dsh-plugin-pack 1.0.19 → 1.0.21

package/client.js

@@ -580,7 +580,12 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     api('/plugin-pack/browse', { method: 'POST', body: JSON.stringify({ dir, create: Boolean(options.create) }) });
   const doHotload = (pkg) => api('/plugin-pack/hotload', { method: 'POST', body: JSON.stringify({ package: pkg }) });
   const getClientStatus = (pkg) => api(`/plugin-pack/client?package=${encodeURIComponent(pkg ?? 'dsh-plugin-pack')}`);
-  const doImportPlugin = (dir) => api('/plugin-pack/import-plugin', { method: 'POST', body: JSON.stringify({ dir }) });
+  /** 导入一个本地插件目录（dryRun=true 时只预览冲突，不写盘）。 */
+  const doImportPlugin = (dir, dryRun = false) =>
+    api('/plugin-pack/import-plugin', {
+      method: 'POST',
+      body: JSON.stringify({ dir, dryRun, enable: installPrefs.enable }),
+    });
   /** 后台任务列表（进行中 + 已完成）。 */
   const getJobs = () => api('/plugin-pack/jobs?limit=20');
   const clearJobs = () => api('/plugin-pack/jobs/clear', { method: 'POST', body: '{}' });
@@ -2395,20 +2400,55 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
         }
         setPhase(t('import.checking'));
 
-        /* 下载到的可能是两种：
-         *   kind='plugin' → npm 包 / 单插件 tgz，走 tgz 导入
-         *   kind='bundle' → 整合包 zip，走整合包导入（可能要先问冲突） */
+        /* 下载到的可能是三种：
+         *   kind='plugin' + file → npm 包 / 单插件 tgz
+         *   kind='plugin' + dir  → 单个插件的原仓库（GitHub 归档解出来的目录）
+         *   kind='bundle'        → 整合包 zip，可能要先问冲突 */
         if (fetched.kind === 'plugin') {
-          const result = await doImport({
-            file: fetched.file,
-            dryRun: false,
-            mode: 'merge',
-            linkNodeModules: true,
-          });
+          // 仓库来的单插件：先 dryRun 看有没有同名已装，有就弹确认框
+          if (fetched.dir) {
+            const preview = await doImportPlugin(fetched.dir, true);
+            const existingRow = preview?.conflicts?.[0] ?? null;
+            if (existingRow || preview?.plan) {
+              const row = {
+                name: fetched.plugins?.[0]?.name ?? preview?.name ?? '(未知插件)',
+                version: fetched.plugins?.[0]?.version ?? preview?.version ?? null,
+                installedVersion: existingRow?.installedVersion ?? null,
+                dest: existingRow?.dest ?? null,
+                sameVersion: Boolean(existingRow?.sameVersion),
+                older: Boolean(existingRow?.older),
+                installSource: existingRow?.installSource ?? null,
+                exists: Boolean(existingRow),
+              };
+              setPendingImport({
+                kind: 'plugin-dir',
+                pendingDir: fetched.dir,
+                file: null,
+                conflicts: row.exists ? [row] : [],
+                rows: [row],
+                plugins: fetched.plugins ?? [],
+                from: fetched.from,
+              });
+              setNetOpen(false);
+              setBusy(false);
+              setPhase('');
+              return;
+            }
+          }
+
+          const result = fetched.dir
+            ? await doImportPlugin(fetched.dir)
+            : await doImport({
+                file: fetched.file,
+                dryRun: false,
+                mode: 'merge',
+                linkNodeModules: true,
+              });
           setNetResult({
             ok: true,
             kind: 'plugin',
-            file: fetched.file,
+            file: fetched.file ?? null,
+            dir: fetched.dir ?? null,
             from: fetched.from,
             name: fetched.name,
             bytes: fetched.bytes,
@@ -2493,6 +2533,26 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
       setBusy(true);
       setImportResult(null);
       try {
+        /* 单插件仓库（GitHub 归档解出来的目录）：直接按目录导入。
+         * 目录导入没有 decisions 的概念（一个插件一个决定），
+         * 用户点了「开始导入」就等于选覆盖。 */
+        if (pending.kind === 'plugin-dir' && pending.pendingDir) {
+          setPhase(t('import.checking'));
+          const dirResult = await doImportPlugin(pending.pendingDir);
+          setNetResult({
+            ok: true,
+            kind: 'plugin',
+            dir: pending.pendingDir,
+            from: pending.from ?? null,
+            plugins: pending.plugins ?? [],
+          });
+          setImportResult(dirResult);
+          rememberEnableState(dirResult);
+          await load();
+          await refreshJobs();
+          return;
+        }
+
         /* quick 模式：拖进来时只读了 zip 尾部就弹了冲突窗，文件还没上传。
          * 现在用户确认了，才真正把文件传上去。 */
         let file = pending.file;

package/lib/fetch-bundle.js

@@ -20,6 +20,7 @@ import path from 'node:path';
 import { inspectBundle } from './import.js';
 import { saveIncomingZip } from './inbox.js';
 import { ensureDir } from './util.js';
+import { readZip } from './zip.js';
 
 /** 单次下载的上限（与上传一致，1 GiB）。 */
 const MAX_BYTES = 1024 * 1024 * 1024;
@@ -422,11 +423,14 @@ export async function fetchBundleFrom({ source, home, onProgress = () => {} }) {
   const saved = saveIncomingZip({ home, filename: name, data, origin: 'network' });
   report(`已保存到 ${saved.file}`);
 
-  /* 校验阶段分两种：
-   *   .tgz → 这是单个插件的 npm tarball。要求 package/package.json 存在，
-   *          不需要"整合包"，因为它本来就不是。
-   *   .zip → 必须是 dsh-plugin-pack 的整合包，否则报 NOT_A_BUNDLE。
-   * 两类都用现实存在的解析器校验，不靠扩展名猜。 */
+  /* 关键：校验它到底是什么。
+   *
+   * 三种可能，靠内容判断而不是靠地址猜：
+   *   .tgz                      → 单个插件的 npm tarball
+   *   .zip 带 manifest.json     → dsh-plugin-pack 整合包
+   *   .zip 带 package.json      → 单个插件的原仓库（GitHub 归档常见）
+   *   都不是                    → 报「不是整合包也不是插件」
+   */
   const isTgz = /\.(tgz|tar\.gz)$/i.test(saved.file);
 
   if (isTgz) {
@@ -462,23 +466,93 @@ export async function fetchBundleFrom({ source, home, onProgress = () => {} }) {
     };
   }
 
-  /* 关键：校验它真的是整合包。
-   * 这一步不过就报明确错误，不让用户以为"下载成功了却导不进去"。 */
-  const info = inspectBundle(saved.file);
-  report(`校验通过：整合包内含 ${info.plugins.length} 个插件`);
-
-  return {
-    file: saved.file,
-    bytes: saved.bytes,
-    name,
-    from,
-    kind: 'bundle',
-    manifest: info.manifest,
-    plugins: info.plugins.map((plugin) => ({
-      name: plugin.name,
-      version: plugin.version,
-    })),
-  };
+  // .zip：先按整合包认；不是整合包再按"单插件仓库"认
+  try {
+    const info = inspectBundle(saved.file);
+    report(`校验通过：整合包内含 ${info.plugins.length} 个插件`);
+    return {
+      file: saved.file,
+      bytes: saved.bytes,
+      name,
+      from,
+      kind: 'bundle',
+      manifest: info.manifest,
+      plugins: info.plugins.map((plugin) => ({
+        name: plugin.name,
+        version: plugin.version,
+      })),
+    };
+  } catch (bundleError) {
+    /* 不是整合包 → 看看是不是某个插件的原仓库。
+     * 判断依据是解出来的目录里有合法 package.json（有 name），
+     * 而不是"地址长得像 github"。 */
+    report('不是整合包，检查是否为单个插件的原仓库…');
+    const detected = await detectPluginInZip(data, path.dirname(saved.file));
+    if (detected) {
+      report(`校验通过：单个插件 ${detected.info.name}@${detected.info.version ?? '?'}（来自仓库）`);
+      return {
+        file: saved.file,
+        bytes: saved.bytes,
+        name,
+        from,
+        kind: 'plugin',
+        dir: detected.dir,
+        manifest: null,
+        plugins: [{ name: detected.info.name, version: detected.info.version ?? null }],
+      };
+    }
+    throw bundleError;
+  }
+}
+
+/**
+ * 在一个 zip 里找"单个插件"的根目录。
+ *
+ * GitHub 的仓库归档会多包一层 `<repo>-<ref>/`，所以要判断：
+ *   - 根目录就有 package.json → 就是它
+ *   - 只有一个顶层目录，且该目录里有 package.json → 用它
+ * 其它情况（散落多目录、没有 package.json）返回 null。
+ *
+ * @param {Buffer} buffer zip 内容
+ * @param {string} parentDir 解压到哪儿（会在其下建 extracted/）
+ * @returns {Promise<{ dir: string, info: object } | null>}
+ */
+async function detectPluginInZip(buffer, parentDir) {
+  try {
+    const entries = readZip(buffer);
+    if (!entries.length) return null;
+
+    // 先看有没有 package.json，以及它的层级
+    const pkgEntry = entries.find((entry) => entry.name === 'package.json' || /^[^/]+\/package\.json$/.test(entry.name));
+    if (!pkgEntry) return null;
+
+    const dest = path.join(parentDir, 'extracted');
+    fs.rmSync(dest, { recursive: true, force: true });
+    fs.mkdirSync(dest, { recursive: true });
+
+    for (const entry of entries) {
+      if (entry.name.endsWith('/')) continue;
+      const target = path.join(dest, entry.name);
+      // 防路径穿越
+      if (!path.resolve(target).startsWith(path.resolve(dest))) continue;
+      fs.mkdirSync(path.dirname(target), { recursive: true });
+      fs.writeFileSync(target, entry.data);
+    }
+
+    // package.json 在根还是在唯一子目录里
+    const rootPkg = path.join(dest, 'package.json');
+    let pluginDir = dest;
+    if (!fs.existsSync(rootPkg)) {
+      pluginDir = path.join(dest, path.dirname(pkgEntry.name));
+    }
+
+    const { describeLocalPlugin } = await import('./import-plugin.js');
+    const info = describeLocalPlugin(pluginDir);
+    if (!info?.name) return null;
+    return { dir: pluginDir, info };
+  } catch {
+    return null;
+  }
 }
 
 /** 归档分支名里的斜杠要转义，否则 codeload 会 404。 */

package/lib/lockfile.js

@@ -22,25 +22,69 @@ import { spawnSync } from 'node:child_process';
 import fs from 'node:fs';
 import path from 'node:path';
 
-/** 找 pnpm 可执行文件；找不到返回 null。 */
+/**
+ * 找 pnpm —— 优先用 dsh 自带的那个。
+ *
+ * 为什么不能随便用 PATH 上的：dsh 内置 pnpm 11（store/v11），
+ * 用户命令行可能是 pnpm 10（store/v10）。store 目录不同、锁文件格式也可能不同，
+ * 用错版本去同步等于又把 dsh 的安装/卸载搞坏。
+ *
+ * 探测顺序：DSH_PNPM 环境变量 → dsh 运行时里的 pnpm.cjs → PATH 上的 pnpm。
+ *
+ * @returns {{ command: string, args: string[], version: string|null, bundled: boolean } | null}
+ */
 function findPnpm() {
-  const candidates =
-    process.platform === 'win32'
-      ? ['pnpm.cmd', 'pnpm.exe', 'pnpm']
-      : ['pnpm'];
+  const candidates = [];
+
+  if (process.env.DSH_PNPM && fs.existsSync(process.env.DSH_PNPM)) {
+    candidates.push({ command: process.execPath, args: [process.env.DSH_PNPM], bundled: true });
+  }
+
+  // dsh 的 node 通常在 <runtime>/node.exe，pnpm 在 <runtime>/dependencies/pnpm/bin/pnpm.cjs
+  const exeDir = path.dirname(process.execPath);
+  for (const rel of [
+    ['dependencies', 'pnpm', 'bin', 'pnpm.cjs'],
+    ['..', 'dependencies', 'pnpm', 'bin', 'pnpm.cjs'],
+    ['runtime', 'primary-runtime', 'dependencies', 'pnpm', 'bin', 'pnpm.cjs'],
+  ]) {
+    const candidate = path.join(exeDir, ...rel);
+    if (fs.existsSync(candidate)) {
+      candidates.push({ command: process.execPath, args: [candidate], bundled: true });
+      break;
+    }
+  }
+
+  // 兜底：PATH 上的 pnpm
+  const names = process.platform === 'win32' ? ['pnpm.cmd', 'pnpm.exe', 'pnpm'] : ['pnpm'];
+  for (const name of names) candidates.push({ command: name, args: [], bundled: false });
 
-  for (const name of candidates) {
-    const result = spawnSync(name, ['--version'], {
+  for (const candidate of candidates) {
+    const result = spawnSync(candidate.command, [...candidate.args, '--version'], {
       encoding: 'utf8',
-      shell: process.platform === 'win32',
-      timeout: 15000,
+      // 自带 pnpm 是 node 直接跑 .cjs，不需要 shell；PATH 上的需要
+      shell: process.platform === 'win32' && !candidate.bundled,
+      timeout: 20000,
       windowsHide: true,
     });
-    if (!result.error && result.status === 0) return name;
+    if (!result.error && result.status === 0) {
+      const version = String(result.stdout ?? '').trim().split('\n')[0] || null;
+      return { ...candidate, version };
+    }
   }
   return null;
 }
 
+/** 用找到的 pnpm 跑一条命令。 */
+function runPnpm(pnpm, args, cwd, timeoutMs) {
+  return spawnSync(pnpm.command, [...pnpm.args, ...args], {
+    cwd,
+    encoding: 'utf8',
+    shell: process.platform === 'win32' && !pnpm.bundled,
+    timeout: timeoutMs,
+    windowsHide: true,
+  });
+}
+
 /**
  * 让 `pnpm-lock.yaml` 与 `package.json` 对齐。
  *
@@ -68,23 +112,21 @@ export function syncLockfile(profileDir, options = {}) {
     const pnpm = findPnpm();
     if (!pnpm) return { ok: false, skipped: true, reason: '没找到 pnpm' };
 
-    const result = spawnSync(pnpm, ['install', '--lockfile-only', '--reporter=silent'], {
-      cwd: profile,
-      encoding: 'utf8',
-      shell: process.platform === 'win32',
-      timeout: options.timeoutMs ?? 120000,
-      windowsHide: true,
-      env: { ...process.env, CI: '' },
-    });
+    const result = runPnpm(
+      pnpm,
+      ['install', '--lockfile-only', '--config.confirmModulesPurge=false'],
+      profile,
+      options.timeoutMs ?? 180000,
+    );
 
     if (result.error) {
-      return { ok: false, error: String(result.error.message ?? result.error) };
+      return { ok: false, error: String(result.error.message ?? result.error), pnpm: pnpm.version };
     }
     if (result.status !== 0) {
       const detail = `${result.stdout ?? ''}\n${result.stderr ?? ''}`.trim();
-      return { ok: false, error: detail.slice(0, 400) || `pnpm 退出码 ${result.status}` };
+      return { ok: false, error: detail.slice(0, 400) || `pnpm 退出码 ${result.status}`, pnpm: pnpm.version };
     }
-    return { ok: true };
+    return { ok: true, pnpm: pnpm.version };
   } catch (error) {
     return { ok: false, error: String(error?.message ?? error) };
   }
@@ -108,19 +150,17 @@ export function checkLockfile(profileDir) {
     const pnpm = findPnpm();
     if (!pnpm) return { ok: false, skipped: true, reason: '没找到 pnpm' };
 
-    const result = spawnSync(pnpm, ['install', '--frozen-lockfile', '--lockfile-only'], {
-      cwd: profile,
-      encoding: 'utf8',
-      shell: process.platform === 'win32',
-      timeout: 120000,
-      windowsHide: true,
-    });
+    const result = runPnpm(pnpm, ['install', '--frozen-lockfile', '--lockfile-only'], profile, 180000);
     // 注意：这里不能用 --reporter=silent —— 它会把 ERR_PNPM_OUTDATED_LOCKFILE
     // 这段错误文本一起吞掉，导致分不清"锁文件不一致"和"其它失败"。
     const detail = `${result.stdout ?? ''}\n${result.stderr ?? ''}`;
-    if (/ERR_PNPM_OUTDATED_LOCKFILE/.test(detail)) return { ok: true, outdated: true };
-    if (result.status === 0) return { ok: true, outdated: false };
-    return { ok: false, error: detail.trim().slice(0, 400) || `pnpm 退出码 ${result.status}` };
+    if (/ERR_PNPM_OUTDATED_LOCKFILE/.test(detail)) return { ok: true, outdated: true, pnpm: pnpm.version };
+    if (result.status === 0) return { ok: true, outdated: false, pnpm: pnpm.version };
+    // 其它错误里也可能带 store 不一致
+    if (/ERR_PNPM_UNEXPECTED_STORE/.test(detail)) {
+      return { ok: false, storeMismatch: true, pnpm: pnpm.version, error: detail.trim().slice(0, 400) };
+    }
+    return { ok: false, error: detail.trim().slice(0, 400) || `pnpm 退出码 ${result.status}`, pnpm: pnpm.version };
   } catch (error) {
     return { ok: false, error: String(error?.message ?? error) };
   }

package/lib/server.js

@@ -1150,6 +1150,8 @@ export function mountRoutes(ctx, config = {}) {
                 mode: body.mode === 'skip' ? 'skip' : 'merge',
                 linkNodeModules: body.linkNodeModules !== false,
                 decisions: body.decisions && typeof body.decisions === 'object' ? body.decisions : {},
+                // enable=false → 只装不启用（界面上「安装后立即启用」的勾选）
+                enable: body.enable !== false,
                 onProgress: report,
               });
             if (dryRun) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin-pack",
-  "version": "1.0.19",
+  "version": "1.0.21",
   "description": "DeepSeek Harness 插件整合包：一键把当前 profile 的第三方插件连依赖和配置导出成 zip（内部每个插件是标准 npm tgz），换机/换 profile 拖进去就能还原。",
   "type": "module",
   "main": "lib/index.js",