dsh-mobile-plugin 0.5.0 → 0.5.3

package/lib/relay/firewall-probe.js

@@ -19,7 +19,8 @@
  * - **Windows**：默认入站全拒，所以「有允许规则」才算放行，没有就是被挡；还要看那条
  *   规则管的是哪个网络类别 —— 笔记本换个 WiFi、系统把那个网判成「公用」时，只放行
  *   「专用」的老规则就不再生效。这就是「出去一趟就连不上、看一眼防火墙又好了」的
- *   真身，所以当前接入的网络类别必须一起查。
+ *   真身，所以当前接入的网络类别必须一起查。开关与规则都按**生效策略**（`ActiveStore`）
+ *   查，不按本地静态库 —— 见 `WINDOWS_SCRIPT` 上面那条。
  * - **Linux**：只能读到「防火墙开着没」（`firewall-cmd --state` 不要 root），
  *   「放行了没」要 root 才读得到 —— 那条我们不碰，一律回 `null`。
  *
@@ -139,19 +140,24 @@ function decideWindowsAllows(report) {
 /**
  * Windows 那份 PowerShell。
  *
- * 两个要点：
+ * 三个要点：
  * 1. `Get-NetFirewallApplicationFilter -Program <path>` 是**服务端过滤**，只回这个程序
  *    的过滤条件；换成枚举全部规则再逐条 join 会有几百次 CIM 查询，第一次跑要好几秒。
  * 2. 输出必须是 JSON 且全 ASCII —— `netsh` 的文字输出会跟着系统语言变，中文 Windows
  *    上没有办法稳定匹配。
+ * 3. 每一条查询都写死 `-PolicyStore ActiveStore`。不带这个参数时 PowerShell 读的是
+ *    本地静态库（PersistentStore），而它**不含组策略下发的开关与规则**：组策略管着的
+ *    机器上，系统界面显示的防火墙开着，按本地库读出来三个 profile 可能全是「关」
+ *    —— 用户看到的「实际防火墙开着、自检说关着」就是这一条；反过来，组策略下发的
+ *    放行规则也会被漏掉、报成「挡住」。
  */
 const WINDOWS_SCRIPT = [
   '$path = $env:DSH_FIREWALL_PROGRAM;',
-  '$profiles = @(Get-NetFirewallProfile | ForEach-Object { @{ name = "$($_.Name)"; enabled = [bool]$_.Enabled } });',
+  '$profiles = @(Get-NetFirewallProfile -PolicyStore ActiveStore | ForEach-Object { @{ name = "$($_.Name)"; enabled = [bool]$_.Enabled } });',
   '$active = @(Get-NetConnectionProfile | ForEach-Object { $c = "$($_.NetworkCategory)"; if ($c -eq "DomainAuthenticated") { "Domain" } else { $c } });',
   '$apps = @();',
-  'foreach ($f in @(Get-NetFirewallApplicationFilter -Program $path)) {',
-  '  $r = Get-NetFirewallRule -Name $f.Name;',
+  'foreach ($f in @(Get-NetFirewallApplicationFilter -PolicyStore ActiveStore -Program $path)) {',
+  '  $r = Get-NetFirewallRule -Name $f.Name -PolicyStore ActiveStore;',
   '  if ($r) { $apps += @{ program = "$($f.Program)"; action = "$($r.Action)"; enabled = ("$($r.Enabled)" -eq "True"); profile = "$($r.Profile)" } }',
   '}',
   '@{ profiles = $profiles; apps = $apps; activeProfiles = $active } | ConvertTo-Json -Depth 6 -Compress',

package/lib/routes/mobile-api.js

@@ -17,6 +17,7 @@ const { orderCandidates, withManualCandidate } = require('../relay/lan-network.c
 const sessions = require('../mobile/sessions.js');
 const sessionModelOptions = require('../mobile/session-model-options.js');
 const sessionFile = require('../mobile/session-file.js');
+const sessionLocalImage = require('../mobile/session-local-image.js');
 const sessionStep = require('../mobile/session-step.js');
 const fileRead = require('../mobile/file-read.js');
 const stats = require('../mobile/stats.js');
@@ -29,6 +30,7 @@ const workspaces = require('../mobile/workspaces.js');
 const directoryListing = require('../mobile/directory-listing.js');
 const archiveClean = require('../mobile/archive-clean.js');
 const sessionLog = require('../mobile/session-log.js');
+const debugTrace = require('../mobile/debug-trace.js');
 const hostSettings = require('../mobile/host-settings.js');
 const channels = require('../mobile/channels.js');
 const deepSeekAccount = require('../mobile/deepseek-account.js');
@@ -229,6 +231,8 @@ function registerMobileRoutes(deps) {
   // 一步的过程详情：清单只带一行摘要，点开某一步才来这里取参数 / 输出 / diff / 思考全文。
   route('/api/mobile/v1/session/step', sessionStep.handleSessionStep)
   route('/api/mobile/v1/session/attachment', sessions.handleSessionAttachment)
+  // 正文图的字节：按登记过的编号取，不是按路径读文件（见 mobile/local-images.js 的文件头）。
+  route('/api/mobile/v1/session/local-image', sessionLocalImage.handleSessionLocalImage)
   // 会话文件：允许本会话 present 声明的路径及会话工作区内的文件（见 mobile/session-file.js）。
   route('/api/mobile/v1/session/file', sessionFile.handleSessionFile)
   // 文件浏览器按绝对路径取字节，范围是宿主已登记的工作区及当前会话的项目目录
@@ -267,6 +271,9 @@ function registerMobileRoutes(deps) {
   route('/api/mobile/v1/agent-presets/read', agentPresets.handleAgentPresetRead)
   route('/api/mobile/v1/agent-presets/copy', agentPresets.handleAgentPresetCopy)
   route('/api/mobile/v1/agent-presets/remove', agentPresets.handleAgentPresetRemove)
+  // 把某一档设成「新会话默认吃的那一档」：写宿主 settings 的 agent-preset-registry，
+  // 与桌面端预设页那颗「设为默认」同一格（不是预设自己的属性）。
+  route('/api/mobile/v1/agent-presets/default', agentPresets.handleAgentPresetDefault)
   route('/api/mobile/v1/session/new', sessions.handleNew)
   route('/api/mobile/v1/session/stream', stream.handleStream)
   route('/api/mobile/v1/events/stream', events.handleDeviceStream)
@@ -326,6 +333,10 @@ function registerMobileRoutes(deps) {
   // 的 127.0.0.1 上手机直连不到 —— 所以由插件代取（mobile/session-log.js），App 侧
   // 再落盘。
   route('/api/mobile/v1/session-log', sessionLog.handleSessionLog)
+  // 手机端调试轨迹（开发包专用，见 mobile/debug-trace.js）：App 录滑动过程，边录边把 JSONL
+  // 打到这里，插件写进 <DSH_HOME>/mobile-debug/<capture>.jsonl，维护者在电脑上直接读。
+  // 只追加、轨迹名走白名单、单份 8MB 封顶 —— 不是「任意文件写入」。
+  route('/api/mobile/v1/debug/trace', debugTrace.handleDebugTrace)
   // 宿主设置与模型提供方（宿主 settings.describe / llm.providers 的移动端只读代理）。
   // 桌面端「设置」里有默认模型、提供方配置、凭据是否已设；手机端此前完全没有这一块，
   // 只能看到 App 自己的偏好项。两个宿主接口本身已脱敏（secrets 只给 path 与 set），

package/lib/shell/half-route.js

@@ -0,0 +1,73 @@
+/**
+ * 宿主半边的自检口：`/api/relay/host-half` 与它的 `/reload`。
+ *
+ * 这两条**必须由外壳注册**，不能放进实现：实现装载失败时整张 `/api/relay/*` 都不在，
+ * 而「它为什么没起来」只有外壳答得出来（外壳自己活得好好的是刻意的故障边界）。
+ * 现场的样子是设置页一句「插件宿主侧没有加载」，原因只打在宿主 stderr 里、桌面端不落盘，
+ * 用户看不见、我们也查不出来 —— 这两条就是那个原因唯一的出口。
+ *
+ * 放在 `lib/shell/` 而不是 `lib/index.js` 里，是因为外壳的守卫钉着「只该有装载逻辑」。
+ * 这里只干两件小事：把 state 拍成响应体（`half-view.js`），以及把「重新装载」转给
+ * runtime 那套换代秩序（串行、先停后起、失败回滚）。
+ *
+ * 两条都走 `localOnly`：拒绝中转/局域网转发来的请求、拒绝跨站、钉住 method。它们能读到的
+ * 是这台机器的插件装载状态，不值得让别处看见。
+ */
+
+import { createRequire } from 'node:module'
+import { hostHalfView } from './half-view.js'
+
+const require = createRequire(import.meta.url)
+const { localOnly } = require('../http/routing.js')
+const { sendJson } = require('../shared/http-util.js')
+
+export const HOST_HALF_PATH = '/api/relay/host-half'
+export const HOST_HALF_RELOAD_PATH = '/api/relay/host-half/reload'
+
+/**
+ * 挂上两条路由，返回清理函数（给 `ctx.effect` 当返回值用）。
+ *
+ * @param {object} ctx 外壳那份 context（只用它的 `webServer`）。
+ * @param {{status: () => object, reload: () => Promise<unknown>}} runtime 代际运行时。
+ * @param {{installedVersion?: () => string|null, installedShellHash?: () => string|null,
+ *   runningShellHash?: string|null}} [deps] 盘上那一份的坐标，只为「要不要重启」这一格。
+ */
+export function installHostHalf(ctx, runtime, deps = {}) {
+  const server = ctx?.webServer
+  if (typeof server?.register !== 'function') return () => {}
+  const installedVersion = typeof deps.installedVersion === 'function' ? deps.installedVersion : () => null
+  const installedShellHash = typeof deps.installedShellHash === 'function' ? deps.installedShellHash : () => null
+  const runningShellHash = typeof deps.runningShellHash === 'string' ? deps.runningShellHash : null
+  const view = () => hostHalfView(runtime.status(), {
+    installedVersion: installedVersion(),
+    shellChanged: installedShellHash() !== null && installedShellHash() !== runningShellHash,
+  })
+  const offs = [
+    server.register({
+      kind: 'exact',
+      path: HOST_HALF_PATH,
+      handler: localOnly('GET', async (_req, res) => sendJson(res, 200, view())),
+    }),
+    server.register({
+      kind: 'exact',
+      path: HOST_HALF_RELOAD_PATH,
+      handler: localOnly('POST', async (_req, res) => {
+        try {
+          await runtime.reload()
+          return sendJson(res, 200, view())
+        } catch (error) {
+          // 装载失败时外壳已经按老规矩回滚过了，这里只把原因与回滚后的状态一起交出去：
+          // 面板要能原样显示「还是不行，因为……」。
+          return sendJson(res, 200, {
+            ...view(),
+            ok: false,
+            error: { code: 'reload-failed', message: String((error && error.message) || error) },
+          })
+        }
+      }),
+    }),
+  ].filter(off => typeof off === 'function')
+  return () => {
+    for (const off of offs) off()
+  }
+}

package/lib/shell/half-view.js

@@ -0,0 +1,37 @@
+/**
+ * 宿主半边自检的响应体：把 `runtime.status()` 收成设置页能读的那几格。
+ *
+ * 为什么单独一个纯函数：拼响应体的地方在外壳里，而外壳不好在测试里跑起来（它一 apply
+ * 就真的去装载实现）。这里只做取值与白名单，测试直接喂一份 status 就能钉住形状。
+ *
+ * **`lastError` 是这一条接口存在的理由**：实现装载失败时外壳仍然活着，于是路由 404、
+ * 设置页只显示一句「插件宿主侧没有加载」，而真正的原因（等哪个服务超时、哪一代装不上）
+ * 只打在宿主 stderr 里，桌面端不落盘、用户看不见、我们也就查不出来。这条接口把它原样
+ * 交给设置页。
+ */
+
+/**
+ * @param {object} status `runtime.status()` 的快照。
+ * @param {{installedVersion?: string|null, shellChanged?: boolean}} [extra]
+ *   盘上那一份的坐标（市场装完立刻变，和跑着的对照就看得出要不要重启）。
+ */
+export function hostHalfView(status, extra = {}) {
+  const s = status && typeof status === 'object' ? status : {};
+  const info = extra && typeof extra === 'object' ? extra : {};
+  return {
+    ok: true,
+    half: {
+      version: typeof s.version === 'string' ? s.version : null,
+      source: typeof s.source === 'string' ? s.source : null,
+      previousVersion: typeof s.previousVersion === 'string' ? s.previousVersion : null,
+      activatedAt: typeof s.activatedAt === 'string' ? s.activatedAt : null,
+      lastError: typeof s.lastError === 'string' ? s.lastError : null,
+      /** 启动时那几次没成、现在仍在后台按长间隔重试 —— 面板据此劝人「再等等」而不是重装。 */
+      retrying: s.retrying === true,
+      retryAttempts: Number.isFinite(s.retryAttempts) ? s.retryAttempts : 0,
+      nextRetryAt: typeof s.nextRetryAt === 'string' ? s.nextRetryAt : null,
+      installedVersion: typeof info.installedVersion === 'string' ? info.installedVersion : null,
+      shellChanged: info.shellChanged === true,
+    },
+  };
+}

package/lib/shell/runtime.js

@@ -16,10 +16,26 @@ import { checkGenerationAlive } from './self-check-after-swap.js'
 
 /** 换代前等在飞请求归零的上限。 */
 const DRAIN_TIMEOUT_MS = 2000
-/** 等一代装载完成的上限。装载卡住（依赖永远不来）时不能把整个外壳拖死。 */
-const ACTIVATE_TIMEOUT_MS = 20000
+/**
+ * 等一代装载完成的上限。装载卡住（依赖永远不来）时不能把整个外壳拖死。
+ *
+ * 20s 在慢机器上不够：失败的首要原因就是注入的服务（typertGateway / apiProxy）比本插件
+ * 晚就位，而 Windows 冷启动、装了一堆插件的 DSH 要几十秒才轮到那条服务。真实现场是
+ * 「重启还是不行」—— 设置页一句 404，日志里什么都没有。
+ */
+const ACTIVATE_TIMEOUT_MS = 60000
 /** 首次装载全失败后的重试间隔与次数（重试理由见 `start()`）。 */
 const START_RETRY_LIMIT = 6
+/**
+ * 启动那一轮没成之后，后台继续按这个节奏重试多久。
+ *
+ * 失败代价是**整张控制面路由表都不在**，而根因多半是「服务晚到」这种会自己好的事。
+ * 只重试启动那六次（约五分钟）然后就躺平，等于把一个瞬态问题固定成故障，用户唯一的
+ * 出路是重启 —— 而重启正好又落回同一个时间窗里。这里按长间隔再试一小时，并让设置页
+ * 看得到「还在试」。
+ */
+const RETRY_BACKLOG_MS = 120000
+const RETRY_BACKLOG_LIMIT = 30
 /** 间隔可用环境变量压低，只给测试（与 `DSH_MOBILE_PROFILE_NODE_MODULES` 同款逃生口）。 */
 const START_RETRY_MS = Number(process.env.DSH_MOBILE_START_RETRY_MS) > 0
   ? Number(process.env.DSH_MOBILE_START_RETRY_MS)
@@ -68,6 +84,15 @@ export function createRuntime() {
    * 读到这条已经发生过的事实（`lastApply.rolledBack` 就是从它来的）。
    */
   let lastRollback = null
+  /**
+   * 后台补齐重试的账：启动那一轮失败后接着试，试到成功或额度用完。
+   *
+   * 这三格同时也是说给用户听的：`retrying` 决定面板劝人「再等等」还是「重装」，
+   * `nextRetryAt` 让人知道下一次是几分钟后。
+   */
+  let retryTimer = null
+  let retryAttempts = 0
+  let nextRetryAt = null
 
   /** 对外状态快照。控制面接口直接把它交给客户端。 */
   function status() {
@@ -80,6 +105,9 @@ export function createRuntime() {
       inFlight,
       swapping: swapping !== null,
       lastRollback,
+      retrying: retryTimer !== null,
+      retryAttempts,
+      nextRetryAt,
     }
   }
 
@@ -261,6 +289,7 @@ export function createRuntime() {
             throw error
           }
         }
+        clearBacklogRetry()
         return status()
       } catch (error) {
         // 自检那条已经在上面退回过一次了，别退第二遍（第二遍会把刚装回去的旧代再卸一次）。
@@ -286,37 +315,103 @@ export function createRuntime() {
    * （typertGateway / apiProxy）比本插件晚就位、撞上 20s 装载上限，或者第一次装载撞上
    * IO/时序抖动。一次失败就永久躺平到下次重启，等于把一个瞬态问题固定成故障。
    */
+  /**
+   * 把当前可用的每一代都试一遍：成功就装成当前代并返回 `{ok:true}`，全失败返回
+   * `{ok:false, failures}`。`start()` 与后台补齐重试共用这一份，别各写一遍。
+   *
+   * 候选**现算**而不是启动时抓一份快照：市场换过代、OTA 落过一版之后，这里要能看见新目录。
+   */
+  async function attemptAll() {
+    const failures = []
+    for (const target of resolveGenerations()) {
+      if (detached) throw new Error('插件已经卸载，不再重试装载')
+      try {
+        const { loaded, fiber: startedFiber } = await activate(target)
+        fiber = startedFiber
+        loadedCurrent = loaded
+        current = describe(loaded, target.dir)
+        activatedAt = new Date().toISOString()
+        lastError = failures.length
+          ? `${failures.join('；')}；已回退到 ${target.version}（${target.source}）`
+          : null
+        return { ok: true, version: target.version }
+      } catch (error) {
+        failures.push(`装载 ${target.version}（${target.source}）失败：${error?.message || error}`)
+      }
+    }
+    return { ok: false, failures }
+  }
+
+  /** 停掉后台补齐重试（装成功后调用：再试一次只会撞同一批路由）。 */
+  function clearBacklogRetry() {
+    if (retryTimer !== null) {
+      clearTimeout(retryTimer)
+      retryTimer = null
+    }
+    retryAttempts = 0
+    nextRetryAt = null
+  }
+
+  /**
+   * 启动那一轮没成之后接着试：长间隔、有额度，成功即停。
+   *
+   * 它是 `lastError` 之外的第二次机会，也是「用户什么都不做也能自己好」的那条路。
+   */
+  function scheduleBacklogRetry(log) {
+    if (detached || retryTimer !== null || retryAttempts >= RETRY_BACKLOG_LIMIT) return
+    retryAttempts += 1
+    nextRetryAt = new Date(Date.now() + RETRY_BACKLOG_MS).toISOString()
+    retryTimer = setTimeout(() => {
+      retryTimer = null
+      nextRetryAt = null
+      if (detached) return
+      void attemptAll().then(result => {
+        if (result.ok) {
+          retryAttempts = 0
+          log('info', 'dsh-mobile-plugin: 后台补齐成功，已装载 %s', result.version)
+          return
+        }
+        lastError = `所有可用插件实现均装载失败：${result.failures.join('；')}`
+        log('warn', 'dsh-mobile-plugin: 后台补齐仍未成功：%s', lastError)
+        scheduleBacklogRetry(log)
+      }).catch(error => {
+        lastError = `后台补齐装载出错：${error?.message || error}`
+        scheduleBacklogRetry(log)
+      })
+    }, RETRY_BACKLOG_MS)
+    if (typeof retryTimer.unref === 'function') retryTimer.unref()
+  }
+
+  /**
+   * 第一次激活；最高代装载失败时按优先级尝试保留的回退代；全失败则按固定间隔重试有限次，
+   * 之后交给后台补齐接着试。
+   *
+   * 为什么要重试：一次失败 = **整张控制面路由表都不在**，而设置页
+   * 的「移动端」照样画得出来（客户端半边按包扫描，不看宿主 fiber 活没活），于是现场只表现成
+   * 「读取宿主状态失败: HTTP 404」。失败最常见的原因恰好是**可能自己好**的：注入的服务
+   * （typertGateway / apiProxy）比本插件晚就位、撞上装载上限，或者第一次装载撞上 IO/时序抖动。
+   * 一次失败就永久躺平到下次重启，等于把一个瞬态问题固定成故障。
+   */
   async function start(context, options = {}) {
     ctx = context
     const log = typeof options.log === 'function' ? options.log : () => {}
-    const candidates = resolveGenerations()
-    if (!candidates.length) throw new Error('找不到任何一代实现：包内的 lib/impl.js 缺失')
+    if (!resolveGenerations().length) throw new Error('找不到任何一代实现：包内的 lib/impl.js 缺失')
     let lastFailure = ''
     for (let attempt = 1; attempt <= START_RETRY_LIMIT; attempt += 1) {
-      const failures = []
-      for (const target of candidates) {
-        if (detached) throw new Error('插件已经卸载，不再重试装载')
-        try {
-          const { loaded, fiber: startedFiber } = await activate(target)
-          fiber = startedFiber
-          loadedCurrent = loaded
-          current = describe(loaded, target.dir)
-          activatedAt = new Date().toISOString()
-          lastError = failures.length
-            ? `${failures.join('；')}；已回退到 ${target.version}（${target.source}）`
-            : null
-          return status()
-        } catch (error) {
-          failures.push(`装载 ${target.version}（${target.source}）失败：${error?.message || error}`)
-        }
+      const result = await attemptAll()
+      if (result.ok) {
+        clearBacklogRetry()
+        return status()
       }
-      lastFailure = `所有可用插件实现均装载失败：${failures.join('；')}`
+      lastFailure = `所有可用插件实现均装载失败：${result.failures.join('；')}`
       if (attempt >= START_RETRY_LIMIT) break
       lastError = `${lastFailure}（第 ${attempt} 次，${START_RETRY_MS / 1000}s 后重试）`
       log('warn', 'dsh-mobile-plugin: 装载失败，%d 秒后重试：%s', START_RETRY_MS / 1000, lastFailure)
       await sleep(START_RETRY_MS)
     }
     lastError = lastFailure
+    // 抛出去是为了让外壳那行日志照旧留下；后台补齐另起一条线，两条不冲突。
+    scheduleBacklogRetry(log)
     throw new Error(lastFailure)
   }
 
@@ -331,6 +426,7 @@ export function createRuntime() {
   /** 外壳被卸载时调用：停当前代，之后不再接受换代。 */
   async function detach() {
     detached = true
+    clearBacklogRetry()
     const oldFiber = fiber
     fiber = null
     current = null

package/lib/sidecar-lifecycle.cjs

@@ -43,6 +43,11 @@ function createSidecarLifecycle(deps) {
   // 那样重启就一定有一半调用点还握着旧实例。
   // The child-process bridge is used by the sidecar transport; Cordis services remain injected read-only.
   let sidecarState = 'starting'
+  // 「这个 error 态是不是健康轮询自己写上去的」。轮询失败只是这一次回环请求被掐了
+  // （worker 正在被换掉、socket 抖一下），下一次轮询通了就必须自己抹回 healthy；
+  // 不下发配置、不重启，那一行就会一直挂着旧错误等人来点重启。反过来，下发配置 /
+  // 重启失败留下的 error **不许**被轮询抹掉 —— worker 活着但配置没生效，那还是坏的。
+  let stateFromPoll = false
   let sidecarSnapshot = { tunnel: { state: 'off', error: null }, lan: { state: 'off', error: null } }
   // worker 意外退出时的唯一出口：把状态打回「不健康」，而不是让它冻在最后一帧。
   // 冻住的后果是 /api/relay/status 继续报 tunnel: connected / lan: listening，
@@ -53,6 +58,7 @@ function createSidecarLifecycle(deps) {
   // 时要把 markSidecarDown 交进去，箭头函数还没初始化就被引用会直接 TDZ 报错。
   const markSidecarDown = (error) => {
     const message = error instanceof Error ? error.message : String(error)
+    stateFromPoll = true
     sidecarState = `error: ${message}`
     sidecarSnapshot = { tunnel: { state: 'off', error: message }, lan: { state: 'off', error: message } }
   }
@@ -119,12 +125,14 @@ function createSidecarLifecycle(deps) {
     }
     applyLedger.recordSuccess()
     sidecarState = 'healthy'
+    stateFromPoll = false
     return sidecarSnapshot
   }
   const syncSidecar = () => {
     if (syncInFlight) { syncQueued = true; return syncInFlight }
     syncInFlight = applySidecarConfig()
       .catch(error => {
+        stateFromPoll = false
         sidecarState = `error: ${error instanceof Error ? error.message : String(error)}`
         throw error
       })
@@ -176,12 +184,14 @@ function createSidecarLifecycle(deps) {
         await sidecar.start()
         await syncSidecar()
         sidecarState = 'healthy'
+        stateFromPoll = false
         sidecarRestarts += 1
         sidecarRestartedAt = Date.now()
         sidecarRestartError = null
         return { ok: true, before, after: { tunnel: sidecarSnapshot.tunnel, lan: sidecarSnapshot.lan, state: sidecarState }, purgedModules: purged }
       } catch (error) {
         sidecarRestartError = error instanceof Error ? error.message : String(error)
+        stateFromPoll = false
         sidecarState = `error: ${sidecarRestartError}`
         // 起不来就把状态如实留在 error，而不是假装成功。宿主侧后续的 /tunnel/send
         // 会因为没有 worker 而明确报 'sidecar facade is not running'。
@@ -203,7 +213,11 @@ function createSidecarLifecycle(deps) {
       if (disposed) return
       await syncSidecar()
       sidecarState = 'healthy'
-    }).catch(error => { sidecarState = `error: ${error instanceof Error ? error.message : String(error)}` })
+      stateFromPoll = false
+    }).catch(error => {
+      stateFromPoll = false
+      sidecarState = `error: ${error instanceof Error ? error.message : String(error)}`
+    })
     const healthTimer = setInterval(async () => {
       try {
         const st = await sidecar.request('/status')
@@ -212,6 +226,9 @@ function createSidecarLifecycle(deps) {
         // 'connecting'。原来这次轮询只用来判断隧道连接跳变，结果被直接丢弃，于是
         // /api/relay/status 永远谎报局域网"没起来"，尽管 0.0.0.0:lanPort 早在监听。
         if (st) sidecarSnapshot = st
+        // 轮询通了就等于「worker 就在那儿、这一下请求也成了」：若上一格的 error 是轮询自己
+        // 写上去的，这里必须抹回 healthy —— 抖一下不该永久挂一行红字，等用户来点重启。
+        if (stateFromPoll) { sidecarState = 'healthy'; stateFromPoll = false }
         // 边沿判定与即时上报共用（noteTunnelConnected）：这里只是权威兜底，
         // 隧道在两次轮询之间断又连时补上那一次全量补推。
         noteTunnelConnected(st?.tunnel?.state === 'connected')

package/lib/update-install.cjs

@@ -9,7 +9,7 @@
  * 不自己实现包管理，只驱动它：profile 的 pnpm-workspace.yaml 已经写好 node-linker、peer 等
  * 关键设置，这里只「cd 到 profile 跑一句 pnpm add <包名>@<版本>」，不传布局类开关。必要的
  * 开关有两层：auto-install-peers=false（peer 是运行时注入的，npm 上没有）、minimum-release-age=0
- * （2026-10-26 用户要求一检测到新版就立刻装，不等「新发布先晾一会儿」；那道策略查的是整份
+ * （一检测到新版就立刻装，不等「新发布先晾一会儿」；那道策略查的是整份
  * lockfile，别的插件刚发也会连累我们），再加上 CI=1（无终端）。命令行带一份、环境变量再带一份：
  * pnpm 12 的原生 CLI 会静默忽略这两个 --config 参数，环境变量那一份还认。
  *
@@ -19,7 +19,7 @@
  *
  * 包管理器优先用宿主发布的那个（profile 是宿主自带 pnpm 装的，PATH 上版本不同会
  * ERR_PNPM_UNEXPECTED_STORE），找不到再退回 PATH。装之前先看有没有 agent 在跑；force 与 auto
- * 都跳过这道闸（2026-10-26 用户要求自动更新一检测到新版就立刻装，与面板上那颗「强制更新」
+ * 都跳过这道闸（自动更新一检测到新版就装，与面板上那颗「强制更新」
  * 同一个口径），两者的区别只剩「没新版时装不装」。顺序上先答「有没有新版」，没东西可装时
  * 不该拿「有对话在跑」挡在前面。
  *

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-mobile-plugin",
-  "version": "0.5.0",
+  "version": "0.5.3",
   "description": "Mobile API (/api/mobile/v1) and relay client for the DSH mobile app — desktop profile build (dsh 0.2.x, peers resolved by the host)",
   "license": "MIT",
   "icon": "./icon.png",