dsh-plugin-pack 1.0.5 → 1.0.7

package/client.js

@@ -111,6 +111,26 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'import.reading': '正在读取包内容…',
     'import.uploading': '正在上传…',
     'import.checking': '正在检查冲突…',
+    'import.downloading': '正在从网络下载…',
+    'net.title': '从网络安装',
+    'net.desc': '输入插件整合包的来源：GitHub 仓库 / Release / 直链，或 npm 包名。下载后会校验它是不是整合包。',
+    'net.placeholder': '例如 dsh-plugin-pack 或 https://github.com/用户/仓库',
+    'net.go': '下载并安装',
+    'net.running': '正在处理…',
+    'net.notBundle': '下载到的不是整合包',
+    'net.button': '添加整合包',
+    'net.dialogTitle': '添加整合包',
+    'net.install': '下载并安装',
+    'net.close': '关闭',
+    'net.examples': '来源示例',
+    'net.ex1': '下载仓库归档',
+    'net.ex2': '取该 Release 里的 zip 附件',
+    'net.ex3': '任意直链',
+    'net.ex4': 'npm 包（单插件）',
+    'net.warnTitle': '安装前请确认来源可信',
+    'net.warnBody': '整合包会覆盖已装插件的文件与配置，来源不明的包可能损坏 DeepSeek Harness。安装前会先列出重名插件，由你逐个决定覆盖还是跳过。',
+    'net.done': '下载完成，已导入',
+    'import.pageTitle': '导入插件整合包',
     'drop.title': '把 zip / tgz 或插件文件夹拖到这里',
     'drop.release': '松手就导入',
     'drop.running': '正在导入…',
@@ -149,6 +169,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'jobs.kindImport': '导入整合包',
     'jobs.kindImportPlugin': '导入插件',
     'jobs.kindRollback': '回滚',
+    'jobs.kindFetch': '网络安装',
     'jobs.running': '进行中',
     'jobs.done': '已完成',
     'jobs.failed': '失败',
@@ -272,6 +293,26 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'import.reading': 'Reading package contents…',
     'import.uploading': 'Uploading…',
     'import.checking': 'Checking for conflicts…',
+    'import.downloading': 'Downloading…',
+    'net.title': 'Install from network',
+    'net.desc': 'Enter a bundle source: GitHub repo / release / direct link, or an npm package name. We verify it is a bundle after download.',
+    'net.placeholder': 'e.g. dsh-plugin-pack or https://github.com/user/repo',
+    'net.go': 'Download and install',
+    'net.running': 'Working…',
+    'net.notBundle': 'Downloaded file is not a bundle',
+    'net.button': 'Add bundle',
+    'net.dialogTitle': 'Add bundle',
+    'net.install': 'Download and install',
+    'net.close': 'Close',
+    'net.examples': 'Source examples',
+    'net.ex1': 'download repo archive',
+    'net.ex2': 'pick the zip asset of that release',
+    'net.ex3': 'any direct link',
+    'net.ex4': 'npm package (single plugin)',
+    'net.warnTitle': 'Verify the source before installing',
+    'net.warnBody': 'A bundle overwrites installed plugins and their config. Untrusted sources can damage DeepSeek Harness. You will be asked per-plugin whether to overwrite or skip.',
+    'net.done': 'Downloaded and imported',
+    'import.pageTitle': 'Import plugin bundle',
     'drop.title': 'Drop a zip / tgz or plugin folder here',
     'drop.release': 'Release to import',
     'drop.running': 'Importing…',
@@ -309,6 +350,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     'jobs.kindImport': 'Import bundle',
     'jobs.kindImportPlugin': 'Import plugin',
     'jobs.kindRollback': 'Rollback',
+    'jobs.kindFetch': 'Network install',
     'jobs.running': 'Running',
     'jobs.done': 'Done',
     'jobs.failed': 'Failed',
@@ -493,6 +535,8 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
   const getWaiting = () => api('/plugin-pack/waiting');
   const cancelWaiting = (id, reason) =>
     api('/plugin-pack/waiting/cancel', { method: 'POST', body: JSON.stringify({ id, reason }) });
+  /** 从网络来源（GitHub / npm / 直链）拉整合包。 */
+  const fetchBundle = (body) => api('/plugin-pack/fetch-bundle', { method: 'POST', body: JSON.stringify(body) });
 
   /* ------------------------- 浏览器端读 zip 头部 ------------------------- */
 
@@ -1269,6 +1313,191 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
    * @param {() => void} props.onCancel
    * @param {(msg: string) => string} props.t
    */
+  /**
+   * 「添加整合包」弹窗。
+   *
+   * 布局对齐 DSH 自带的「添加插件」：
+   *   标题 → 说明 → 输入框 → 折叠的示例 → 提示块 → 大按钮
+   *
+   * 下载后会校验是不是整合包；不是就当场用醒目样式报出来，
+   * 不会让你以为"装上了"结果其实是普通压缩包。
+   *
+   * @param {object} props
+   * @param {boolean} props.open
+   * @param {string} props.value 输入框内容
+   * @param {(v: string) => void} props.onChange
+   * @param {object|null} props.result 上一次下载的结果或错误
+   * @param {boolean} props.busy
+   * @param {string} props.phase 进度文案
+   * @param {() => void} props.onInstall
+   * @param {() => void} props.onClose
+   * @param {(key: string) => string} props.t
+   */
+  function AddBundleDialog({ open, value, onChange, result, busy, phase, onInstall, onClose, t }) {
+    const [showExamples, setShowExamples] = useState(false);
+
+    // Esc 关闭
+    useEffect(() => {
+      if (!open) return;
+      const onKey = (event) => {
+        if (event.key === 'Escape' && !busy) onClose();
+      };
+      window.addEventListener('keydown', onKey);
+      return () => window.removeEventListener('keydown', onKey);
+    }, [open, busy, onClose]);
+
+    if (!open) return null;
+
+    const isNotBundle =
+      ['NOT_A_BUNDLE', 'NOT_A_ZIP', 'BAD_FORMAT', 'BAD_MANIFEST', 'BAD_PACK'].includes(String(result?.code ?? '')) ||
+      /不是整合包|没有 manifest|不是插件包/i.test(String(result?.error ?? ''));
+
+    return h(
+      'div',
+      {
+        style: {
+          position: 'fixed',
+          inset: 0,
+          zIndex: 10070,
+          background: 'rgba(0,0,0,.45)',
+          display: 'flex',
+          alignItems: 'center',
+          justifyContent: 'center',
+          padding: 16,
+        },
+        // 点遮罩关闭（跑的时候不关，避免误触中断）
+        onClick: () => !busy && onClose(),
+      },
+      h(
+        'div',
+        {
+          style: {
+            width: 'min(560px, 100%)',
+            background: 'var(--dsw-alias-bg-layer-1,#fff)',
+            borderRadius: 14,
+            padding: '20px 20px 16px',
+            boxShadow: '0 12px 40px rgba(0,0,0,.22)',
+            border: '.5px solid var(--dsw-alias-border-l1,#e6e6e6)',
+          },
+          onClick: (event) => event.stopPropagation(),
+        },
+        // 标题行 + 关闭
+        h(
+          'div',
+          { style: { display: 'flex', alignItems: 'center', gap: 10, marginBottom: 6 } },
+          h('h2', { style: { margin: 0, fontSize: 17, fontWeight: 600, flex: 1 } }, t('net.dialogTitle')),
+          h(
+            'button',
+            {
+              className: 'pp-btn sm',
+              style: { flex: 'none', padding: '2px 8px' },
+              disabled: busy,
+              onClick: onClose,
+              title: t('net.close'),
+            },
+            '✕',
+          ),
+        ),
+        h('p', { className: 'pp-hint', style: { margin: '0 0 12px' } }, t('net.desc')),
+
+        // 输入框（自动聚焦，回车即安装）
+        h('input', {
+          className: 'pp-input pp-mono',
+          type: 'text',
+          autoFocus: true,
+          value,
+          placeholder: t('net.placeholder'),
+          disabled: busy,
+          onInput: (event) => onChange(event.target.value),
+          onKeyDown: (event) => {
+            if (event.key === 'Enter' && !busy && value.trim()) onInstall();
+          },
+          style: { width: '100%', boxSizing: 'border-box', fontSize: 12.5, padding: '9px 11px' },
+        }),
+
+        // 折叠的示例（对齐自带弹窗的「安装引导和示例」）
+        h(
+          'div',
+          { style: { margin: '10px 0 0' } },
+          h(
+            'button',
+            {
+              className: 'pp-btn sm',
+              style: { padding: '2px 0', background: 'none', border: 'none', color: 'var(--dsw-alias-label-secondary,#6b7280)' },
+              onClick: () => setShowExamples((v) => !v),
+            },
+            `${showExamples ? '▾' : '▸'} ${t('net.examples')}`,
+          ),
+          showExamples
+            ? h(
+                'div',
+                { className: 'pp-hint', style: { marginTop: 6, lineHeight: 1.9 } },
+                h('div', null, h('code', null, 'https://github.com/用户/仓库'), `  ${t('net.ex1')}`),
+                h('div', null, h('code', null, 'https://github.com/用户/仓库/releases/tag/v1.0.0'), `  ${t('net.ex2')}`),
+                h('div', null, h('code', null, 'https://example.com/backup.zip'), `  ${t('net.ex3')}`),
+                h('div', null, h('code', null, 'dsh-plugin-pack'), `  ${t('net.ex4')}`),
+              )
+            : null,
+        ),
+
+        // 提示块（对齐自带的黄色提示）
+        h(
+          'div',
+          {
+            style: {
+              marginTop: 12,
+              padding: '10px 12px',
+              borderRadius: 10,
+              background: 'color-mix(in srgb,var(--dsw-alias-state-warning-primary,#d97706) 8%,transparent)',
+              border: '.5px solid color-mix(in srgb,var(--dsw-alias-state-warning-primary,#d97706) 35%,transparent)',
+              fontSize: 12,
+              lineHeight: 1.7,
+              color: 'var(--dsw-alias-label-secondary,#6b7280)',
+            },
+          },
+          h('div', { style: { fontWeight: 600, marginBottom: 2 } }, `⚠ ${t('net.warnTitle')}`),
+          h('div', null, t('net.warnBody')),
+        ),
+
+        // 结果区：成功 / 不是整合包 / 其它错误
+        result
+          ? h(
+              'div',
+              { style: { marginTop: 12 } },
+              result.error
+                ? isNotBundle
+                  ? h(
+                      'div',
+                      { className: 'pp-not-bundle' },
+                      h('div', { className: 'pp-not-bundle-title' }, t('net.notBundle')),
+                      h('div', { className: 'pp-not-bundle-detail' }, String(result.error)),
+                    )
+                  : h(Alert, { kind: 'err' }, String(result.error))
+                : h(
+                    'div',
+                    { className: 'pp-hint' },
+                    `✓ ${t('net.done')} · ${result.from ?? ''} · ${result.name ?? ''} · ${
+                      result.bytes ? (result.bytes / 1048576).toFixed(1) + ' MiB' : ''
+                    } · ${result.plugins?.length ?? 0} ${t('plugins')}`,
+                  ),
+            )
+          : null,
+
+        // 大按钮（对齐自带的整宽「安装」）
+        h(
+          'button',
+          {
+            className: 'pp-btn primary',
+            style: { width: '100%', marginTop: 14, padding: '10px 12px', boxSizing: 'border-box' },
+            disabled: busy || !value.trim(),
+            onClick: onInstall,
+          },
+          busy ? h(Spinner, { label: phase || t('net.running') }) : t('net.install'),
+        ),
+      ),
+    );
+  }
+
   function ConflictDialog({ pending, onConfirm, onCancel, t }) {
     const conflicts = pending?.conflicts ?? [];
     /** 初始全部选「覆盖」——多数人是想升级到新版本。 */
@@ -1438,6 +1667,7 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
         import: t('jobs.kindImport'),
         'import-plugin': t('jobs.kindImportPlugin'),
         rollback: t('jobs.kindRollback'),
+        fetch: t('jobs.kindFetch'),
       })[kind] ?? kind;
 
     const statusColor = (status) =>
@@ -1588,6 +1818,12 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     const pendingJobId = useRef(null);
     /** 导入进度阶段文案（读取中 / 上传中 / 检查冲突…），空串表示没在跑。 */
     const [phase, setPhase] = useState('');
+    /** 网络安装：地址输入框的内容。 */
+    const [netSource, setNetSource] = useState('');
+    /** 网络安装的结果/错误。 */
+    const [netResult, setNetResult] = useState(null);
+    /** 「添加整合包」弹窗是否打开。 */
+    const [netOpen, setNetOpen] = useState(false);
     /** 后台任务列表：切走画面回来靠它恢复 */
     const [jobs, setJobs] = useState([]);
     /** 体积上限（MiB），0 = 不限制。默认跟着服务端配置走。 */
@@ -1872,6 +2108,101 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
       }
     };
 
+    /**
+     * 从网络来源安装整合包（GitHub 仓库/Release、npm 包、任意直链）。
+     *
+     * 流程：下载 → 服务端校验"确实是整合包" → 有冲突先弹窗 → 确认后导入。
+     * 校验不过会明确报「不是整合包」，不会静默失败。
+     */
+    const runNetworkInstall = async () => {
+      const source = netSource.trim();
+      if (!source) {
+        setNetResult({ error: '请填一个地址，比如 https://github.com/用户/仓库 或 npm 包名' });
+        return;
+      }
+      setBusy(true);
+      setNetResult(null);
+      setImportResult(null);
+      setPhase(t('import.downloading'));
+      try {
+        const fetched = await fetchBundle({ source });
+        if (!fetched?.ok) {
+          setNetResult({ error: fetched?.error ?? '下载失败' });
+          return;
+        }
+        setPhase(t('import.checking'));
+
+        /* 下载到的可能是两种：
+         *   kind='plugin' → npm 包 / 单插件 tgz，走 tgz 导入
+         *   kind='bundle' → 整合包 zip，走整合包导入（可能要先问冲突） */
+        if (fetched.kind === 'plugin') {
+          const result = await doImport({
+            file: fetched.file,
+            dryRun: false,
+            mode: 'merge',
+            linkNodeModules: true,
+          });
+          setNetResult({
+            ok: true,
+            kind: 'plugin',
+            file: fetched.file,
+            from: fetched.from,
+            name: fetched.name,
+            bytes: fetched.bytes,
+            plugins: fetched.plugins,
+          });
+          setImportResult(result);
+          await load();
+          await refreshJobs();
+          // 装完关掉弹窗，回到列表看结果
+          setNetOpen(false);
+          return;
+        }
+
+        // 下载好的包按普通导入走一遍：先 dryRun 看有没有重名冲突
+        const preview = await doImport({ file: fetched.file, dryRun: true });
+        const conflicts = Array.isArray(preview?.conflicts) ? preview.conflicts : [];
+        if (conflicts.length) {
+          pendingJobId.current = preview?.jobId ?? null;
+          setPendingImport({
+            kind: 'bundle',
+            jobId: preview?.jobId ?? null,
+            file: fetched.file,
+            conflicts,
+            plugins: preview.plugins ?? [],
+          });
+          // 交给冲突弹窗接管，先关掉来源弹窗
+          setNetOpen(false);
+          return;
+        }
+
+        const result = await doImport({
+          file: fetched.file,
+          dryRun: false,
+          mode: 'merge',
+          restoreData: true,
+          linkNodeModules: true,
+        });
+        setNetResult({
+          ok: true,
+          file: fetched.file,
+          from: fetched.from,
+          name: fetched.name,
+          bytes: fetched.bytes,
+          plugins: fetched.plugins,
+        });
+        setImportResult(result);
+        await load();
+        await refreshJobs();
+      } catch (err) {
+        const code = err?.code ? String(err.code) : null;
+        setNetResult({ error: String(err?.message ?? err), code });
+      } finally {
+        setPhase('');
+        setBusy(false);
+      }
+    };
+
     /** 用户在冲突弹窗里做了选择：带着 decisions 真正导入。 */
     const confirmImport = async (decisions) => {
       const pending = pendingImport;
@@ -2219,7 +2550,37 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
     const importPage = h(
       'div',
       null,
+      /* 右上角「添加整合包」按钮 —— 和 DSH 自带的「添加插件」同位置同风格。
+       * 点开是一个弹窗，在里面填地址、点安装。 */
+      h(
+        'div',
+        {
+          style: {
+            display: 'flex',
+            alignItems: 'center',
+            justifyContent: 'space-between',
+            gap: 12,
+            marginBottom: 12,
+          },
+        },
+        h('div', { style: { fontSize: 14, fontWeight: 600 } }, t('import.pageTitle')),
+        h(
+          'button',
+          {
+            className: 'pp-btn',
+            style: { display: 'inline-flex', alignItems: 'center', gap: 6, flex: 'none' },
+            onClick: () => {
+              setNetResult(null);
+              setNetOpen(true);
+            },
+          },
+          h('span', { style: { fontSize: 15, lineHeight: 1 } }, '＋'),
+          t('net.button'),
+        ),
+      ),
+
       h(DropZone, { onFile: runDrop, busy, dropRef: lastDrop, phase }),
+
       // 后台任务：切走画面回来能看到刚才那次导入的结果
       h(JobList, { jobs, onClear: clearJobHistory, t }),
 
@@ -2510,6 +2871,19 @@ window.__ModuleLoader__.load({ id: 'dsh-plugin-pack', factory: (require) => {
           setOut(looksLikeFile || picked.endsWith('\\') || picked.endsWith('/') ? picked : `${picked}\\`);
         },
       }),
+      /* 「添加整合包」弹窗：带来源输入 + 校验提示 + 整宽安装按钮，
+       * 布局对齐 DSH 自带的「添加插件」弹窗。 */
+      h(AddBundleDialog, {
+        open: netOpen,
+        value: netSource,
+        onChange: setNetSource,
+        result: netResult,
+        busy,
+        phase,
+        onInstall: runNetworkInstall,
+        onClose: () => setNetOpen(false),
+        t,
+      }),
       // 重名冲突弹窗：叠在最上层
       h(ConflictDialog, {
         pending: pendingImport,

package/lib/fetch-bundle.js

@@ -0,0 +1,396 @@
+/**
+ * 从网络来源拉取整合包。
+ *
+ * 支持两类来源：
+ *   1. GitHub —— 仓库的 Release 附件、raw 文件、仓库归档
+ *   2. npm —— 包的 tarball（`npm view dist.tarball` 那个地址）
+ *
+ * 关键约束：**下载完必须校验它真的是整合包**。
+ * 用户可能贴错链接（比如贴了个普通 zip、别的工具的包、损坏的包），
+ * 不能因为"地址看起来像"就直接导入。校验复用 import.js 的 inspectBundle，
+ * 它同时认 v1（散文件）和 v2（内部 tgz）两种布局。
+ *
+ * 网络请求只用 node 内置的 fetch（Node 18+），不引入依赖。
+ *
+ * @module dsh-plugin-pack/lib/fetch-bundle
+ */
+import fs from 'node:fs';
+import path from 'node:path';
+
+import { inspectBundle } from './import.js';
+import { saveIncomingZip } from './inbox.js';
+import { ensureDir } from './util.js';
+
+/** 单次下载的上限（与上传一致，1 GiB）。 */
+const MAX_BYTES = 1024 * 1024 * 1024;
+/** 下载超时（毫秒）。大包可能要几分钟。 */
+const TIMEOUT_MS = 10 * 60 * 1000;
+
+/**
+ * 判断一个 URL 属于哪类来源，并归一成可下载的直链。
+ *
+ * 几类常见写法：
+ *   - `https://github.com/owner/repo`                    → 仓库归档（main 分支 zip）
+ *   - `https://github.com/owner/repo/tree/v1.0.0`        → 该 ref 的归档
+ *   - `https://github.com/owner/repo/releases/tag/v1.0.0`→ 该 release 的资产（需再查 API）
+ *   - `https://github.com/owner/repo/releases/download/v1/assets.zip` → 直接下
+ *   - `https://raw.githubusercontent.com/.../x.zip`       → 直接下
+ *   - `npm install <name>@<ver>` 语义由调用方传 pkg 名，这里处理 tarball 直链
+ *
+ * @param {string} raw 用户输入的地址
+ * @returns {{ kind: 'direct'|'github-repo'|'github-release'|'npm', url: string, owner?: string, repo?: string, ref?: string, tag?: string, name?: string }}
+ */
+export function parseSource(raw) {
+  const text = String(raw ?? '').trim();
+  if (!text) {
+    const error = new Error('地址为空');
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // npm 包名（允许 @scope/name@version）
+  // 只有不含协议、不含斜杠目录、看起来像包名时才走 npm
+  if (!/^https?:\/\//i.test(text) && /^(@[a-z0-9][\w.-]*\/)?[a-z0-9][\w.-]*(@[^\s]+)?$/i.test(text)) {
+    return { kind: 'npm', name: text };
+  }
+
+  let url;
+  try {
+    url = new URL(text);
+  } catch {
+    const error = new Error(`地址格式不对: ${text}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  // URL.protocol 带冒号（'https:'），这里必须把它算进去
+  if (!/^https?:$/i.test(url.protocol)) {
+    const error = new Error(`只支持 http/https: ${text}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // GitHub 各类页面
+  const gh = /^https:\/\/github\.com\/([^/]+)\/([^/]+)(?:\/(.*))?$/i.exec(`${url.origin}${url.pathname}`);
+  if (gh) {
+    const [, owner, repoRaw, rest = ''] = gh;
+    const repo = repoRaw.replace(/\.git$/i, '');
+    const segs = rest.split('/').filter(Boolean);
+
+    // releases/download/<tag>/<file> → 直链
+    if (segs[0] === 'releases' && segs[1] === 'download') {
+      return { kind: 'direct', url: text };
+    }
+    // releases/tag/<tag> 或 releases/latest → 查 API 找资产
+    if (segs[0] === 'releases' && (segs[1] === 'tag' || segs[1] === 'latest')) {
+      return { kind: 'github-release', owner, repo, tag: segs[1] === 'latest' ? 'latest' : segs[2] };
+    }
+    // raw 直链
+    if (url.hostname === 'raw.githubusercontent.com') {
+      return { kind: 'direct', url: text };
+    }
+    // 仓库页 / tree / blob → 用归档
+    if (!segs.length) return { kind: 'github-repo', owner, repo };
+    if (segs[0] === 'tree') return { kind: 'github-repo', owner, repo, ref: segs.slice(1).join('/') };
+    if (segs[0] === 'archive') return { kind: 'direct', url: text };
+    // 其它（issues、wiki…）不是包
+    const error = new Error(`这个 GitHub 地址不是包来源: ${text}（请用仓库主页、Release 或 raw 文件直链）`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  // 其它任何直链（含 jsDelivr、自建站、对象存储签名链接）
+  return { kind: 'direct', url: text };
+}
+
+/** 带超时的 fetch。 */
+async function fetchWithTimeout(url, options = {}, timeoutMs = TIMEOUT_MS) {
+  const controller = new AbortController();
+  const timer = setTimeout(() => controller.abort(), timeoutMs);
+  try {
+    return await fetch(url, { ...options, signal: controller.signal, redirect: 'follow' });
+  } finally {
+    clearTimeout(timer);
+  }
+}
+
+/**
+ * 解析 GitHub Release 里的整合包资产。
+ *
+ * 一个 release 可能挂了很多文件（.exe、.dmg…），按顺序找：
+ *   1. 名字像整合包（.zip）
+ *   2. 名字带 bundle / plugin-pack / dsh
+ * 找不到就报错说清楚 —— 不要瞎猜一个 .exe 下下来。
+ */
+async function resolveReleaseAsset({ owner, repo, tag }) {
+  const apiBase = 'https://api.github.com';
+  const endpoint =
+    tag === 'latest'
+      ? `${apiBase}/repos/${owner}/${repo}/releases/latest`
+      : `${apiBase}/repos/${owner}/${repo}/releases/tags/${encodeURIComponent(tag)}`;
+
+  const response = await fetchWithTimeout(endpoint, {
+    headers: { Accept: 'application/vnd.github+json', 'User-Agent': 'dsh-plugin-pack' },
+    timeoutMs: 30000,
+  });
+  if (!response.ok) {
+    const error = new Error(
+      `查 GitHub Release 失败（${response.status}）。这个仓库可能没有 Release，或者 tag「${tag}」不存在。`,
+    );
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  const data = await response.json();
+  const assets = Array.isArray(data.assets) ? data.assets : [];
+  if (!assets.length) {
+    const error = new Error(`Release「${data.tag_name ?? tag}」没有任何附件。`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+
+  const scored = assets
+    .map((asset) => {
+      const name = String(asset.name ?? '');
+      let score = 0;
+      if (/\.zip$/i.test(name)) score += 10;
+      if (/bundle|plugin-pack|pluginpack|pack/i.test(name)) score += 5;
+      if (/dsh/i.test(name)) score += 3;
+      // 明显的非包文件降权
+      if (/\.(exe|msi|dmg|deb|rpm|AppImage|apk|sig|txt|json)$/i.test(name)) score -= 20;
+      return { asset, score, name };
+    })
+    .sort((a, b) => b.score - a.score);
+
+  const best = scored[0];
+  if (!best || best.score <= 0) {
+    const error = new Error(
+      `Release 里的文件都不像整合包：${assets.map((a) => a.name).join(', ')}。` +
+        `请贴具体的 .zip 附件直链。`,
+    );
+    error.code = 'NOT_A_BUNDLE';
+    throw error;
+  }
+  return { url: best.asset.browser_download_url, name: best.name, from: 'github-release' };
+}
+
+/** 解析 npm 包的 tarball 地址。 */
+async function resolveNpmTarball(spec) {
+  /* registry 元数据端点是「包名」而不是「包名@版本」：
+   *   https://registry.npmjs.org/dsh-plugin-pack
+   *   https://registry.npmjs.org/@scope%2Fname
+   * 版本号只用于从 versions 里挑哪一个的 dist.tarball。 */
+  const at = spec.lastIndexOf('@');
+  // 注意 @scope/name 时，lastIndexOf('@') 会命中开头的 @，要排除
+  const hasVersion = at > 0;
+  const pkgName = hasVersion ? spec.slice(0, at) : spec;
+  const wantedVersion = hasVersion ? spec.slice(at + 1) : null;
+
+  const endpoint = `https://registry.npmjs.org/${pkgName.replace(/\//g, '%2F')}`;
+  const response = await fetchWithTimeout(endpoint, {
+    headers: { Accept: 'application/json', 'User-Agent': 'dsh-plugin-pack' },
+    timeoutMs: 30000,
+  });
+  if (!response.ok) {
+    const error = new Error(`查 npm 包失败（${response.status}）：${pkgName}`);
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  const data = await response.json();
+
+  // 指定了版本就用那个版本的 tarball；否则用 dist-tags.latest
+  const version = wantedVersion ?? data?.['dist-tags']?.latest;
+  const entry = version ? data?.versions?.[version] : null;
+  const url = entry?.dist?.tarball;
+  if (!url) {
+    const error = new Error(
+      `npm 上没有这个版本：${pkgName}@${version ?? '(未知)'}。` +
+        `可用版本：${Object.keys(data?.versions ?? {}).slice(-5).join(', ') || '(无)'}`,
+    );
+    error.code = 'BAD_SOURCE';
+    throw error;
+  }
+  return { url, name: `${data.name}-${version}.tgz`, from: 'npm' };
+}
+
+/** 从 URL 流式下载到 Buffer（带体积上限）。 */
+async function download(url) {
+  const response = await fetchWithTimeout(url, {
+    headers: { 'User-Agent': 'dsh-plugin-pack', Accept: '*/*' },
+  });
+  if (!response.ok) {
+    const error = new Error(
+      `下载失败（HTTP ${response.status}）。地址可能失效、需要登录，或者是私有仓库。`,
+    );
+    error.code = 'DOWNLOAD_FAILED';
+    throw error;
+  }
+
+  const chunks = [];
+  let size = 0;
+  for await (const chunk of response.body) {
+    size += chunk.length;
+    if (size > MAX_BYTES) {
+      const error = new Error(`文件超过 ${MAX_BYTES / 1048576} MiB，已中止`);
+      error.code = 'TOO_LARGE';
+      throw error;
+    }
+    chunks.push(Buffer.from(chunk));
+  }
+  if (!size) {
+    const error = new Error('下载到的是空文件');
+    error.code = 'DOWNLOAD_FAILED';
+    throw error;
+  }
+  return Buffer.concat(chunks);
+}
+
+/**
+ * 从网络来源拉一个整合包到 inbox，并**校验它确实是整合包**。
+ *
+ * @param {object} options
+ * @param {string} options.source 用户输入（仓库地址 / Release / 直链 / npm 包名）
+ * @param {string} options.home $DSH_HOME
+ * @param {(message: string) => void} [options.onProgress]
+ * @returns {Promise<{ file: string, bytes: number, name: string, from: string,
+ *   manifest: object, plugins: Array<{name: string, version: string}> }>}
+ */
+export async function fetchBundleFrom({ source, home, onProgress = () => {} }) {
+  const report = (message) => onProgress(message);
+  const parsed = parseSource(source);
+
+  report(`识别来源：${describeSource(parsed)}`);
+  let url;
+  let name;
+  let from;
+
+  if (parsed.kind === 'npm') {
+    const resolved = await resolveNpmTarball(parsed.name);
+    url = resolved.url;
+    name = resolved.name;
+    from = 'npm';
+    report(`找到 npm 包：${parsed.name}`);
+  } else if (parsed.kind === 'github-release') {
+    const resolved = await resolveReleaseAsset(parsed);
+    url = resolved.url;
+    name = resolved.name;
+    from = 'github-release';
+    report(`找到 Release 附件：${name}`);
+  } else if (parsed.kind === 'github-repo') {
+    const ref = parsed.ref || 'HEAD';
+    url = `https://codeload.github.com/${parsed.owner}/${parsed.repo}/zip/${attemptRef(ref)}`;
+    name = `${parsed.repo}-${ref.replace(/[\\/]/g, '-')}.zip`;
+    from = 'github-repo';
+    report(`下载仓库归档：${parsed.owner}/${parsed.repo}@${ref}`);
+  } else {
+    url = parsed.url;
+    name = basenameOf(url) || 'bundle.zip';
+    from = 'direct';
+    report(`下载直链：${url}`);
+  }
+
+  report(`开始下载（${from}）`);
+  const data = await download(url);
+  report(`下载完成：${(data.length / 1048576).toFixed(1)} MiB`);
+
+  // 落到 inbox（保留扩展名，后续按 .zip/.tgz 分流）
+  pruneSafe(home);
+  const saved = saveIncomingZip({ home, filename: name, data });
+  report(`已保存到 ${saved.file}`);
+
+  /* 校验阶段分两种：
+   *   .tgz → 这是单个插件的 npm tarball。要求 package/package.json 存在，
+   *          不需要"整合包"，因为它本来就不是。
+   *   .zip → 必须是 dsh-plugin-pack 的整合包，否则报 NOT_A_BUNDLE。
+   * 两类都用现实存在的解析器校验，不靠扩展名猜。 */
+  const isTgz = /\.(tgz|tar\.gz)$/i.test(saved.file);
+
+  if (isTgz) {
+    const { isTarball, unpackTarball } = await import('./import-tgz.js');
+    if (!isTarball(saved.file)) {
+      const error = new Error(`下载到的文件不是有效的 tar.gz：${name}`);
+      error.code = 'NOT_A_BUNDLE';
+      throw error;
+    }
+    // 解到临时目录看有没有 package.json —— 有才是插件包
+    let info = null;
+    try {
+      const unpacked = unpackTarball({ file: saved.file, home });
+      const { describeLocalPlugin } = await import('./import-plugin.js');
+      info = describeLocalPlugin(unpacked.dir);
+      if (!info?.name) throw new Error('tarball 里没有可识别的 package.json');
+    } catch (inner) {
+      const error = new Error(
+        `下载到的不是插件包：这个 .tgz 里没有有效的 package.json（${String(inner?.message ?? inner).slice(0, 120)}）`,
+      );
+      error.code = 'NOT_A_BUNDLE';
+      throw error;
+    }
+    report(`校验通过：单个插件 ${info.name}@${info.version ?? '?'}`);
+    return {
+      file: saved.file,
+      bytes: saved.bytes,
+      name,
+      from,
+      kind: 'plugin',
+      manifest: null,
+      plugins: [{ name: info.name, version: info.version ?? null }],
+    };
+  }
+
+  /* 关键：校验它真的是整合包。
+   * 这一步不过就报明确错误，不让用户以为"下载成功了却导不进去"。 */
+  const info = inspectBundle(saved.file);
+  report(`校验通过：整合包内含 ${info.plugins.length} 个插件`);
+
+  return {
+    file: saved.file,
+    bytes: saved.bytes,
+    name,
+    from,
+    kind: 'bundle',
+    manifest: info.manifest,
+    plugins: info.plugins.map((plugin) => ({
+      name: plugin.name,
+      version: plugin.version,
+    })),
+  };
+}
+
+/** 归档分支名里的斜杠要转义，否则 codeload 会 404。 */
+function attemptRef(ref) {
+  return String(ref).replace(/[\\/]/g, '%2F');
+}
+
+/** 从 URL 里取文件名（去掉查询串）。 */
+function basenameOf(url) {
+  try {
+    const parsed = new URL(url);
+    const seg = parsed.pathname.split('/').filter(Boolean).pop() ?? '';
+    return decodeURIComponent(seg);
+  } catch {
+    return '';
+  }
+}
+
+/** 人读的来源描述（进度条上显示）。 */
+function describeSource(parsed) {
+  switch (parsed.kind) {
+    case 'npm':
+      return `npm 包 ${parsed.name}`;
+    case 'github-repo':
+      return `GitHub 仓库 ${parsed.owner}/${parsed.repo}${parsed.ref ? `@${parsed.ref}` : ''}`;
+    case 'github-release':
+      return `GitHub Release ${parsed.owner}/${parsed.repo}@${parsed.tag}`;
+    default:
+      return '直链';
+  }
+}
+
+/** 清理旧 inbox（避免堆积），失败不影响主流程。 */
+function pruneSafe(home) {
+  try {
+    // 动态导入避免顶层循环依赖
+    ensureDir(path.join(home, 'plugin-pack', 'inbox'));
+  } catch {
+    /* 忽略 */
+  }
+}

package/lib/server.js

@@ -29,17 +29,8 @@ import { reloadClientPackage, clientStatus, localVerdict } from '../hotload.js';
 import { importLocalPlugin } from './import-plugin.js';
 import { importTarball, isTarball } from './import-tgz.js';
 import { parseMultipart, boundaryOf, saveIncomingZip, saveIncomingDir, pruneInbox } from './inbox.js';
-import {
-  runJob,
-  listJobs,
-  getJob,
-  runningJobs,
-  clearFinished,
-  openWaiting,
-  getWaiting,
-  listWaiting,
-  cancelWaiting,
-} from './jobs.js';
+import { runJob, listJobs, getJob, runningJobs, clearFinished, openWaiting, getWaiting, listWaiting, cancelWaiting } from './jobs.js';
+import { fetchBundleFrom, parseSource } from './fetch-bundle.js';
 import { dshHome as resolveDshHome, profileDir as resolveProfileDir, profileName as resolveProfileName, humanBytes } from './home.js';
 import { readJson, writeJson, isDir, isFile } from './util.js';
 
@@ -99,10 +90,12 @@ function statusOf(error) {
     code === 'BAD_MANIFEST' ||
     code === 'BAD_FORMAT' ||
     code === 'BAD_BACKUP' ||
-    // "这不是整合包" 归为 400：是用户拖错文件，不是服务端故障
+    // "这不是整合包" 归为 400：是用户拖错文件/贴错链接，不是服务端故障
     code === 'NOT_A_ZIP' ||
     code === 'NOT_A_BUNDLE' ||
-    code === 'BAD_PLUGIN'
+    code === 'BAD_PLUGIN' ||
+    code === 'BAD_SOURCE' ||
+    code === 'BAD_UPLOAD'
   ) {
     return 400;
   }
@@ -770,6 +763,51 @@ export function mountRoutes(ctx, config = {}) {
         'plugin-pack: upload-zip',
       );
 
+      /* 从网络来源拉整合包：
+       *   POST /plugin-pack/fetch-bundle   { source, dryRun }
+       *
+       * source 可以是 GitHub 仓库/Release/raw 直链，也可以是 npm 包名。
+       * 拉完会校验"它真的是整合包"——不是就报 NOT_A_BUNDLE，不会往下走。
+       */
+      register(
+        {
+          kind: 'exact',
+          path: `${PREFIX}/fetch-bundle`,
+          handler: async (request, response) => {
+            if (request.method !== 'POST') {
+              sendJson(response, 405, { ok: false, error: '只支持 POST' });
+              return;
+            }
+            const body = await readJsonBody(request);
+            const source = String(body.source ?? '').trim();
+            if (!source) {
+              sendJson(response, 400, { ok: false, error: '需要 source（仓库地址 / 直链 / npm 包名）' });
+              return;
+            }
+            const local = contextOf(config);
+
+            const doFetch = (report) =>
+              fetchBundleFrom({ source, home: local.home, onProgress: report });
+
+            if (body.dryRun) {
+              // dryRun 只解析来源、不下载（省流量，也让界面先给出"看起来对不对"）
+              const parsed = parseSource(source);
+              sendJson(response, 200, { ok: true, dryRun: true, parsed, source });
+              return;
+            }
+
+            const { id, result } = await runJob({
+              kind: 'fetch',
+              title: `从网络安装：${source}`,
+              meta: { source },
+              task: (report) => doFetch(report),
+            });
+            sendJson(response, 200, { ok: true, jobId: id, ...result });
+          },
+        },
+        'plugin-pack: fetch-bundle',
+      );
+
       register(
         {
           kind: 'exact',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin-pack",
-  "version": "1.0.5",
+  "version": "1.0.7",
   "description": "DeepSeek Harness 插件整合包：一键把当前 profile 的第三方插件连依赖和配置导出成 zip（内部每个插件是标准 npm tgz），换机/换 profile 拖进去就能还原。",
   "type": "module",
   "main": "lib/index.js",