dsh-config-manager 0.1.77 → 0.1.78

package/lib/core/analyzer.js

@@ -1601,9 +1601,11 @@ function applyTombstoneFilter(items, tombstones) {
 /** PlanItem → 墓碑键（{kind,id}）映射；非「将写入」的条目（Skip 等）与配置类项返回 null 不过滤 */
 function tombstoneKeyForItem(item) {
     // 插件本体（plugin:<pkg>）：Install / Update / Conflict 均视为「将写入该插件」→ 命中墓碑剔除；
+    // issue #95 的 Create = 「把 host 自带的层声明进 dsh.profile.bundles」，同样是写入该插件，
+    // 必须一起被墓碑剔除（用户删过的插件不得被一份旧备份重新声明回来）。
     // patch: 行与 plugins:pnpm-workspace 是配置类项，不按插件墓碑过滤（分区级墓碑可覆盖）。
     if (item.adapter === 'plugins' && item.id.startsWith('plugin:')) {
-        if (item.kind !== 'Install' && item.kind !== 'Update' && item.kind !== 'Conflict')
+        if (item.kind !== 'Install' && item.kind !== 'Update' && item.kind !== 'Conflict' && item.kind !== 'Create')
             return null;
         return { kind: 'plugin', id: item.id.slice('plugin:'.length) };
     }

package/lib/core/backup.d.ts

@@ -38,6 +38,15 @@ export declare function planItemWritesTarget(item: PlanItem, exec?: PlanItemExec
  * 行 id 是任意字符串，无法靠形状判断它是不是一个路径。
  */
 export declare const PLUGIN_PATCH_REF_PREFIX = "patchFile:";
+/**
+ * plugins 分区中「profile 的 package.json」这一文件目标的 ref（issue #95）。
+ *
+ * 声明 host 自带的 bundle 层（`dsh.profile.bundles`）就是写这个文件，因此它必须与
+ * `pnpm-workspace.yaml` 同级：进导入前快照 → 回滚能整文件还原，否则一次导入留下的声明
+ * 撤不掉（照抄 \`patchFile:\` 的做法，用一个符号 ref 而不是真实文件名——ref 空间里还有
+ * 任意 patch 行 id，靠形状判断会撞车）。
+ */
+export declare const PLUGIN_PROFILE_MANIFEST_REF = "profileManifest";
 /**
  * 以**系统 home 为根**的文件类分区（ref 是系统 home 相对路径）。
  *

package/lib/core/backup.js

@@ -118,6 +118,15 @@ for (const id of SECTION_IDS) {
  * 行 id 是任意字符串，无法靠形状判断它是不是一个路径。
  */
 export const PLUGIN_PATCH_REF_PREFIX = 'patchFile:';
+/**
+ * plugins 分区中「profile 的 package.json」这一文件目标的 ref（issue #95）。
+ *
+ * 声明 host 自带的 bundle 层（`dsh.profile.bundles`）就是写这个文件，因此它必须与
+ * `pnpm-workspace.yaml` 同级：进导入前快照 → 回滚能整文件还原，否则一次导入留下的声明
+ * 撤不掉（照抄 \`patchFile:\` 的做法，用一个符号 ref 而不是真实文件名——ref 空间里还有
+ * 任意 patch 行 id，靠形状判断会撞车）。
+ */
+export const PLUGIN_PROFILE_MANIFEST_REF = 'profileManifest';
 /** profile 目录绝对路径（plugins 分区内文件类目标的基准） */
 function profileDirOf(ctx) {
     const profile = ctx.profile !== undefined && ctx.profile !== '' ? ctx.profile : 'web';
@@ -167,6 +176,10 @@ export function resolveFileTarget(ctx, adapter, ref) {
     if (adapter === 'plugins' && ref.startsWith(PLUGIN_PATCH_REF_PREFIX)) {
         return path.join(profileDirOf(ctx), ref.slice(PLUGIN_PATCH_REF_PREFIX.length));
     }
+    // issue #95：声明 host 自带 bundle 层 = 写 profile 的 package.json（快照/回滚必须覆盖它）
+    if (adapter === 'plugins' && ref === PLUGIN_PROFILE_MANIFEST_REF) {
+        return path.join(profileDirOf(ctx), 'package.json');
+    }
     const base = FILE_BASES[adapter] ?? '';
     return path.join(ctx.homeDir, base, ref);
 }
@@ -188,6 +201,8 @@ export function resolveFileTargetRel(adapter, ref, profile) {
         const profileDir = `profiles/${profile !== undefined && profile !== '' ? profile : 'web'}`;
         if (ref === 'pnpm-workspace.yaml')
             return normalizePath(`${profileDir}/pnpm-workspace.yaml`);
+        if (ref === PLUGIN_PROFILE_MANIFEST_REF)
+            return normalizePath(`${profileDir}/package.json`);
         if (ref.startsWith(PLUGIN_PATCH_REF_PREFIX)) {
             return normalizePath(`${profileDir}/${ref.slice(PLUGIN_PATCH_REF_PREFIX.length)}`);
         }
@@ -257,7 +272,7 @@ async function engineSnapshotEntry(ctx, target) {
         case 'plugins':
         case 'prompts': {
             // plugins 分区的 pnpm-workspace.yaml / patch 文件 → 整文件快照（file 类，回滚可整文件还原）
-            if (target.adapter === 'plugins' && (target.ref === 'pnpm-workspace.yaml' || target.ref.startsWith(PLUGIN_PATCH_REF_PREFIX))) {
+            if (target.adapter === 'plugins' && (target.ref === 'pnpm-workspace.yaml' || target.ref === PLUGIN_PROFILE_MANIFEST_REF || target.ref.startsWith(PLUGIN_PATCH_REF_PREFIX))) {
                 const abs = resolveFileTarget(ctx, target.adapter, target.ref);
                 if (!(await ctx.fs.exists(abs))) {
                     return { kind: 'file', adapter: target.adapter, ref: target.ref, before: null, existed: false };

package/lib/core/messages.d.ts

@@ -247,6 +247,15 @@ export declare const zh: {
     readonly 'adapter.pluginInstallOk': '插件 {name} 已安装{suffix}';
     readonly 'adapter.pluginUpdateTriggered': '插件 {name} 已触发更新（npm 最新版）{suffix}';
     readonly 'adapter.pluginRestartSuffix': '，重启 dsh 后生效';
+    readonly 'adapter.pluginHostBundleDeclare': '声明插件层 {name}（由 DSH 自带提供，不安装）';
+    readonly 'adapter.pluginHostBundleSame': '插件层 {name} 已在目标机声明（由 DSH 自带提供）';
+    readonly 'adapter.pluginHostBundleDeclared': '已声明插件层 {name}，重启 dsh 后生效';
+    readonly 'adapter.pluginHostBundleDetail': '该层在源机只出现在 dsh.profile.bundles、dependencies 里没有它，由 DSH 从自己的安装位置解析；导入只声明，不装 npm 版本';
+    readonly 'adapter.pluginHostBundleNoManifest': '无法声明插件层 {name}：目标机 profile 缺少 package.json';
+    readonly 'adapter.pluginHostBundleManifestUnreadable': '无法声明插件层 {name}：profile 清单读不到或形态不符（{reason}）';
+    readonly 'adapter.pluginHostBundleWriteFailed': '声明插件层 {name} 失败：{reason}';
+    readonly 'adapter.pluginHostBundleBadJson': 'package.json 不是合法 JSON';
+    readonly 'adapter.pluginHostBundleBadShape': 'dsh.profile.bundles 不是字符串数组';
     readonly 'adapter.pwMissing': '导入数据缺少 pnpm-workspace.yaml 内容';
     readonly 'adapter.pluginInstallFailed': '插件 {name} 安装失败：{msg}。可手动安装：dsh plugin --profile {profile} add {name}（其余配置已导入；可修复依赖后在设置页重试或手动安装）';
     readonly 'adapter.pluginUpdateFailed': '插件 {name} 更新失败：{msg}。可手动安装：dsh plugin --profile {profile} add {name}（其余配置已导入；可修复依赖后在设置页重试或手动安装）';
@@ -318,6 +327,7 @@ export declare const zh: {
     readonly 'adapter.validate.requiredField': '缺少 {subject}';
     readonly 'adapter.validate.sourceNamespace': '缺少来源 namespace';
     readonly 'adapter.validate.number': '{subject} 必须是数字';
+    readonly 'adapter.validate.boolean': '{subject} 必须是布尔值';
     readonly 'adapter.validate.nonEmptyRef': '{subject} 记录必须含非空 ref';
     readonly 'adapter.validate.credentialRef': '凭据记录必须含非空 ref';
     readonly 'adapter.validate.fileRelativePath': '文件记录必须含非空 relativePath';

package/lib/core/messages.js

@@ -238,6 +238,15 @@ export const zh = {
     'adapter.pluginInstallOk': '插件 {name} 已安装{suffix}',
     'adapter.pluginUpdateTriggered': '插件 {name} 已触发更新（npm 最新版）{suffix}',
     'adapter.pluginRestartSuffix': '，重启 dsh 后生效',
+    'adapter.pluginHostBundleDeclare': '声明插件层 {name}（由 DSH 自带提供，不安装）',
+    'adapter.pluginHostBundleSame': '插件层 {name} 已在目标机声明（由 DSH 自带提供）',
+    'adapter.pluginHostBundleDeclared': '已声明插件层 {name}，重启 dsh 后生效',
+    'adapter.pluginHostBundleDetail': '该层在源机只出现在 dsh.profile.bundles、dependencies 里没有它，由 DSH 从自己的安装位置解析；导入只声明，不装 npm 版本',
+    'adapter.pluginHostBundleNoManifest': '无法声明插件层 {name}：目标机 profile 缺少 package.json',
+    'adapter.pluginHostBundleManifestUnreadable': '无法声明插件层 {name}：profile 清单读不到或形态不符（{reason}）',
+    'adapter.pluginHostBundleWriteFailed': '声明插件层 {name} 失败：{reason}',
+    'adapter.pluginHostBundleBadJson': 'package.json 不是合法 JSON',
+    'adapter.pluginHostBundleBadShape': 'dsh.profile.bundles 不是字符串数组',
     'adapter.pwMissing': '导入数据缺少 pnpm-workspace.yaml 内容',
     'adapter.pluginInstallFailed': '插件 {name} 安装失败：{msg}。可手动安装：dsh plugin --profile {profile} add {name}（其余配置已导入；可修复依赖后在设置页重试或手动安装）',
     'adapter.pluginUpdateFailed': '插件 {name} 更新失败：{msg}。可手动安装：dsh plugin --profile {profile} add {name}（其余配置已导入；可修复依赖后在设置页重试或手动安装）',
@@ -311,6 +320,7 @@ export const zh = {
     'adapter.validate.requiredField': '缺少 {subject}',
     'adapter.validate.sourceNamespace': '缺少来源 namespace',
     'adapter.validate.number': '{subject} 必须是数字',
+    'adapter.validate.boolean': '{subject} 必须是布尔值',
     'adapter.validate.nonEmptyRef': '{subject} 记录必须含非空 ref',
     'adapter.validate.credentialRef': '凭据记录必须含非空 ref',
     'adapter.validate.fileRelativePath': '文件记录必须含非空 relativePath',
@@ -676,6 +686,15 @@ export const en = {
     'adapter.pluginInstallOk': 'Plugin {name} installed{suffix}',
     'adapter.pluginUpdateTriggered': 'Plugin {name} update triggered (npm latest){suffix}',
     'adapter.pluginRestartSuffix': '; takes effect after restarting dsh',
+    'adapter.pluginHostBundleDeclare': 'Declare plugin layer {name} (provided by DSH itself; not installed)',
+    'adapter.pluginHostBundleSame': 'Plugin layer {name} is already declared on the target (provided by DSH itself)',
+    'adapter.pluginHostBundleDeclared': 'Plugin layer {name} declared; takes effect after restarting dsh',
+    'adapter.pluginHostBundleDetail': 'On the source this layer only appears in dsh.profile.bundles (no dependency declaration) and is resolved by DSH from its own installation; the import only declares it and installs no npm version',
+    'adapter.pluginHostBundleNoManifest': 'Cannot declare plugin layer {name}: the target profile has no package.json',
+    'adapter.pluginHostBundleManifestUnreadable': 'Cannot declare plugin layer {name}: the profile manifest is unreadable or has an unexpected shape ({reason})',
+    'adapter.pluginHostBundleWriteFailed': 'Failed to declare plugin layer {name}: {reason}',
+    'adapter.pluginHostBundleBadJson': 'package.json is not valid JSON',
+    'adapter.pluginHostBundleBadShape': 'dsh.profile.bundles is not an array of strings',
     'adapter.pwMissing': 'Import data is missing pnpm-workspace.yaml content',
     'adapter.pluginInstallFailed': 'Plugin {name} install failed: {msg}. You can install it manually: dsh plugin --profile {profile} add {name} (the rest of the config was imported; fix dependencies and retry from the settings page, or install by hand)',
     'adapter.pluginUpdateFailed': 'Plugin {name} update failed: {msg}. You can install it manually: dsh plugin --profile {profile} add {name} (the rest of the config was imported; fix dependencies and retry from the settings page, or install by hand)',
@@ -749,6 +768,7 @@ export const en = {
     'adapter.validate.requiredField': 'Missing {subject}',
     'adapter.validate.sourceNamespace': 'Missing source namespace',
     'adapter.validate.number': '{subject} must be a number',
+    'adapter.validate.boolean': '{subject} must be a boolean',
     'adapter.validate.nonEmptyRef': '{subject} records must have a non-empty ref',
     'adapter.validate.credentialRef': 'Credential records must have a non-empty ref',
     'adapter.validate.fileRelativePath': 'File records must have a non-empty relativePath',

package/lib/core/plugin-cli.d.ts

@@ -118,6 +118,32 @@ export declare function reconcileBundles(profileDir: string): boolean;
 export declare function cleanupAbortedInstall(profileDir: string, pkg: string): void;
 /** 实时读 profile 已装插件清单（先 reconcile bundles，再逐依赖取版本/bundle 属性）。 */
 export declare function listInstalledPlugins(homeDir: string, profile: string): PluginInfo[];
+/**
+ * 「只在 `dsh.profile.bundles` 里声明、`dependencies` 里没有该包」的条目判定（issue #95）。
+ *
+ * 为什么要一个共享判据：导出端的显式字段（`bundlesOnly`）只存在于新备份；旧备份只能按形状
+ * 推断——**有依赖 spec 的绝不是**（那是普通依赖，哪怕本机没装全）；**没有 spec 且读不到已装版本**
+ * 的才是（本 profile 里没有任何东西提供它，DSH 只能从自己的安装位置解析，issue #95）。
+ */
+export declare function isBundlesOnlyEntry(entry: {
+    bundlesOnly?: unknown;
+    spec?: unknown;
+    version?: unknown;
+}): boolean;
+/**
+ * 把 `name` 声明进 profile package.json 的 `dsh.profile.bundles`（issue #95）。
+ *
+ * 只做「追加一个名字」：其余字段逐字保留，重复声明返回 `changed: false`（幂等，不空写文件）。
+ * 形状不可认（JSON 坏 / `dsh.profile` 非对象 / `bundles` 非字符串数组）→ 返回 null：
+ * 调用方必须**如实报告**并放弃这次声明，绝不重建一份清单出来（那会抹掉 profile 的其它字段）。
+ *
+ * `bundles` 字段**缺省也拒绝**：DSH 的语义是「bundles 非空即替换默认插件栈」，凭空造一个只含
+ * 一个名字的数组 = 悄悄改掉目标机的装配语义（应当由 DSH 自己写这个字段）。
+ */
+export declare function mergeBundleDeclaration(pkgText: string, name: string): {
+    text: string;
+    changed: boolean;
+} | null;
 /** 安装目标：非 registry spec 按 spec 安装；其余按裸包名（npm 最新版）。 */
 export declare function installSpecFor(pkg: string, spec?: string): string;
 /** 一次 CLI 调用的启动描述（env 只在需要覆写子进程环境时出现）。 */

package/lib/core/plugin-cli.js

@@ -327,18 +327,78 @@ export function listInstalledPlugins(homeDir, profile) {
             continue;
         if (Object.prototype.hasOwnProperty.call(installed, name))
             continue; // 已在依赖清单里
+        const installedVersion = readInstalledVersion(dir, name) ?? '';
         out.push({
             name,
-            version: readInstalledVersion(dir, name) ?? '',
+            version: installedVersion,
             enabled: true,
             isBundle: true,
             // 直接声明的层自己就是 profile 层
             inBundles: [name],
-            // 无依赖声明 → 无 spec：导入时按裸包名安装（与 registry 依赖同语义）
+            // issue #95：无依赖声明 + **本 profile 也没有它的落盘副本** ⇒ 这个包只可能由 DSH 从自己的
+            // 安装位置解析。导入端只能把它声明进目标机的 bundles，绝不按裸包名走 npm（那会把
+            // dist-tag latest 的副本装进 profile，与 host 版本线脱节）。
+            // 本地**有**落盘副本的手工层不在此列：那种层得靠安装通道才能在目标机上存在，保持旧行为。
+            ...(installedVersion === '' ? { bundlesOnly: true } : {}),
         });
     }
     return out;
 }
+/**
+ * 「只在 `dsh.profile.bundles` 里声明、`dependencies` 里没有该包」的条目判定（issue #95）。
+ *
+ * 为什么要一个共享判据：导出端的显式字段（`bundlesOnly`）只存在于新备份；旧备份只能按形状
+ * 推断——**有依赖 spec 的绝不是**（那是普通依赖，哪怕本机没装全）；**没有 spec 且读不到已装版本**
+ * 的才是（本 profile 里没有任何东西提供它，DSH 只能从自己的安装位置解析，issue #95）。
+ */
+export function isBundlesOnlyEntry(entry) {
+    if (entry.bundlesOnly === true)
+        return true;
+    if (entry.bundlesOnly !== undefined)
+        return false;
+    const spec = typeof entry.spec === 'string' ? entry.spec : '';
+    const version = typeof entry.version === 'string' ? entry.version : '';
+    return spec === '' && version === '';
+}
+/**
+ * 把 `name` 声明进 profile package.json 的 `dsh.profile.bundles`（issue #95）。
+ *
+ * 只做「追加一个名字」：其余字段逐字保留，重复声明返回 `changed: false`（幂等，不空写文件）。
+ * 形状不可认（JSON 坏 / `dsh.profile` 非对象 / `bundles` 非字符串数组）→ 返回 null：
+ * 调用方必须**如实报告**并放弃这次声明，绝不重建一份清单出来（那会抹掉 profile 的其它字段）。
+ *
+ * `bundles` 字段**缺省也拒绝**：DSH 的语义是「bundles 非空即替换默认插件栈」，凭空造一个只含
+ * 一个名字的数组 = 悄悄改掉目标机的装配语义（应当由 DSH 自己写这个字段）。
+ */
+export function mergeBundleDeclaration(pkgText, name) {
+    let parsed;
+    try {
+        parsed = JSON.parse(pkgText);
+    }
+    catch {
+        return null;
+    }
+    if (parsed === null || typeof parsed !== 'object' || Array.isArray(parsed))
+        return null;
+    const pkg = parsed;
+    const dsh = pkg.dsh;
+    if (dsh === null || typeof dsh !== 'object' || Array.isArray(dsh))
+        return null;
+    const profile = dsh.profile;
+    if (profile === null || typeof profile !== 'object' || Array.isArray(profile))
+        return null;
+    const raw = profile.bundles;
+    if (raw === undefined)
+        return null;
+    if (!Array.isArray(raw) || raw.some((entry) => typeof entry !== 'string'))
+        return null;
+    const bundles = raw;
+    if (bundles.includes(name))
+        return { text: pkgText, changed: false };
+    bundles.push(name);
+    profile.bundles = bundles;
+    return { text: `${JSON.stringify(pkg, null, 2)}\n`, changed: true };
+}
 /* --------------------------------------------------------------- CLI 通道 */
 /** 15 分钟默认上限（慢网络 + git 安装），可用环境变量覆盖（CI/测试）。 */
 const INSTALL_TIMEOUT_MS = Number(process.env.DSH_CONFIG_MANAGER_INSTALL_TIMEOUT_MS) || 15 * 60 * 1000;

package/lib/core/types.d.ts

@@ -240,6 +240,16 @@ export interface PluginInfo {
     inBundles?: string[];
     /** 声明依赖 spec（profile package.json dependencies 原样）；文件视图来自 readInstalled */
     spec?: string;
+    /**
+     * 只在 `dsh.profile.bundles` 里声明、`dependencies` 里没有该包，且本 profile 的
+     * `node_modules` 里也没有它的落盘副本（issue #95）。
+     *
+     * DSH 对这类层从**自己的安装位置**解析（`boot-safety.ts` 的「@deepseek-ai/* 由 DSH 从它自己的
+     * 安装位置解析」与 `RESCUE_KEEP_BUNDLE_PREFIXES` 同一口径），因此导入端**不得**把它当
+     * registry 依赖去 `dsh plugin add`：那会把 npm dist-tag `latest` 的副本装进目标 profile，
+     * 与 host 的版本线脱节（issue #95 的真机故障）。只能把名字声明进目标机的 bundles。
+     */
+    bundlesOnly?: boolean;
 }
 export interface PluginsFacade {
     listInstalled(): Promise<PluginInfo[]>;

package/lib/index.d.ts

@@ -78,7 +78,7 @@ export declare const name = "config-manager";
 /** Services required before the engine can mount (present in every profile). */
 export declare const inject: string[];
 /** Plugin version, kept in sync with package.json ("version"). */
-export declare const PLUGIN_VERSION = "0.1.77";
+export declare const PLUGIN_VERSION = "0.1.78";
 /**
  * Star 引导弹窗指向的 GitHub 仓库（用户引导点 Star 的目标）。
  * 与 package.json 的 repository 字段保持一致；界面不可改（硬编码，参照

package/lib/index.js

@@ -138,7 +138,7 @@ export const name = 'config-manager';
 /** Services required before the engine can mount (present in every profile). */
 export const inject = ['settings', 'credentials'];
 /** Plugin version, kept in sync with package.json ("version"). */
-export const PLUGIN_VERSION = '0.1.77';
+export const PLUGIN_VERSION = '0.1.78';
 /** Plugin own package name — excluded from its own exported plugins list. */
 const PLUGIN_NAME = 'dsh-config-manager';
 /**

package/lib/schema/types.d.ts

@@ -111,6 +111,20 @@ export interface PluginEntry {
      * 否则按裸包名走 npm 最新版（官方机制）。
      */
     spec?: string;
+    /**
+     * 该层只在 profile 的 `dsh.profile.bundles` 里声明、`dependencies` 里没有它，且该 profile 的
+     * `node_modules` 里也**没有**它的落盘副本（issue #95，导出侧写入）。
+     *
+     * 语义：这不是一个「装在本 profile 里的包」，而是由 DSH 从**自己的安装位置**解析的层
+     * （与 `boot-safety.ts` / `RESCUE_KEEP_BUNDLE_PREFIXES` 同口径）。导入端对这类条目
+     * **只把名字声明进目标机的 `dsh.profile.bundles`，绝不走 npm 安装通道**——按裸包名安装会让
+     * 目标机拿到 `dist-tags.latest` 的副本（2026-10 真机：host 0.2.1-rc.2 + 包 0.2.1-alpha.2
+     * → session-controller 一直 pending → 新建会话 service-unavailable）。
+     *
+     * 缺省（旧备份没有该字段）= 由 `spec` / `version` 形状推断，见
+     * `src/core/plugin-cli.ts` 的 `isBundlesOnlyEntry`。
+     */
+    bundlesOnly?: boolean;
     isBundle: boolean;
     inBundles: string[];
     enabled: boolean;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-config-manager",
-  "version": "0.1.77",
+  "version": "0.1.78",
   "license": "MIT",
   "description": "Backup, restore, export, import, migrate and sync your DeepSeek Harness (DSH) configuration: settings, plugins, MCP servers, skills, agent presets and workspaces. One-click migration to another machine. DSH 配置一键备份、恢复、导出、导入、迁移与同步插件。",
   "icon": "./icon.svg",

package/src/adapters/plugins.test.ts

@@ -6,6 +6,8 @@ import test from 'node:test';
 import assert from 'node:assert/strict';
 import { PluginsAdapter } from './plugins.ts';
 import { makeContext, makeImportContext } from './test-helpers.ts';
+import { PLUGIN_PROFILE_MANIFEST_REF } from '../core/backup.ts';
+import type { PluginsSection } from '../schema/types.ts';
 import type { PlanItem } from '../core/types.ts';
 
 test('issue #35：patch 文件随分区迁移；目标缺失的 patchedDependencies 声明导入时剔除', async () => {
@@ -567,3 +569,163 @@ test('t81 / t23 口径：patch 文件存在性探测读失败（非 ENOENT）必
     'ENOENT 仍应视为「不存在」（保留既有剔除语义与可见告警）',
   );
 });
+
+/**
+ * issue #95：`@deepseek-ai/*` 的实验层在 DSH 里只写进 dsh.profile.bundles（包由 DSH 自己的
+ * 安装位置解析，profile 的 dependencies / node_modules 里都没有它）。导入端把它当 registry 包去
+ * `dsh plugin add`，会把 npm `dist-tags.latest` 的副本装进 profile —— 真机故障：
+ * host 0.2.1-rc.2 + 包 0.2.1-alpha.2 的隔离组契约对不上 → `session-controller` 一直 pending
+ * → 新建会话报 service-unavailable。
+ * 正确行为：只把名字声明进目标机的 dsh.profile.bundles，绝不走安装通道。
+ */
+test('issue #95：host 自带的 bundle 层只声明 bundles，不装 npm 包', async () => {
+  const src = makeContext('win32', 'C:\\Users\\alice', 'web');
+  src.plugins.installed.set('@deepseek-ai/dsh-experimental-session-search', {
+    name: '@deepseek-ai/dsh-experimental-session-search',
+    version: '',
+    enabled: true,
+    isBundle: true,
+    inBundles: ['@deepseek-ai/dsh-experimental-session-search'],
+    bundlesOnly: true,
+  });
+  src.plugins.installed.set('dshmarket', { name: 'dshmarket', version: '1.0.3', enabled: true, spec: '^1.0.3' });
+
+  const adapter = new PluginsAdapter();
+  const exported = await adapter.export(src, { includeSecrets: false });
+  const layerName = '@deepseek-ai/dsh-experimental-session-search';
+  assert.equal(
+    exported.data.plugins.find((p) => p.name === layerName)?.bundlesOnly,
+    true,
+    '导出必须带上 bundlesOnly 标记',
+  );
+  assert.equal(
+    exported.data.plugins.find((p) => p.name === 'dshmarket')?.bundlesOnly,
+    undefined,
+    '普通依赖不得带该标记（旧备份字节形态不变）',
+  );
+
+  const dst = makeContext('linux', '/home/bob', 'web');
+  const pkgRel = 'profiles/web/package.json';
+  await dst.fs.writeFile(pkgRel, new TextEncoder().encode(`${JSON.stringify({
+    name: 'dsh-profile-web',
+    private: true,
+    dependencies: {},
+    dsh: { profile: { bundles: ['@deepseek-ai/dsh-base'] } },
+  }, null, 2)}\n`));
+  const sections = new Map([['plugins', exported.data]]);
+
+  const items = await adapter.analyzeImport(exported.data, makeImportContext(dst, sections));
+  const item = items.find((i) => i.id === `plugin:${layerName}`);
+  assert.equal(item?.kind, 'Create', '缺声明 → Create（绝不是 Install）');
+  assert.deepEqual(
+    item?.target,
+    { adapter: 'plugins', ref: PLUGIN_PROFILE_MANIFEST_REF },
+    '写入目标必须进导入前快照（回滚能撤掉这次声明）',
+  );
+  assert.equal(items.find((i) => i.id === 'plugin:dshmarket')?.kind, 'Install', '普通依赖照旧走安装通道');
+
+  const r = await adapter.applyItem(item!, makeImportContext(dst, sections));
+  assert.equal(r.ok, true);
+  const written = JSON.parse(new TextDecoder().decode(dst.fs.files.get('/home/bob/profiles/web/package.json')!)) as {
+    dependencies: Record<string, string>;
+    dsh: { profile: { bundles: string[] } };
+  };
+  assert.deepEqual(
+    written.dsh.profile.bundles,
+    ['@deepseek-ai/dsh-base', layerName],
+    '只追加一层，原声明保序',
+  );
+  assert.deepEqual(written.dependencies, {}, '不得凭空写依赖行');
+  assert.equal(dst.plugins.installed.has(layerName), false, '绝不调用 npm 安装通道');
+
+  // 幂等：再分析一次 → Skip（不重复写、不重复报 Create）
+  const again = await adapter.analyzeImport(exported.data, makeImportContext(dst, sections));
+  assert.equal(again.find((i) => i.id === item!.id)?.kind, 'Skip');
+});
+
+test('issue #95：旧备份（没有 bundlesOnly 字段）按形状识别，绝不误伤普通依赖', async () => {
+  const adapter = new PluginsAdapter();
+  const layerName = '@deepseek-ai/dsh-experimental-auto-review';
+  const data: PluginsSection = {
+    version: 1,
+    plugins: [
+      { name: layerName, version: '', isBundle: true, inBundles: [layerName], enabled: true },
+      { name: 'broken-dep', version: '', spec: '^2.0.0', isBundle: false, inBundles: [], enabled: true },
+    ],
+    patch: [],
+  };
+  const dst = makeContext('linux', '/home/bob', 'web');
+  await dst.fs.writeFile(
+    'profiles/web/package.json',
+    new TextEncoder().encode(`${JSON.stringify({ name: 'dsh-profile-web', dsh: { profile: { bundles: [] } } }, null, 2)}\n`),
+  );
+  const sections = new Map([['plugins', data]]);
+  const items = await adapter.analyzeImport(data, makeImportContext(dst, sections));
+  assert.equal(
+    items.find((i) => i.id === `plugin:${layerName}`)?.kind,
+    'Create',
+    '无 spec 且无已装版本 = host 自带层 → 只声明',
+  );
+  assert.equal(
+    items.find((i) => i.id === 'plugin:broken-dep')?.kind,
+    'Install',
+    '有依赖声明 → 照旧安装（哪怕本机没装全，也绝不静默跳过）',
+  );
+
+  // 应用后：名字进了 bundles，且没有为该层调用安装通道
+  const r = await adapter.applyItem(
+    items.find((i) => i.id === `plugin:${layerName}`)!,
+    makeImportContext(dst, sections),
+  );
+  assert.equal(r.ok, true);
+  assert.equal(dst.plugins.installed.has(layerName), false);
+  const written = JSON.parse(new TextDecoder().decode(dst.fs.files.get('/home/bob/profiles/web/package.json')!)) as {
+    dsh: { profile: { bundles: string[] } };
+  };
+  assert.deepEqual(written.dsh.profile.bundles, [layerName]);
+});
+
+test('issue #95：目标清单缺失 / JSON 坏 / 形态不符 → 只告警，绝不重建清单', async () => {
+  const adapter = new PluginsAdapter();
+  const data: PluginsSection = {
+    version: 1,
+    plugins: [{ name: 'host-layer', version: '', isBundle: true, inBundles: ['host-layer'], enabled: true, bundlesOnly: true }],
+    patch: [],
+  };
+  // ① 目标机没有 package.json
+  const a = makeContext('linux', '/home/a', 'web');
+  const sectionsA = new Map([['plugins', data]]);
+  const itemsA = await adapter.analyzeImport(data, makeImportContext(a, sectionsA));
+  assert.equal(itemsA[0]?.kind, 'Warning', '没有清单 → 告警（不是 Install，也不是静默跳过）');
+  assert.match(itemsA[0]?.description ?? '', /package\.json/);
+  const applyA = await adapter.applyItem(itemsA[0]!, makeImportContext(a, sectionsA));
+  assert.equal(applyA.ok, false);
+  assert.equal(applyA.warning, true, '声明不了只记非致命 warning（§34.17）');
+  assert.equal(await a.fs.exists('profiles/web/package.json'), false, '绝不凭空造一份清单');
+
+  // ② JSON 坏：原文必须逐字不动
+  const b = makeContext('linux', '/home/b', 'web');
+  await b.fs.writeFile('profiles/web/package.json', new TextEncoder().encode('{'));
+  const sectionsB = new Map([['plugins', data]]);
+  const itemsB = await adapter.analyzeImport(data, makeImportContext(b, sectionsB));
+  assert.equal(itemsB[0]?.kind, 'Warning');
+  assert.match(itemsB[0]?.description ?? '', /JSON|形态/);
+  const applyB = await adapter.applyItem(itemsB[0]!, makeImportContext(b, sectionsB));
+  assert.equal(applyB.ok, false);
+  assert.equal(
+    new TextDecoder().decode(b.fs.files.get('/home/b/profiles/web/package.json')!),
+    '{',
+    '坏清单绝不被覆写',
+  );
+
+  // ③ dsh.profile.bundles 不是字符串数组
+  const c = makeContext('linux', '/home/c', 'web');
+  await c.fs.writeFile(
+    'profiles/web/package.json',
+    new TextEncoder().encode(JSON.stringify({ dsh: { profile: { bundles: 'x' } } })),
+  );
+  const sectionsC = new Map([['plugins', data]]);
+  const itemsC = await adapter.analyzeImport(data, makeImportContext(c, sectionsC));
+  assert.equal(itemsC[0]?.kind, 'Warning');
+  assert.match(itemsC[0]?.description ?? '', /形态/);
+});