dsh-mobile-plugin 0.4.8 → 0.5.0

package/lib/update-install.cjs

@@ -7,16 +7,26 @@
  * 另一个插件没装、太老或坏了就整个失效。
  *
  * 不自己实现包管理，只驱动它：profile 的 pnpm-workspace.yaml 已经写好 node-linker、peer 等
- * 关键设置，这里只「cd 到 profile 跑一句 pnpm add <包名>@<版本>」，不传布局类开关。三处必要
- * 的开关：auto-install-peers=false（peer 是运行时注入的，npm 上没有）、CI=1（无终端），以及
- * 撞上 pnpm「新发布先晾一会儿」时带 minimum-release-age=0 重试一次（那道策略查整份 lockfile，
- * 别的插件刚发也会连累我们）。
+ * 关键设置，这里只「cd 到 profile 跑一句 pnpm add <包名>@<版本>」，不传布局类开关。必要的
+ * 开关有两层：auto-install-peers=false（peer 是运行时注入的，npm 上没有）、minimum-release-age=0
+ * （2026-10-26 用户要求一检测到新版就立刻装，不等「新发布先晾一会儿」；那道策略查的是整份
+ * lockfile，别的插件刚发也会连累我们），再加上 CI=1（无终端）。命令行带一份、环境变量再带一份：
+ * pnpm 12 的原生 CLI 会静默忽略这两个 --config 参数，环境变量那一份还认。
+ *
+ * 装完要**登记**：这个版本是被我们绕过晾置期装进去的，不写进 profile 的 minimumReleaseAgeExclude，
+ * 它就会留在 lockfile 里，之后 pnpm 校验整份 lockfile 时把这台机器上所有安装都拒掉
+ * （官方桌面端不替用户临时放行，只能干等 24 小时）。
  *
  * 包管理器优先用宿主发布的那个（profile 是宿主自带 pnpm 装的，PATH 上版本不同会
  * ERR_PNPM_UNEXPECTED_STORE），找不到再退回 PATH。装之前先看有没有 agent 在跑；force 与 auto
- * 都跳过这道闸、也都不等发布晾置期（2026-10-26 用户要求自动更新一检测到新版就立刻装，与面板
- * 上那颗「强制更新」同一个口径），两者的区别只剩「没新版时装不装」。顺序上先答「有没有新版」，
- * 没东西可装时不该拿「有对话在跑」挡在前面。
+ * 都跳过这道闸（2026-10-26 用户要求自动更新一检测到新版就立刻装，与面板上那颗「强制更新」
+ * 同一个口径），两者的区别只剩「没新版时装不装」。顺序上先答「有没有新版」，没东西可装时
+ * 不该拿「有对话在跑」挡在前面。
+ *
+ * 宿主环境对不上时先修一次再重试：node_modules 是旧版 pnpm 建的（两个 hoist 相关的
+ * ERR_PNPM_*_DIFF）就重建依赖树；记录的 store 和现在解析的不是同一个（ERR_PNPM_UNEXPECTED_STORE）
+ * 就把记录里的那个 store 写回 profile 的 storeDir。两种都只修一次，修不了就如实失败 —— 这类
+ * 现场不修的话，这台机器之后每一次更新都会撞同一堵墙。
  *
  * 只动 profile 的依赖树；找不到包管理器就如实失败；装完以盘上版本号为准，退出码 0 不算装上。
  */
@@ -34,6 +44,9 @@ const DEFAULT_NAME = 'dsh-mobile-plugin';
 /** 一次安装的上限：pnpm 装一个包 + 拉依赖，给足但别无限等。 */
 const INSTALL_TIMEOUT_MS = 10 * 60 * 1000;
 
+/** 依赖树是旧版 pnpm 建的：这两种报错都只说明「要重建」，不是这一版有问题。 */
+const HOIST_DIFF = /ERR_PNPM_PUBLIC_HOIST_PATTERN_DIFF|ERR_PNPM_VIRTUAL_STORE_DIR_MAX_LENGTH_DIFF/;
+
 /** 命令输出留多少字符（日志与错误信息里给个人看得懂的尾巴）。 */
 const OUTPUT_TAIL = 4000;
 
@@ -88,6 +101,90 @@ function spawnEnv(dirs, env = process.env) {
   return { ...env, PATH: [...dirs, ...existing].join(path.delimiter), CI: env.CI || '1' };
 }
 
+/**
+ * 每次调 pnpm 都带上的那两格策略开关，**环境变量这一份不是备份，是另一半**。
+ *
+ * pnpm 11 两种写法都认；pnpm 12 的原生 CLI 会静默忽略部分 `--config.*`（市场在 #600 上实测
+ * 过，一次装失败一次白等），但同一个键走 `PNPM_CONFIG_*` 它照读。命令行与环境变量各带一份，
+ * 换哪个大版本都不用重新猜。
+ */
+const POLICY_ENV = {
+  PNPM_CONFIG_AUTO_INSTALL_PEERS: 'false',
+  PNPM_CONFIG_MINIMUM_RELEASE_AGE: '0',
+};
+
+/** 「配置里这个包用的是哪个注册表」缓存多久：查更新两分钟一轮，源不常换。 */
+const REGISTRY_CACHE_MS = 5 * 60 * 1000;
+
+/** profile 目录 → 上一次问到的注册表（问不到也记，省得每轮重跑一次包管理器）。 */
+const registryCache = new Map();
+
+/**
+ * 从 `<pm> config get registry` 的输出里取地址。
+ *
+ * pnpm / npm 都只回一行地址；升级提示、警告可能在前面，所以从后往前找第一个 http(s) 行。
+ */
+function parseRegistryOutput(output) {
+  const lines = String(output || '').split('\n').map(line => line.trim()).filter(Boolean);
+  for (let i = lines.length - 1; i >= 0; i -= 1) {
+    if (/^https?:\/\/\S+$/.test(lines[i])) return lines[i].replace(/\/+$/, '');
+  }
+  return null;
+}
+
+/**
+ * 这台机器上 pnpm / npm 真正会用的注册表。
+ *
+ * 问的是包管理器自己（`config get registry`），不是我们读文件猜：registry 可能来自 profile 的
+ * `.npmrc`、用户级 rc、pnpm-workspace.yaml 的 registries，还可以是环境变量改的 —— 只有它自己
+ * 的解析链能给出同一个答案。查更新与真正安装因此走同一个源，不会「查得到、装不上」，也是
+ * 镜像 / 私有源机器上自动更新还能自己动的前提。
+ *
+ * 拿不到（没有包管理器、命令超时、输出里没有地址）就回 null，调用方退回官方源：
+ * 这条链上多一次探测不该把「检查更新」变成不可用。`DSHM_NPM_REGISTRY` 显式给了值时不探，
+ * 那是给人排查 / 私有部署用的最高优先级。
+ */
+async function profileRegistry({
+  profileNodeModules,
+  packageManager = null,
+  env = process.env,
+  platform = process.platform,
+  dirs = null,
+  timeoutMs = 20000,
+  cache = registryCache,
+  now = Date.now,
+} = {}) {
+  // `DSHM_NPM_REGISTRY` 显式给了值就不探：那是给人排查 / 私有部署用的最高优先级，
+  // 而且查更新那一半读的是进程环境，这里不能只看子进程那一份。
+  const override = String(env.DSHM_NPM_REGISTRY || process.env.DSHM_NPM_REGISTRY || '').trim();
+  if (!profileNodeModules || override !== '') return null;
+  const profileDir = path.dirname(profileNodeModules);
+  const hit = cache.get(profileDir);
+  if (hit && now() - hit.at < REGISTRY_CACHE_MS) return hit.registry;
+  const searchDirs = dirs ?? toolSearchDirs({ platform, env });
+  const childEnv = spawnEnv(searchDirs, env);
+  const hostInvocation = normalizeInvocation(packageManager);
+  const candidates = [];
+  if (hostInvocation) candidates.push({ command: hostInvocation.command, prefix: hostInvocation.args, extraEnv: hostInvocation.env });
+  const pnpm = resolveExecutable('pnpm', searchDirs, { platform, env });
+  if (pnpm) candidates.push({ command: pnpm, prefix: [], extraEnv: {} });
+  const npm = resolveExecutable('npm', searchDirs, { platform, env });
+  if (npm) candidates.push({ command: npm, prefix: [], extraEnv: {} });
+  let registry = null;
+  for (const candidate of candidates) {
+    const result = await run(candidate.command, [...candidate.prefix, 'config', 'get', 'registry'], {
+      cwd: profileDir,
+      env: { ...childEnv, ...candidate.extraEnv },
+      timeoutMs,
+    });
+    if (!result.ok) continue;
+    registry = parseRegistryOutput(result.output);
+    if (registry) break;
+  }
+  cache.set(profileDir, { at: now(), registry });
+  return registry;
+}
+
 /** profile 里装着的那份插件包的版本号（读不到返回 null）。 */
 function installedVersion(profileNodeModules, name = DEFAULT_NAME) {
   try {
@@ -155,7 +252,136 @@ function installAllowedFor(source) {
 }
 
 /**
- * 宿主**发布出来**的包管理器调用方式（DSH 桌面版把它挂在 `profileContext.packageManager`
+ * 把一条「这一版是我故意装的」写进 profile 的 `minimumReleaseAgeExclude`。
+ *
+ * 为什么非要写：我们是用一次性开关把 24 小时内的版本装进去的，那个开关只对那一条命令生效。
+ * 这一版随后留在 lockfile 里，pnpm 11 在**任何** add / remove 之前都会拿当前策略校验整份
+ * lockfile —— 官方桌面端不替用户临时放行，于是这台机器上所有插件安装都要干等到它满 24 小时，
+ * 报错还会点名我们这个包。写进去就是把「我信任这一版」这件事落在配置里，撤销的代价只有一行。
+ *
+ * 规则跟市场那边一致：**同名只读第一条**（pnpm 的 #883），所以必须并进已有的那一行，
+ * 不能另起一行；条目可以是 `name@v || name@v2`，也可能是带引号的。单行的 flow 写法
+ * （`minimumReleaseAgeExclude: [a, b]`）不碰 —— 改坏了比不写更贵，而 pnpm 自己写出来的是块形式。
+ *
+ * 失败一律返回 false，不抛：登记是善后，不是更新本身，它出问题不该把装好的版本说成没装上。
+ */
+function recordReleaseAgeExclusion(profileDir, name, version) {
+  const file = path.join(profileDir, 'pnpm-workspace.yaml');
+  let text;
+  try {
+    text = fs.readFileSync(file, 'utf8');
+  } catch {
+    // 没有 workspace 文件就什么都不做：替人发明一个会改掉 pnpm 认的 workspace 根。
+    return false;
+  }
+  const lines = text.split('\n');
+  const at = lines.findIndex(line => /^minimumReleaseAgeExclude\s*:/.test(line));
+  if (at !== -1) {
+    const inline = lines[at].replace(/^minimumReleaseAgeExclude\s*:/, '').trim();
+    if (inline !== '' && !inline.startsWith('#')) return false;
+    let end = at;
+    for (let i = at + 1; i < lines.length; i += 1) {
+      const line = lines[i];
+      if (/^\s*$/.test(line) || /^\s*#/.test(line) || /^\s+-/.test(line)) {
+        end = i;
+        continue;
+      }
+      break;
+    }
+    for (let i = at + 1; i <= end; i += 1) {
+      const match = /^(\s*-\s*)(.*)$/.exec(lines[i]);
+      if (!match) continue;
+      const entry = parseExcludeEntry(match[2]);
+      if (entry === null || entry.name !== name) continue;
+      if (entry.versions.includes(version)) return true;
+      lines[i] = `${match[1]}${addVersionToEntry(match[2], version)}`;
+      fs.writeFileSync(file, lines.join('\n'));
+      return true;
+    }
+    let indent = '  ';
+    for (let i = at + 1; i <= end; i += 1) {
+      const match = /^(\s+)-/.exec(lines[i]);
+      if (match) {
+        indent = match[1];
+        break;
+      }
+    }
+    lines.splice(end + 1, 0, `${indent}- ${excludeScalar(name, version)}`);
+    fs.writeFileSync(file, lines.join('\n'));
+    return true;
+  }
+  const tail = text.replace(/\s*$/, '');
+  fs.writeFileSync(file, `${tail}${tail ? '\n' : ''}minimumReleaseAgeExclude:\n  - ${excludeScalar(name, version)}\n`);
+  return true;
+}
+
+/** 一条排除规则：包名 + 已列举的版本（拼在 ` || ` 后面）。看不懂就回 null，别猜。 */
+function parseExcludeEntry(raw) {
+  let body = String(raw || '').trim();
+  if (body === '' || body.startsWith('#')) return null;
+  const quote = /^(['"])(.*)\1\s*$/.exec(body);
+  if (quote) {
+    body = quote[2];
+  } else {
+    const hash = body.search(/\s#/);
+    if (hash !== -1) body = body.slice(0, hash).trim();
+  }
+  const parts = body.split('||').map(part => part.trim()).filter(Boolean);
+  if (parts.length === 0) return null;
+  const at = parts[0].lastIndexOf('@');
+  if (at <= 0) return null;
+  return {
+    name: parts[0].slice(0, at),
+    versions: parts.map(part => part.slice(part.lastIndexOf('@') + 1)),
+  };
+}
+
+/** 往一条规则后面追版本，引号与行尾注释原样保留。 */
+function addVersionToEntry(raw, version) {
+  const body = String(raw).trim();
+  const quote = /^(['"])(.*)\1\s*$/.exec(body);
+  if (quote) return `${quote[1]}${quote[2]} || ${version}${quote[1]}`;
+  const hash = body.search(/\s#/);
+  if (hash === -1) return `${body} || ${version}`;
+  return `${body.slice(0, hash)} || ${version}${body.slice(hash)}`;
+}
+
+/** 写进 YAML 的一条新规则；`@scope/...` 这种以 `@` 开头的标量必须带引号。 */
+function excludeScalar(name, version) {
+  const value = `${name}@${version}`;
+  return value.startsWith('@') ? `'${value}'` : value;
+}
+
+/**
+ * pnpm 说「记录的 store 和现在解析的不是同一个」时，把记录里的那个写回 profile。
+ *
+ * 这是 pnpm 报错里给的持久修法（`store-dir` 只在命令行那一次有效，改不改写
+ * `node_modules/.modules.yaml` 里的记录才是关键）。只加、不改：已经有 `storeDir` 就不动，
+ * 那种情况不是我们该替人翻的。
+ */
+function ensureProfileStoreDir(profileDir, storeDir) {
+  const file = path.join(profileDir, 'pnpm-workspace.yaml');
+  let text;
+  try {
+    text = fs.readFileSync(file, 'utf8');
+  } catch {
+    return false;
+  }
+  if (/^storeDir\s*:/m.test(text)) return false;
+  const quoted = /[\s#:'"]/.test(storeDir) ? JSON.stringify(storeDir) : storeDir;
+  const tail = text.replace(/\s*$/, '');
+  fs.writeFileSync(file, `${tail}${tail ? '\n' : ''}storeDir: ${quoted}\n`);
+  return true;
+}
+
+/** `child` 是不是 `parent` 以内（用来确认报错里的 node_modules 真是这个 profile 的）。 */
+function isInsideDir(parent, child) {
+  const rel = path.relative(path.resolve(parent), path.resolve(child));
+  return rel !== '' && !rel.startsWith('..') && !path.isAbsolute(rel);
+}
+
+/**
+ * 宿主**发布出来的**包管理器调用方式（DSH 桌面版把它挂在 `profileContext.packageManager`
  * 上，形状 `{command, args, env?}`）。
  *
  * 为什么非得用它、而不是 PATH 上那个 pnpm：桌面版由 GUI 拉起时 PATH 很干净，而且**版本
@@ -243,18 +469,15 @@ function run(command, args, { cwd, env, timeoutMs, spawnImpl = spawn }) {
  * @param {object} options
  * @param {string} options.profileNodeModules profile 的 `node_modules` 目录
  * @param {string} options.version           要装的版本（注册表给的）
- * @param {boolean} [options.force]          true = 跳过「新发布先晾一会儿」的门槛
- * @param {boolean} [options.auto]           自动更新那一轮：同样跳过发布晾置期（见文件头）
  * @param {() => any} [options.beforeInstall] 真正跑包管理器**之前**调一次（外壳用它把正在跑的
  *   那一代复制进回退目录）。包管理器一跑就把旧的 store 目录清掉了，晚一步没得复制。
- * @returns {Promise<{installed, skipped, beforeVersion, installedVersion, source, command, output, failure}>}
+ * @returns {Promise<{installed, skipped, beforeVersion, installedVersion, source, command,
+ *   manager, healed, releaseAgeRecorded, output, failure}>}
  */
 async function installLatest({
   profileNodeModules,
   version,
   name = DEFAULT_NAME,
-  force = false,
-  auto = false,
   timeoutMs = INSTALL_TIMEOUT_MS,
   env = process.env,
   platform = process.platform,
@@ -333,41 +556,55 @@ async function installLatest({
   }
 
   const spec = `${name}@${version}`;
-  const releaseAgeFlag = '--config.minimum-release-age=0';
-  // `auto` 与 `force` 一样一开始就带上开关：自动更新要「一检测到就装」，不该先被那道策略挡回来
-  // 再重试一遍（多等一轮、日志里多一条失败）。
-  const skipReleaseAge = force || auto;
+  // 一律带上：自动更新是「一检测到就装」，手动点的那一下同样是「现在就要」，没理由先让这道
+  // 策略挡一次、再靠失败重试绕过来。命令行与环境变量各带一份，pnpm 12 只认后者（见 POLICY_ENV）。
+  const policyArgs = ['--config.auto-install-peers=false', '--config.minimum-release-age=0'];
   const args = picked.manager === 'pnpm'
-    ? ['add', spec, '--config.auto-install-peers=false', ...(skipReleaseAge ? [releaseAgeFlag] : [])]
+    ? ['add', spec, ...policyArgs]
     : ['install', spec, '--no-audit', '--no-fund'];
-  let command = [picked.manager, ...args].join(' ');
+  const command = [picked.manager, ...args].join(' ');
   onEvent({ phase: 'install-started', command, manager: picked.kind });
 
-  const spawnAdd = extra => run(picked.command, [...picked.prefix, ...args, ...extra], {
+  const runManager = (extraArgs, baseArgs = args) => run(picked.command, [...picked.prefix, ...baseArgs, ...extraArgs], {
     cwd: profileDir,
-    env: { ...childEnv, ...picked.env },
+    env: { ...childEnv, ...picked.env, ...(picked.manager === 'pnpm' ? POLICY_ENV : {}) },
     timeoutMs,
   });
-  let result = await spawnAdd([]);
+
+  let result = await runManager([]);
   let output = result.output;
   /**
-   * 撞上 pnpm 的「新发布先晾一会儿」策略：**带上开关重试一次**。
+   * 宿主环境对不上：不是这个包有问题，是这台机器的依赖树跟当前 pnpm 对不上 —— 不修的话，
+   * 之后每一次更新都会撞同一堵墙。修一次、重试一次；修不了就如实失败，下个 tick 再来。
    *
-   * 为什么非重试不可：那道策略查的是**整份 lockfile**，不是我们要装的这个包。这台机器上
-   * 实测过一次 —— 另一个插件（`billion-context@0.1.192`）刚发不久，整份 lockfile 就被判
-   * 「含未过期的条目」而拒绝，于是我们自己的更新整整一天都做不了，而原因跟我们这个包毫无
-   * 关系。市场那边对这种拒绝也是带开关重试一次（`RELEASE_AGE_OVERRIDE`）。
-   *
-   * 只在**第一次没带开关**、且失败信息确实是这类策略时才重试：别的失败（网络、权限、盘满）
-   * 重试一次只会把同一条错误再说一遍，还多花一次等待。
+   * 两种现场各有各的修法，判据都在 pnpm 自己的报错里：
+   *   ① 布局是两个大版本之前建的（PUBLIC_HOIST_PATTERN_DIFF / VIRTUAL_STORE_DIR_MAX_LENGTH_DIFF）
+   *      → 用现在这版 pnpm 重建依赖树；
+   *   ② 记录的 store 与它现在解析的不是同一个（UNEXPECTED_STORE）→ 把**记录里的那个**写回
+   *      profile 的 storeDir。只取报错点名、且确实存在于盘上的那个路径；记录本身就是旧盘 /
+   *      不存在的路径时不动 —— 那是另一种坏法，写回去只会换一种失败。
    */
-  const releaseAgeLike = /MINIMUM_RELEASE_AGE|minimumReleaseAge|minimum-release-age|release age/i;
-  const retried = !result.ok && picked.manager === 'pnpm' && !skipReleaseAge && releaseAgeLike.test(output);
-  if (retried) {
-    onEvent({ phase: 'release-age-retry' });
-    result = await spawnAdd([releaseAgeFlag]);
-    command = [picked.manager, ...args, releaseAgeFlag].join(' ');
-    output = `${output}\n--- 撞上 pnpm 的发布时长策略，带上 ${releaseAgeFlag} 重试一次 ---\n${result.output}`;
+  let healed = null;
+  if (!result.ok && picked.manager === 'pnpm') {
+    if (HOIST_DIFF.test(output)) {
+      const rebuild = await runManager([], ['install', '--no-frozen-lockfile', ...policyArgs]);
+      if (rebuild.ok) {
+        healed = 'rebuild';
+        result = await runManager([]);
+        output = `${output}\n--- node_modules 是旧版 pnpm 建的，已重建依赖树并重试 ---\n${result.output}`;
+      } else {
+        output = `${output}\n--- 试着重建依赖树，但也没成：${rebuild.output} ---`;
+      }
+    } else if (/ERR_PNPM_UNEXPECTED_STORE/.test(output)) {
+      const linked = /currently linked from the store at "([^"]+)"/.exec(output)?.[1];
+      const modules = /The dependencies at "([^"]+)"/.exec(output)?.[1];
+      if (linked && modules && isInsideDir(profileDir, modules) && fs.existsSync(linked)
+        && ensureProfileStoreDir(profileDir, linked)) {
+        healed = 'store';
+        result = await runManager([]);
+        output = `${output}\n--- pnpm 记录的 store 与本机解析的不一致，已把记录里的那个写回 storeDir 并重试 ---\n${result.output}`;
+      }
+    }
   }
   const after = installedVersion(profileNodeModules, name);
   if (!result.ok) {
@@ -379,7 +616,8 @@ async function installLatest({
       source: declaredSource(profileDir, name),
       command,
       manager: picked.kind,
-      retried,
+      healed,
+      releaseAgeRecorded: false,
       output,
       // 超时与「真的失败了」分开说：前者可以再试，后者多半要看输出。
       failure: {
@@ -390,6 +628,8 @@ async function installLatest({
   }
   // 退出码 0 不算数：**盘上版本真的变了**才算装上（市场那份代码吃过这个亏）。
   const changed = after !== null && after !== beforeVersion;
+  // 这一版是我们绕开晾置期装进去的，登记进排除清单，免得它反过来把别的安装挡 24 小时。
+  const releaseAgeRecorded = changed ? recordReleaseAgeExclusion(profileDir, name, after) : false;
   return {
     installed: changed,
     skipped: false,
@@ -398,7 +638,8 @@ async function installLatest({
     source: declaredSource(profileDir, name),
     command,
     manager: picked.kind,
-    retried,
+    healed,
+    releaseAgeRecorded,
     output,
     failure: changed
       ? null
@@ -427,9 +668,12 @@ async function installLatest({
  * 把它搬到插件自己这条路上来。判到有人跑就**不动盘**，如实报成「可再试」，下个 tick 再来。
  *
  * `force` 是**用户明说「我知道，装吧」**的那一挡（面板上那颗「强制更新」）：它同时跳过
- * 这道闸和「新发布先晾一会儿」的门槛，而且不管有没有新版都装一遍。`auto`（宿主那一轮自动
- * 更新）跳过同样的两道闸，只是仍然「没新版就不动盘」—— 2026-10-26 用户要求自动更新一检测到
- * 新版就立刻装，所以它不再等发布晾置期，见文件头。
+ * 这道闸，而且不管有没有新版都装一遍。`auto`（宿主那一轮自动更新）跳过同一道闸，只是仍然
+ * 「没新版就不动盘」。发布晾置期**不再是一个「哪一档才跳过」的问题**：装的时候一律跳过，
+ * 装完把这一版登记进排除清单（见文件头），所以手动、强制、自动三条路的安装条件是一致的。
+ *
+ * 「查」用的是这台机器上 pnpm / npm 真正在用的那个注册表（`profileRegistry`），不是写死的
+ * 官方源：镜像是通的、官方源连不上的机器，也要能自己发现新版。
  */
 async function installLatestIfNeeded(options = {}) {
   const { profileNodeModules, force = false, auto = false, name = DEFAULT_NAME, agents = null } = options;
@@ -451,7 +695,17 @@ async function installLatestIfNeeded(options = {}) {
       check: null,
     };
   }
-  const check = await checkForUpdate({ installedVersion: beforeVersion, source });
+  // 查与装用同一个源：问一次这台机器上 pnpm / npm 真正在用的注册表（问不到才退回官方源）。
+  // 不这样做的话，镜像 / 私有源机器上会出现「检查更新说连不上、手动装却是通的」。
+  const registry = await profileRegistry({
+    profileNodeModules,
+    packageManager: options.packageManager ?? null,
+    env: options.env,
+    platform: options.platform,
+    dirs: options.dirs ?? null,
+    cache: options.registryCache,
+  });
+  const check = await checkForUpdate({ installedVersion: beforeVersion, source, base: registry ?? undefined });
   // 「有没有新版」排在「有没有人在跑」**前面**：没东西可装的时候，拿一句「有对话在跑」挡住
   // 真正的答案（已经是最新）是误导。
   if (!force && !check.updateAvailable) {
@@ -504,6 +758,10 @@ module.exports = {
   resolveExecutable,
   normalizeInvocation,
   runningAgentIds,
+  profileRegistry,
+  recordReleaseAgeExclusion,
+  ensureProfileStoreDir,
+  parseRegistryOutput,
   DEFAULT_NAME,
   INSTALL_TIMEOUT_MS,
   OUTPUT_TAIL,

package/locale/en.json

@@ -0,0 +1,6 @@
+{
+  "meta": {
+    "title": "Mobile plugin",
+    "description": "Connect your phone or tablet to this computer's DSH: conversations, file transfer and plugin management on mobile."
+  }
+}

package/locale/zh.json

@@ -0,0 +1,6 @@
+{
+  "meta": {
+    "title": "移动端插件",
+    "description": "把手机、平板接上这台电脑的 DSH：对话、文件转发、插件管理都在手上。"
+  }
+}

package/package.json

@@ -1,8 +1,9 @@
 {
   "name": "dsh-mobile-plugin",
-  "version": "0.4.8",
+  "version": "0.5.0",
   "description": "Mobile API (/api/mobile/v1) and relay client for the DSH mobile app — desktop profile build (dsh 0.2.x, peers resolved by the host)",
   "license": "MIT",
+  "icon": "./icon.png",
   "engines": {
     "dsh": ">=0.2.0 <0.3.0"
   },
@@ -14,6 +15,7 @@
   "exports": {
     ".": "./lib/index.js",
     "./client": "./lib/client.js",
+    "./locale/*.json": "./locale/*.json",
     "./package.json": "./package.json"
   },
   "repository": {
@@ -37,6 +39,8 @@
     "lib/**/*.html",
     "lib/**/package.json",
     "dsh-mobile-credentials",
+    "locale/*.json",
+    "icon.png",
     "README.md"
   ],
   "publishConfig": {