dsh-plugin-pack 1.0.18 → 1.0.19

package/lib/import.js

@@ -18,6 +18,7 @@ import { readJson, readText, writeJson, writeText, ensureDir, isDir, isFile, rea
 import { existingIds, rowId, appendInsertBlock, splitTopLevel, yamlScalar } from './patch-text.js';
 import { isAbsoluteSpec, clearScanCache, resolvePackageDir } from './scan.js';
 import { repairProfile } from './repair.js';
+import { syncLockfile } from './lockfile.js';
 
 export const PACK_FORMAT = 'dsh-plugin-pack@2';
 /** 兼容旧的散文件布局。 */
@@ -543,6 +544,25 @@ export function importBundle(options = {}) {
 
   record.links = links;
   writeJson(path.join(backupRoot, 'record.json'), record);
+
+  /* 最后一步：让 pnpm-lock.yaml 跟上 package.json。
+   *
+   * 我们改了 dependencies，但锁文件不会自己更新。dsh 安装/卸载插件时会跑
+   * `pnpm install --frozen-lockfile`，两边对不上就抛
+   * ERR_PNPM_OUTDATED_LOCKFILE —— 用户看到的就是"卸载点了没反应"。
+   * 这一步只更新锁文件，不碰 node_modules；失败不影响导入本身。 */
+  let lockfile = { ok: false, skipped: true, reason: '没有修改依赖' };
+  if (Object.keys(record.pkgDepsBefore ?? {}).length) {
+    onProgress('同步 pnpm 锁文件', 98);
+    lockfile = syncLockfile(profile);
+    if (!lockfile.ok && !lockfile.skipped) {
+      warnings.push(
+        `锁文件同步失败：${lockfile.error ?? '未知原因'}。` +
+          `这会让 dsh 的插件卸载/安装报 ERR_PNPM_OUTDATED_LOCKFILE，` +
+          `可在 profile 目录手动跑 pnpm install --lockfile-only 修好。`,
+      );
+    }
+  }
   // 导入改了 profile 配置和插件目录，扫描缓存必须失效
   clearScanCache();
   onProgress(`完成：${applied.length} 个插件已处理`, 100);
@@ -564,6 +584,8 @@ export function importBundle(options = {}) {
     disabledNames: enable ? [] : applied.filter((item) => item.action !== 'skipped').map((item) => item.name),
     patch: patchPlan.summary,
     dataRestored: record.dataDirs.length,
+    // 锁文件同步结果：ok=false 且没 skipped 时要提醒手动跑 pnpm install
+    lockfile,
     warnings,
     restartRequired: true,
   };

package/lib/lockfile.js

@@ -0,0 +1,127 @@
+/**
+ * 同步 pnpm 锁文件。
+ *
+ * 为什么必须有这一步：我们改的是 `package.json` 的 dependencies，
+ * 但 `pnpm-lock.yaml` 不会自己更新。而 dsh 的插件卸载/安装会跑
+ *
+ *   pnpm install --frozen-lockfile
+ *
+ * 锁文件一旦和 package.json 对不上，pnpm 直接抛
+ *
+ *   ERR_PNPM_OUTDATED_LOCKFILE
+ *   specifiers in the lockfile don't match specifiers in package.json
+ *
+ * 表现就是：卸载按钮点了没反应、装新插件也失败。
+ *
+ * 所以导入/删除依赖之后，必须补一次 `pnpm install --lockfile-only`：
+ * 只更新锁文件，不碰 node_modules，几秒就完。
+ *
+ * @module dsh-plugin-pack/lib/lockfile
+ */
+import { spawnSync } from 'node:child_process';
+import fs from 'node:fs';
+import path from 'node:path';
+
+/** 找 pnpm 可执行文件；找不到返回 null。 */
+function findPnpm() {
+  const candidates =
+    process.platform === 'win32'
+      ? ['pnpm.cmd', 'pnpm.exe', 'pnpm']
+      : ['pnpm'];
+
+  for (const name of candidates) {
+    const result = spawnSync(name, ['--version'], {
+      encoding: 'utf8',
+      shell: process.platform === 'win32',
+      timeout: 15000,
+      windowsHide: true,
+    });
+    if (!result.error && result.status === 0) return name;
+  }
+  return null;
+}
+
+/**
+ * 让 `pnpm-lock.yaml` 与 `package.json` 对齐。
+ *
+ * 没有 package.json / 没有 pnpm / 没有 lockfile 时都不算错，直接跳过 ——
+ * 这一步是"顺手修好别再踩坑"，不该阻断导入本身。
+ *
+ * @param {string} profileDir
+ * @param {object} [options]
+ * @param {number} [options.timeoutMs]
+ * @param {boolean} [options.force] 即使没有 lockfile 也生成一份
+ * @returns {{ ok: boolean, skipped?: boolean, reason?: string, error?: string }}
+ */
+export function syncLockfile(profileDir, options = {}) {
+  const profile = path.resolve(profileDir);
+  const pkgFile = path.join(profile, 'package.json');
+  const lockFile = path.join(profile, 'pnpm-lock.yaml');
+
+  try {
+    if (!fs.existsSync(pkgFile)) return { ok: false, skipped: true, reason: '没有 package.json' };
+    // 本来就没有锁文件就别硬造一个（可能是 npm/yarn 项目）
+    if (!fs.existsSync(lockFile) && !options.force) {
+      return { ok: false, skipped: true, reason: '没有 pnpm-lock.yaml，跳过' };
+    }
+
+    const pnpm = findPnpm();
+    if (!pnpm) return { ok: false, skipped: true, reason: '没找到 pnpm' };
+
+    const result = spawnSync(pnpm, ['install', '--lockfile-only', '--reporter=silent'], {
+      cwd: profile,
+      encoding: 'utf8',
+      shell: process.platform === 'win32',
+      timeout: options.timeoutMs ?? 120000,
+      windowsHide: true,
+      env: { ...process.env, CI: '' },
+    });
+
+    if (result.error) {
+      return { ok: false, error: String(result.error.message ?? result.error) };
+    }
+    if (result.status !== 0) {
+      const detail = `${result.stdout ?? ''}\n${result.stderr ?? ''}`.trim();
+      return { ok: false, error: detail.slice(0, 400) || `pnpm 退出码 ${result.status}` };
+    }
+    return { ok: true };
+  } catch (error) {
+    return { ok: false, error: String(error?.message ?? error) };
+  }
+}
+
+/**
+ * 检查锁文件与 package.json 是否一致（不写盘）。
+ *
+ * @param {string} profileDir
+ * @returns {{ ok: boolean, skipped?: boolean, outdated?: boolean, error?: string }}
+ */
+export function checkLockfile(profileDir) {
+  const profile = path.resolve(profileDir);
+  const pkgFile = path.join(profile, 'package.json');
+  const lockFile = path.join(profile, 'pnpm-lock.yaml');
+
+  try {
+    if (!fs.existsSync(pkgFile) || !fs.existsSync(lockFile)) {
+      return { ok: false, skipped: true };
+    }
+    const pnpm = findPnpm();
+    if (!pnpm) return { ok: false, skipped: true, reason: '没找到 pnpm' };
+
+    const result = spawnSync(pnpm, ['install', '--frozen-lockfile', '--lockfile-only'], {
+      cwd: profile,
+      encoding: 'utf8',
+      shell: process.platform === 'win32',
+      timeout: 120000,
+      windowsHide: true,
+    });
+    // 注意：这里不能用 --reporter=silent —— 它会把 ERR_PNPM_OUTDATED_LOCKFILE
+    // 这段错误文本一起吞掉，导致分不清"锁文件不一致"和"其它失败"。
+    const detail = `${result.stdout ?? ''}\n${result.stderr ?? ''}`;
+    if (/ERR_PNPM_OUTDATED_LOCKFILE/.test(detail)) return { ok: true, outdated: true };
+    if (result.status === 0) return { ok: true, outdated: false };
+    return { ok: false, error: detail.trim().slice(0, 400) || `pnpm 退出码 ${result.status}` };
+  } catch (error) {
+    return { ok: false, error: String(error?.message ?? error) };
+  }
+}

package/lib/repair.js

@@ -21,6 +21,7 @@ import path from 'node:path';
 
 import { readJson, writeJson, ensureDir, isDir } from './util.js';
 import { clearScanCache } from './scan.js';
+import { syncLockfile } from './lockfile.js';
 
 /** 这个包是不是宿主自带（从 dsh 安装目录解析）。 */
 function isOfficial(name) {
@@ -142,5 +143,12 @@ export function repairProfile({ profileDir, dryRun = false }) {
     clearScanCache();
   }
 
-  return { ok: true, linked, removed, unlinked: unlinked, warnings };
+  /* 删掉依赖之后锁文件也要跟上，否则 dsh 卸载/安装插件时会因为
+   * ERR_PNPM_OUTDATED_LOCKFILE 失败。 */
+  let lockfile = null;
+  if (!dryRun && removed.length) {
+    lockfile = syncLockfile(profile);
+  }
+
+  return { ok: true, linked, removed, unlinked: unlinked, warnings, lockfile };
 }

package/lib/server.js

@@ -41,6 +41,7 @@ import { runJob, listJobs, getJob, runningJobs, clearFinished, openWaiting, getW
 import { fetchBundleFrom, parseSource } from './fetch-bundle.js';
 import { setPluginsEnabled, getEnabledState } from './enable.js';
 import { repairProfile } from './repair.js';
+import { syncLockfile, checkLockfile } from './lockfile.js';
 import { dshHome as resolveDshHome, profileDir as resolveProfileDir, profileName as resolveProfileName, humanBytes } from './home.js';
 import { readJson, writeJson, isDir, isFile } from './util.js';
 
@@ -767,6 +768,43 @@ export function mountRoutes(ctx, config = {}) {
         'plugin-pack: repair',
       );
 
+      /* pnpm 锁文件：dsh 卸载/安装插件时会用 --frozen-lockfile 校验，
+       * 对不上就报 ERR_PNPM_OUTDATED_LOCKFILE（表现是"卸载点了没反应"）。
+       *   GET  /plugin-pack/lockfile        查是否一致
+       *   POST /plugin-pack/lockfile/sync   同步（= pnpm install --lockfile-only）
+       */
+      register(
+        {
+          kind: 'exact',
+          path: `${PREFIX}/lockfile`,
+          handler: async (request, response) => {
+            if (request.method !== 'GET') {
+              sendJson(response, 405, { ok: false, error: '只支持 GET' });
+              return;
+            }
+            const local = contextOf(config);
+            sendJson(response, 200, checkLockfile(local.profileDir));
+          },
+        },
+        'plugin-pack: lockfile',
+      );
+
+      register(
+        {
+          kind: 'exact',
+          path: `${PREFIX}/lockfile/sync`,
+          handler: async (request, response) => {
+            if (request.method !== 'POST') {
+              sendJson(response, 405, { ok: false, error: '只支持 POST' });
+              return;
+            }
+            const local = contextOf(config);
+            sendJson(response, 200, syncLockfile(local.profileDir));
+          },
+        },
+        'plugin-pack: lockfile-sync',
+      );
+
       /* 待决策任务：导入遇到重名时登记，界面切走再回来靠它捡回弹窗。
        *   GET  /plugin-pack/waiting            列出待决策任务（含冲突列表）
        *   POST /plugin-pack/waiting/cancel     取消（用户切走/关页面/点取消）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin-pack",
-  "version": "1.0.18",
+  "version": "1.0.19",
   "description": "DeepSeek Harness 插件整合包：一键把当前 profile 的第三方插件连依赖和配置导出成 zip（内部每个插件是标准 npm tgz），换机/换 profile 拖进去就能还原。",
   "type": "module",
   "main": "lib/index.js",