dsh-mobile-plugin 0.1.92 → 0.1.94

package/lib/update-install.cjs

@@ -138,8 +138,6 @@ function installedVersion(profileNodeModules, name = DEFAULT_NAME) {
 /**
  * profile 的依赖声明里这个包是怎么装的（`profileDir` 是 profile 根，不是它的 node_modules）。
  *
- * 只有 `link:` 要拦：那是**故意**把插件指向某个本地目录（开发时），装一次 npm 版会把这个
- * 指向悄悄改掉。`file:` 的 tgz 与普通版号都照装（前者会一并换成注册表来源，这是想要的）。
  * 读不到就说不知道（null），不要瞎猜。
  */
 function declaredSource(profileDir, name = DEFAULT_NAME) {
@@ -156,6 +154,43 @@ function declaredSource(profileDir, name = DEFAULT_NAME) {
   }
 }
 
+/** 「只有从注册表装的，才由注册表来更新」——其余装法一律不碰盘。 */
+const REGISTRY_SOURCES = new Set(['npm']);
+
+/**
+ * 一次安装请求能不能动盘。
+ *
+ * 判据是 profile 里**声明的来源**，不是「装没装得上」：`link:` 指向本地目录（开发时故意
+ * 指过去的）、`file:` 指向本机打出来的 tgz（开发版）、`workspace:` 指向本仓库的包——
+ * 这三种都是有人**明确安排**的装法，装一次注册表版会把那个指向悄悄改掉，而这正是开发机
+ * 上最不想要的一次覆盖：改完一轮代码，后台自己把 npm 版装回来，然后所有本地改动「明明
+ * 改了却没生效」。
+ *
+ * 所以「能不能点更新」这一格由来源决定，不由外部命令决定：非注册表来源**连试都不试**，
+ * 如实回一个稳定错误码，让人知道这台是怎么更新的（插件自己的改动只能由改代码的人来推）。
+ *
+ * 读不到来源（profile 里没有这条依赖，或文件坏了）不算已知来源：那种现场通常意味着
+ * 插件压根不是从 profile 装的，装一次反而是「修复」，所以放行。
+ *
+ * @param {string|null} source - `declaredSource` 的结果。
+ * @returns {{ ok: true } | { ok: false, code: string, message: string }}
+ */
+function installAllowedFor(source) {
+  if (source === null || REGISTRY_SOURCES.has(source)) return { ok: true };
+  const how = source === 'linked' ? 'link: 一个本地目录'
+    : source === 'file' ? 'file: 一个本机打出来的包'
+      : source === 'workspace' ? 'workspace: 本仓库里的包'
+        : `来源 ${source}`;
+  return {
+    ok: false,
+    code: 'LOCAL_SOURCE',
+    message:
+      `这个插件在 profile 里是 ${how}（${source}）装的，是有意为之：改成注册表版会把那个指向换掉，`
+      + '本地的改动就再也不生效了。所以这里既不检查也不安装 —— 这一台的插件更新由改代码的人来做'
+      + '（同步文件后让宿主就地重载）；要换回按版号安装，先在插件市场里按包名重装一次。',
+  };
+}
+
 /**
  * 宿主**发布出来**的包管理器调用方式（DSH 桌面版把它挂在 `profileContext.packageManager`
  * 上，形状 `{command, args, env?}`）。
@@ -280,6 +315,14 @@ async function installLatest({
     failure: { code, message },
   });
 
+  /**
+   * 来源那道门排在**挑包管理器之前**：非注册表来源连 `pnpm --version` 都不该跑一次 ——
+   * 那一步只是探活，但排在前面会让「这台根本不该装」和「这台装不了」混成同一种失败。
+   */
+  const source = declaredSource(profileDir, name);
+  const gate = installAllowedFor(source);
+  if (!gate.ok) return fail(gate.code, gate.message);
+
   /**
    * 挑一个能用的包管理器：**宿主给的那个先试**（探一次 `--version`，跑不起来就当没有），
    * 之后才是 PATH 上的 pnpm / npm。返回 `{command, prefix, manager, kind}`。
@@ -313,15 +356,6 @@ async function installLatest({
     );
   }
 
-  const source = declaredSource(profileDir, name);
-  if (source === 'linked') {
-    return fail(
-      'LINKED_SOURCE',
-      '这个插件在 profile 里指向一个本地目录（link:），是有意为之。自己装会把那个指向改掉，' +
-        '所以这里不动它：要去掉这个指向，先在插件市场里按包名重装一次。',
-    );
-  }
-
   const spec = `${name}@${version}`;
   const releaseAgeFlag = '--config.minimum-release-age=0';
   const args = picked.manager === 'pnpm'
@@ -394,12 +428,19 @@ async function installLatest({
 }
 
 /**
- * 「让我变成最新」：先看有没有人在干活，再查一次，最后决定装不装。
+ * 「让我变成最新」：先看这台是不是注册表来源，再看有没有人在干活，最后决定装不装。
  *
  * 面板那颗按钮**与外壳的自动更新**都打这个入口 —— 两处走同一套判定，免得出现「手动说有
  * 新版、自动说没有」这种最难查的偏差。已经是最新（`force` 为假）就什么都不做、如实报
  * `skipped`。
  *
+ * ## 为什么来源排在第一位
+ *
+ * 只有从注册表装的包才该由注册表来更新。`link:` / `file:` / `workspace:` 是有人**明确
+ * 安排**的装法（开发机就是这么跑的），装一次注册表版会把那个指向悄悄换掉 —— 表现为「明明
+ * 改了代码却没生效」，而改代码的人还以为是缓存。`force` 也过不去这一关：这不是「现在不行」，
+ * 是「这台不该这么装」。
+ *
  * ## 为什么装之前先看有没有 agent 在跑
  *
  * 装会**就地换掉插件文件**（profile 里那一份），而正在干活的对话可能正好在装配/读取插件
@@ -412,7 +453,24 @@ async function installLatest({
 async function installLatestIfNeeded(options = {}) {
   const { profileNodeModules, force = false, name = DEFAULT_NAME, agents = null } = options;
   const beforeVersion = installedVersion(profileNodeModules, name);
-  const check = await checkForUpdate({ installedVersion: beforeVersion, source: declaredSource(path.dirname(profileNodeModules), name) });
+  // 来源那道门排在最前：非注册表来源连「线上最新是几」都不用问 —— 答案再新也不该装，
+  // 而且这一条同时管着手动与自动两条路（自动更新永远不带 force，照样过不去）。
+  const source = declaredSource(path.dirname(profileNodeModules), name);
+  const gate = installAllowedFor(source);
+  if (!gate.ok) {
+    return {
+      installed: false,
+      skipped: true,
+      beforeVersion,
+      installedVersion: beforeVersion,
+      source,
+      command: null,
+      output: '',
+      failure: { code: gate.code, message: gate.message },
+      check: null,
+    };
+  }
+  const check = await checkForUpdate({ installedVersion: beforeVersion, source });
   // 「有没有新版」排在「有没有人在跑」**前面**：没东西可装的时候，拿一句「有对话在跑」挡住
   // 真正的答案（已经是最新）是误导 —— 2026-10-11 真机上就是这么被绊了一下。
   if (!force && !check.updateAvailable) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-mobile-plugin",
-  "version": "0.1.92",
+  "version": "0.1.94",
   "description": "Mobile API (/api/mobile/v1) and relay client for the DSH mobile app — desktop profile build (0.2.0-rc.2 compatible, peers resolved by the host)",
   "license": "MIT",
   "type": "module",
@@ -45,7 +45,7 @@
     "test": "node --test test/*.test.cjs && node test/lan-direct-e2e.cjs && node test/sidecar-facade.cjs"
   },
   "dependencies": {
-    "@deepseek-ai/dsh-tool-ask-user": "0.1.1-rc.2",
+    "@deepseek-ai/dsh-tool-ask-user": "0.2.0-rc.2",
     "qrcode": "1.5.4",
     "ws": "8.18.0"
   },