dsh-mcp-connector 0.1.0 → 0.2.0

package/CHANGELOG.md

@@ -2,6 +2,53 @@
 
 本项目遵循 [Keep a Changelog](https://keepachangelog.com/zh-CN/1.1.0/)；首个公开版本从 `0.1.0` 开始。
 
+## [Unreleased]
+
+## [0.2.0] - 2026-08-21
+
+### Added
+
+- 公共市场新增第 5 张“北大法宝·法律检索”第三方卡片，以一个 Bearer Token 批量配置官网公开的 9 个 MCP Server。
+- 公共市场新增第 6 张“Wind·股票数据”第三方卡片，按万得 AIFin Market 官方配置接入股票数据 MCP Server。
+- 图形化“添加连接”：手动配置、`mcpServers` JSON、连接器描述 URL，并提供错误修复提示。
+- JSON 导入提供多行缩进示例、粘贴/手动格式化，并明确区分本机连接与市场卡片。
+- Bearer/API Key 市场连接器支持一次填写凭据后批量连接卡片下所有 Server。
+- 参数化 Prompt：发送前收集企业、人员或主题等变量，不再硬编码示例主体。
+- Tier 1 registry 种子：JSON Schema、确定性构建、无凭据 MCP/OAuth 探针和每周健康巡检。
+- 两个旧企查查 OAuth 插件的授权预览和幂等复制迁移；源插件与源凭据始终保留。
+- 本地 UI mock 测试壳和 Desktop 发版回归清单。
+- 市场注册指南，覆盖 ConnectorDescriptor、公共 registry 与 OAuth 一键授权服务端要求。
+
+### Changed
+
+- 市场 Bearer/API Key 连接器改为先验证所有 MCP Server 的连通性与凭据，通过后才进入“已安装”。
+- 精简“导入 JSON”页面，只保留格式、本机凭据说明与导入操作；市场同级卡片按目录声明顺序陈列。
+- “添加连接”默认打开并优先展示“导入 JSON”，同时缩短编辑区并固定底部操作栏，常规桌面窗口首屏即可看到导入按钮。
+- 内置精选 Prompt 直接展示可读示例值并一键带入新会话；仅缺少必填默认值时才打开参数补全弹框。
+- 未连接卡片也可查看详情；registry 提供 `toolsSnapshot` 时可在授权前预览工具。
+- 工具每批渲染 50 条、连接器每批 60 张，并保留搜索能力。
+- 增加基础中英文、系统深浅主题、焦点样式、Escape 关闭和弹框焦点循环。
+- URL 安装描述持久化，重启后仍在市场显示。
+
+### Security
+
+- 远程 JSON 响应限制 2 MiB，Web API 请求体限制 1 MiB。
+- 在 Schema 丢弃未知字段前扫描 token、API Key、secret 等夹带凭据。
+- OAuth 元数据和重定向终点执行 HTTPS/loopback 白名单；Web UI 增加 CSP、`nosniff`、`no-referrer`。
+
+### Fixed
+
+- 错误 Key、超时、DNS 或 TLS/网络失败不再被当作“已连接”，失败时保留弹框且不持久化凭据。
+- 历史凭据失效且工具全部加载失败时，详情页提供“重新配置凭据”入口并暂停发送 Prompt。
+- 未配置远程 registry 时，“刷新”不再暴露 `catalogUrl 为空`等内部实现提示。
+- Bearer/API Key 市场卡片配置成功后，市场操作按钮正确切换为“已连接”。
+- Bearer/API Key 连接器的详情页按钮直接打开凭据录入弹框，不再显示面向开发者的 `mcp_connector_configure` 错误。
+- 工具详情加载时正确携带已保存的 Bearer Token/API Key，避免连接成功后仍返回 401。
+- 北大法宝卡片改用用户确认的北大法宝印章 Logo，不再显示通用天平 Emoji。
+- 参数补全弹框和发送状态提示现在始终位于连接器详情弹框之上。
+- 正确解析 `WWW-Authenticate: Bearer resource_metadata="…"` 首个参数。
+- 修复鉴权表单 `hidden` 被网格布局覆盖、无鉴权模式误显示 API Key 字段。
+
 ## [0.1.0] - 2026-08-20
 
 ### Added
@@ -22,4 +69,6 @@
 - 外部 URL 与导入 Header 执行安全校验。
 - iframe 消息校验同源和消息来源。
 
+[Unreleased]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.0...HEAD
+[0.2.0]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.1.0...v0.2.0
 [0.1.0]: https://github.com/duhu2000/dsh-mcp-connector/releases/tag/v0.1.0

package/README.md

@@ -10,13 +10,18 @@
 
 - 左侧主导航入口：目标位置为“新会话”下方、“工作区/会话列表”上方；若 DSH DOM 结构不兼容，自动回退到底部公开插槽。
 - 图形化市场：市场/已安装、搜索、连接状态与刷新。
+- 图形化添加：手动 URL/鉴权、`mcpServers` JSON、连接器描述 URL 三种入口，失败时保留表单并给出修复建议。
 - 连接器详情：精选 Prompt 优先展示，点击可带入 DSH 新会话；工具按 Server 分组，支持描述、搜索和独立滚动。
+- Prompt 模板：使用 `{{company}}` 等变量，发送前填写真实查询主体。
 - 三种接入：OAuth 2.0 PKCE、自定义 URL/鉴权、导入 `mcpServers` JSON；也支持从连接器描述 URL 安装。
+- 市场 Bearer/API Key 连接器先执行 MCP initialize 连通性与凭据校验，全部 Server 通过后才持久化凭据并进入“已安装”。
 - 生命周期管理：连接持久化、重启恢复、启停、断开、OAuth 刷新与撤销。
 - 目录运营：内置目录、远程 registry、本地覆盖，支持 `published` 上下架与 `featured` 精选。
+- Registry 工具链：Schema/唯一性/密钥审计、MCP/OAuth 无凭据探针、每周健康巡检。
+- 平滑迁移：显式扫描并复制两个旧企查查 OAuth 插件授权；不删除原插件或原凭据。
 - 对话工具：`mcp_connector_catalog`、`connect`、`configure`、`import_json`、`install_from_url`、`status`、`set_enabled`、`disconnect`、`refresh_catalog`、`publish`、`tools_list`。
 
-首版内置 4 个企查查连接器，卡片统一使用包内企查查 Logo；插件架构本身不限定厂商。
+当前市场前 4 张为企查查连接器，第 5 张为“北大法宝·法律检索”，第 6 张为“Wind·股票数据”；插件架构不限定厂商。
 
 ## 安装
 
@@ -62,20 +67,28 @@ Bundle 默认配置位于 `cordis.patch.yml`：
 
 ```bash
 npm run check
+npm run registry:build
+npm run registry:validate
+npm run dev:ui
 ```
 
-该命令依次执行语法检查、29 项测试和 npm 发布包白名单校验。CI 使用 `--legacy-peer-deps` 安装显式测试依赖，DSH 运行期 peer 仍由 Host 提供。`v*` Tag 会触发 GitHub Actions；Tag 必须与 `package.json` 版本一致。仓库配置 `NPM_TOKEN` 后自动发布 npm，否则只创建 GitHub Release。
+`check` 执行语法检查、自动测试和 npm 发布包白名单校验；`dev:ui` 启动不含真实凭据的本地 mock 市场。CI 使用 `--legacy-peer-deps` 安装显式测试依赖，DSH 运行期 peer 仍由 Host 提供。`v*` Tag 会触发 GitHub Actions；Tag 必须与 `package.json` 版本一致。仓库配置 `NPM_TOKEN` 后自动发布 npm，否则只创建 GitHub Release。
 
-首个公开版本规划为 `dsh-mcp-connector@0.1.0`。
+当前公开版本为 [`dsh-mcp-connector@0.2.0`](https://www.npmjs.com/package/dsh-mcp-connector)，对应 [GitHub Release v0.2.0](https://github.com/duhu2000/dsh-mcp-connector/releases/tag/v0.2.0)。
 
 版本能力与变更记录见 [CHANGELOG.md](CHANGELOG.md)。
+Desktop 发版回归见 [docs/DESKTOP-E2E.md](docs/DESKTOP-E2E.md)。
+市场卡片、公共 registry 与 OAuth 一键授权要求见 [docs/MARKET-REGISTRATION.md](docs/MARKET-REGISTRATION.md)。
 
 ## 安全与限制
 
 - 凭证只持久化在 DSH storage domain，不进入目录、Git 仓库或对话历史。
+- 市场 Key/Token 校验失败时不写入 storage domain；鉴权、超时、DNS、TLS/网络错误会分类提示。
 - 外部 URL 仅允许 HTTPS，HTTP 仅允许回环地址；导入配置会校验 URL 与 Header。
+- 远程目录/描述响应限制 2 MiB，Web API 请求限制 1 MiB；原始 JSON 在归一化前扫描凭据字段。
 - 当前以 streamable-http 为主并兼容 SSE；stdio 配置会被明确跳过。
 - 顶部入口通过 DSH 稳定 `data-slot` 定位并使用 React Portal；DSH 若移除该标记，入口会回退到底部，不影响连接器功能。
+- 旧授权迁移必须显式确认，只复制不删除；确认新连接可用后再手动停用旧插件。
 
 ## License
 

package/catalog/catalog.json

@@ -13,6 +13,10 @@
       "published": true,
       "featured": true,
       "homepage": "https://open.qcc.com",
+      "promptVariables": [
+        { "name": "company", "label": "企业名称", "default": "小米科技有限责任公司", "placeholder": "例如：小米科技有限责任公司", "required": true },
+        { "name": "person", "label": "人员姓名", "default": "雷军", "placeholder": "例如：雷军", "required": true }
+      ],
       "auth": {
         "mode": "oauth2-pkce",
         "issuer": "https://agent.qcc.com",
@@ -30,32 +34,32 @@
         { "serverKey": "executive", "url": "https://agent.qcc.com/mcp/executive/stream", "serverName": "qcc-executive", "transport": "streamable-http", "headers": {} }
       ],
       "prompts": [
-        { "title": "企业最新工商变更", "text": "查询 小米科技有限责任公司 的最新工商变更记录", "server": "company" },
-        { "title": "股东结构", "text": "查询 小米科技有限责任公司 的股东构成与出资信息", "server": "company" },
-        { "title": "实际控制人", "text": "查询 小米科技有限责任公司 的实际控制人信息", "server": "company" },
-        { "title": "主要人员（高管团队）", "text": "查询 小米科技有限责任公司 的主要人员信息", "server": "company" },
-        { "title": "对外投资", "text": "查询 小米科技有限责任公司 的对外投资信息", "server": "company" },
-        { "title": "受益所有人识别", "text": "查询 小米科技有限责任公司 的受益所有人识别信息", "server": "company" },
-        { "title": "企业风险全景扫描", "text": "对 小米科技有限责任公司 做一次企业风险全景扫描", "server": "risk" },
-        { "title": "失信信息", "text": "查询 小米科技有限责任公司 的失信信息", "server": "risk" },
-        { "title": "被执行人信息", "text": "查询 小米科技有限责任公司 的被执行人信息", "server": "risk" },
-        { "title": "经营异常", "text": "查询 小米科技有限责任公司 的经营异常信息", "server": "risk" },
-        { "title": "商标信息", "text": "查询 小米科技有限责任公司 的商标信息", "server": "ipr" },
-        { "title": "专利信息", "text": "查询 小米科技有限责任公司 的专利信息", "server": "ipr" },
-        { "title": "软件著作权", "text": "查询 小米科技有限责任公司 的软件著作权信息", "server": "ipr" },
-        { "title": "作品著作权", "text": "查询 小米科技有限责任公司 的作品著作权信息", "server": "ipr" },
-        { "title": "招投标信息", "text": "查询 小米科技有限责任公司 的招投标信息", "server": "operation" },
-        { "title": "资质证书", "text": "查询 小米科技有限责任公司 的资质证书信息", "server": "operation" },
-        { "title": "行政许可", "text": "查询 小米科技有限责任公司 的行政许可信息", "server": "operation" },
-        { "title": "新闻舆情", "text": "查询 小米科技有限责任公司 的新闻舆情信息", "server": "operation" },
-        { "title": "历史股东", "text": "查询 小米科技有限责任公司 的历史股东变动记录", "server": "history" },
-        { "title": "历史法定代表人", "text": "查询 小米科技有限责任公司 的历史法定代表人记录", "server": "history" },
-        { "title": "历史失信", "text": "查询 小米科技有限责任公司 的历史失信记录（已移出名单）", "server": "history" },
-        { "title": "历史行政处罚", "text": "查询 小米科技有限责任公司 的历史行政处罚记录", "server": "history" },
-        { "title": "董监高个人风险扫描", "text": "对 小米科技有限责任公司 的董监高 雷军 做一次个人风险全景扫描", "server": "executive" },
-        { "title": "担任法定代表人", "text": "查询 小米科技有限责任公司 的董监高 雷军 担任法定代表人的情况", "server": "executive" },
-        { "title": "在外任职", "text": "查询 小米科技有限责任公司 的董监高 雷军 的在外任职信息", "server": "executive" },
-        { "title": "全部关联企业", "text": "查询 小米科技有限责任公司 的董监高 雷军 的全部关联企业", "server": "executive" }
+        { "title": "企业最新工商变更", "text": "查询 {{company}} 的最新工商变更记录", "server": "company" },
+        { "title": "股东结构", "text": "查询 {{company}} 的股东构成与出资信息", "server": "company" },
+        { "title": "实际控制人", "text": "查询 {{company}} 的实际控制人信息", "server": "company" },
+        { "title": "主要人员（高管团队）", "text": "查询 {{company}} 的主要人员信息", "server": "company" },
+        { "title": "对外投资", "text": "查询 {{company}} 的对外投资信息", "server": "company" },
+        { "title": "受益所有人识别", "text": "查询 {{company}} 的受益所有人识别信息", "server": "company" },
+        { "title": "企业风险全景扫描", "text": "对 {{company}} 做一次企业风险全景扫描", "server": "risk" },
+        { "title": "失信信息", "text": "查询 {{company}} 的失信信息", "server": "risk" },
+        { "title": "被执行人信息", "text": "查询 {{company}} 的被执行人信息", "server": "risk" },
+        { "title": "经营异常", "text": "查询 {{company}} 的经营异常信息", "server": "risk" },
+        { "title": "商标信息", "text": "查询 {{company}} 的商标信息", "server": "ipr" },
+        { "title": "专利信息", "text": "查询 {{company}} 的专利信息", "server": "ipr" },
+        { "title": "软件著作权", "text": "查询 {{company}} 的软件著作权信息", "server": "ipr" },
+        { "title": "作品著作权", "text": "查询 {{company}} 的作品著作权信息", "server": "ipr" },
+        { "title": "招投标信息", "text": "查询 {{company}} 的招投标信息", "server": "operation" },
+        { "title": "资质证书", "text": "查询 {{company}} 的资质证书信息", "server": "operation" },
+        { "title": "行政许可", "text": "查询 {{company}} 的行政许可信息", "server": "operation" },
+        { "title": "新闻舆情", "text": "查询 {{company}} 的新闻舆情信息", "server": "operation" },
+        { "title": "历史股东", "text": "查询 {{company}} 的历史股东变动记录", "server": "history" },
+        { "title": "历史法定代表人", "text": "查询 {{company}} 的历史法定代表人记录", "server": "history" },
+        { "title": "历史失信", "text": "查询 {{company}} 的历史失信记录（已移出名单）", "server": "history" },
+        { "title": "历史行政处罚", "text": "查询 {{company}} 的历史行政处罚记录", "server": "history" },
+        { "title": "董监高个人风险扫描", "text": "对 {{company}} 的董监高 {{person}} 做一次个人风险全景扫描", "server": "executive" },
+        { "title": "担任法定代表人", "text": "查询 {{company}} 的董监高 {{person}} 担任法定代表人的情况", "server": "executive" },
+        { "title": "在外任职", "text": "查询 {{company}} 的董监高 {{person}} 的在外任职信息", "server": "executive" },
+        { "title": "全部关联企业", "text": "查询 {{company}} 的董监高 {{person}} 的全部关联企业", "server": "executive" }
       ]
     },
     {
@@ -70,6 +74,9 @@
       "published": true,
       "featured": false,
       "homepage": "https://open.qcc.com",
+      "promptVariables": [
+        { "name": "topic", "label": "法律主题", "default": "劳动合同解除", "placeholder": "例如：劳动合同解除", "required": true }
+      ],
       "auth": {
         "mode": "oauth2-pkce",
         "issuer": "https://agent.qcc.com",
@@ -83,10 +90,10 @@
         { "serverKey": "case", "url": "https://agent.qcc.com/mcp/case/stream", "serverName": "qcc-case", "transport": "streamable-http", "headers": {} }
       ],
       "prompts": [
-        { "title": "法规检索", "text": "检索与「劳动合同解除」相关的法律法规", "server": "regulation" },
-        { "title": "法条检索", "text": "检索与「劳动合同解除」相关的法条原文", "server": "regulation" },
-        { "title": "司法案例检索", "text": "检索与「劳动合同违法解除」相关的司法案例", "server": "case" },
-        { "title": "权威案例检索", "text": "检索与「劳动合同违法解除」相关的权威司法案例", "server": "case" }
+        { "title": "法规检索", "text": "检索与「{{topic}}」相关的法律法规", "server": "regulation" },
+        { "title": "法条检索", "text": "检索与「{{topic}}」相关的法条原文", "server": "regulation" },
+        { "title": "司法案例检索", "text": "检索与「{{topic}}」相关的司法案例", "server": "case" },
+        { "title": "权威案例检索", "text": "检索与「{{topic}}」相关的权威司法案例", "server": "case" }
       ]
     },
     {
@@ -101,6 +108,10 @@
       "published": true,
       "featured": false,
       "homepage": "https://open.qcc.com",
+      "promptVariables": [
+        { "name": "keyword", "label": "项目关键词", "default": "智慧城市", "placeholder": "例如：智慧城市", "required": true },
+        { "name": "company", "label": "企业名称", "default": "华为技术有限公司", "placeholder": "例如：华为技术有限公司", "required": true }
+      ],
       "auth": {
         "mode": "oauth2-pkce",
         "issuer": "https://agent.qcc.com",
@@ -113,9 +124,9 @@
         { "serverKey": "tender", "url": "https://agent.qcc.com/mcp/tender/stream", "serverName": "qcc-tender", "transport": "streamable-http", "headers": {} }
       ],
       "prompts": [
-        { "title": "招投标检索", "text": "检索与「智慧城市」相关的招投标、采购和中标标讯", "server": "tender" },
-        { "title": "拟建项目检索", "text": "检索与「新能源汽车」相关的拟建项目", "server": "tender" },
-        { "title": "企业招投标检索", "text": "查询 华为技术有限公司 相关的招标、投标、中标和采购标讯", "server": "tender" }
+        { "title": "招投标检索", "text": "检索与「{{keyword}}」相关的招投标、采购和中标标讯", "server": "tender" },
+        { "title": "拟建项目检索", "text": "检索与「{{keyword}}」相关的拟建项目", "server": "tender" },
+        { "title": "企业招投标检索", "text": "查询 {{company}} 相关的招标、投标、中标和采购标讯", "server": "tender" }
       ]
     },
     {
@@ -130,6 +141,9 @@
       "published": true,
       "featured": false,
       "homepage": "https://open.qcc.com",
+      "promptVariables": [
+        { "name": "company", "label": "企业名称", "default": "小米科技有限责任公司", "placeholder": "例如：小米科技有限责任公司", "required": true }
+      ],
       "auth": {
         "mode": "oauth2-pkce",
         "issuer": "https://agent.qcc.com",
@@ -141,7 +155,91 @@
       "servers": [
         { "serverKey": "document", "url": "https://agent.qcc.com/mcp/document/stream", "serverName": "qcc-document", "transport": "streamable-http", "headers": {} }
       ],
-      "prompts": []
+      "prompts": [
+        { "title": "企业尽调报告", "text": "为 {{company}} 生成一份企业尽职调查报告", "server": "document" },
+        { "title": "企业风险报告", "text": "为 {{company}} 生成一份企业风险分析报告", "server": "document" },
+        { "title": "工商信息摘要", "text": "整理 {{company}} 的工商与股权信息摘要", "server": "document" }
+      ]
+    },
+    {
+      "id": "pkulaw-legal",
+      "name": "北大法宝·法律检索",
+      "vendor": "北大法宝 PKULaw",
+      "icon": "/mcp-connector/ui/assets/pkulaw-logo.png",
+      "category": "法律数据",
+      "summary": "法规 / 法条 / 司法案例检索与引用核验",
+      "description": "接入北大法宝法律法规、司法案例、法条识别与引用核验能力。需使用北大法宝 Access Token，相关服务可能需要单独开通或购买。",
+      "tags": ["法律", "法规", "案例", "法条", "第三方收录"],
+      "published": true,
+      "featured": false,
+      "homepage": "https://mcp.pkulaw.com/",
+      "promptVariables": [
+        { "name": "topic", "label": "法律主题", "default": "劳动合同解除", "placeholder": "例如：劳动合同解除", "required": true },
+        { "name": "caseTopic", "label": "案例主题", "default": "竞业限制违约", "placeholder": "例如：竞业限制违约", "required": true },
+        { "name": "citation", "label": "法律引用", "default": "《民法典》第五百七十七条", "placeholder": "例如：《民法典》第五百七十七条", "required": true }
+      ],
+      "auth": {
+        "mode": "bearer",
+        "credentialName": "北大法宝 Access Token",
+        "credentialPlaceholder": "请输入您的北大法宝 Access Token",
+        "credentialDescription": "用于访问北大法宝 MCP；仅保存在 DSH 本机。",
+        "credentialHelpLabel": "如何获取北大法宝 Token？"
+      },
+      "servers": [
+        { "serverKey": "law-search", "url": "https://apim-gateway.pkulaw.com/mcp-law-search-service", "serverName": "pkulaw-law-search", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "law-keyword", "url": "https://apim-gateway.pkulaw.com/mcp-law", "serverName": "pkulaw-law-keyword", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "case-semantic-search", "url": "https://apim-gateway.pkulaw.com/mcp-case-search-service", "serverName": "pkulaw-case-semantic-search", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "case-keyword", "url": "https://apim-gateway.pkulaw.com/mcp-case", "serverName": "pkulaw-case-keyword", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "law-item-keyword", "url": "https://apim-gateway.pkulaw.com/mcp-fatiao", "serverName": "pkulaw-law-item-keyword", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "law-recognition", "url": "https://apim-gateway.pkulaw.com/law_recognition", "serverName": "pkulaw-law-recognition", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "case-number-recognition", "url": "https://apim-gateway.pkulaw.com/case_number_recognition", "serverName": "pkulaw-case-number-recognition", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "citation-validator", "url": "https://apim-gateway.pkulaw.com/pku_citation_validator", "serverName": "pkulaw-citation-validator", "transport": "streamable-http", "headers": {} },
+        { "serverKey": "doc-link", "url": "https://apim-gateway.pkulaw.com/add-doc-link", "serverName": "pkulaw-doc-link", "transport": "streamable-http", "headers": {} }
+      ],
+      "prompts": [
+        { "title": "法规与法条检索", "text": "用北大法宝 MCP 检索与「{{topic}}」相关的现行法律规定，并给出法条原文和效力信息", "server": "law-search" },
+        { "title": "典型司法案例", "text": "用北大法宝 MCP 检索与「{{caseTopic}}」相关的典型司法案例，并列出案号和裁判要点", "server": "case-semantic-search" },
+        { "title": "法律引用识别", "text": "用北大法宝 MCP 识别并核验 {{citation}} 的标准出处和现行法条原文", "server": "law-recognition" },
+        { "title": "法律引用核验", "text": "用北大法宝 MCP 核验 {{citation}} 是否准确，并说明当前效力状态", "server": "citation-validator" }
+      ]
+    },
+    {
+      "id": "wind-stock-data",
+      "name": "Wind·股票数据",
+      "vendor": "Wind 万得",
+      "icon": "/mcp-connector/ui/assets/wind-logo.png",
+      "category": "金融数据",
+      "summary": "全球股票档案 / 行情 / 技术指标 / 财务与公司事件",
+      "description": "接入万得股票数据服务，覆盖公司档案、股本与股东、行情报价、技术指标、基本面财务、公司事件及风险波动性数据。需使用 Wind Key，服务权限以万得账户实际开通范围为准。",
+      "tags": ["股票", "行情", "财务", "技术指标", "第三方收录"],
+      "published": true,
+      "featured": false,
+      "homepage": "https://aifinmarket.wind.com.cn/#/market?tab=mcps&detailType=mcp&detailId=wind_stock_data-0",
+      "promptVariables": [
+        { "name": "stock", "label": "股票名称或代码", "default": "贵州茅台（600519.SH）", "placeholder": "例如：贵州茅台（600519.SH）", "required": true }
+      ],
+      "auth": {
+        "mode": "bearer",
+        "credentialName": "Wind API Key（个人密钥）",
+        "credentialPlaceholder": "请输入您的个人 Wind API Key",
+        "credentialDescription": "用于访问 Wind MCP 的个人访问令牌；仅保存在 DSH 本机。",
+        "credentialHelpLabel": "如何获取 Wind API Key？"
+      },
+      "servers": [
+        {
+          "serverKey": "stock-data",
+          "url": "https://mcp.wind.com.cn/vserver_stock_data/mcp/",
+          "serverName": "wind_stock_data",
+          "transport": "streamable-http",
+          "headers": { "Accept": "application/json, text/event-stream" }
+        }
+      ],
+      "prompts": [
+        { "title": "公司档案与行业", "text": "用 Wind 股票数据 MCP 查询 {{stock}} 的公司档案、主营业务和所属行业", "server": "stock-data" },
+        { "title": "最新行情", "text": "用 Wind 股票数据 MCP 查询 {{stock}} 的最新价格、成交量、换手率和买卖报价", "server": "stock-data" },
+        { "title": "技术与波动指标", "text": "用 Wind 股票数据 MCP 查询 {{stock}} 最近 20 个交易日的 MACD、RSI、波动率和涨跌幅", "server": "stock-data" },
+        { "title": "核心财务指标", "text": "用 Wind 股票数据 MCP 查询 {{stock}} 最新报告期的营业收入、净利润、ROE 和现金流", "server": "stock-data" }
+      ]
     },
     {
       "id": "legacy-internal",

package/docs/DESKTOP-E2E.md

@@ -0,0 +1,28 @@
+# Desktop / Web UI 回归清单
+
+## 自动门禁
+
+```bash
+npm run check
+npm run dev:ui
+```
+
+访问 `http://127.0.0.1:4173/mcp-connector/ui/`。本地测试壳不读凭据、不访问真实 MCP，固定提供 125 个 mock 工具，用于验证大目录分批渲染。
+
+## 每次发版前 Desktop 实机
+
+1. 完全退出并重启 DSH Desktop；展开/收起侧栏，入口始终在“新会话”下、“工作区”上且不重复。
+2. 切换工作区、新建会话、重建侧栏后入口仍存在；目标 slot 缺失时 footer 降级可点击。
+3. 打开市场，验证中英文切换、系统深浅主题、Tab 顺序、Escape 关闭与焦点回到触发按钮。
+4. 点击未连接卡片可查看详情；点击已连接卡片可读实时工具、搜索并每次再加载 50 条。
+5. “添加连接”依次验证手动、JSON、市场卡片；JSON 示例/粘贴可缩进格式化，错误 URL/JSON/凭据得到可行动提示。
+6. Bearer/API Key 型市场卡片先填错误凭据：弹框内应显示鉴权/网络分类错误，不得进入「已安装」；再填正确凭据，只有卡片下所有 Server 均通过 initialize 校验后才批量安装。
+7. 参数化 Prompt 填写企业/人员/主题后，发送到当前工作区新会话草稿；重复点击和超时有提示。
+8. OAuth：授权回调、重启恢复、停用/启用、断开撤销；二级弹框蒙层与关闭按钮清晰。
+9. 旧插件迁移先预览，明确确认后复制；旧凭据仍保留，新连接验证后再手工停用旧插件。
+
+## 不自动执行的项目
+
+- 不在 CI 中完成真实 OAuth 登录。
+- 不自动删除旧插件、旧 storage domain 或凭据。
+- 不因探针一次失败直接删除社区条目；定时报告供维护者复核。

package/docs/MARKET-REGISTRATION.md

@@ -0,0 +1,107 @@
+# MCP 连接器市场注册指南
+
+## 1. 先区分两种 JSON
+
+| 类型 | 用途 | 是否含凭据 | 显示位置 |
+|---|---|---|---|
+| `mcpServers` 配置 | 为当前用户直接创建 MCP 连接 | 可以包含 Bearer/API Key | 「已安装」 |
+| `ConnectorDescriptor` | 定义可浏览、可授权的市场卡片 | **不得包含任何凭据** | 「市场」 |
+
+`mcpServers` 只有运行连接所需的 URL/Header，不包含厂商、Logo、产品说明、鉴权流程和示例 Prompt，因此导入后不会自动上架市场。
+
+## 2. 先安装到本机市场
+
+1. 按 `registry/schema/connector.schema.json` 编写无密钥的 ConnectorDescriptor。
+2. 将 JSON 托管在 HTTPS URL（本机调试可使用 loopback HTTP）。
+3. 在插件中选择「添加连接 → 市场卡片」，粘贴 URL。
+4. Schema/密钥审计通过后，卡片会持久化到本机市场。
+
+Bearer/API Key 型连接器可在卡片上点「配置」，一次填写凭据后批量连接该卡片的所有 Server。
+
+## 3. 提交公共市场
+
+1. 在 `registry/connectors/<id>.json` 新增一个描述文件，一个连接器一个文件。
+2. 运行 `npm run registry:build` 和 `npm run registry:validate`。
+3. 提交 PR。CI 会检查 Schema、重复 id/serverName、密钥、URL、MCP initialize、OAuth 元数据和图标。
+4. 合并后生成远程 `catalog.json`；客户端刷新目录后可见。
+
+公开 registry 独立仓库未拆分前，先向 `duhu2000/dsh-mcp-connector` 开发分支提交描述；拆分后流程不变。
+
+## 4. OAuth 一键授权要求
+
+`auth.mode: "oauth2-pkce"` 不是将现有 Bearer Token 改个名称。厂商服务端必须支持：
+
+- OAuth Authorization Code + PKCE S256；
+- MCP Protected Resource Metadata（RFC 9728）；
+- Authorization Server Metadata（RFC 8414）；
+- `authorization_endpoint`、`token_endpoint`、`registration_endpoint`、`revocation_endpoint`；
+- Dynamic Client Registration，且支持 loopback callback URI；
+- Refresh Token 和撤销。
+
+符合上述条件的最小描述：
+
+```json
+{
+  "schemaVersion": 1,
+  "id": "vendor-legal",
+  "name": "厂商·法律数据",
+  "vendor": "厂商名称",
+  "category": "法律数据",
+  "summary": "法规与案例检索",
+  "published": true,
+  "auth": {
+    "mode": "oauth2-pkce",
+    "issuer": "https://auth.vendor.example",
+    "scope": "mcp:tools",
+    "clientName": "DeepSeek Harness - MCP 连接器",
+    "tokenEndpointAuthMethod": "none"
+  },
+  "servers": [
+    {
+      "serverKey": "law",
+      "url": "https://mcp.vendor.example/law",
+      "serverName": "vendor-law",
+      "transport": "streamable-http"
+    }
+  ]
+}
+```
+
+## 5. 北大法宝当前适配结论
+
+北大法宝当前公开文档的主路径是在控制台生成 Access Token，然后通过 `Authorization: Bearer ...` 访问多个 MCP Server。因此：
+
+- JSON 导入：可直接使用，显示在「已安装」；
+- 公共市场：**技术评估为“有条件通过（Tier 1 / 第三方）”**。可用 `auth.mode: "bearer"` 注册，用户一次填写 Token 后批量连接所有 Server；
+- 真正 OAuth 一键授权：需北大法宝提供第 4 节所列的标准端点，或与 DSH 进行预注册客户端集成；仅凭当前 `mcpServers` JSON 无法自动获得此能力。
+
+正式发布公共卡片前还需完成以下门槛：
+
+- 由北大法宝确认可公开使用的产品名称、Logo、描述和支持地址；未确认前必须标识为“第三方/非官方收录”；
+- 描述文件不得内置 Token，并明确提示用户需自行注册、购买或开通相应服务；
+- 对官网列出的全部 Server 执行 Schema、HTTPS、MCP initialize 和共享 Token 批量连接验证；
+- 如要宣称“OAuth 一键授权”，必须补齐并验证标准发现元数据、Authorization Code + PKCE、动态客户端注册、刷新与撤销流程。
+
+因此当前建议是：**可以准备并提交 Bearer 型公共市场卡片；暂不作为“官方精选”或“OAuth 一键授权”卡片发布。**
+
+参考：
+
+- https://mcp.pkulaw.com/docs?doc=authentication
+- https://mcp.pkulaw.com/docs?doc=mcp-integration
+
+## 6. Wind 股票数据当前适配结论
+
+万得 AIFin Market 的“万得股票数据服务”详情页公开了标准 MCP 手工配置：
+
+- MCP URL：`https://mcp.wind.com.cn/vserver_stock_data/mcp/`；
+- 鉴权：`Authorization: Bearer YOUR_WIND_KEY`；
+- 响应协商：`Accept: application/json, text/event-stream`；
+- 当前公开能力范围：公司档案、股本与股东、行情报价、技术指标、基本面财务、公司事件、风险与波动性，共 10 个工具。
+
+因此该服务可按 **Tier 1 / 第三方 Bearer 连接器**上架市场：用户填写一次 Wind Key 后建立一条股票数据连接。卡片只描述官网当前公开的股票 MCP 能力，不扩展宣称基金、债券、新闻或宏观数据；实际数据权限以用户的万得账户开通范围为准。
+
+当前公开页面没有展示可由通用客户端自动发现的 OAuth Authorization Code + PKCE 流程，因此本卡片不标注“OAuth 一键授权”。如万得后续开放标准 OAuth 元数据，可再升级为 OAuth 连接器。
+
+参考：
+
+- https://aifinmarket.wind.com.cn/#/market?tab=mcps&detailType=mcp&detailId=wind_stock_data-0

package/lib/catalog.js

@@ -6,6 +6,23 @@ import { readFileSync } from 'node:fs';
 import { normalizeConnectorDescriptor } from './schema.js';
 import { assertSafeUrl, assertSafeHeaderName } from './util.js';
 
+const MAX_CATALOG_BYTES = 2 * 1024 * 1024;
+
+const SECRET_KEY_RE = /^(?:access[-_]?token|refresh[-_]?token|token|api[-_]?key|secret|client[-_]?secret|password|authorization)$/i;
+
+/** 在 zod 丢弃未知字段前扫描原始 JSON，避免把夹带的 token 静默忽略。 */
+export function auditRawDescriptor(raw, path = 'connector') {
+  if (!raw || typeof raw !== 'object') return raw;
+  for (const [key, value] of Object.entries(raw)) {
+    const fieldPath = `${path}.${key}`;
+    if (SECRET_KEY_RE.test(key) && value !== undefined && value !== null && String(value).trim() !== '') {
+      throw new Error(`${fieldPath} 禁止携带凭证或密钥`);
+    }
+    if (typeof value === 'object') auditRawDescriptor(value, fieldPath);
+  }
+  return raw;
+}
+
 /** 读取包内内置目录 */
 export function loadBundledCatalog() {
   try {
@@ -32,19 +49,33 @@ export function auditDescriptor(descriptor) {
   return descriptor;
 }
 
+export async function readLimitedJson(response, maxBytes = MAX_CATALOG_BYTES) {
+  const declared = Number(response.headers.get('content-length'));
+  if (Number.isFinite(declared) && declared > maxBytes) throw new Error(`JSON 响应超过 ${maxBytes} bytes`);
+  const bytes = new Uint8Array(await response.arrayBuffer());
+  if (bytes.byteLength > maxBytes) throw new Error(`JSON 响应超过 ${maxBytes} bytes`);
+  try {
+    return JSON.parse(new TextDecoder().decode(bytes));
+  } catch (error) {
+    throw new Error(`JSON 解析失败: ${error instanceof Error ? error.message : String(error)}`);
+  }
+}
+
 /** 拉取远程 registry（HTTPS + TTL 缓存 + 可选 ETag） */
 export async function fetchRemoteCatalog(catalogUrl, { requestTimeoutMs, etag } = {}) {
+  assertSafeUrl(catalogUrl);
   const controller = new AbortController();
   const timer = setTimeout(() => controller.abort(new Error('timeout')), requestTimeoutMs ?? 15_000);
   try {
     const headers = {};
     if (etag) headers['If-None-Match'] = etag;
     const response = await fetch(catalogUrl, { headers, signal: controller.signal });
+    assertSafeUrl(response.url || catalogUrl);
     if (response.status === 304) return { notModified: true };
     if (!response.ok) throw new Error(`catalog fetch HTTP ${response.status}`);
-    const data = await response.json();
+    const data = await readLimitedJson(response);
     const list = Array.isArray(data) ? data : Array.isArray(data?.connectors) ? data.connectors : [];
-    const connectors = list.map((raw) => auditDescriptor(normalizeConnectorDescriptor(raw)));
+    const connectors = list.map((raw) => auditDescriptor(normalizeConnectorDescriptor(auditRawDescriptor(raw))));
     return { notModified: false, etag: response.headers.get('etag') ?? undefined, connectors };
   } finally {
     clearTimeout(timer);
@@ -83,6 +114,6 @@ export function listCatalog(merged, { category, keyword, publishedOnly = true }
         .some((v) => String(v).toLowerCase().includes(kw)),
     );
   }
-  // 精选位优先，其余按 id 排序保持稳定
-  return [...list].sort((a, b) => (b.featured === true) - (a.featured === true) || a.id.localeCompare(b.id));
+  // 精选位优先；同级保留目录声明顺序，便于维护明确的市场陈列顺序。
+  return [...list].sort((a, b) => (b.featured === true) - (a.featured === true));
 }