dsh-plugin-tool-management 0.16.5 → 0.17.0

package/lib/scenes/candidates.js

@@ -13,6 +13,8 @@
 //
 // 依赖全部经 deps 显式传入。注意 \`toolKeyParts\` 留在 index.ts：场景档案引擎也在用它，
 // 放进本文件会让两个域互相引用。
+import { MCP_TOOL_PREFIX } from '../host-names.js';
+import { serverNameCandidates } from '../host-names.js';
 import { presetRosterOf } from '../compat/preset-reach.js';
 import { injectionFactsOf, readCompositionFacts, readCompositionText } from '../compat/preset-reach.js';
 /**
@@ -39,9 +41,25 @@ export function createCandidates(deps) {
             schemas = await tools.schemas();
         }
         catch { /* 无 live 工具 → 仅启停表 */ }
+        // 切分的候选 serverName 集合必须与 `serverKnownTools`（index.ts）同源 —— 同一批来源、
+        // 同一个 builder，否则「服务器名含 `__`」时两处会把同一个全名切成不同的 (server, tool)
+        // （2026-09-30 审查 N1）。三个来源里补丁那份是唯一与切分结果无关的（另两份是插件自己
+        // 写出来的：停用表键来自界面勾选、缓存键来自上一次切分），缺它会在首次遇到含 `__` 的名字时
+        // 切错并锁死。任一份读不到就退化为其余两份（少候选 = 少命中，不会多命中）。
+        let known = {};
+        try {
+            known = await mcp.readKnownMcpTools();
+        }
+        catch { /* 缓存不可读 → 仅停用表 */ }
+        let configured = [];
+        try {
+            configured = await mcp.configuredServerNames();
+        }
+        catch { /* 补丁读不到 → 仅另两份 */ }
+        const serverNames = serverNameCandidates(configured, disabled, known);
         const liveByServer = {};
         for (const s of schemas) {
-            const p = toolKeyParts(String((s && s.name) || ''));
+            const p = toolKeyParts(String((s && s.name) || ''), serverNames);
             if (!p)
                 continue;
             const list = liveByServer[p.server] || (liveByServer[p.server] = []);
@@ -214,7 +232,7 @@ export function createCandidates(deps) {
                         continue;
                     // MCP 工具名形如 `mcp__<server>__<tool>`：面向上百个条目，噪声大于价值 → 不进候选。
                     // 子代理照样能用当前在跑的 MCP —— 那份名单在 decideToolFilter 里运行时并进白名单。
-                    const names = (await presetToolNames(id)).filter((name) => !name.startsWith('mcp__'));
+                    const names = (await presetToolNames(id)).filter((name) => !name.startsWith(MCP_TOOL_PREFIX));
                     presets.push({
                         id,
                         name: String((p && (p.name || p.id)) || id),
@@ -236,7 +254,7 @@ export function createCandidates(deps) {
         }
         // 当前会话的工具即便没有任何预设可枚举，也要出现在候选里（否则选择器是空的）。
         for (const name of currentNames) {
-            if (name.startsWith('mcp__'))
+            if (name.startsWith(MCP_TOOL_PREFIX))
                 continue;
             const rec = byName.get(name) || { name, presets: new Set(), current: false };
             byName.set(name, rec);

package/lib/sessions/workspace.js

@@ -1056,8 +1056,11 @@ var ArchiveWorkspaceRegistry = class {
     /**
      * 永久删除一个会话及其全部痕迹（转录目录、工作区记账、归档标记、
      * 投影缓存行）。
+     *
+     * 级联只删**已归档**的子代理会话（审查 F10）；被保留的未归档子会话 id 通过
+     * `keptUnarchivedDescendants` 回给调用方，界面据此如实呈现，不假装整支都没了。
      * @param sessionId - 要删除的会话。
-     * @returns 持久化完成后的 `{ deleted: true }`。
+     * @returns `{ deleted: true }`，有被保留的未归档子会话时附带其 id。
      * @throws {@link ArchiveUnknownSessionError} 会话未知时抛出。
      */
     async deleteSession(sessionId) {
@@ -1144,7 +1147,9 @@ var ArchiveWorkspaceRegistry = class {
         await projCache?.whenIdle?.();
         if (projCache !== void 0)
             await projCache.delete(sessionId);
-        await this.deleteDescendants(sessionId, storedIndex);
+        // 级联只吃已归档的子会话；被保留（未归档）的 id 一路带回 op 层，让界面/模型
+        // 知道「父会话已删，但这一支没有全没」（审查 F10）。
+        const keptDescendants = await this.deleteDescendants(sessionId, storedIndex);
         await this.cleanSpill(sessionId);
         await this.removeTranscriptDirectory(sessionId);
         // 只有物理工件删除成功后才能提交记账清理；否则批量目标会因归档标记
@@ -1163,7 +1168,12 @@ var ArchiveWorkspaceRegistry = class {
         if (deletedHeader !== void 0)
             this.deletedIdentities.set(sessionId, headerIdentity(deletedHeader));
         this.publishDeletedSession(sessionId);
-        return { deleted: true };
+        return {
+            deleted: true,
+            ...(keptDescendants.length === 0
+                ? {}
+                : { keptUnarchivedDescendants: keptDescendants }),
+        };
     }
     /** 删除完成后通知全部客户端；新版不再通过伪造冷会话生命周期触发通知。 */
     publishDeletedSession(sessionId) {
@@ -1394,8 +1404,21 @@ var ArchiveWorkspaceRegistry = class {
     /** 尽力而为的级联删除：删除 `sessionId` 的 SUBAGENT 子会话。
      * 仅头部标记 `origin: "subagent"` 的会话参与：单凭 `parentSession` 有歧义
      *（fork 分支也携带它），而 fork 分支是独立的用户会话，绝不能被级联删除。
-     * @param storedIndex - 可选的批首 `id → header` 快照，见 {@link storedHeaderIndex}。 */
+     *
+     * **只级联「已归档」的子会话**（2026-09-30 审查 F10）。此前这里只按
+     * `parentSession + origin: subagent` 收集就逐个 `deleteSessionCore`，**完全不查归档集合**，
+     * 于是「只能删已归档」在**注册表层不成立** —— 删一个已归档父会话，会把它**未归档**的子代理
+     * 会话一起永久删掉。op 入口那层的收敛（`history-delete` / `deleteArchivedSessions`）拦不住
+     * 这条路：级联发生在删除主体内部，不经过任何 op 门禁。现在把不变量落到这里，而不是只写在
+     * 注释里 —— 未归档的一律**保留**（之后可单独归档再删），并记一条日志说明保留了哪些。
+     *
+     * 归档集合取 `requireState().archivedSessionIds`（权威），不取 `archivedSessionMetadata()`
+     * 那份有损投影；`requireState()` 抛错时**一个都不删**（fail-closed：宁可不级联，也不凭未知
+     * 状态做不可逆操作）。
+     * @param storedIndex - 可选的批首 `id → header` 快照，见 {@link storedHeaderIndex}。
+     * @returns 被保留（未归档）的子会话 id（含后代递归上来的），全部删净时为空数组。 */
     async deleteDescendants(sessionId, storedIndex) {
+        const kept = [];
         try {
             const descendants = [];
             const sessions = this.ctx.get("sessions");
@@ -1414,11 +1437,20 @@ var ArchiveWorkspaceRegistry = class {
                     !descendants.includes(header.id))
                     descendants.push(header.id);
             }
+            // 先取归档集合再动手：它抛错时一个子会话都不会被删（fail-closed）。
+            const archived = new Set(this.requireState().archivedSessionIds);
             for (const childId of descendants) {
+                if (!archived.has(childId)) {
+                    kept.push(childId);
+                    continue;
+                }
                 try {
                     if (!(await this.sessionKnown(childId, storedIndex)))
                         continue;
-                    await this.deleteSessionCore(childId, storedIndex);
+                    const result = await this.deleteSessionCore(childId, storedIndex);
+                    // 孙辈里被保留的同样要往上带，否则界面只看到最外一层。
+                    if (Array.isArray(result?.keptUnarchivedDescendants))
+                        kept.push(...result.keptUnarchivedDescendants);
                 }
                 catch (error) {
                     if (error instanceof ArchiveUnknownSessionError)
@@ -1426,10 +1458,13 @@ var ArchiveWorkspaceRegistry = class {
                     this.ctx.logger.warn(`archive-manager: cascade delete of subagent session "${childId}" (child of "${sessionId}") failed: ${String(error)}`);
                 }
             }
+            if (kept.length)
+                this.ctx.logger.warn(`archive-manager: cascade delete of "${sessionId}" kept ${kept.length} unarchived subagent session(s) — only archived sessions may be deleted: ${kept.join(", ")}`);
         }
         catch (error) {
             this.ctx.logger.warn(`archive-manager: descendant enumeration for deleted session "${sessionId}" failed: ${String(error)}`);
         }
+        return kept;
     }
     /** 尽力而为的 spill 清理：移除该会话作用域的 spill 目录。 */
     async cleanSpill(sessionId) {

package/lib/skills/core.js

@@ -13,7 +13,7 @@
 // 文件写入错误由路由返回给调用方。
 import { homedir } from "node:os";
 import { join, basename, dirname, resolve, isAbsolute, } from "node:path";
-import { promises as fs, existsSync, mkdirSync, readdirSync, copyFileSync, rmSync, } from "node:fs";
+import { promises as fs, existsSync, mkdirSync, readdirSync, copyFileSync, rmSync, statSync, } from "node:fs";
 import { createRequire } from "node:module";
 import { createHash, randomUUID } from "node:crypto";
 import { unzipSync } from "fflate";
@@ -60,25 +60,27 @@ export function resolveAgentsHome() {
 }
 // ── 官方内置技能来源（随宿主注入会话上下文的内置技能）──────────────────────
 //
-// 桌面版把 4 个官方技能注入每个会话（用户 2026-09-30 实测目录）：office-docx /
-// office-pptx / office-xlsx（dsh-skill-office，桌面宿主把 assetRoot 指到
-// `<resources>/runtime/office-skills`）与 diagnose-windows-sandbox-acl
-// （dsh-sandbox-windows-acl，source 'bundled'，rank 600）。web 宿主一个都不注入
-// （用户裁定：web 用不上这个功能）。它们或住在官方 asar 里、或由官方 provider
-// 复制进临时目录自管，插件直接扫描/接管有两个坑：宿主子进程里对 asar 的 promises
-// 读法与拦截器解析都出现过时灵时不灵（同机两次启动一组 4/1、一组全 0，实测）；
-// 沙盒技能的脚本要交给 PowerShell 子进程，asar 路径读不了。
+// 宿主按形态注入不同的官方技能（官方源码逐一核对，2026-09-30）：
+//   - 桌面版 4 个：office-docx / office-pptx / office-xlsx（dsh-skill-office 只在桌面
+//     宿主装配，assetRoot 指到 `<resources>/runtime/office-skills`）+ diagnose-windows-
+//     sandbox-acl（dsh-sandbox-local 的门控是 `process.platform === "win32"`，rank 600）。
+//   - web 版：沙盒诊断技能由宿主注入（门控只看 win32 —— 用户 2026-09-30 截图实锤，
+//     0.16.5 按「web 不注入」的误判把 web 挡在门外，导致页面不显示、宿主照注）；office
+//     插件 web 宿主不装配、不注入，但用户裁定（2026-09-30）技能页照样把这三个暴露出来
+//     统一管理（npm 包自带完整 assets，接管后可启停）。
 //
-// 因此这里把来源**物化**成插件自有的一份真实目录（`$DSH_HOME/tool-management/
-// official-skills/`）：每次宿主启动从官方源头整目录覆盖拷贝（与官方 provider 的
-// 「私有资源副本」同一做法），扫描、启停、overlay、脚本执行全部落在真实文件上。
+// 它们或住在官方 asar 里、或由官方 provider 复制进临时目录自管，插件直接扫描/接管有两个
+// 坑：宿主子进程里对 asar 的 promises 读法与拦截器解析都出现过时灵时不灵（同机两次启动
+// 一组 4/1、一组全 0，实测）；沙盒技能的脚本要交给 PowerShell 子进程，asar 路径读不了。
+//
+// 因此这里把来源**物化**成插件自有的一份真实目录，**每种宿主形态各一份**
+// （`$DSH_HOME/tool-management/official-skills/<desktop|web>/`）：每次宿主启动从官方源头
+// 整目录覆盖拷贝（与官方 provider 的「私有资源副本」同一做法），扫描、启停、overlay、
+// 脚本执行全部落在真实文件上。599 压过宿主 provider 的 600，停用即不注入。分形态是竞态
+// 教训：0.16.5 之前共用一份目录，web 启动把它解析到的沙盒技能盖进去，桌面物化好的
+// 4 个只剩 1 个（实测）；改成各写各的子目录，互不清对方的账。共享布局的残留（旧条目
+// 直接躺在 official-skills/ 下）按已知名单清理。
 //
-// 两个边界（都出过事）：
-//   - 只有桌面版（有 process.resourcesPath）才允许进来。物化目录在 $DSH_HOME 下
-//     与各宿主**共用**，而 web 宿主进程里的官方模块拦截器能把 @deepseek-ai 裸名
-//     解析到宿主副本 —— web 若也进来重建，会把桌面物化好的整目录清成它解析到的
-//     那几个（2026-09-30 实测：桌面物化好 4 个，web 一启动，两份 UI 同时只剩沙盒
-//     1 个）。所以非桌面在碰目录**之前**就退出，一个技能都不列。
 //   - 预设参考技能（dsh-agent-preset/skills）不注入会话上下文，不列入（用户裁定）。
 //
 // 单个来源、随 DSH 技能之后排列，来源层语义同默认来源（不可移除、无来源开关）。
@@ -133,29 +135,90 @@ function resolvedPackageDir(packageName, subpath) {
     }
 }
 /**
- * office 技能源头。office 只在桌面版由宿主挂载（web 的补丁层没有它），所以只在
- * 桌面环境里找：运行时真实目录优先（官方 assetRoot），其次 asar 包内 assets。
- * 非桌面环境一律 null —— 不把没被注入的技能凭空列出来。
+ * office 技能源头。桌面版由宿主挂载：运行时真实目录优先（官方 assetRoot），其次 asar
+ * 包内 assets。web 宿主不装配 office 插件（不注入），但 npm 包自带完整 assets —— 用户
+ * 裁定（2026-09-30）技能页照样暴露这三个技能，走宿主进程解析链取包内一份。解析不到
+ * 一律 null —— 不把拿不到真实文件的技能凭空列出来。
  */
 function officialOfficeSource() {
     const resources = resourcesDir();
-    if (resources === null)
-        return null;
-    const runtimeDir = join(resources, "runtime", "office-skills");
-    if (existsSync(join(runtimeDir, "office-docx")))
-        return runtimeDir;
-    const asarDir = desktopPackageDir("@deepseek-ai/dsh-skill-office", "assets");
-    if (asarDir !== null && existsSync(join(asarDir, "office-docx")))
-        return asarDir;
-    return null;
-}
-/** 沙盒诊断技能源头（桌面版 asar 直连优先，其次本机解析链；仅 Windows 注入）。 */
+    if (resources !== null) {
+        const runtimeDir = join(resources, "runtime", "office-skills");
+        if (existsSync(join(runtimeDir, "office-docx")))
+            return runtimeDir;
+        const asarDir = desktopPackageDir("@deepseek-ai/dsh-skill-office", "assets");
+        if (asarDir !== null && existsSync(join(asarDir, "office-docx")))
+            return asarDir;
+    }
+    return resolvedPackageDir("@deepseek-ai/dsh-skill-office", "assets");
+}
+/** 沙盒诊断技能源头（桌面 asar 直连优先，其次宿主进程解析链；宿主门控仅看 win32，web/桌面皆注入）。 */
 function officialSandboxSource() {
     if (process.platform !== "win32")
         return null;
     return (desktopPackageDir("@deepseek-ai/dsh-sandbox-windows-acl", "assets/diagnose-windows-sandbox-acl") ??
         resolvedPackageDir("@deepseek-ai/dsh-sandbox-windows-acl", "assets/diagnose-windows-sandbox-acl"));
 }
+// ── office 技能的「Installed LibreOffice Kit」段 ────────────────────────────
+//
+// 官方 dsh-office provider 在 get 时给三个 office 技能的正文**追加**一段
+// 「Installed LibreOffice Kit」：SKILL.md 明文要求「使用这段提供的 libreofficeKit.node
+// 与 .cli 绝对路径，禁止自行搜索/猜测」。我们以 599 接管后官方 provider 不再被问到，
+// 这段必须由我们补上 —— 否则模型拿到的 office 技能缺执行 LibreOffice 命令所需的全部
+// 路径（这个缺口 0.16.5 在桌面上就已存在）。文案与 JSON 形状逐字取自官方
+// dsh-skill-office lib/index.js 的 officeRuntime()；node/cli 的落点按宿主形态各自核实：
+//   - 桌面：官方明确要求 packaged 应用必须给**独立 node**（electron 本体不行）。
+//     实测桌面把运行时装在 `<resources>/runtime/primary-runtime/`（DSH_PRIMARY_RUNTIME
+//     指向它，SDK 部署可被同名环境变量改写），node 在其 dependencies/node/bin 下；cli
+//     必须用 `app.asar.unpacked` 里的真实文件 —— 独立 node 读不了 asar 内部。
+//   - web：官方默认 process.execPath（宿主是普通 node 进程），cli 从宿主进程解析链取。
+// 任一路径不是真实文件 → 用官方口径的「已停用」文案（SKILL.md 自有降级分支，模型不会
+// 去猜路径），绝不给一个跑不起来的路径。
+const OFFICE_SKILL_NAMES = new Set([
+    "office-docx",
+    "office-pptx",
+    "office-xlsx",
+]);
+const OFFICE_RUNTIME_DISABLED = "\n\nLibreOffice Kit is disabled in this deployment.";
+let officeRuntimeSectionCache;
+/** 官方 provider 在 get 时追加的 LibreOffice Kit 段（每进程算一次，路径不随会话变）。 */
+function officialOfficeRuntimeSection() {
+    if (officeRuntimeSectionCache === undefined)
+        officeRuntimeSectionCache = computeOfficeRuntimeSection();
+    return officeRuntimeSectionCache;
+}
+function computeOfficeRuntimeSection() {
+    const resources = resourcesDir();
+    let node;
+    let cli;
+    const runtimeRoot = process.env.DSH_PRIMARY_RUNTIME || process.env.DSH_BUNDLED_PRIMARY_RUNTIME;
+    if (runtimeRoot) {
+        // SDK / 容器部署：官方配置从运行时根推导（cordis 装配逐字核对）。
+        node = join(resolve(runtimeRoot), "dependencies", "node", "bin", process.platform === "win32" ? "node.exe" : "node");
+        cli = resolvedPackageDir("@deepseek-ai/libreoffice-kit", "lib/cli.js");
+    }
+    else if (resources !== null) {
+        node = join(resources, "runtime", "primary-runtime", "dependencies", "node", "bin", process.platform === "win32" ? "node.exe" : "node");
+        // 桌面的 cli 只认 unpacked 真实文件（独立 node 读不了 asar；electron 的 fs 补丁
+        // 会让 existsSync 对 asar 内部也返回真，所以这里不用解析链兜底）。
+        cli = join(resources, "app.asar.unpacked", "dsh", "node_modules", "@deepseek-ai", "libreoffice-kit", "lib", "cli.js");
+    }
+    else {
+        node = process.execPath;
+        cli = resolvedPackageDir("@deepseek-ai/libreoffice-kit", "lib/cli.js");
+    }
+    const usable = (path) => {
+        try {
+            return isAbsolute(path) && statSync(path).isFile();
+        }
+        catch {
+            return false;
+        }
+    };
+    if (!usable(node) || cli === null || !usable(cli))
+        return OFFICE_RUNTIME_DISABLED;
+    return `\n\n## Installed LibreOffice Kit\n\nUse these absolute paths for every LibreOffice Kit command. Pass the CLI entry as the first argument to Node.\n\n${JSON.stringify({ libreofficeKit: { node, cli } }, null, 2)}`;
+}
 function copyDirectorySync(from, to) {
     mkdirSync(to, { recursive: true });
     for (const entry of readdirSync(from, { withFileTypes: true })) {
@@ -172,17 +235,40 @@ function copyDirectorySync(from, to) {
  * 每次宿主启动整目录重建（官方包只随宿主更新变化，宿主更新必然重启宿主）。
  */
 let officialRootCache;
+/** 宿主形态子目录名：桌面（有 process.resourcesPath）与 web 等普通 node 进程各物化一份。 */
+function officialFormName() {
+    return resourcesDir() === null ? "web" : "desktop";
+}
+/**
+ * 0.16.5 之前各形态共用一份目录（旧条目直接躺在 official-skills/ 下）；分形态目录后
+ * 这些残留只会变成幽灵条目，按这份已知名单清掉。只清名单内的名字，绝不碰旁边的
+ * `<form>/` 子目录 —— 那是另一种形态物化的现役目录。
+ */
+const LEGACY_OFFICIAL_ENTRY_NAMES = Object.freeze([
+    "office-docx",
+    "office-pptx",
+    "office-xlsx",
+    "scripts",
+    "diagnose-windows-sandbox-acl",
+]);
+function cleanupLegacyOfficialLayout(root) {
+    for (const name of LEGACY_OFFICIAL_ENTRY_NAMES) {
+        try {
+            rmSync(join(root, name), { recursive: true, force: true });
+        }
+        catch {
+            /* 残留清理失败不影响物化，下轮启动再试 */
+        }
+    }
+}
 function materializeOfficialSkills() {
-    // 非桌面宿主（web 等普通 node 进程）一个官方技能都不注入，也不许碰共享的物化
-    // 目录 —— 否则 web 启动会把它解析到的那几个盖进目录，桌面版物化好的就没了
-    // （见上方块注释）。必须在任何 fs 访问之前退出。
-    if (resourcesDir() === null)
-        return null;
     const office = officialOfficeSource();
     const sandbox = officialSandboxSource();
     if (office === null && sandbox === null)
         return null;
-    const root = join(resolveDshHome(), "tool-management", "official-skills");
+    // 每种宿主形态只整目录重建**自己**这份（竞态教训见上方块注释）；对方形态的子目录
+    // 与共享层残留清理互不干涉。
+    const root = join(resolveDshHome(), "tool-management", "official-skills", officialFormName());
     try {
         rmSync(root, { recursive: true, force: true });
         // office：整个 assets 根拷进来（office-*/ 与 scripts/ 的相对结构必须保留 ——
@@ -192,6 +278,7 @@ function materializeOfficialSkills() {
         if (sandbox !== null) {
             copyDirectorySync(sandbox, join(root, basename(sandbox)));
         }
+        cleanupLegacyOfficialLayout(dirname(root));
         return root;
     }
     catch (error) {
@@ -215,6 +302,13 @@ function officialSkillRoot() {
                 deletable: false,
                 // 来源层无开关（同默认来源），单个技能可启停；overlay 以 599 压过官方
                 // provider 的 600，脚本从物化副本的真实路径执行。
+                //
+                // 残余风险（2026-09-30 审查 §5 F12，如实标注、不修）：`599` 是个**数字契约** ——
+                // 它只在"官方那个 provider 的 rank 恰好是 600"时成立。官方调档位（把内置技能提到
+                // 599 以上、或降到 599 以下）会让接管失效：要么官方内置技能重新注入、与 599 层并存
+                // （同名两份），要么本插件反向遮蔽掉本不该遮蔽的东西。rank 是纯数字、没有能力探测
+                // 能提前发现，doctor 也查不了（要枚举官方 provider 的注册参数）。所以记为**已知
+                // 假设**，列进 CHANGELOG 的宿主适配矩阵，官方更新时人工核对这一处。
                 toggleable: true,
                 native: false,
                 scope: "user",
@@ -1932,7 +2026,28 @@ export async function setPreferredSkill(root, name, preferred, log) {
         log(preferred === false ? "skill-unprefer" : "skill-prefer", preferred === false
             ? `取消同名首选 ${canonicalName}`
             : `同名首选 ${canonicalName} → ${definition.key}`);
-    return { name: canonicalName, root: preferred === false ? null : definition.key };
+    // 首选**可以**指向停用来源：这个写操作只记录一次选择，不启停任何东西，所以照旧写成功。
+    // 但「记录成功」不等于「已经生效」—— 停用不参与选赢家、且停用赢家仍要挡住低优先级副本
+    // （见 listProviderCandidates），于是首选来源自己停用时，同名两份**都不生效**。
+    // 这里如实回话：调用方（含模型，`skill-prefer` 是模型可调的）不能以为「已改为生效」。
+    // 不返回 ok:false —— 那会让界面的「启用这个」（prefer 之后紧跟 enable）在 enable 之前就中断。
+    const effective = effectiveSkillPolicy(current, definition, {
+        ...summary,
+        ...resolved,
+    });
+    const base = {
+        name: canonicalName,
+        root: preferred === false ? null : definition.key,
+    };
+    if (preferred === false || effective.enabled)
+        return base;
+    return {
+        ...base,
+        effective: false,
+        warning: `已记录同名首选，但它不会生效：${canonicalName}（${definition.label || definition.key}）` +
+            `当前处于停用状态，而它仍然挡住同名的其他副本 —— 两份都不生效。` +
+            `启用其中一份即可（启用这份，或改用另一份）。`,
+    };
 }
 async function safeExistingEntryPaths(root, name) {
     const paths = [];
@@ -2615,6 +2730,28 @@ export async function importSkill(source, log, options = {}) {
     return { kind: analysis.kind, imported, skipped, failed };
 }
 // ── 浏览器上传导入 ──────────────────────────────────────────────────────────
+/**
+ * 一个上传路径段会不会被文件系统**改写**成别的东西。
+ *
+ * 为什么必须单判这一条（2026-09-30 审查 P2-17，实为路径逃逸而非口径分叉）：
+ * 下面的 `part === ".."` 只挡**恰好**是 `..` 的段，而 Windows 的路径归一化会把段尾的
+ * **点与空格**静默裁掉 —— `.. `（`..` 加一个空格）在 `CreateFileW` / `CreateDirectoryW`
+ * 眼里就是 `..`。于是 `join(contentRoot, ".. ", "x")` 看着在根内（`isSameOrDescendant`
+ * 也判在根内：它按字符串比，`".. "` 不等于 `".."`，`relative` 得到的 `".. /x"` 也不以
+ * `"../"` 开头），实际会写到**暂存目录之外**。同一条判据顺带覆盖 `...` / `. ` /
+ * `foo.`（最后一个不逃逸，但会让磁盘上的名字与界面显示的名字不一致 —— `paths.ts` 的
+ * `trailing-dot-or-space` 就是为这个存在的）。
+ *
+ * 只挡"会被改写"的形态，**不挡** `.gitignore` / `.DS_Store` 这类正常点文件：技能包带它们
+ * 是常态（macOS 解压出来的包必带 `.DS_Store`），一律拒绝会让正常技能导不进来。
+ * 注意 `../imports/upload.ts` 的 `normalizeEntryPath` 走的是更宽的一条（拒绝**所有**
+ * 点开头的段）—— 那里是历史口径，方向更保守，两边都安全，不必强行统一。
+ */
+function pathSegmentRewritten(part) {
+    if (/[\u0000-\u001f\u007f]/.test(part))
+        return true;
+    return part !== part.replace(/[.\s]+$/, "");
+}
 /**
  * 校验浏览器或 ZIP 提供的相对路径。上传内容始终写成普通文件，不解释 ZIP 的链接元数据。
  * 这样既不依赖浏览器泄露本机绝对路径，也不会让归档跨出管理器暂存目录。
@@ -2640,6 +2777,7 @@ function normalizeUploadPath(input) {
         parts.some((part) => !part ||
             part === "." ||
             part === ".." ||
+            pathSegmentRewritten(part) ||
             part.length > MAX_ENTRY_NAME_LENGTH ||
             WINDOWS_DEVICE_NAME_RE.test(part))) {
         throw codedError(`上传条目路径非法: ${raw}`, "error.upload.path", {
@@ -3023,7 +3161,17 @@ export async function skillDetail(keyOrRoot, name, options = {}) {
         sourceReadOnly: !root.mutable,
     };
 }
-/** 生成 manager provider 候选：保留禁用候选以阻止低优先级重名副本意外激活。 */
+/**
+ * 生成 manager provider 候选：保留禁用候选以阻止低优先级重名副本意外激活。
+ *
+ * **同名首选必须传进分组**（2026-09-30 审查 F8）。此前这里调
+ * `groupLoadableSkillsByName(items)` 时没带 `preferred`，而管理页（`markWinners`）带了 ——
+ * 于是「同名首选」只在界面上生效：用户把 A 设为首选，界面把 A 标成「同名首选」、把 B 标成
+ * 「被覆盖」，模型侧却仍按 rank 拿到 B。**界面说的和模型用的不是同一份**，且没有任何一处报错。
+ *
+ * 分组函数本身是共用的（同一份排序规则），缺的只是这个参数；传进去两侧即同源。
+ * 未命中（键已失效 / 来源被移除）时分组函数自己退化为纯 rank 顺序，与界面一致。
+ */
 export async function listProviderCandidates(options = {}) {
     const policyResult = await readManagerState();
     const candidates = [];
@@ -3042,7 +3190,9 @@ export async function listProviderCandidates(options = {}) {
                 items.push({ root, entry });
         }
     }
-    for (const group of groupLoadableSkillsByName(items).values()) {
+    // 与管理页 markWinners 同一个 preferred 表、同一个分组函数 —— 界面与模型必须挑同一个赢家。
+    const preferredSkills = policyResult.state.preferredSkills || null;
+    for (const group of groupLoadableSkillsByName(items, preferredSkills).values()) {
         const { root, entry } = group[0];
         const project = root.scope === "project";
         const policyOnly = root.mutable;
@@ -3139,6 +3289,12 @@ export async function getProviderSkill(candidate, options = {}) {
         const summary = entryOf(locator.entryName, entry.kind, entry.docPath, doc);
         if (!summary.loadable || summary.declaredName !== candidate.name)
             return undefined;
+        // 官方 office 技能：补上官方 provider 在 get 时追加的 LibreOffice Kit 段
+        // （SKILL.md 明文引用这段的 node/cli 路径，见上方块注释）。
+        const officeRuntime = locator.rootKey === OFFICIAL_SOURCE_KEY &&
+            OFFICE_SKILL_NAMES.has(locator.entryName)
+            ? officialOfficeRuntimeSection()
+            : "";
         return {
             name: candidate.name,
             description: candidate.description,
@@ -3148,7 +3304,7 @@ export async function getProviderSkill(candidate, options = {}) {
             resourceBase: candidate.resourceBase,
             path: candidate.path,
             metadata: candidate.metadata,
-            content: doc.body.trim(),
+            content: doc.body.trim() + officeRuntime,
         };
     }
     catch {
@@ -3195,14 +3351,21 @@ function markWinners(items, options = {}) {
     const preferred = options.preferred;
     for (const [canonicalName, [winner, ...shadowed],] of groupLoadableSkillsByName(items, preferred)) {
         winners.set(canonicalName, winner);
-        // 只有「首选命中且确实赢了」才算首选；来源被停用/移除时不谎报。
+        // `preferred` = 「这份显式选择**记录在案**且它确实赢了同名之争」，**不等于它正在生效**：
+        // 首选来源自己停用时它照样赢（停用不参与选赢家），此时 `view.enabled === false`，
+        // 而其余副本拿到 `shadowedBy.enabled === false` —— 界面据此说「两份都不生效」。
+        // 这里仍要打上 preferred，否则界面拿不到「取消首选」那颗按钮，用户就没法撤销这次选择。
         if (preferred && preferred[canonicalName] === winner.root.key)
             winner.view.preferred = true;
         if (options.markShadowed !== false) {
+            // `enabled` 传赢家的启用状态：界面靠它区分「另一份在跑」与「两份都不生效」。
+            // 少了这个字段，被覆盖的一行只能说「同名技能 X 正在生效」—— 而 X 停用时那是假话。
+            const winnerEnabled = winner.policy.enabled === true;
             for (const item of shadowed)
                 item.view.shadowedBy = {
                     root: winner.root.key,
                     name: winner.entry.name,
+                    enabled: winnerEnabled,
                 };
         }
         if (options.markWinner !== false)

package/lib/skills/service.js

@@ -9,7 +9,7 @@ import { Worker } from 'node:worker_threads';
 import { spawn } from 'node:child_process';
 import { homedir } from 'node:os';
 import { basename, join } from 'node:path';
-import { isInsideRootResolved } from '../paths.js';
+import { isInsideRootResolved, isSameOrDescendant, isValidSegment } from '../paths.js';
 import { state, setSkillEnabled, setPreferredSkill, markSkillsDisabled, setSourceEnabled, setSourceRemoved, deleteSkill, restoreTrash, permanentlyDeleteTrash, importSkill, importUploadedSkill, browseDirectories, createSkill, updateSkill, skillDetail, listProviderCandidates, getProviderSkill, userRoots, projectRoots, readManagerState, customRootsFromState, addCustomRoot, removeCustomRoot, logPath, trashRootPath, } from './core.js';
 const MAX_LOG_BYTES = 1 << 20;
 const PROVIDER_NAME = 'dsh-plugin-tool-management-external';
@@ -106,9 +106,14 @@ async function moveToSystemTrash(abs) {
 async function permanentlyDeleteTrashSafely(id, log) {
     const clean = String(id || '').trim();
     const root = trashRootPath();
-    const sep = root.indexOf('\\') >= 0 ? '\\' : '/';
-    const target = /^[A-Za-z0-9._-]{1,128}$/.test(clean) ? root + sep + clean : null;
-    if (target && target.indexOf(root + sep) === 0 && existsSync(target)) {
+    // 走 `paths.ts` 的单段名校验，而不是自写白名单（审查 F1，0.17.0）：
+    // 原判据 `/^[A-Za-z0-9._-]{1,128}$/` 放行 `.` 与 `..`，而 `root + sep + '..'` 解析后
+    // 正是**回收站根目录**，末尾那句字符串前缀比对拦不住它 —— 于是「删掉某一条」变成
+    // 「把整个 `trash/`（技能/场景/子智能体/提示词四类）送进系统回收站」，且返回 `ok:true`。
+    // 换成 `isValidSegment` 还让两条路同源：能通过这里的 id，必定也能通过
+    // `permanentlyDeleteTrash` 内部的 `entryPath`（同一个谓词），不会一个放行、一个拒绝。
+    const target = isValidSegment(clean) ? join(root, clean) : null;
+    if (target && isSameOrDescendant(root, target) && existsSync(target)) {
         if (await moveToSystemTrash(target)) {
             await log('trash-delete-system', { id: clean, path: target });
             return { id: clean, method: 'system-trash' };

package/lib/subagents/service.js

@@ -517,7 +517,12 @@ export function createSubagentService(ctx, opts) {
             const fresh = [];
             try {
                 const entries = await readdir(dir);
-                for (const fileName of entries.filter((e) => e.endsWith('.md')).sort()) {
+                // 只列**能管得动**的人设（2026-09-30 审查 P2-18）：`validPersonaName` 走
+                // `paths.ts` 的 `isValidSegment`，隐藏名（`.foo`）被判 `hidden` —— 于是此前列表里
+                // 会出现一个「看得见、改不了、删不掉」的人设（任何 op 都拒它）。同一条谓词在这里
+                // 收口；大小写也按 `relocateLegacyPersonas` 的 `toLowerCase()` 口径统一（`A.MD` 在
+                // 那边算人设、在这边不算，是同一个分叉的另一半）。
+                for (const fileName of entries.filter((e) => !e.startsWith('.') && e.toLowerCase().endsWith('.md')).sort()) {
                     const raw = await readFile(join(dir, fileName), 'utf8').catch(() => '');
                     if (!raw.trim())
                         continue;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin-tool-management",
-  "version": "0.16.5",
+  "version": "0.17.0",
   "description": "DSH plugin: one settings panel for MCP servers, skills, scenes, memories, subagent personas and AGENTS.md presets — a scene switches the whole environment, and the model can drive it from chat too.",
   "repository": {
     "type": "git",