDataSources } from './plugin-data-declared.ts';
 import type { PluginDataArea, PluginDataSource, PluginDataSection } from '../core/plugin-data-registry.ts';
 import { osHomeDirOf } from '../core/backup.ts';
 import { FileCollectionAdapter } from './file-collection.ts';
@@ -50,9 +50,6 @@ export type PluginDataEntry = { source: PluginDataSource; area: PluginDataArea }
 /** 声明来源缓存的 TTL（毫秒）：一次导出/导入/执行里会多次解析，逐次读 15+ 个 package.json 是净开销 */
 const DECLARED_TTL_MS = 5_000;
 
-/** 单次解析里最多读取多少个已安装插件的 manifest（防御性上限：profile 依赖数量异常时不无限读） */
-const MAX_DECLARED_PACKAGES = 300;
-
 export interface PluginDataAdapterOptions {
   /** 内置来源（缺省 = BUILTIN_PLUGIN_DATA_SOURCES；测试注入假来源） */
   readonly sources?: readonly PluginDataSource[];
@@ -111,18 +108,15 @@ export class PluginDataAdapter extends FileCollectionAdapter {
   }
 
   /**
-   * 已安装插件的自述声明（dsh.dataDirs）。
-   *
-   * 为什么读 profile 的 node_modules 而不是全局目录：DSH 的插件装在 \`profiles/<profile>/node_modules\`
-   * 下（pnpm 隔离布局），且同一个包在不同 profile 可以是不同版本 —— 声明必须取**本 profile 实际装的**那份。
+   * 已安装插件的自述声明（dsh.dataDirs）—— 本方法只做**缓存**，扫描实现见 plugin-data-declared.ts。
    *
-   * 读不到（未安装 / 无声明 / 形状非法）一律跳过：本机制是**附加**信息，绝不因为一个包读不出来
-   * 就影响内置来源或整次导出。
+   * 为什么缓存必须带 ctx 键（homeDir + profile）：DSH 的插件装在 \`profiles/<profile>/node_modules\`
+   * 下（pnpm 隔离布局），而「这台机器装了某插件」不代表另一台装了 —— 缓存若按实例共享，
+   * 导入到「没装该插件」的目标机时会拿源机的声明去放行写入，白名单就变成「谁先导入谁说了算」。
    */
   private async declaredSources(ctx: HostContext): Promise<PluginDataSource[]> {
     const now = Date.now();
-    const profile = ctx.profile !== undefined && ctx.profile !== '' ? ctx.profile : 'web';
-    const memoKey = ctx.homeDir + '|' + profile;
+    const memoKey = ctx.homeDir + '|' + declaredProfileName(ctx.profile);
     if (
       this.declaredMemo !== undefined
       && this.declaredMemo.key === memoKey
@@ -130,27 +124,7 @@ export class PluginDataAdapter extends FileCollectionAdapter {
     ) {
       return this.declaredMemo.sources;
     }
-    const base = 'profiles/' + profile;
-    const out: PluginDataSource[] = [];
-    let deps: string[] = [];
-    try {
-      const raw = await ctx.fs.readFile(base + '/package.json');
-      const parsed: unknown = JSON.parse(new TextDecoder().decode(raw));
-      const dep = (parsed as { dependencies?: unknown } | null)?.dependencies;
-      if (dep !== null && typeof dep === 'object') deps = Object.keys(dep).slice(0, MAX_DECLARED_PACKAGES);
-    } catch {
-      deps = [];
-    }
-    for (const name of deps) {
-      try {
-        const raw = await ctx.fs.readFile(base + '/node_modules/' + name + '/package.json');
-        const manifest: unknown = JSON.parse(new TextDecoder().decode(raw));
-        const source = parseDeclaredDataDirs(name, manifest);
-        if (source !== null) out.push(source);
-      } catch {
-        // 未安装 / 无 manifest → 无声明，跳过
-      }
-    }
+    const out = await scanDeclaredDataSources(ctx);
     this.declaredMemo = { key: memoKey, at: now, sources: out };
     return out;
   }

package/src/adapters/plugins.test.ts

@@ -6,6 +6,8 @@ import test from 'node:test';
 import assert from 'node:assert/strict';
 import { PluginsAdapter } from './plugins.ts';
 import { makeContext, makeImportContext } from './test-helpers.ts';
+import { PLUGIN_PROFILE_MANIFEST_REF } from '../core/backup.ts';
+import type { PluginsSection } from '../schema/types.ts';
 import type { PlanItem } from '../core/types.ts';
 
 test('issue #35：patch 文件随分区迁移；目标缺失的 patchedDependencies 声明导入时剔除', async () => {
@@ -567,3 +569,163 @@ test('t81 / t23 口径：patch 文件存在性探测读失败（非 ENOENT）必
     'ENOENT 仍应视为「不存在」（保留既有剔除语义与可见告警）',
   );
 });
+
+/**
+ * issue #95：`@deepseek-ai/*` 的实验层在 DSH 里只写进 dsh.profile.bundles（包由 DSH 自己的
+ * 安装位置解析，profile 的 dependencies / node_modules 里都没有它）。导入端把它当 registry 包去
+ * `dsh plugin add`，会把 npm `dist-tags.latest` 的副本装进 profile —— 真机故障：
+ * host 0.2.1-rc.2 + 包 0.2.1-alpha.2 的隔离组契约对不上 → `session-controller` 一直 pending
+ * → 新建会话报 service-unavailable。
+ * 正确行为：只把名字声明进目标机的 dsh.profile.bundles，绝不走安装通道。
+ */
+test('issue #95：host 自带的 bundle 层只声明 bundles，不装 npm 包', async () => {
+  const src = makeContext('win32', 'C:\\Users\\alice', 'web');
+  src.plugins.installed.set('@deepseek-ai/dsh-experimental-session-search', {
+    name: '@deepseek-ai/dsh-experimental-session-search',
+    version: '',
+    enabled: true,
+    isBundle: true,
+    inBundles: ['@deepseek-ai/dsh-experimental-session-search'],
+    bundlesOnly: true,
+  });
+  src.plugins.installed.set('dshmarket', { name: 'dshmarket', version: '1.0.3', enabled: true, spec: '^1.0.3' });
+
+  const adapter = new PluginsAdapter();
+  const exported = await adapter.export(src, { includeSecrets: false });
+  const layerName = '@deepseek-ai/dsh-experimental-session-search';
+  assert.equal(
+    exported.data.plugins.find((p) => p.name === layerName)?.bundlesOnly,
+    true,
+    '导出必须带上 bundlesOnly 标记',
+  );
+  assert.equal(
+    exported.data.plugins.find((p) => p.name === 'dshmarket')?.bundlesOnly,
+    undefined,
+    '普通依赖不得带该标记（旧备份字节形态不变）',
+  );
+
+  const dst = makeContext('linux', '/home/bob', 'web');
+  const pkgRel = 'profiles/web/package.json';
+  await dst.fs.writeFile(pkgRel, new TextEncoder().encode(`${JSON.stringify({
+    name: 'dsh-profile-web',
+    private: true,
+    dependencies: {},
+    dsh: { profile: { bundles: ['@deepseek-ai/dsh-base'] } },
+  }, null, 2)}\n`));
+  const sections = new Map([['plugins', exported.data]]);
+
+  const items = await adapter.analyzeImport(exported.data, makeImportContext(dst, sections));
+  const item = items.find((i) => i.id === `plugin:${layerName}`);
+  assert.equal(item?.kind, 'Create', '缺声明 → Create（绝不是 Install）');
+  assert.deepEqual(
+    item?.target,
+    { adapter: 'plugins', ref: PLUGIN_PROFILE_MANIFEST_REF },
+    '写入目标必须进导入前快照（回滚能撤掉这次声明）',
+  );
+  assert.equal(items.find((i) => i.id === 'plugin:dshmarket')?.kind, 'Install', '普通依赖照旧走安装通道');
+
+  const r = await adapter.applyItem(item!, makeImportContext(dst, sections));
+  assert.equal(r.ok, true);
+  const written = JSON.parse(new TextDecoder().decode(dst.fs.files.get('/home/bob/profiles/web/package.json')!)) as {
+    dependencies: Record<string, string>;
+    dsh: { profile: { bundles: string[] } };
+  };
+  assert.deepEqual(
+    written.dsh.profile.bundles,
+    ['@deepseek-ai/dsh-base', layerName],
+    '只追加一层，原声明保序',
+  );
+  assert.deepEqual(written.dependencies, {}, '不得凭空写依赖行');
+  assert.equal(dst.plugins.installed.has(layerName), false, '绝不调用 npm 安装通道');
+
+  // 幂等：再分析一次 → Skip（不重复写、不重复报 Create）
+  const again = await adapter.analyzeImport(exported.data, makeImportContext(dst, sections));
+  assert.equal(again.find((i) => i.id === item!.id)?.kind, 'Skip');
+});
+
+test('issue #95：旧备份（没有 bundlesOnly 字段）按形状识别，绝不误伤普通依赖', async () => {
+  const adapter = new PluginsAdapter();
+  const layerName = '@deepseek-ai/dsh-experimental-auto-review';
+  const data: PluginsSection = {
+    version: 1,
+    plugins: [
+      { name: layerName, version: '', isBundle: true, inBundles: [layerName], enabled: true },
+      { name: 'broken-dep', version: '', spec: '^2.0.0', isBundle: false, inBundles: [], enabled: true },
+    ],
+    patch: [],
+  };
+  const dst = makeContext('linux', '/home/bob', 'web');
+  await dst.fs.writeFile(
+    'profiles/web/package.json',
+    new TextEncoder().encode(`${JSON.stringify({ name: 'dsh-profile-web', dsh: { profile: { bundles: [] } } }, null, 2)}\n`),
+  );
+  const sections = new Map([['plugins', data]]);
+  const items = await adapter.analyzeImport(data, makeImportContext(dst, sections));
+  assert.equal(
+    items.find((i) => i.id === `plugin:${layerName}`)?.kind,
+    'Create',
+    '无 spec 且无已装版本 = host 自带层 → 只声明',
+  );
+  assert.equal(
+    items.find((i) => i.id === 'plugin:broken-dep')?.kind,
+    'Install',
+    '有依赖声明 → 照旧安装（哪怕本机没装全，也绝不静默跳过）',
+  );
+
+  // 应用后：名字进了 bundles，且没有为该层调用安装通道
+  const r = await adapter.applyItem(
+    items.find((i) => i.id === `plugin:${layerName}`)!,
+    makeImportContext(dst, sections),
+  );
+  assert.equal(r.ok, true);
+  assert.equal(dst.plugins.installed.has(layerName), false);
+  const written = JSON.parse(new TextDecoder().decode(dst.fs.files.get('/home/bob/profiles/web/package.json')!)) as {
+    dsh: { profile: { bundles: string[] } };
+  };
+  assert.deepEqual(written.dsh.profile.bundles, [layerName]);
+});
+
+test('issue #95：目标清单缺失 / JSON 坏 / 形态不符 → 只告警，绝不重建清单', async () => {
+  const adapter = new PluginsAdapter();
+  const data: PluginsSection = {
+    version: 1,
+    plugins: [{ name: 'host-layer', version: '', isBundle: true, inBundles: ['host-layer'], enabled: true, bundlesOnly: true }],
+    patch: [],
+  };
+  // ① 目标机没有 package.json
+  const a = makeContext('linux', '/home/a', 'web');
+  const sectionsA = new Map([['plugins', data]]);
+  const itemsA = await adapter.analyzeImport(data, makeImportContext(a, sectionsA));
+  assert.equal(itemsA[0]?.kind, 'Warning', '没有清单 → 告警（不是 Install，也不是静默跳过）');
+  assert.match(itemsA[0]?.description ?? '', /package\.json/);
+  const applyA = await adapter.applyItem(itemsA[0]!, makeImportContext(a, sectionsA));
+  assert.equal(applyA.ok, false);
+  assert.equal(applyA.warning, true, '声明不了只记非致命 warning（§34.17）');
+  assert.equal(await a.fs.exists('profiles/web/package.json'), false, '绝不凭空造一份清单');
+
+  // ② JSON 坏：原文必须逐字不动
+  const b = makeContext('linux', '/home/b', 'web');
+  await b.fs.writeFile('profiles/web/package.json', new TextEncoder().encode('{'));
+  const sectionsB = new Map([['plugins', data]]);
+  const itemsB = await adapter.analyzeImport(data, makeImportContext(b, sectionsB));
+  assert.equal(itemsB[0]?.kind, 'Warning');
+  assert.match(itemsB[0]?.description ?? '', /JSON|形态/);
+  const applyB = await adapter.applyItem(itemsB[0]!, makeImportContext(b, sectionsB));
+  assert.equal(applyB.ok, false);
+  assert.equal(
+    new TextDecoder().decode(b.fs.files.get('/home/b/profiles/web/package.json')!),
+    '{',
+    '坏清单绝不被覆写',
+  );
+
+  // ③ dsh.profile.bundles 不是字符串数组
+  const c = makeContext('linux', '/home/c', 'web');
+  await c.fs.writeFile(
+    'profiles/web/package.json',
+    new TextEncoder().encode(JSON.stringify({ dsh: { profile: { bundles: 'x' } } })),
+  );
+  const sectionsC = new Map([['plugins', data]]);
+  const itemsC = await adapter.analyzeImport(data, makeImportContext(c, sectionsC));
+  assert.equal(itemsC[0]?.kind, 'Warning');
+  assert.match(itemsC[0]?.description ?? '', /形态/);
+});