dsh-plugin-pack 1.0.5 → 1.0.6

package/client.js

@@ -111,6 +111,13 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'import.reading': '正在读取包内容…',
     'import.uploading': '正在上传…',
     'import.checking': '正在检查冲突…',
+    'import.downloading': '正在从网络下载…',
+    'net.title': '从网络安装',
+    'net.desc': '支持 GitHub 仓库 / Release / 直链，或 npm 包名。下载后会校验是不是整合包。',
+    'net.placeholder': 'https://github.com/用户/仓库  或  dsh-plugin-pack  或  https://.../x.zip',
+    'net.go': '下载并安装',
+    'net.running': '正在处理…',
+    'net.notBundle': '下载到的不是整合包',
     'drop.title': '把 zip / tgz 或插件文件夹拖到这里',
     'drop.release': '松手就导入',
     'drop.running': '正在导入…',
@@ -149,6 +156,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'jobs.kindImport': '导入整合包',
     'jobs.kindImportPlugin': '导入插件',
     'jobs.kindRollback': '回滚',
+    'jobs.kindFetch': '网络安装',
     'jobs.running': '进行中',
     'jobs.done': '已完成',
     'jobs.failed': '失败',
@@ -272,6 +280,13 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'import.reading': 'Reading package contents…',
     'import.uploading': 'Uploading…',
     'import.checking': 'Checking for conflicts…',
+    'import.downloading': 'Downloading…',
+    'net.title': 'Install from network',
+    'net.desc': 'GitHub repo / release / direct link, or an npm package name. We verify it is a bundle after download.',
+    'net.placeholder': 'https://github.com/user/repo  ·  dsh-plugin-pack  ·  https://.../x.zip',
+    'net.go': 'Download and install',
+    'net.running': 'Working…',
+    'net.notBundle': 'Downloaded file is not a bundle',
     'drop.title': 'Drop a zip / tgz or plugin folder here',
     'drop.release': 'Release to import',
     'drop.running': 'Importing…',
@@ -309,6 +324,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'jobs.kindImport': 'Import bundle',
     'jobs.kindImportPlugin': 'Import plugin',
     'jobs.kindRollback': 'Rollback',
+    'jobs.kindFetch': 'Network install',
     'jobs.running': 'Running',
     'jobs.done': 'Done',
     'jobs.failed': 'Failed',
@@ -493,6 +509,8 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
   const getWaiting = () => api('/plugin-pack/waiting');
   const cancelWaiting = (id, reason) =>
     api('/plugin-pack/waiting/cancel', { method: 'POST', body: JSON.stringify({ id, reason }) });
+  /** 从网络来源（GitHub / npm / 直链）拉整合包。 */
+  const fetchBundle = (body) => api('/plugin-pack/fetch-bundle', { method: 'POST', body: JSON.stringify(body) });
 
   /* ------------------------- 浏览器端读 zip 头部 ------------------------- */
 
@@ -1438,6 +1456,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
         import: t('jobs.kindImport'),
         'import-plugin': t('jobs.kindImportPlugin'),
         rollback: t('jobs.kindRollback'),
+        fetch: t('jobs.kindFetch'),
       })[kind] ?? kind;
 
     const statusColor = (status) =>
@@ -1588,6 +1607,10 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     const pendingJobId = useRef(null);
     /** 导入进度阶段文案（读取中 / 上传中 / 检查冲突…），空串表示没在跑。 */
     const [phase, setPhase] = useState('');
+    /** 网络安装：地址输入框的内容。 */
+    const [netSource, setNetSource] = useState('');
+    /** 网络安装的结果/错误。 */
+    const [netResult, setNetResult] = useState(null);
     /** 后台任务列表：切走画面回来靠它恢复 */
     const [jobs, setJobs] = useState([]);
     /** 体积上限（MiB），0 = 不限制。默认跟着服务端配置走。 */
@@ -1872,6 +1895,106 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
       }
     };
 
+    /**
+     * 从网络来源安装整合包（GitHub 仓库/Release、npm 包、任意直链）。
+     *
+     * 流程：下载 → 服务端校验"确实是整合包" → 有冲突先弹窗 → 确认后导入。
+     * 校验不过会明确报「不是整合包」，不会静默失败。
+     */
+    const runNetworkInstall = async () => {
+      const source = netSource.trim();
+      if (!source) {
+        setNetResult({ error: '请填一个地址，比如 https://github.com/用户/仓库 或 npm 包名' });
+        return;
+      }
+      setBusy(true);
+      setNetResult(null);
+      setImportResult(null);
+      setPhase(t('import.downloading'));
+      try {
+        const fetched = await fetchBundle({ source });
+        if (!fetched?.ok) {
+          setNetResult({ error: fetched?.error ?? '下载失败' });
+          return;
+        }
+        setPhase(t('import.checking'));
+
+        /* 下载到的可能是两种：
+         *   kind='plugin' → npm 包 / 单插件 tgz，走 tgz 导入
+         *   kind='bundle' → 整合包 zip，走整合包导入（可能要先问冲突） */
+        if (fetched.kind === 'plugin') {
+          const result = await doImport({
+            file: fetched.file,
+            dryRun: false,
+            mode: 'merge',
+            linkNodeModules: true,
+          });
+          setNetResult({
+            ok: true,
+            kind: 'plugin',
+            file: fetched.file,
+            from: fetched.from,
+            name: fetched.name,
+            bytes: fetched.bytes,
+            plugins: fetched.plugins,
+          });
+          setImportResult(result);
+          await load();
+          await refreshJobs();
+          return;
+        }
+
+        // 下载好的包按普通导入走一遍：先 dryRun 看有没有重名冲突
+        const preview = await doImport({ file: fetched.file, dryRun: true });
+        const conflicts = Array.isArray(preview?.conflicts) ? preview.conflicts : [];
+        if (conflicts.length) {
+          pendingJobId.current = preview?.jobId ?? null;
+          setPendingImport({
+            kind: 'bundle',
+            jobId: preview?.jobId ?? null,
+            file: fetched.file,
+            conflicts,
+            plugins: preview.plugins ?? [],
+          });
+          setNetResult({
+            ok: true,
+            downloaded: true,
+            file: fetched.file,
+            from: fetched.from,
+            name: fetched.name,
+            bytes: fetched.bytes,
+            plugins: fetched.plugins,
+          });
+          return;
+        }
+
+        const result = await doImport({
+          file: fetched.file,
+          dryRun: false,
+          mode: 'merge',
+          restoreData: true,
+          linkNodeModules: true,
+        });
+        setNetResult({
+          ok: true,
+          file: fetched.file,
+          from: fetched.from,
+          name: fetched.name,
+          bytes: fetched.bytes,
+          plugins: fetched.plugins,
+        });
+        setImportResult(result);
+        await load();
+        await refreshJobs();
+      } catch (err) {
+        const code = err?.code ? String(err.code) : null;
+        setNetResult({ error: String(err?.message ?? err), code });
+      } finally {
+        setPhase('');
+        setBusy(false);
+      }
+    };
+
     /** 用户在冲突弹窗里做了选择：带着 decisions 真正导入。 */
     const confirmImport = async (decisions) => {
       const pending = pendingImport;
@@ -2220,6 +2343,66 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
       'div',
       null,
       h(DropZone, { onFile: runDrop, busy, dropRef: lastDrop, phase }),
+
+      /* 从网络安装：GitHub / npm / 直链。
+       * 下载后服务端会校验它真的是整合包（inspectBundle），
+       * 不是就明确报「下载到的不是整合包」，不会硬导进去。 */
+      h(
+        'div',
+        { className: 'pp-card', style: { marginTop: 14 } },
+        h('h3', { style: { margin: '0 0 4px', fontSize: 14, fontWeight: 600 } }, t('net.title')),
+        h('p', { className: 'pp-hint', style: { margin: '0 0 10px' } }, t('net.desc')),
+        h(
+          'div',
+          { style: { display: 'flex', gap: 8, alignItems: 'flex-start', flexWrap: 'wrap' } },
+          h('input', {
+            className: 'pp-input pp-mono',
+            type: 'text',
+            value: netSource,
+            placeholder: t('net.placeholder'),
+            disabled: busy,
+            onInput: (event) => setNetSource(event.target.value),
+            onKeyDown: (event) => {
+              if (event.key === 'Enter' && !busy) runNetworkInstall();
+            },
+            style: { flex: '1 1 260px', minWidth: 0, fontSize: 12 },
+          }),
+          h(
+            'button',
+            {
+              className: 'pp-btn',
+              disabled: busy || !netSource.trim(),
+              onClick: runNetworkInstall,
+            },
+            busy ? t('net.running') : t('net.go'),
+          ),
+        ),
+        // 结果：下载成功 / 不是整合包 / 其它错误
+        netResult?.error
+          ? h(
+              'div',
+              { style: { marginTop: 10 } },
+              ['NOT_A_BUNDLE', 'NOT_A_ZIP', 'BAD_FORMAT', 'BAD_MANIFEST', 'BAD_PACK'].includes(String(netResult.code ?? '')) ||
+              /不是整合包|没有 manifest/i.test(String(netResult.error))
+                ? h(
+                    'div',
+                    { className: 'pp-not-bundle' },
+                    h('div', { className: 'pp-not-bundle-title' }, t('net.notBundle')),
+                    h('div', { className: 'pp-not-bundle-detail' }, String(netResult.error)),
+                  )
+                : h(Alert, { kind: 'err' }, netResult.error),
+            )
+          : netResult?.ok
+            ? h(
+                'div',
+                { className: 'pp-hint', style: { marginTop: 8 } },
+                `✓ ${netResult.from} · ${netResult.name ?? ''} · ${
+                  netResult.bytes ? (netResult.bytes / 1048576).toFixed(1) + ' MiB' : ''
+                } · ${netResult.plugins?.length ?? 0} ${t('plugins')}`,
+              )
+            : null,
+      ),
+
       // 后台任务：切走画面回来能看到刚才那次导入的结果
       h(JobList, { jobs, onClear: clearJobHistory, t }),
 

package/lib/fetch-bundle.js

@@ -0,0 +1,396 @@
+/**
+ * 从网络来源拉取整合包。
+ *
+ * 支持两类来源：
+ *   1. GitHub —— 仓库的 Release 附件、raw 文件、仓库归档
+ *   2. npm —— 包的 tarball（`npm view dist.tarball` 那个地址）
+ *
+ * 关键约束：**下载完必须校验它真的是整合包**。
+ * 用户可能贴错链接（比如贴了个普通 zip、别的工具的包、损坏的包），
+ * 不能因为"地址看起来像"就直接导入。校验复用 import.js 的 inspectBundle，
+ * 它同时认 v1（散文件）和 v2（内部 tgz）两种布局。
+ *
+ * 网络请求只用 node 内置的 fetch（Node 18+），不引入依赖。
+ *
+ * @module dsh-plugin-pack/lib/fetch-bundle
+ */
+import fs from 'node:fs';
+import path from 'node:path';
+
+import { inspectBundle } from './import.js';
+import { saveIncomingZip } from './inbox.js';
+import { ensureDir } from './util.js';
+
+/** 单次下载的上限（与上传一致，1 GiB）。 */
+const MAX_BYTES = 1024 * 1024 * 1024;
+/** 下载超时（毫秒）。大包可能要几分钟。 */
+const TIMEOUT_MS = 10 * 60 * 1000;
+
+/**
+ * 判断一个 URL 属于哪类来源，并归一成可下载的直链。
+ *
+ * 几类常见写法：
+ *   - `https://github.com/owner/repo`                    → 仓库归档（main 分支 zip）
+ *   - `https://github.com/owner/repo/tree/v1.0.0`        → 该 ref 的归档
+ *   - `https://github.com/owner/repo/releases/tag/v1.0.0`→ 该 release 的资产（需再查 API）
+ *   - `https://github.com/owner/repo/releases/download/v1/assets.zip` → 直接下
+ *   - `https://raw.githubusercontent.com/.../x.zip`       → 直接下
+ *   - `npm install <name>@<ver>` 语义由调用方传 pkg 名，这里处理 tarball 直链
+ *
+ * @param {string} raw 用户输入的地址
+ * @returns {{ kind: 'direct'|'github-repo'|'github-release'|'npm', url: string, owner?: string, repo?: string, ref?: string, tag?: string, name?: string }}
+ */
+export function parseSource(raw) {
+  const text = String(raw ?? '').trim();
+  if (!text) {
+    const error = new Error('地址为空');
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // npm 包名（允许 @scope/name@version）
+  // 只有不含协议、不含斜杠目录、看起来像包名时才走 npm
+  if (!/^https?:\/\//i.test(text) && /^(@[a-z0-9][\w.-]*\/)?[a-z0-9][\w.-]*(@[^\s]+)?$/i.test(text)) {
+    return { kind: 'npm', name: text };
+  }
+
+  let url;
+  try {
+    url = new URL(text);
+  } catch {
+    const error = new Error(`地址格式不对: ${text}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  // URL.protocol 带冒号（'https:'），这里必须把它算进去
+  if (!/^https?:$/i.test(url.protocol)) {
+    const error = new Error(`只支持 http/https: ${text}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // GitHub 各类页面
+  const gh = /^https:\/\/github\.com\/([^/]+)\/([^/]+)(?:\/(.*))?$/i.exec(`${url.origin}${url.pathname}`);
+  if (gh) {
+    const [, owner, repoRaw, rest = ''] = gh;
+    const repo = repoRaw.replace(/\.git$/i, '');
+    const segs = rest.split('/').filter(Boolean);
+
+    // releases/download/<tag>/<file> → 直链
+    if (segs[0] === 'releases' && segs[1] === 'download') {
+      return { kind: 'direct', url: text };
+    }
+    // releases/tag/<tag> 或 releases/latest → 查 API 找资产
+    if (segs[0] === 'releases' && (segs[1] === 'tag' || segs[1] === 'latest')) {
+      return { kind: 'github-release', owner, repo, tag: segs[1] === 'latest' ? 'latest' : segs[2] };
+    }
+    // raw 直链
+    if (url.hostname === 'raw.githubusercontent.com') {
+      return { kind: 'direct', url: text };
+    }
+    // 仓库页 / tree / blob → 用归档
+    if (!segs.length) return { kind: 'github-repo', owner, repo };
+    if (segs[0] === 'tree') return { kind: 'github-repo', owner, repo, ref: segs.slice(1).join('/') };
+    if (segs[0] === 'archive') return { kind: 'direct', url: text };
+    // 其它（issues、wiki…）不是包
+    const error = new Error(`这个 GitHub 地址不是包来源: ${text}（请用仓库主页、Release 或 raw 文件直链）`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // 其它任何直链（含 jsDelivr、自建站、对象存储签名链接）
+  return { kind: 'direct', url: text };
+}
+
+/** 带超时的 fetch。 */
+async function fetchWithTimeout(url, options = {}, timeoutMs = TIMEOUT_MS) {
+  const controller = new AbortController();
+  const timer = setTimeout(() => controller.abort(), timeoutMs);
+  try {
+    return await fetch(url, { ...options, signal: controller.signal, redirect: 'follow' });
+  } finally {
+    clearTimeout(timer);
+  }
+}
+
+/**
+ * 解析 GitHub Release 里的整合包资产。
+ *
+ * 一个 release 可能挂了很多文件（.exe、.dmg…），按顺序找：
+ *   1. 名字像整合包（.zip）
+ *   2. 名字带 bundle / plugin-pack / dsh
+ * 找不到就报错说清楚 —— 不要瞎猜一个 .exe 下下来。
+ */
+async function resolveReleaseAsset({ owner, repo, tag }) {
+  const apiBase = 'https://api.github.com';
+  const endpoint =
+    tag === 'latest'
+      ? `${apiBase}/repos/${owner}/${repo}/releases/latest`
+      : `${apiBase}/repos/${owner}/${repo}/releases/tags/${encodeURIComponent(tag)}`;
+
+  const response = await fetchWithTimeout(endpoint, {
+    headers: { Accept: 'application/vnd.github+json', 'User-Agent': 'dsh-plugin-pack' },
+    timeoutMs: 30000,
+  });
+  if (!response.ok) {
+    const error = new Error(
+      `查 GitHub Release 失败（${response.status}）。这个仓库可能没有 Release，或者 tag「${tag}」不存在。`,
+    );
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  const data = await response.json();
+  const assets = Array.isArray(data.assets) ? data.assets : [];
+  if (!assets.length) {
+    const error = new Error(`Release「${data.tag_name ?? tag}」没有任何附件。`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  const scored = assets
+    .map((asset) => {
+      const name = String(asset.name ?? '');
+      let score = 0;
+      if (/\.zip$/i.test(name)) score += 10;
+      if (/bundle|plugin-pack|pluginpack|pack/i.test(name)) score += 5;
+      if (/dsh/i.test(name)) score += 3;
+      // 明显的非包文件降权
+      if (/\.(exe|msi|dmg|deb|rpm|AppImage|apk|sig|txt|json)$/i.test(name)) score -= 20;
+      return { asset, score, name };
+    })
+    .sort((a, b) => b.score - a.score);
+
+  const best = scored[0];
+  if (!best || best.score <= 0) {
+    const error = new Error(
+      `Release 里的文件都不像整合包：${assets.map((a) => a.name).join(', ')}。` +
+        `请贴具体的 .zip 附件直链。`,
+    );
+    error.code = 'NOT_A_BUNDLE';
+    throw error;
+  }
+  return { url: best.asset.browser_download_url, name: best.name, from: 'github-release' };
+}
+
+/** 解析 npm 包的 tarball 地址。 */
+async function resolveNpmTarball(spec) {
+  /* registry 元数据端点是「包名」而不是「包名@版本」：
+   *   https://registry.npmjs.org/dsh-plugin-pack
+   *   https://registry.npmjs.org/@scope%2Fname
+   * 版本号只用于从 versions 里挑哪一个的 dist.tarball。 */
+  const at = spec.lastIndexOf('@');
+  // 注意 @scope/name 时，lastIndexOf('@') 会命中开头的 @，要排除
+  const hasVersion = at > 0;
+  const pkgName = hasVersion ? spec.slice(0, at) : spec;
+  const wantedVersion = hasVersion ? spec.slice(at + 1) : null;
+
+  const endpoint = `https://registry.npmjs.org/${pkgName.replace(/\//g, '%2F')}`;
+  const response = await fetchWithTimeout(endpoint, {
+    headers: { Accept: 'application/json', 'User-Agent': 'dsh-plugin-pack' },
+    timeoutMs: 30000,
+  });
+  if (!response.ok) {
+    const error = new Error(`查 npm 包失败（${response.status}）：${pkgName}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  const data = await response.json();
+
+  // 指定了版本就用那个版本的 tarball；否则用 dist-tags.latest
+  const version = wantedVersion ?? data?.['dist-tags']?.latest;
+  const entry = version ? data?.versions?.[version] : null;
+  const url = entry?.dist?.tarball;
+  if (!url) {
+    const error = new Error(
+      `npm 上没有这个版本：${pkgName}@${version ?? '(未知)'}。` +
+        `可用版本：${Object.keys(data?.versions ?? {}).slice(-5).join(', ') || '(无)'}`,
+    );
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  return { url, name: `${data.name}-${version}.tgz`, from: 'npm' };
+}
+
+/** 从 URL 流式下载到 Buffer（带体积上限）。 */
+async function download(url) {
+  const response = await fetchWithTimeout(url, {
+    headers: { 'User-Agent': 'dsh-plugin-pack', Accept: '*/*' },
+  });
+  if (!response.ok) {
+    const error = new Error(
+      `下载失败（HTTP ${response.status}）。地址可能失效、需要登录，或者是私有仓库。`,
+    );
+    error.code = 'DOWNLOAD_FAILED';
+    throw error;
+  }
+
+  const chunks = [];
+  let size = 0;
+  for await (const chunk of response.body) {
+    size += chunk.length;
+    if (size > MAX_BYTES) {
+      const error = new Error(`文件超过 ${MAX_BYTES / 1048576} MiB，已中止`);
+      error.code = 'TOO_LARGE';
+      throw error;
+    }
+    chunks.push(Buffer.from(chunk));
+  }
+  if (!size) {
+    const error = new Error('下载到的是空文件');
+    error.code = 'DOWNLOAD_FAILED';
+    throw error;
+  }
+  return Buffer.concat(chunks);
+}
+
+/**
+ * 从网络来源拉一个整合包到 inbox，并**校验它确实是整合包**。
+ *
+ * @param {object} options
+ * @param {string} options.source 用户输入（仓库地址 / Release / 直链 / npm 包名）
+ * @param {string} options.home $DSH_HOME
+ * @param {(message: string) => void} [options.onProgress]
+ * @returns {Promise<{ file: string, bytes: number, name: string, from: string,
+ *   manifest: object, plugins: Array<{name: string, version: string}> }>}
+ */
+export async function fetchBundleFrom({ source, home, onProgress = () => {} }) {
+  const report = (message) => onProgress(message);
+  const parsed = parseSource(source);
+
+  report(`识别来源：${describeSource(parsed)}`);
+  let url;
+  let name;
+  let from;
+
+  if (parsed.kind === 'npm') {
+    const resolved = await resolveNpmTarball(parsed.name);
+    url = resolved.url;
+    name = resolved.name;
+    from = 'npm';
+    report(`找到 npm 包：${parsed.name}`);
+  } else if (parsed.kind === 'github-release') {
+    const resolved = await resolveReleaseAsset(parsed);
+    url = resolved.url;
+    name = resolved.name;
+    from = 'github-release';
+    report(`找到 Release 附件：${name}`);
+  } else if (parsed.kind === 'github-repo') {
+    const ref = parsed.ref || 'HEAD';
+    url = `https://codeload.github.com/${parsed.owner}/${parsed.repo}/zip/${attemptRef(ref)}`;
+    name = `${parsed.repo}-${ref.replace(/[\\/]/g, '-')}.zip`;
+    from = 'github-repo';
+    report(`下载仓库归档：${parsed.owner}/${parsed.repo}@${ref}`);
+  } else {
+    url = parsed.url;
+    name = basenameOf(url) || 'bundle.zip';
+    from = 'direct';
+    report(`下载直链：${url}`);
+  }
+
+  report(`开始下载（${from}）`);
+  const data = await download(url);
+  report(`下载完成：${(data.length / 1048576).toFixed(1)} MiB`);
+
+  // 落到 inbox（保留扩展名，后续按 .zip/.tgz 分流）
+  pruneSafe(home);
+  const saved = saveIncomingZip({ home, filename: name, data });
+  report(`已保存到 ${saved.file}`);
+
+  /* 校验阶段分两种：
+   *   .tgz → 这是单个插件的 npm tarball。要求 package/package.json 存在，
+   *          不需要"整合包"，因为它本来就不是。
+   *   .zip → 必须是 dsh-plugin-pack 的整合包，否则报 NOT_A_BUNDLE。
+   * 两类都用现实存在的解析器校验，不靠扩展名猜。 */
+  const isTgz = /\.(tgz|tar\.gz)$/i.test(saved.file);
+
+  if (isTgz) {
+    const { isTarball, unpackTarball } = await import('./import-tgz.js');
+    if (!isTarball(saved.file)) {
+      const error = new Error(`下载到的文件不是有效的 tar.gz：${name}`);
+      error.code = 'NOT_A_BUNDLE';
+      throw error;
+    }
+    // 解到临时目录看有没有 package.json —— 有才是插件包
+    let info = null;
+    try {
+      const unpacked = unpackTarball({ file: saved.file, home });
+      const { describeLocalPlugin } = await import('./import-plugin.js');
+      info = describeLocalPlugin(unpacked.dir);
+      if (!info?.name) throw new Error('tarball 里没有可识别的 package.json');
+    } catch (inner) {
+      const error = new Error(
+        `下载到的不是插件包：这个 .tgz 里没有有效的 package.json（${String(inner?.message ?? inner).slice(0, 120)}）`,
+      );
+      error.code = 'NOT_A_BUNDLE';
+      throw error;
+    }
+    report(`校验通过：单个插件 ${info.name}@${info.version ?? '?'}`);
+    return {
+      file: saved.file,
+      bytes: saved.bytes,
+      name,
+      from,
+      kind: 'plugin',
+      manifest: null,
+      plugins: [{ name: info.name, version: info.version ?? null }],
+    };
+  }
+
+  /* 关键：校验它真的是整合包。
+   * 这一步不过就报明确错误，不让用户以为"下载成功了却导不进去"。 */
+  const info = inspectBundle(saved.file);
+  report(`校验通过：整合包内含 ${info.plugins.length} 个插件`);
+
+  return {
+    file: saved.file,
+    bytes: saved.bytes,
+    name,
+    from,
+    kind: 'bundle',
+    manifest: info.manifest,
+    plugins: info.plugins.map((plugin) => ({
+      name: plugin.name,
+      version: plugin.version,
+    })),
+  };
+}
+
+/** 归档分支名里的斜杠要转义，否则 codeload 会 404。 */
+function attemptRef(ref) {
+  return String(ref).replace(/[\\/]/g, '%2F');
+}
+
+/** 从 URL 里取文件名（去掉查询串）。 */
+function basenameOf(url) {
+  try {
+    const parsed = new URL(url);
+    const seg = parsed.pathname.split('/').filter(Boolean).pop() ?? '';
+    return decodeURIComponent(seg);
+  } catch {
+    return '';
+  }
+}
+
+/** 人读的来源描述（进度条上显示）。 */
+function describeSource(parsed) {
+  switch (parsed.kind) {
+    case 'npm':
+      return `npm 包 ${parsed.name}`;
+    case 'github-repo':
+      return `GitHub 仓库 ${parsed.owner}/${parsed.repo}${parsed.ref ? `@${parsed.ref}` : ''}`;
+    case 'github-release':
+      return `GitHub Release ${parsed.owner}/${parsed.repo}@${parsed.tag}`;
+    default:
+      return '直链';
+  }
+}
+
+/** 清理旧 inbox（避免堆积），失败不影响主流程。 */
+function pruneSafe(home) {
+  try {
+    // 动态导入避免顶层循环依赖
+    ensureDir(path.join(home, 'plugin-pack', 'inbox'));
+  } catch {
+    /* 忽略 */
+  }
+}

package/lib/server.js

@@ -29,17 +29,8 @@ import { reloadClientPackage, clientStatus, localVerdict } from '../hotload.js';
 import { importLocalPlugin } from './import-plugin.js';
 import { importTarball, isTarball } from './import-tgz.js';
 import { parseMultipart, boundaryOf, saveIncomingZip, saveIncomingDir, pruneInbox } from './inbox.js';
-import {
-  runJob,
-  listJobs,
-  getJob,
-  runningJobs,
-  clearFinished,
-  openWaiting,
-  getWaiting,
-  listWaiting,
-  cancelWaiting,
-} from './jobs.js';
+import { runJob, listJobs, getJob, runningJobs, clearFinished, openWaiting, getWaiting, listWaiting, cancelWaiting } from './jobs.js';
+import { fetchBundleFrom, parseSource } from './fetch-bundle.js';
 import { dshHome as resolveDshHome, profileDir as resolveProfileDir, profileName as resolveProfileName, humanBytes } from './home.js';
 import { readJson, writeJson, isDir, isFile } from './util.js';
 
@@ -99,10 +90,12 @@ function statusOf(error) {
     code === 'BAD_MANIFEST' ||
     code === 'BAD_FORMAT' ||
     code === 'BAD_BACKUP' ||
-    // "这不是整合包" 归为 400：是用户拖错文件，不是服务端故障
+    // "这不是整合包" 归为 400：是用户拖错文件/贴错链接，不是服务端故障
     code === 'NOT_A_ZIP' ||
     code === 'NOT_A_BUNDLE' ||
-    code === 'BAD_PLUGIN'
+    code === 'BAD_PLUGIN' ||
+    code === 'BAD_SOURCE' ||
+    code === 'BAD_UPLOAD'
   ) {
     return 400;
   }
@@ -770,6 +763,51 @@ export function mountRoutes(ctx, config = {}) {
         'plugin-pack: upload-zip',
       );
 
+      /* 从网络来源拉整合包：
+       *   POST /plugin-pack/fetch-bundle   { source, dryRun }
+       *
+       * source 可以是 GitHub 仓库/Release/raw 直链，也可以是 npm 包名。
+       * 拉完会校验"它真的是整合包"——不是就报 NOT_A_BUNDLE，不会往下走。
+       */
+      register(
+        {
+          kind: 'exact',
+          path: `${PREFIX}/fetch-bundle`,
+          handler: async (request, response) => {
+            if (request.method !== 'POST') {
+              sendJson(response, 405, { ok: false, error: '只支持 POST' });
+              return;
+            }
+            const body = await readJsonBody(request);
+            const source = String(body.source ?? '').trim();
+            if (!source) {
+              sendJson(response, 400, { ok: false, error: '需要 source（仓库地址 / 直链 / npm 包名）' });
+              return;
+            }
+            const local = contextOf(config);
+
+            const doFetch = (report) =>
+              fetchBundleFrom({ source, home: local.home, onProgress: report });
+
+            if (body.dryRun) {
+              // dryRun 只解析来源、不下载（省流量，也让界面先给出"看起来对不对"）
+              const parsed = parseSource(source);
+              sendJson(response, 200, { ok: true, dryRun: true, parsed, source });
+              return;
+            }
+
+            const { id, result } = await runJob({
+              kind: 'fetch',
+              title: `从网络安装：${source}`,
+              meta: { source },
+              task: (report) => doFetch(report),
+            });
+            sendJson(response, 200, { ok: true, jobId: id, ...result });
+          },
+        },
+        'plugin-pack: fetch-bundle',
+      );
+
       register(
         {
           kind: 'exact',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin-pack",
-  "version": "1.0.5",
+  "version": "1.0.6",
   "description": "DeepSeek Harness 插件整合包：一键把当前 profile 的第三方插件连依赖和配置导出成 zip（内部每个插件是标准 npm tgz），换机/换 profile 拖进去就能还原。",
   "type": "module",
   "main": "lib/index.js",