dsh-plugin-wangcai 0.0.0-stage → 0.2.2

package/LICENSE

@@ -0,0 +1,75 @@
+SPDX-License-Identifier: PolyForm-Noncommercial-1.0.0
+
+# PolyForm Noncommercial License 1.0.0
+
+<https://polyformproject.org/licenses/noncommercial/1.0.0>
+
+## Acceptance
+
+In order to get any license under these terms, you must agree to them as both strict obligations and conditions to all your licenses.
+
+## Copyright License
+
+The licensor grants you a copyright license for the software to do everything you might do with the software that would otherwise infringe the licensor's copyright in it for any permitted purpose.  However, you may only distribute the software according to [Distribution License](#distribution-license) and make changes or new works based on the software according to [Changes and New Works License](#changes-and-new-works-license).
+
+## Distribution License
+
+The licensor grants you an additional copyright license to distribute copies of the software.  Your license to distribute covers distributing the software with changes and new works permitted by [Changes and New Works License](#changes-and-new-works-license).
+
+## Notices
+
+You must ensure that anyone who gets a copy of any part of the software from you also gets a copy of these terms or the URL for them above, as well as copies of any plain-text lines beginning with `Required Notice:` that the licensor provided with the software.  For example:
+
+> Required Notice: Copyright Yoyodyne, Inc. (http://example.com)
+
+## Changes and New Works License
+
+The licensor grants you an additional copyright license to make changes and new works based on the software for any permitted purpose.
+
+## Patent License
+
+The licensor grants you a patent license for the software that covers patent claims the licensor can license, or becomes able to license, that you would infringe by using the software.
+
+## Noncommercial Purposes
+
+Any noncommercial purpose is a permitted purpose.
+
+## Personal Uses
+
+Personal use for research, experiment, and testing for the benefit of public knowledge, personal study, private entertainment, hobby projects, amateur pursuits, or religious observance, without any anticipated commercial application, is use for a permitted purpose.
+
+## Noncommercial Organizations
+
+Use by any charitable organization, educational institution, public research organization, public safety or health organization, environmental protection organization, or government institution is use for a permitted purpose regardless of the source of funding or obligations resulting from the funding.
+
+## Fair Use
+
+You may have "fair use" rights for the software under the law. These terms do not limit them.
+
+## No Other Rights
+
+These terms do not allow you to sublicense or transfer any of your licenses to anyone else, or prevent the licensor from granting licenses to anyone else.  These terms do not imply any other licenses.
+
+## Patent Defense
+
+If you make any written claim that the software infringes or contributes to infringement of any patent, your patent license for the software granted under these terms ends immediately. If your company makes such a claim, your patent license ends immediately for work on behalf of your company.
+
+## Violations
+
+The first time you are notified in writing that you have violated any of these terms, or done anything with the software not covered by your licenses, your licenses can nonetheless continue if you come into full compliance with these terms, and take practical steps to correct past violations, within 32 days of receiving notice.  Otherwise, all your licenses end immediately.
+
+## No Liability
+
+***As far as the law allows, the software comes as is, without any warranty or condition, and the licensor will not be liable to you for any damages arising out of these terms or the use or nature of the software, under any kind of legal claim.***
+
+## Definitions
+
+The **licensor** is the individual or entity offering these terms, and the **software** is the software the licensor makes available under these terms.
+
+**You** refers to the individual or entity agreeing to these terms.
+
+**Your company** is any legal entity, sole proprietorship, or other kind of organization that you work for, plus all organizations that have control over, are under the control of, or are under common control with that organization.  **Control** means ownership of substantially all the assets of an entity, or the power to direct its management and policies by vote, contract, or otherwise.  Control can be direct or indirect.
+
+**Your licenses** are all the licenses granted to you for the software under these terms.
+
+**Use** means anything you do with the software requiring one of your licenses.

package/README.md

@@ -1,3 +1,260 @@
-# Temporary Holding Version
+# 旺财看盘 · dsh-plugin-wangcai
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+> 在 DeepSeek Harness 里看 A 股：**盘面 · 个股 · 资金面 · 消息面 · 直播**，装一个插件全都有。
+
+**🌐 官网（含真实界面大图与功能详解）：https://wangcai.hszl-bd.cn/plugin/**
+
+![旺财看盘 · 资金面](docs/preview-fund.jpg)
+
+大多数 A 股工具的问题是：数据散在五个网站、看完还得自己算、口径从不写清楚。
+旺财看盘把「今天市场在发生什么」压成一句话结论，再让每个数字都能下钻到能验证的粒度。
+
+---
+
+## 目录
+
+- [装好之后你会看到什么](#装好之后你会看到什么)
+- [📊 盘面数据](#-盘面数据)
+- [📉 个股分析](#-个股分析)
+- [💰 资金面](#-资金面)
+- [📰 消息面](#-消息面)
+- [📺 盘面直播](#-盘面直播)
+- [🔒 暂未对外开放](#-暂未对外开放)
+- [数据说明](#数据说明)
+- [安装](#安装)
+- [商务合作](#商务合作)
+- [免责声明](#免责声明)
+
+---
+
+## 装好之后你会看到什么
+
+顶部五个标签页，每个标签下还有自己的子页。核心是**三层结构**：
+
+```
+一句话结论  →  可验证的图表  →  能下钻的明细
+（今天什么状态）  （资金/涨跌/梯队）   （哪只票、哪一笔）
+```
+
+![盘面数据](docs/preview-market.jpg)
+
+---
+
+## 📊 盘面数据
+
+六个子页，从「大盘现在什么温度」一路看到「哪只票封的板」。
+
+### 大盘总览
+
+- **两市成交额**：实时值 + 较昨日变化 + 按时间推算的**预计全天**
+- **八大指数**：上证、深证成指、创业板指、北交所、沪深300、科创50、中证500、北证50
+  每个都带「较昨全天增减」和「今成交额」——不只看涨跌，还看**这波是真放量还是缩量拉的**
+- **涨跌温度**：上涨/下跌/平盘家数 + **涨停/跌停家数**
+- **情绪周期表**：近 20 个交易日的涨停数、跌停数、炸板数、主概念、连板高度，一屏看情绪潮汐
+- **两融 vs 指数主图**：两融余额（左轴）叠上证（右轴）+ 融资净买入柱状，看杠杆和指数是否背离
+
+### 连板梯队
+
+- **按高度分组**：6 连板 / 4 连板 / 3 连板 / 2 连板 / 1 连板，每档可展开
+- **行业涨停排行**：哪个行业今天涨停最多（如「广告营销 9 家 / 出版 8 家」），点行展开该行业涨停股
+- **涨停明细**：代码、名称、行业、连板数、**换手率**、**封板资金**、**炸板次数**、**首封时间**、成交额
+  最后两项尤其关键——首封时间看资金抢筹早晚，封板资金看封得牢不牢
+
+### 板块涨跌
+
+行业 / 概念双维度切换，涨幅榜带**领涨个股**，一眼知道「这个板块是普涨还是龙头带飞」。
+
+### 竞价异动
+
+**9:25 竞价定格**后生成，专治开盘前的最后一分钟：
+
+- 三类入选：竞价涨停（顶板）、高开 ≥5%、**昨日涨停股的承接监控**
+- 字段：竞价涨幅、**当前涨跌**、竞价价、竞价额、换手%（竞价额/流通市值）、**末 1 分占比**、昨日表现、所属概念、**强度评级**
+- 昨日表现直接标「首板 / 2 连板(一字) / 昨涨 3.42%」——一眼看出是**晋级**还是**核按钮**
+- **末 1 分占比**：最后 1 分钟竞价成交额 ÷ 竞价总额，占比越高说明末段抢筹越猛
+- **弱转强标签**：末段（9:24→9:25）拉升 ≥1 个点且末 1 分占比 ≥20% 自动打标并置顶——盘前 9:15-9:25 全程采样，能抓到「最后一分钟被资金顶上去」的票
+
+### 美股盘面
+
+道琼斯、纳斯达克、标普 500、纳指 100、VIX，外加 **20+ 个题材**（AI 算力、存储芯片、半导体、光通信、稀土永磁、商业航天、数字货币…），题材涨跌取代表性 ETF/龙头等权平均。
+
+### 日韩盘面
+
+日本 JPX、韩国 KRX，附带台湾加权与恒生作参照。**上涨红、下跌绿**，与 A 股口径一致。
+
+---
+
+## 📉 个股分析
+
+点任意股票代码（表格行、概念标签、消息里的个股标），弹出完整分析卡。**九块内容**：
+
+| 区块 | 内容 |
+|---|---|
+| **行情条** | 现价、涨跌、开高低收、昨收、成交量额、换手率、PE、PB、总市值 |
+| **概念标签** | 该股所属概念（茅指数、钠离子电池、固态电池…），**标签可点**，跳到同概念 |
+| **股性评分** | 该股近期「活性」打分，判断好不好做 |
+| **分时 / 日 K** | 双视图切换 |
+| **四维评分** | **技术面 / 基本面 / 情绪面 / 综合**四个独立分数 |
+| **技术指标** | RSI(6/12) 及超买超卖提示、MACD 红柱/绿柱状态、均线位置（跌破 60 日线）、BOLL 中轨位置 |
+| **持有建议** | 结合**你是否持有**给结论：继续持有 / 观望 / 减持，并说明理由 |
+| **板块与位置** | 所属板块强度、5/10/20 日涨幅、量比、MA5/MA20、当前价在 20 日高低点的分位 |
+| **实时资讯** | 该股最近 8 条新闻（机构持股、回购、订单、评级） |
+
+**两个别处少见的模块：**
+
+**① 历史回测对比**
+在 501 个交易日的历史里，找出与**当前形态最相似的 10 个案例**，给出：
+- 平均后市收益（20 日内）
+- 历史胜率
+- 平均最高涨幅 / 平均最大回撤
+
+**② AI 智能分析（Beta）**
+分「规则分析」和「LLM 深度分析」两栏，输出行情概况 / 技术研判 / 量能分析三段判断，附综合评分与倾向。
+
+> 所有分析都标注了「历史数据仅供参考，过去表现不代表未来收益」。
+
+---
+
+## 💰 资金面
+
+这是整个产品的重心。
+
+### 结论条
+
+顶部两句话直说今天什么状态——**杠杆（两融，T+1）** 与 **今日板块资金（实时）**：
+
+> 今日主力净流入 **+107.2 亿**（49 个板块流入 / 74 个流出）｜ 半导体 +44.5 亿、证券Ⅱ +28.1 亿、游戏Ⅱ +13.7 亿
+
+下面这句是两融口径：
+
+> 杠杆资金在撤：融资 5 日 −459 亿、20 日 −2,511 亿，两融余额继续下台阶。
+> 板块层面（近 20 日累计）：成长 −1,700 亿（半导体/通信设备/元件领跌），周期 −179 亿，防御 +21 亿。
+
+下面挂三条**带箭头**的指标（杠杆 / 量能 / 主线）和一个 **0–100 的资金面温度**（冰点 / 中性 / 过热）。
+
+### 板块资金流向（今日 / 3 / 5 / 10 / 20 日）
+
+- 默认 **今日**，也可切换近 3 / 5 / 10 / 20 个交易日（今日为分钟级实时值，全量 124 个板块）
+- **方块面积=净额**（金额越大面积越大），**左侧净流入、右侧净流出**，点方块看该板块成分股贡献
+- 连续流入 / 连续流出 Top6，附连续天数与量能倍数
+- 明细表：板块、涨跌、各周期净额、连续同向天数、量能倍数、成交额、20 日走势
+
+### 融资盘动向（T+1）
+
+按交易所披露节奏，展示**最近一个交易日**的融资资金去向：
+
+- **板块维度**：哪些行业融资净买入、哪些在被融资盘卖出，附各行业融资余额与覆盖股票数
+- **个股维度**：融资净买入 / 净卖出 Top 榜（已剔除 ETF）
+- 页面标注「数据截至 MM-DD（T+1）」，不会把滞后数据说成实时
+
+### 两融主图
+
+两融余额（渐变面积，左轴）叠上证指数（右轴），下方独立红绿柱表示**每日融资净买入**。
+悬停出十字线；点某一天可**锁定**并联动下方明细表。
+
+### 板块资金透视
+
+- 覆盖 **44 个行业**，周期可选 **3 / 5 / 10 / 20 日**
+- 每行：涨跌、各周期净额、**连续同向天数**、量能倍数、成交额、20 日资金走势缩略图
+- 五个筛选标签：全部 / 🔴 加速流出 / 🟢 加速流入 / ⚠️ **吸筹（价跌钱进）** / 🚨 **派发（价涨钱出）**
+- 点行展开：20 日资金柱 + **个股贡献 Top5**
+
+### 个股级下钻
+
+点板块 → 拉出该板块**全部成分股**的当日资金（全量，不是抽样）。
+所以这里翻**全量成分股**（行业板块最多 188 只，来自完整的行业成分数据，不是抽样、也不是前 40 只估算），能看到资金流出到底落在哪些具体标的上。
+
+### 近 15 日资金明细
+
+倒序排列（最新在上），含两融余额、融资余额、融券余额、融资买入占流通市值、涨跌家数，点击锁定主图。
+
+---
+
+## 📰 消息面
+
+### 热度排行 TOP10
+
+AI 归纳的每日十大事件，每条带：
+
+- **利好 / 利空 / 中性** 标签
+- **分类**（政策 / 行业动态 / 其他）
+- 摘要 + **一句话点评**
+- **自动识别的关联个股**（可点进个股分析，如「🎯 宁德时代 300750」）
+- 热度条
+
+### 快讯流
+
+多源聚合，每条带来源标签、时间、标题、关联个股，点标题看详情。
+
+---
+
+## 📺 盘面直播
+
+- **大盘直播**：盘中实时异动流，最新在前，一句话说清「谁在涨停、哪条线在走强、谁在跳水」
+- **实时复盘**：按交易日切换（上一日 / 下一日）
+- **导出复盘长图**：一键把当日复盘导成图片
+
+---
+
+## 🔒 暂未对外开放
+
+以下两块在插件内**暂未开放**（页面可见，但相关接口未通过代理开启）：
+
+| 模块 | 状态 |
+|---|---|
+| 🎯 选股扫描 | 暂未对外开放 |
+| 🧪 策略实验室 | 暂未对外开放 |
+
+如果你需要，可以在本地部署旺财服务后自行开启。
+
+## 数据说明
+
+- 数据来自公开行情渠道的聚合，**可能存在延迟、缺失或偏差**
+- 部分指标（如资金流向类）为**估算值**，不等同于权威统计，仅供参考
+- 不同指标更新节奏不同，页面会标注「数据截至 MM-DD」
+- 本插件不提供推荐、不代客理财、不承诺收益
+
+## 安装
+
+```bash
+# npm 安装（推荐）
+dsh plugin --profile web add dsh-plugin-wangcai
+
+# 或从 Gitee 源码
+dsh plugin --profile web add gitee:shenzhen-huashuo-zhilian/dsh-plugin-wangcai
+```
+
+装完重启 `dsh web`，打开 **设置 → 旺财看盘**。
+
+想先看看长什么样、有哪些功能，可以逛官网：**https://wangcai.hszl-bd.cn/plugin/**（含真实界面大图与数据说明）
+
+![在 DSH 里](docs/preview-dsh.jpg)
+
+| 环境变量 | 默认值 | 说明 |
+|---|---|---|
+| `WANGCAI_BASE_URL` | `https://wangcai.hszl-bd.cn` | 旺财服务地址，自建可改（服务入口在 `/app/`，根路径为官网）|
+
+---
+
+## 免责声明
+
+> **本站仅用于数据收集与展示，不构成任何投资建议。**
+> 数据来源于第三方公开接口，可能存在延迟、缺失或错误，据此操作风险自负。
+> 股市有风险，投资需谨慎。本站不代客理财、不承诺收益、不提供买卖点推荐。
+> **仅供个人学习参考，未经许可不得商用。**
+> 页面内的模拟盘与回测数据仅用于验证规则，不代表真实收益。
+
+
+## 商务合作
+
+插件定制、数据对接、私有化部署等需求，可在[产品官网](https://wangcai.hszl-bd.cn/plugin/)点击「联系」扫码添加微信（备注「旺财」）。
+
+## License
+
+**PolyForm Noncommercial License 1.0.0** — 允许个人学习、研究与非商业使用；**未经许可不得商用**。
+
+协议全文见 [LICENSE](LICENSE)。
+
+---
+
+<sub>English: **Wangcai Market Panel** — an A-share dashboard plugin for DeepSeek Harness. Seven panels: market breadth (indices, limit-up ladder, auction anomalies, US/JP/KR), per-stock analysis (4-dimension scoring, indicator suite, similar-pattern backtest, LLM commentary), eight screening strategies with paper-trading ledgers, capital flows (margin balance, 44-sector multi-period matrix, full constituent drill-down), AI news digest, and live market broadcast. Read-only by design: GET-only proxy, action paths blocked, 120 req/min rate limit, sandboxed iframe. **Not investment advice.**</sub>

package/client/client.js

@@ -0,0 +1,87 @@
+/**
+ * dsh-plugin-wangcai — 客户端入口（DSH 模块加载器格式）
+ *
+ * 安全设计：iframe 用 sandbox 且**不给 allow-same-origin** → iframe 得到不透明源，
+ * 即使旺财页面的抓取内容里混进脚本，也够不到 DSH 的 localStorage / token / 接口。
+ */
+window.__ModuleLoader__.load({
+  id: 'dsh-plugin-wangcai',
+  factory: (require) => {
+    var module = { exports: {} }
+    var exports = module.exports
+    Object.defineProperty(exports, Symbol.toStringTag, { value: 'Module' })
+    let react = require('react')
+
+    const name = 'dsh-plugin-wangcai'
+    const inject = ['slots']
+
+    const S = {
+      wrap: { height: '82vh', width: '100%', display: 'flex', flexDirection: 'column', gap: '6px' },
+      bar: { display: 'flex', alignItems: 'center', justifyContent: 'space-between', gap: '10px', flexWrap: 'wrap' },
+      hint: { fontSize: '11.5px', opacity: 0.6 },
+      warn: {
+        fontSize: '11.5px',
+        lineHeight: 1.5,
+        color: '#e6b422',
+        background: 'rgba(230,180,34,.08)',
+        border: '1px solid rgba(230,180,34,.35)',
+        borderRadius: '8px',
+        padding: '6px 10px',
+      },
+      frame: {
+        flex: 1,
+        width: '100%',
+        border: '1px solid rgba(255,255,255,.08)',
+        borderRadius: '12px',
+        background: '#0b0e14',
+      },
+    }
+
+    function Panel() {
+      return react.createElement(
+        'div',
+        { style: S.wrap },
+        react.createElement(
+          'div',
+          { style: S.bar },
+          react.createElement(
+            'div',
+            { style: S.hint },
+            '旺财看盘 · 盘面数据 · 个股分析 · 盘面直播 · 消息面 · 资金面',
+          ),
+          react.createElement(
+            'div',
+            { style: S.warn },
+            '⚠️ 本站仅用于数据收集与展示，不构成任何投资建议。数据来源于第三方公开接口，可能存在延迟或错误，据此操作风险自负。',
+          ),
+        ),
+        react.createElement('iframe', {
+          src: '/wangcai-dsh/embed',
+          title: '旺财看盘',
+          sandbox: 'allow-scripts allow-forms allow-popups allow-modals',
+          referrerpolicy: 'no-referrer',
+          style: S.frame,
+        }),
+      )
+    }
+
+    function apply(ctx) {
+      ctx.slots.inject('settings.section', () =>
+        ctx.slots.register(
+          {
+            name: 'settings.section',
+            id: 'wangcai',
+            order: 70,
+            label: () => '旺财看盘',
+          },
+          () => react.createElement(Panel),
+        ),
+      )
+    }
+
+    exports.apply = apply
+    exports.inject = inject
+    exports.name = name
+    return module.exports
+  },
+})

package/cordis.patch.yml

@@ -0,0 +1,4 @@
+# dsh bundle patch: 把旺财看盘面板插入 profile 的层栈
+- insert:
+    - id: wangcai
+      name: dsh-plugin-wangcai

package/lib/index.js

@@ -0,0 +1,208 @@
+/**
+ * dsh-plugin-wangcai — 服务端入口（安全加固版 v0.2.0）
+ *
+ *  1) /wangcai-dsh/embed          下发旺财看盘 HTML（注入 API 路由 shim + 安全兜底）
+ *  2) /wangcai-dsh/api?p=/api/xxx 只读代理到旺财服务
+ *
+ * 安全边界（逐条对应实测发现）：
+ *  - 路径先 URL 规范化再校验前缀，堵住 `/api/market/../../xxx` 穿越
+ *  - 只允许 GET/HEAD；POST/PUT/DELETE 一律 405（旺财写接口在代理层面不可达）
+ *  - 交易/账户关键词二次拦截，403
+ *  - 令牌桶限流 120 次/分钟/IP，防被当代理刷重接口
+ *  - 白名单移除 /api/status（泄露登录态）与 /api/lab/*（含写接口）
+ *  - 响应带 CSP（connect-src 'self'）、nosniff，XSS 即便发生也出不去本站
+ */
+const WANGCAI_BASE = process.env.WANGCAI_BASE_URL || 'https://wangcai.hszl-bd.cn'
+const PROXY_PATH = '/wangcai-dsh/api'
+const EMBED_PATH = '/wangcai-dsh/embed'
+
+const ALLOW_PREFIX = ['/api/market/', '/api/stock/', '/api/news/', '/api/ai/', '/api/health/', '/api/status']
+// 少数接口需要更细的字段级过滤（页面启动依赖 /api/status，但不必暴露 cookie/交易器内部状态）
+const FIELD_FILTER = { '/api/status': ['logged_in', 'trader_ready', 'cookie_exists'] }
+const BLOCK_SEG = ['account', 'order', 'position', 'deal', 'trade', 'entrust', 'cancel', 'buy', 'sell', 'withdraw', 'transfer', 'delete', 'save', 'update']
+// 用 GET 触发写操作的"动作型"分段（旺财的模拟盘买卖/结算就是 GET），代理层必须拦死
+const ACTION_SEG = ['intraday_buy', 'close', 'settle', 'sim', 'force']
+const RATE_LIMIT = 120          // 每窗口允许次数
+const RATE_WINDOW_MS = 60_000
+const buckets = new Map()
+
+function buildCsp(req) {
+  // sandbox（无 allow-same-origin）下文档是不透明源，'self' 匹配不到服务器源，
+  // 必须把当前访问源显式写进 connect-src，否则页面所有接口请求会被 CSP 拦掉。
+  const host = req.headers['host'] || '127.0.0.1'
+  const proto = req.headers['x-forwarded-proto'] || 'http'
+  const origin = `${proto}://${host}`
+  return [
+    "default-src 'self' 'unsafe-inline' 'unsafe-eval' data: blob:",
+    `connect-src 'self' ${origin}`,
+    "img-src 'self' data: blob: https:",
+    "style-src 'self' 'unsafe-inline'",
+    "script-src 'self' 'unsafe-inline' 'unsafe-eval'",
+    "frame-ancestors 'self'",
+    "base-uri 'self'",
+    "form-action 'none'",
+  ].join('; ')
+}
+
+function json(res, status, obj) {
+  res.writeHead(status, {
+    'content-type': 'application/json; charset=utf-8',
+    'cache-control': 'no-store',
+    'x-content-type-options': 'nosniff',
+  })
+  res.end(JSON.stringify(obj))
+}
+
+function clientIp(req) {
+  return (req.socket && req.socket.remoteAddress) || req.headers['x-forwarded-for'] || 'unknown'
+}
+
+function rateOk(ip) {
+  const now = Date.now()
+  const b = buckets.get(ip)
+  if (!b || now > b.reset) {
+    buckets.set(ip, { count: 1, reset: now + RATE_WINDOW_MS })
+    return true
+  }
+  b.count += 1
+  return b.count <= RATE_LIMIT
+}
+
+/** 规范化 + 校验目标路径，返回 {path, search} 或 null */
+function parseTarget(raw) {
+  if (!raw || typeof raw !== 'string' || raw.length > 512) return null
+  let u
+  try {
+    u = new URL(raw, 'http://local.invalid')   // URL 会把 ../ 与 %2e%2e 归一化
+  } catch {
+    return null
+  }
+  const path = u.pathname
+  if (u.hostname !== 'local.invalid') return null   // 拒绝 //evil.com 这类协议相对 URL
+  if (!path.startsWith('/api/')) return null
+  const low = path.toLowerCase()
+  if (low.includes('..') || low.includes('//') || low.includes('\\') || low.includes('\0')) return null
+  if (BLOCK_SEG.some((seg) => low.includes('/' + seg) || low.includes(seg + '/'))) return null
+  const segs = low.split('/').filter(Boolean)
+  if (segs.some((s) => ACTION_SEG.includes(s))) return null
+  if (!ALLOW_PREFIX.some((pre) => path.startsWith(pre))) return null
+  return { path, search: u.search || '' }
+}
+async function handleEmbed(req, res) {
+  if (!rateOk(clientIp(req))) return json(res, 429, { success: false, error: '请求过于频繁' })
+  try {
+    const r = await fetch(WANGCAI_BASE + '/app/', { signal: AbortSignal.timeout(20000) })
+    let html = await r.text()
+    const shim = `<script>
+(function(){
+  var BASE = ${JSON.stringify(PROXY_PATH)};
+  function rewrite(u){
+    try {
+      var s = String(u);
+      if (s.indexOf('/api/') === 0) return BASE + '?p=' + encodeURIComponent(s);
+      return s;
+    } catch(e){ return u }
+  }
+  try {
+    var of = window.fetch;
+    window.fetch = function(input, init){
+      if (typeof input === 'string') input = rewrite(input);
+      else if (input && input.url) { var u2 = rewrite(input.url); if (u2 !== input.url) input = new Request(u2, input); }
+      return of.call(this, input, init);
+    };
+    var oo = XMLHttpRequest.prototype.open;
+    XMLHttpRequest.prototype.open = function(m, u){
+      arguments[1] = rewrite(u);
+      return oo.apply(this, arguments);
+    };
+    // 沙箱/隐私模式下 storage 可能不可用，兜底成内存版，避免页面脚本抛错
+    try { window.localStorage.getItem('__t'); } catch (e) {
+      var mem = {};
+      var stub = { getItem: function(k){ return Object.prototype.hasOwnProperty.call(mem, k) ? mem[k] : null },
+                   setItem: function(k,v){ mem[k] = String(v) }, removeItem: function(k){ delete mem[k] },
+                   clear: function(){ mem = {} }, key: function(i){ return Object.keys(mem)[i] || null },
+                   get length(){ return Object.keys(mem).length } };
+      try { Object.defineProperty(window, 'localStorage', { value: stub, configurable: true }); } catch (e2) {}
+      try { Object.defineProperty(window, 'sessionStorage', { value: stub, configurable: true }); } catch (e2) {}
+    }
+  } catch (e) {}
+})();
+</script>`
+    html = html.includes('</head>') ? html.replace('</head>', shim + '</head>') : shim + html
+    res.writeHead(200, {
+      'content-type': 'text/html; charset=utf-8',
+      'cache-control': 'no-store',
+      'content-security-policy': buildCsp(req),
+      'x-content-type-options': 'nosniff',
+      'referrer-policy': 'no-referrer',
+    })
+    res.end(html)
+  } catch (e) {
+    res.writeHead(502, { 'content-type': 'text/plain; charset=utf-8' })
+    res.end('旺财服务不可达：' + (e && e.message ? e.message : e))
+  }
+}
+
+async function handleProxy(req, res) {
+  const method = (req.method || 'GET').toUpperCase()
+  const cors = {
+    'access-control-allow-origin': '*',
+    'access-control-allow-methods': 'GET, HEAD, OPTIONS',
+    'access-control-allow-headers': 'content-type',
+    'x-content-type-options': 'nosniff',
+  }
+  if (method === 'OPTIONS') {
+    res.writeHead(204, cors)
+    return res.end()
+  }
+  if (method !== 'GET' && method !== 'HEAD') return json(res, 405, { success: false, error: '插件只读，仅支持 GET' })
+
+  if (!rateOk(clientIp(req))) return json(res, 429, { success: false, error: '请求过于频繁，请稍后再试' })
+
+  const url = new URL(req.url, 'http://local.invalid')
+  const t = parseTarget(url.searchParams.get('p') || '')
+  if (!t) return json(res, 403, { success: false, error: '该接口不在只读白名单内（插件只允许行情/资讯类 GET 接口）' })
+
+  try {
+    const r = await fetch(WANGCAI_BASE + t.path + t.search, {
+      method,
+      headers: { 'user-agent': 'dsh-plugin-wangcai/0.2' },
+      signal: AbortSignal.timeout(60000),
+    })
+    const body = await r.text()
+    let out = body
+    const keep = FIELD_FILTER[t.path]
+    if (keep) {
+      try {
+        const o = JSON.parse(body)
+        const f = {}
+        for (const k of keep) if (k in o) f[k] = o[k]
+        out = JSON.stringify(f)
+      } catch { out = '{}' }
+    }
+    res.writeHead(r.status, {
+      ...cors,
+      'content-type': r.headers.get('content-type') || 'application/json; charset=utf-8',
+      'cache-control': 'no-store',
+    })
+    res.end(out)
+  } catch (e) {
+    json(res, 502, { success: false, error: '旺财接口请求失败：' + (e && e.message ? e.message : e) })
+  }
+}
+
+export const name = 'dsh-plugin-wangcai'
+
+export function apply(ctx) {
+  ctx.inject(['webServer'], (host) => {
+    host.effect(() => {
+      const d1 = host.webServer.register({ kind: 'exact', path: EMBED_PATH, handler: handleEmbed })
+      const d2 = host.webServer.register({ kind: 'exact', path: PROXY_PATH, handler: handleProxy })
+      const timer = setInterval(() => {
+        const now = Date.now()
+        for (const [k, v] of buckets) if (now > v.reset) buckets.delete(k)
+      }, RATE_WINDOW_MS)
+      return () => { d1(); d2(); clearInterval(timer) }
+    }, 'wangcai: http routes')
+  })
+}

package/package.json

@@ -1,6 +1,60 @@
 {
   "name": "dsh-plugin-wangcai",
-  "version": "0.0.0-stage",
-  "stub": true,
-  "description": "Temporary package placeholder for staged publishing"
-}
+  "version": "0.2.2",
+  "description": "在 DeepSeek Harness 里看 A 股：盘面数据、个股分析、资金面、盘面直播、消息面。资金面含两融、44 板块多周期资金与个股全量下钻；个股支持四维评分与相似形态回测。仅数据展示与学习参考，不可商用，不构成任何投资建议。",
+  "type": "module",
+  "main": "lib/index.js",
+  "exports": {
+    ".": "./lib/index.js",
+    "./client": "./client/client.js",
+    "./cordis.patch.yml": "./cordis.patch.yml"
+  },
+  "files": [
+    "lib",
+    "client",
+    "docs",
+    "cordis.patch.yml",
+    "README.md",
+    "LICENSE"
+  ],
+  "license": "PolyForm-Noncommercial-1.0.0",
+  "keywords": [
+    "deepseek",
+    "deepseek-harness",
+    "dsh",
+    "dsh-plugin",
+    "a-share",
+    "stock",
+    "market-data",
+    "capital-flow",
+    "dashboard",
+    "trading-view",
+    "cn-stock",
+    "finance"
+  ],
+  "engines": {
+    "node": ">=22.6"
+  },
+  "dsh": {
+    "bundle": {
+      "patch": "./cordis.patch.yml"
+    },
+    "client": {
+      "inject": [
+        "@deepseek-ai/dsh-client-ui-slots"
+      ],
+      "platform": "web"
+    }
+  },
+  "peerDependencies": {
+    "@deepseek-ai/cordis": "4.0.1"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://gitee.com/shenzhen-huashuo-zhilian/dsh-plugin-wangcai.git"
+  },
+  "homepage": "https://wangcai.hszl-bd.cn/plugin/",
+  "bugs": {
+    "url": "https://gitee.com/shenzhen-huashuo-zhilian/dsh-plugin-wangcai/issues"
+  }
+}