dsh-molbio-tools 0.21.0 → 0.22.0

package/CHANGELOG.md

@@ -10,6 +10,169 @@
   改为按**包名**引用后模块缓存问题随之消失——没有拷贝，也就没有需要保持同步的版本目录。
   下文历史条目里出现的 `vN` 目录保持原样，作为当时的记录。
 
+## [0.22.0] — 2026-10-25（DSH 0.2.1-rc.3 适配；PubMed 官方 API + NCBI API key）
+
+**工具数不变（60）。新增一条通路：`molbio_pubmed_search` / `molbio_pubmed_abstract` 可以带着
+NCBI API key 走 PubMed 官方 E-utilities。** 没有 key 时两条工具的行为与 0.21.1 相同——检索仍走
+harness 的 web 检索，摘要仍走 `ctx.web.fetch`。
+
+### 1. 为什么要有官方通路
+
+原来的检索完全依赖 harness 的 web 检索服务：它返回的是**搜索引擎索引到的页面**，不是 PubMed 的
+题录。三个具体代价：命中的 PMID 要从 URL 里猜、拿不到期刊/年份/作者/DOI 这些结构化字段、也
+无法用 NCBI 的 API key 提升速率上限（无 key 3 次/秒，有 key 10 次/秒）。官方 API 是两步：
+`esearch`（term → PMID 列表）→ `esummary`（PMID → 题录），摘要另走 `efetch`。
+
+### 2. 通路选择与 key 的来源
+
+| 条件 | 检索通路 | 结果字段 |
+| --- | --- | --- |
+| 有 key（参数或环境变量） | 官方 E-utilities：esearch + esummary | PMID、标题、期刊、年份、作者、DOI，另含 `total_matches` |
+| 无 key | 原来的 harness web 检索（行为不变） | 标题、URL、snippet、从 URL 提取的 PMID |
+
+key 的优先级是 **`api_key` 参数 > `NCBI_API_KEY` > `MOLBIO_NCBI_API_KEY`**；空白值视为未提供
+（不会发出 `api_key=` 这种被 NCBI 以 400 拒绝的空参数）。一次带 key 的检索是 **2 个请求**，
+`molbio_pubmed_abstract` 是 1 个 efetch 请求。
+
+> **内联传 key 会出现在对话记录和工具调用卡片里**，这是参数通路的固有代价；长期使用应设环境
+> 变量。工具的输出、渲染和错误信息都不回显 key。
+
+### 3. 实现
+
+- `papers.mjs` 增加纯函数：`pubmedApiKey`（参数/环境变量优先级）、`pubmedSearchUrl` /
+  `pubmedSummaryUrl` / `pubmedFetchUrl`（三个 URL 构造器，统一带 `tool=dsh-molbio-tools`）、
+  `parseEsearch`（ids + count）、`parseEsummaryRecords`（按 `uids` 顺序归一化题录，
+  DOI 从 `articleids` 里取 `idtype: doi`）、`esummarySource`（转成工具返回的 source 形状）。
+- 传输仍走 `ctx.web.fetch`：官方 API 不是一条绕开沙箱/同意机制的新网络通路。没有 `web.fetch`
+  而用户又给了 key 时，工具明确报「需要 ctx.web.fetch」，而不是悄悄退回 web 检索。
+- 错误处理：NCBI 的 `{"error":"API key invalid"}` 会变成 `PubMed E-utilities error: API key
+  invalid`，**不会被当成「没有结果」**——「搜不到」和「key 错了」是两件事。空结果返回
+  `sources: []` 与 `total_matches: 0`。
+- 输出 schema 扩展：`backend`（`pubmed-eutils` / `web-search`）、`total_matches`，以及 source 上的
+  `doi` / `authors` / `journal` / `year`；全部为可选字段，旧调用的输出形状不变。
+
+### 4. rc.3 适配：这次上游什么都没动，但仍要走完流程
+
+- `@deepseek-ai/dsh-web-app@0.2.1-rc.3` 的 `standard.patch.yml` 与 rc.2 **逐字节一致**（`git diff
+  --no-index` 验证），所以 preset 行清单、`cordis.patch.yml`、`preset-health` 的期望都没有改。
+- 在 rc.3 上全套守卫全绿：`preset-health`（30 行）、`drift-probe`（14 条突变）、`contract`（16 项，
+  含客户端入口与 `presentationMeta` 的行为断言）、`benchmark-profile`（12 行 / 60 工具）。
+- 声明：`engines.dsh` 仍为 `>=0.2.1-rc.2 <0.3.0-0`（rc.2 仍可用）；`dshReleases` 把 rc.3 改成
+  `compatible`；CI 的 test/release 两条工作流钉到 `0.2.1-rc.3`；面板包 `0.1.4 → 0.1.5`（清单的
+  兼容声明变了，客户端产物字节未变，因此只 bump 面板版本线）。
+- 证据用 rc.3 的 CLI 重跑：`docs/store-evidence.md`（0.22.0 tarball 安装 → 启动 → 卸载）。
+
+### 5. benchmark 的处理（以及为什么没有重跑模型）
+
+- 默认通路（无 key）的输出与 0.21.1 相同，`bench --offline` 的 61 题期望值逐条照跑。
+- `literature-search` 仍是 `NETWORK_TASKS` 里唯一的一条：它断言的是模型的最终回答（PMID、标题、
+  摘要措辞），工具结果本来就是**当天的 live PubMed 数据**，没有可以钉住的值。
+- **带 key 的新通路由 `test/smoke.mjs` 覆盖，而不是 benchmark**：benchmark 不能要求真实 key、
+  也不该把 live 记录冻结成期望值。smoke 用 mock 的 esearch/esummary/efetch 断言了四件事——
+  key 同时出现在两个请求里、题录字段解析正确、环境变量能回退、无效 key 会报错；另有一条
+  「无 key 时不碰 E-utilities 传输」的对照。
+
+### 6. 版本与验证
+
+- 根包 `0.21.1 → 0.22.0`；面板 `0.1.4 → 0.1.5`。
+- `npm test`（DSH 0.2.1-rc.3）全绿：smoke、画面四套、客户端四套、contract 16、drift-probe 14 条
+  突变、preset-health 30 行、release 13 项、benchmark 四道守卫 + `bench --offline` 61 题。
+- `node build/preset-patch.mjs --check` 与 `node build/client-bundle.mjs --check` 均报告与源一致
+  （rc.3 适配没有动任何生成物）。
+- 一次性 Profile：tarball **115 个文件 / 约 1.0 MB**；安装 571 ms；启动 `HTTP 200`、38180 字节，
+  `__DSH_BOOT__` 含 `dsh-molbio-tools/client.js&rev=a25c3919676b`；卸载 421 ms，`molbio` 引用 0、
+  lockfile 与 `node_modules` 无残留。
+## [0.21.1] — 2026-10-25（DSH STORE 提交前置：一个 patch、逐版本兼容声明、一个 tarball 一个清单）
+
+**工具数不变（60），插件运行时行为零改动。** 这一版不加任何计算能力，只把"这个包以什么形状提交"
+改成 DSH STORE 的提交预检与 DSH 自身的清单契约**都能接受、且不再互相矛盾**的那一种。三处改动都
+来自同一次上架提交：预检里能靠改包解决的两条已经解决，剩下两条的原理与请求另写在
+[docs/store-preset-exemption.md](docs/store-preset-exemption.md)。
+
+### 1. 两层 patch 合并成单个 `cordis.patch.yml`
+
+0.21.0 的 `dsh.bundle.patch` 是**有序数组**：`["./cordis.patch.yml", "./preset/molbio-lab/preset.patch.yml"]`。
+DSH 运行时接受这种写法（`@deepseek-ai/dsh-app-boot` 的 `bundlePatchPaths`：one file, or an
+ordered list of files），官方 `@deepseek-ai/dsh-web-app` 自己就列了 5 个文件；但 DSH STORE 的提交
+预检（`scripts/check-plugin-submission.mjs` 的 `safePatchPath`）只接受字符串，数组直接判
+`SUBMISSION_BUNDLE_PATCH_INVALID`。两边都自称官方契约，解法不必等预检放宽：
+
+- `build/preset-patch.mjs` 现在直接产出**根目录的 `cordis.patch.yml`**，内容是**两个 insert**：
+  `molbio-client → ./host.mjs`（惰性宿主锚点）在前，`preset-molbio-lab`（由
+  `preset/molbio-lab/agent.cordis.yml` 生成的 preset 行）在后；顺序即应用顺序。
+- 不再生成 `preset/molbio-lab/preset.patch.yml`（文件已删）；`package.json` 的
+  `dsh.bundle.patch` 是**单字符串**。
+- 四个读者改为跟单文件走：`test/preset-health.mjs`、`test/drift-probe.mjs`、
+  `preset/install.mjs`、`test/preset-rows.mjs`（后者在同一个文件的两个 insert 里找 preset 段，
+  不假设"preset.patch.yml 才是 preset"）。
+
+> 这一条同时守住一条更早的教训：**锚点行不能因为"文件变少了"而消失**。0.15.2 的两个侧栏 tab
+> 就是锚点丢失后静默消失的；`test/client-mount.mjs` 仍然逐包断言"被选中的包必须有一个宿主行
+> 能解析到它"，`test/contract.mjs` 仍然断言"产物里的每一处 `register` 都在 `inject` 里"。
+
+### 2. `engines.dsh` 与逐版本 `dshReleases`
+
+两个 manifest 各声明一份：
+
+```jsonc
+"engines": { "node": ">=26", "dsh": ">=0.2.1-rc.2 <0.3.0-0" },
+"dsh": { "compatibility": { "dshReleases": {
+  "0.2.1-rc.1": "unknown", "0.2.1-rc.2": "compatible", "0.2.1-rc.3": "unknown" } } }
+```
+
+上界写 `<0.3.0-0` 而不是 `<0.3.0`：DSH 用 `semver.satisfies(..., { includePrerelease: true })`
+判定（`@deepseek-ai/dsh-app-boot` 的 `unmetRequirements`），带 prerelease 选项时 `<0.3.0`
+会放行 `0.3.0-alpha.1`，`-0` 不会。`rc.1` 早于本包基线、`rc.3` 未取得也未验证，两者都只能
+标 `unknown`——**范围不等于验收**：`engines` 是安装时的粗筛，商城的 `dshReleases` 记录才是
+逐版本的验收结论。
+
+面板包随之 `0.1.3 → 0.1.4`：它的版本线独立于根包，但清单变了，不发这个版本号就没有能承载新
+声明的发布物。
+
+### 3. 根 tarball 不再内嵌面板包
+
+`files` 白名单去掉 `packages`。此前根 tarball 里同时躺着 `package.json` 与
+`packages/molbio-panel/package.json` 两个 DSH 插件清单，还重复携带 427 KB 相同的 `lib/client.js`；
+商城把"一个包里出现第二个插件清单"视为提交歧义是对的。现在根 tarball **只有一个插件清单**：
+**118 → 115 个文件、约 1.1 MB → 约 999 kB**（多出的 1 个文件是本次提交的
+`docs/store-preset-exemption-issue.md`）。面板没有因此消失——根包的 `lib/client.js` 本来就带着它
+（第 4 节的启动回读可以作证）；面板包继续按自己的地址单独发布。
+
+`test/contract.mjs` 的打包断言随之改向：不再要求 `files` 必须包含 `packages/`，而是断言
+**一个 tarball 里恰好只有一个 DSH 清单**（把 `packages` 加回白名单会立刻 FAIL）。
+
+### 4. 一次性 profile 证据（tarball 就是发布物）
+
+证据记录在 [docs/store-evidence.md](docs/store-evidence.md)，用临时 `DSH_HOME` 重跑，不碰真实
+`~/.dsh`：`npm pack` → `--from-default-profile web` 建 profile → `plugin add` tarball →
+`--dump-config`（`molbio-client` 解析到已安装包内，preset 行带 `tool-molbio`）→
+`--no-open --port 0` 启动 → 带 token 回读页面（**HTTP 200**，`__DSH_BOOT__` 图里有
+`dsh-molbio-tools/client.js`）→ `plugin remove` → 再 `--dump-config`（`molbio` 引用 **0** 处）。
+装 tarball 而不是目录，是因为 tarball 同时证明 `files` 白名单带全了运行文件。
+
+### 5. 未做 / 边界
+
+- **`0.2.1-rc.3` 没有验证**，因此标 `unknown`。拿到该版本后按
+  [docs/workflow.md](docs/workflow.md) 第 4 节的升级流程重跑 `preset-health` / `drift-probe` /
+  一次性 profile，再把它改成 `compatible`。
+- **预检的另外两条（保护命名空间、身份一致）不是改包能解决的**：本包已自行消掉
+  `SUBMISSION_BUNDLE_PATCH_INVALID`；剩下两条的证据、代码位置与三个可执行请求写在
+  [docs/store-preset-exemption.md](docs/store-preset-exemption.md)，可直接贴到 issue 的短版在
+  [docs/store-preset-exemption-issue.md](docs/store-preset-exemption-issue.md)。
+- **工具行为与 benchmark 一律不动**：60 个工具的输出与 0.21.0 相同，按规则 6 的"没变就不必跑
+  模型"；`bench --offline` 仍在 `npm test` 里，期望值照样逐条校验。
+
+### 6. 版本与验证
+
+- 根包 `0.21.0 → 0.21.1`；面板 `0.1.4`（见 §2）。
+- `npm test` 全绿：smoke、画面四套、客户端四套、contract 16 项、drift-probe 14 条突变、
+  preset-health 30 行、release 13 项、benchmark 四道守卫 + `bench --offline` 61 题。
+- `node build/preset-patch.mjs --check` 与 `node build/client-bundle.mjs --check` 均报告与源一致。
+- `node build/release-preflight.mjs --tag v0.21.1`：本地不变量全过；npm 上 `dsh-molbio-tools`
+  已有 0.21.0、本版按 `publish` 处理；面板 0.1.4 尚未发布。
+- 文档同步：maintainer 的版本号、roadmap 的当前状态、history 的版本一览与本段、store-evidence
+  的 tarball 名与文件数。
+
 ## [0.21.0] — 2026-10-23（DSH 0.2.1-rc.2 适配；两条 benchmark 欠账清零）
 
 **工具数不变（60），插件行为零改动。** 这是一次"只跟上游走"的版本：0.20.1 之后本机 harness

package/README.md

@@ -79,7 +79,7 @@ dsh plugin --profile web update dsh-molbio-tools
 > **0.7.1 起不再需要"注册 preset 根目录"这一步。**
 > DSH 0.1.7-alpha.1 移除了 `@deepseek-ai/dsh-agent-presets` 及其目录发现机制：preset 现在是
 > bundle patch 里的一个 `@deepseek-ai/dsh-agent-preset` **行**（本包的是
-> `preset/molbio-lab/preset.patch.yml`，由 `dsh.bundle.patch` 声明）。
+> `cordis.patch.yml` 里的第二个 insert，由 `dsh.bundle.patch` 声明）。
 > 因此 preset 随 bundle 一起安装，**装完即出现**。
 >
 > 老版本遗留的两样东西可以清理（`node preset\install.mjs --profile web` 会替你查出来）：
@@ -95,12 +95,12 @@ dsh plugin --profile web update dsh-molbio-tools
 
 ### 工具只在专属模式里出现（设计如此）
 
-本包的 bundle patch 分两层，分工是固定的：
+本包的 bundle patch 是**一个文件、两层 insert**，分工是固定的：
 
-| 层 | 作用 |
+| 层（同一个 `cordis.patch.yml` 里的两段） | 作用 |
 | --- | --- |
-| `cordis.patch.yml` | 只插一行**惰性宿主锚点**（`./host.mjs`），不注册任何工具 |
-| `preset/molbio-lab/preset.patch.yml` | 声明 **Molecular Biology Lab** 模式，60 个工具在这一层里 |
+| `molbio-client` → `./host.mjs` | 只插一行**惰性宿主锚点**，不注册任何工具 |
+| `preset-molbio-lab` → `@deepseek-ai/dsh-agent-preset` | 声明 **Molecular Biology Lab** 模式，60 个工具在这一层里 |
 
 所以 60 个工具**只在选中该模式的会话里加载**，其它模式（standard / ptc / minimal / cordis）
 不带它们，不占提示预算。bundle 安装 ≠ 工具全局可见：bundle 只是把"模式"和"面板"一起装进来。
@@ -224,8 +224,8 @@ dsh plugin --profile <profile> add dsh-molbio-panel
 
 | 工具 | 用途 |
 | --- | --- |
-| `molbio_pubmed_search` | 通过 harness 的 web 检索服务搜文献，自动提取 PMID |
-| `molbio_pubmed_abstract` | 按 PMID 拉取摘要（依赖部署提供 web fetch 能力） |
+| `molbio_pubmed_search` | 搜 PubMed 文献。提供 NCBI API key（`api_key` 参数，或环境变量 `NCBI_API_KEY` / `MOLBIO_NCBI_API_KEY`）时走**官方 E-utilities**（esearch + esummary），返回 PMID/标题/期刊/年份/作者/DOI；无 key 时回退到 harness 的 web 检索 |
+| `molbio_pubmed_abstract` | 按 PMID 拉取摘要（efetch；同样支持 NCBI API key，依赖部署提供 web fetch 能力） |
 | `molbio_paper_add` / `molbio_paper_list` / `molbio_paper_update` / `molbio_paper_remove` | 阅读库（工作区 `papers.json`）：加/列/改/删，按 PMID→URL→标题+年份去重 |
 | `molbio_paper_export_bibtex` | `papers.json` → BibTeX `.bib`（可按 tag 过滤） |
 | `molbio_protocol_add` / `molbio_protocol_list` / `molbio_protocol_update` | 协议库（`protocols.json`）：步骤列表、自由参数、来源文献 |
@@ -556,6 +556,11 @@ mutations remain deferred"）。所以插件无法在工作区里合法地落一
 ### 文献与记录
 
 - 检索与摘要走 harness 的 **web** 服务（部署不提供时工具会明确报错，而不是假装搜到）。
+- 提供 NCBI API key 时，`molbio_pubmed_search` 用官方 E-utilities：esearch 拿 PMID、esummary
+  拿题录（标题/期刊/年份/作者/DOI），`molbio_pubmed_abstract` 用 efetch 拿摘要。key 的来源优先级是
+  `api_key` 参数 > `NCBI_API_KEY` > `MOLBIO_NCBI_API_KEY`；**长期使用请用环境变量**，内联传参会让 key
+  出现在对话记录与工具卡片里。NCBI 的速率上限是**无 key 3 次/秒、有 key 10 次/秒**，一次带 key 的
+  检索是 2 个请求（esearch + esummary）。没有 key 时检索仍走原来的 web 检索通路，行为不变。
 - 阅读库/协议库/实验日志是工作区里的 `papers.json` / `protocols.json` / `experiments.json`，
   写入遵循会话的**沙箱政策**，与其它文件工具同权；面板（Papers tab）直接读 `papers.json`。
 - `molbio_paper_export_bibtex` 可选按 tag 过滤导出。
@@ -649,6 +654,12 @@ node <包目录>\preset\install.mjs --profile web --check  # 只报告，不组
 工具会返回 `notes` 说明放宽哪个约束（Tm 窗口、GC 窗口、扩增子长度、探针长度…）。通常是把
 `amplicon_min/max` 或 `tm_min/max` 放宽一点即可。
 
+**PubMed 的 API key 怎么配？**
+在启动 DSH 的环境里设 `NCBI_API_KEY`（或 `MOLBIO_NCBI_API_KEY`），插件会自动把它带进 E-utilities 请求；
+也可以在单次调用里传 `api_key`。有 key 时 `molbio_pubmed_search` 走官方 API（PubMed 自己的题录，
+含 DOI），没有 key 时仍走 harness 的 web 检索。注意：**内联传的 key 会出现在对话记录和工具调用卡片里**，
+长期用请设环境变量。
+
 **"帮我把这段序列分析一下" 它却问我要参数？**
 把目标说具体即可：要引物还是探针、产物多长、Tm 多少、哪个区域。工具默认值都是常规实验条件
 （例如引物 18–28 nt / Tm 55–65 °C / GC 40–60%），不特别说明时按默认来。
@@ -741,11 +752,11 @@ dsh-molbio-tools/
 ├── lib/client.js    # 客户端产物（exports["./client"]，由 npm run build:client 生成）
 ├── packages/molbio-panel/ # 面板专用包（只面板、不带工具）
 ├── preset/molbio-lab/     # 专属模式 preset：agent.cordis.yml 是行清单（手改这里）
-│                          #   preset.patch.yml 由 build/preset-patch.mjs 生成
+│                          #   preset.yml 是选择器文案；两者由生成器写进下面的 cordis.patch.yml
 ├── benchmark/       # 可用性评估：tasks/*.json + 判分器 + headless profile 推导（见其 README）
 ├── test/            # 冒烟 + 光栅化器 + 客户端/组合检查（含 preset 漂移与 benchmark profile 守卫）
 ├── docs/            # 维护者与实现文档（rules / workflow / roadmap / history 是本目录的骨架）
-└── cordis.patch.yml # bundle 的第一层补丁（当前为空列表；工具由 preset 层承载）
+└── cordis.patch.yml # 唯一 bundle patch（生成物）：锚点 insert + preset insert
 ```
 
 ---

package/benchmark/README.md

@@ -222,7 +222,7 @@ session "…" runs under agent preset "molbio-lab", which the one-shot runner do
 Presets are an agent-plane feature the Web surface composes; the one-shot runner
 drives `agents.create()` directly and never joins one. So the tools must be
 mounted as **host rows**, which is the one shape this package otherwise refuses
-to ship (`cordis.patch.yml` is deliberately an empty list).
+to ship (`cordis.patch.yml` only inserts the inert client anchor).
 
 `benchmark/profile.mjs` therefore generates a dedicated profile
 (`$DSH_HOME/profiles/molbio-bench`) whose patch layer is **derived** from

package/benchmark/profile.mjs

@@ -17,7 +17,8 @@
  * agent-plane feature the Web surface composes; the one-shot runner drives
  * `agents.create()` directly and never joins one. So the tools have to be
  * mounted as HOST rows, which is the one shape this package otherwise refuses
- * to ship (`cordis.patch.yml` is deliberately empty — see the preset's header).
+ * to ship (`cordis.patch.yml` only inserts the inert client anchor — see the
+ * preset's header).
  *
  * ── What keeps the reconstruction honest ────────────────────────────────────
  *

package/benchmark/tasks/08-records.json

@@ -13,7 +13,11 @@
     "whatever PubMed answers today and there is no recorded value to pin. Its",
     "assertions are therefore all `where: \"answer\"` and structural — a PMID",
     "appears, a title appears — and `benchmark/verifications.mjs` deliberately",
-    "declares no offline invocation for it. See NETWORK_TASKS there."
+    "declares no offline invocation for it. See NETWORK_TASKS there.",
+    "",
+    "The 0.22.0 NCBI-API-key path is NOT exercised here: a benchmark cannot",
+    "require a real key or pin live PubMed records. test/smoke.mjs covers it with",
+    "mocked esearch/esummary/efetch responses (including the invalid-key error)."
   ],
   "tasks": [
     {

package/benchmark/verifications.mjs

@@ -402,5 +402,10 @@ export function invocationsFor(task) {
  * answer (structural facts: a PMID appears, a title appears), which is why this
  * module returns no invocations for them and why the offline gate tolerates that
  * specific case while failing every other task that forgets to declare one.
+ *
+ * The NCBI-API-key path added in 0.22.0 is covered by `test/smoke.mjs` instead:
+ * a keyed call is two E-utilities requests (esearch + esummary) whose responses
+ * the mock returns, including the invalid-key error. A benchmark must not need a
+ * real NCBI key or pin live PubMed data, so this task stays network-only.
  */
 export const NETWORK_TASKS = new Set(['literature-search']);

package/build/preset-patch.mjs

@@ -1,35 +1,55 @@
 /**
  * dsh-molbio-tools/build/preset-patch.mjs
  *
- * Generate the AGENT-PRESET bundle patch from the canonical row list.
+ * Generate the ONE bundle patch this package ships: the client anchor plus the
+ * "Molecular Biology Lab" agent preset.
  *
- * WHY THIS EXISTS
- * ---------------
- * DSH 0.1.7-alpha.1 replaced the preset DIRECTORY mechanism. Before it, a preset
- * was an `agent.cordis.yml` the harness discovered from `<dshHome>/.agent-presets`
- * or from a configured root (`@deepseek-ai/dsh-agent-presets` scanned
- * directories). That package is gone, and the registry that replaced it "neither
- * scans directories nor accepts preset paths" — a preset is now a
- * `@deepseek-ai/dsh-agent-preset` ROW inside a bundle patch:
+ * WHY ONE FILE
+ * ------------
+ * DSH's runtime accepts `dsh.bundle.patch` as a file path or an ordered list of
+ * file paths (`@deepseek-ai/dsh-app-boot` → `bundlePatchPaths`), and the shipped
+ * `@deepseek-ai/dsh-web-app` uses the list form. DSH STORE's submission precheck
+ * only accepts a single string (`safePatchPath`), so the two layers this package
+ * used to ship as a list are emitted as one file with two top-level `insert`
+ * operations, in the same order they were applied:
  *
- *     - insert:
- *         - id: preset-molbio-lab
- *           name: '@deepseek-ai/dsh-agent-preset'
- *           config:
- *             id: molbio-lab
- *             name: Molecular Biology Lab
- *             description: ...
- *             plugins: [ ...the rows that used to be the composition... ]
+ *     1. molbio-client      → './host.mjs'  (inert host anchor; see below)
+ *     2. preset-molbio-lab  → '@deepseek-ai/dsh-agent-preset'
  *
- * The rows themselves did not change — only their container did. Keeping the
- * rows in ONE place and generating the container from them is what stops the two
- * from drifting, because `test/preset-health.mjs` validates every row against
- * the INSTALLED harness's own schemas.
+ * Nothing about either layer changes: a patch file is an ordered list of
+ * operations, and DSH applies them in file order exactly as it applied the two
+ * files in list order.
+ *
+ * WHY THE ANCHOR EXISTS
+ * ---------------------
+ * DSH's client-module scan walks the HOST Loader tree only. It reads each live
+ * host row's package manifest, takes `dsh.client` and `exports["./client"]` from
+ * it, and composes the browser graph that becomes `window.__DSH_BOOT__`. A
+ * preset's rows live in an isolated subtree that scan never visits.
+ *
+ * So when the tools moved into the preset, this package lost its only host-plane
+ * row, its bundle stopped reaching the page, and the two right-sidebar tabs
+ * (Molbio / Papers) silently disappeared. `host.mjs` restores exactly one inert
+ * row so the browser half is discoverable again — without putting any tool into
+ * a session that did not choose the molbio-lab mode.
+ *
+ * WHY THE PRESET IS GENERATED
+ * ---------------------------
+ * DSH 0.1.7-alpha.1 removed the `<dshHome>/.agent-presets` directory scan: a
+ * preset is now a `@deepseek-ai/dsh-agent-preset` ROW in a bundle patch, which
+ * is what the second insert below declares. Because the BUNDLE registers it,
+ * `dsh plugin --profile <p> add dsh-molbio-tools` puts the mode in the picker
+ * with no copy step and no preset-root patch — see README「安装」.
+ *
+ * Keeping the rows in ONE place and generating the container from them is what
+ * stops the two from drifting, because `test/preset-health.mjs` validates every
+ * row against the INSTALLED harness's own schemas.
  *
  *   source : preset/molbio-lab/agent.cordis.yml  (top-level row list, comments intact)
- *   output : preset/molbio-lab/preset.patch.yml  (the bundle patch, GENERATED)
+ *   source : preset/molbio-lab/preset.yml        (picker name + description)
+ *   output : cordis.patch.yml                    (GENERATED; anchor + preset)
  *
- * The source is emitted as-is: no re-serialization, so the comments that explain
+ * The rows are emitted as-is: no re-serialization, so the comments that explain
  * each row survive and the file stays diffable against the shipped `standard`
  * patch it descends from.
  *
@@ -55,20 +75,56 @@ export function rowBlockOf(source) {
 /** Indent every line of a block by `width` spaces. */
 const indent = (block, width) => block.split('\n').map((line) => (line === '' ? line : ' '.repeat(width) + line)).join('\n');
 
+const HEADER = [
+  '# dsh-molbio-tools bundle patch — the one file `dsh.bundle.patch` names.',
+  '#',
+  '# GENERATED by build/preset-patch.mjs. Edit the row list in',
+  '# preset/molbio-lab/agent.cordis.yml (and the picker strings in preset.yml), then',
+  '# re-run `node build/preset-patch.mjs`; hand edits here are reverted by the next',
+  '# run, and `node build/preset-patch.mjs --check` fails while the two disagree.',
+  '#',
+  '# Two top-level inserts, applied in this order:',
+  '#   1. molbio-client      — inert host anchor for the browser half (see below)',
+  '#   2. preset-molbio-lab  — the "Molecular Biology Lab" agent preset',
+].join('\n');
+
+const ANCHOR = [
+  '# ── 1. the CLIENT-BUNDLE ANCHOR ────────────────────────────────────────────',
+  '#',
+  '# `host.mjs` registers no tool and publishes no service. Its only job is to be a',
+  "# loader row DSH's client-module scan can see: that scan walks the HOST Loader",
+  "# tree, reads the row's package manifest, and takes `dsh.client` +",
+  '# `exports["./client"]` from it to compose `window.__DSH_BOOT__`. A preset\'s rows',
+  '# live in an isolated subtree the scan never visits, so a `dsh.client` package',
+  '# referenced only from inside a preset loses its only discoverable row and its',
+  '# right-sidebar tabs silently disappear.',
+  '#',
+  '# Keep the tool in the PRESET and only the anchor here. An earlier version of',
+  "# this file inserted a host row for the tool itself (`name: dsh-molbio-tools`),",
+  "# which both registered all 60 tools globally and collided with the preset's own",
+  '# copy of that row:',
+  '#',
+  '#     broken: "tool-molbio (...): never started"',
+  '- insert:',
+  '    - id: molbio-client',
+  "      name: './host.mjs'",
+].join('\n');
+
+/**
+ * Build the bundle patch: anchor first, preset second.
+ *
+ * @param {{rows: string, description: string, displayName?: string}} input
+ * @returns {string} the complete `cordis.patch.yml` text (single trailing newline)
+ */
 export function buildPatch({ rows, description, displayName = 'Molecular Biology Lab' }) {
-  const header = [
-    '# dsh-molbio-tools bundle layer: declares the "Molecular Biology Lab" agent preset.',
+  const presetHeader = [
+    '# ── 2. the MOLECULAR BIOLOGY LAB PRESET ───────────────────────────────────',
     '#',
-    '# GENERATED by build/preset-patch.mjs from preset/molbio-lab/agent.cordis.yml.',
-    '# Edit the ROW LIST there and re-run `node build/preset-patch.mjs`; editing the',
-    "# `plugins:` block below by hand will be reverted by the next run, and",
-    '# `node build/preset-patch.mjs --check` fails while the two disagree.',
-    '#',
-    '# DSH 0.1.7-alpha.1 removed the `<dshHome>/.agent-presets` directory scan: a preset is',
-    '# now a `@deepseek-ai/dsh-agent-preset` ROW in a bundle patch, which is what this',
-    '# layer inserts. Because the BUNDLE registers it, `dsh plugin --profile <p> add',
-    '# dsh-molbio-tools` puts the mode in the picker with no copy step and no',
-    '# preset-root patch — see README「安装」.',
+    '# DSH 0.1.7-alpha.1 removed the `<dshHome>/.agent-presets` directory scan: a',
+    '# preset is now a `@deepseek-ai/dsh-agent-preset` ROW in a bundle patch, which',
+    '# is what this insert declares. Because the BUNDLE registers it,',
+    '# `dsh plugin --profile <p> add dsh-molbio-tools` puts the mode in the picker',
+    '# with no copy step and no preset-root patch — see README「安装」.',
     '#',
     '# `order: 5` is deliberate: the shipped presets occupy 1..4 (standard, ptc,',
     '# minimal, cordis) and the registry sorts by `order` with an id tie-break, so a',
@@ -76,7 +132,11 @@ export function buildPatch({ rows, description, displayName = 'Molecular Biology
   ].join('\n');
 
   return [
-    header,
+    HEADER,
+    '',
+    ANCHOR,
+    '',
+    presetHeader,
     '- insert:',
     '    - id: preset-molbio-lab',
     "      name: '@deepseek-ai/dsh-agent-preset'",
@@ -95,7 +155,7 @@ function main() {
   const check = process.argv.includes('--check');
   const sourcePath = join(repoRoot, 'preset', 'molbio-lab', 'agent.cordis.yml');
   const metaPath = join(repoRoot, 'preset', 'molbio-lab', 'preset.yml');
-  const outPath = join(repoRoot, 'preset', 'molbio-lab', 'preset.patch.yml');
+  const outPath = join(repoRoot, 'cordis.patch.yml');
 
   const rows = rowBlockOf(readFileSync(sourcePath, 'utf8'));
   if (rows === undefined || !rows.includes('- id:')) {
@@ -124,16 +184,16 @@ function main() {
       process.exit(1);
     }
     if (current !== text) {
-      console.error('preset-patch: the committed preset patch is STALE — run `node build/preset-patch.mjs`');
+      console.error('preset-patch: the committed bundle patch is STALE — run `node build/preset-patch.mjs`');
       process.exit(1);
     }
-    console.log('preset patch is current');
+    console.log('bundle patch is current');
     return;
   }
 
   writeFileSync(outPath, text, 'utf8');
-  const rows_ = rows.split('\n').filter((line) => /^\s*- id:/.test(line)).length;
-  console.log(`preset patch written: ${outPath} (${rows_} rows)`);
+  const rowCount = rows.split('\n').filter((line) => /^\s*- id:/.test(line)).length;
+  console.log(`bundle patch written: ${outPath} (${rowCount} preset rows + anchor)`);
 }
 
 if (process.argv[1] !== undefined && import.meta.url === pathToFileURLSafe(process.argv[1])) main();

package/build/release-preflight.mjs

@@ -201,7 +201,7 @@ export function tagVersion(tag) {
  * `rc.10 < rc.2`, so a release of `rc.2` after `rc.10` would look like a
  * DOWNGRADE and the gate would refuse a legitimate publish (or, in the other
  * direction, wave through a stale one). This repository does cut prereleases
- * (the harness baseline itself is `0.2.1-rc.2`), so the rule is implemented
+ * (the harness baseline itself is `0.2.1-rc.3`), so the rule is implemented
  * rather than approximated.
  *
  * Semver's rule: split on dots; numeric identifiers compare numerically and rank