dsh-plugin 1.3.11 → 1.4.1

package/lib/http/routes.js

@@ -78,7 +78,7 @@ function startHost() {
 const PROFILE_RE = /^[A-Za-z0-9_-]+$/;
 const BODY_LIMIT_BYTES = 4 * 1024;
 const COMMAND_TIMEOUT_MS = 5 * 60 * 1000;
-/** 目录/统计数据代理的本地缓存时长：1 小时内重复打开插件中心直接读盘，
+/** 目录/统计数据代理的本地缓存时长：1 小时内重复打开插件市场直接读盘，
  *  不重复走 curl 拉远程 —— 重启宿主后首次打开同样秒开（缓存跨重启存活）。 */
 const CATALOG_CACHE_TTL_MS = 60 * 60 * 1000;
 function catalogCacheFile(profile, key) {
@@ -121,6 +121,20 @@ export function readInstalled(profile) {
         return {};
     }
 }
+/** 读已装依赖实际落在磁盘上的仓库身份（`owner/repo`）：解析 node_modules/<name>/package.json
+ *  的 repository 字段。已装 spec 可能是纯版本号（丢了仓库身份），但真实包元数据仍指向来源仓库，
+ *  据此可区分「同名依赖其实是同一仓库的残留（应转 update）」还是「跨仓库包名冲突（应报错）」。
+ *  读不到 / 解析不出返回 null（交给调用方按冲突处理）。 */
+function installedRepoOf(profile, name) {
+    try {
+        const pkg = JSON.parse(readFileSync(join(profileDirectory(profile), 'node_modules', name, 'package.json'), 'utf8'));
+        const repo = typeof pkg.repository === 'string' ? pkg.repository : pkg.repository?.url;
+        return repo ? githubRepoOf(repo) : null;
+    }
+    catch {
+        return null;
+    }
+}
 /** 宿主 dsh CLI 版本：优先直接跑 `dsh --version`（与 pnpm/npm/git 同款同步探测，1500ms 超时兜底，
  *  绝不挂起）—— 原先从 process.argv[1] 向上找 package.json 猜版本在部分宿主加载方式下取不到，
  *  导致 issue 环境快照 DSH: unknown；拿不到再退回入口 package.json 查找（dsh 不在 PATH 时兜底）。 */
@@ -517,8 +531,8 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },
                     // GitHub 行用真实 git 克隆握手（git ls-remote）打 dshplugin/hello-dsh 小仓库：
                     // 「网页能打开」和「git 能克隆」是两码事，握手成功才算通道通；小仓库秒级完成，不打 17MB 的 dsh-plugin-hub。
-                    { key: 'github', url: 'https://github.com/dshplugin/hello-dsh', display: 'github.com/dshplugin/hello-dsh', cmd: 'git ls-remote https://github.com/dshplugin/hello-dsh', git: true },
-                    { key: 'catalog', url: 'https://api.dsh-plugin.org/stats.json', display: 'api.dsh-plugin.org', cmd: 'curl -s https://api.dsh-plugin.org/stats.json' },
+                    { key: 'github', url: 'https://github.com/dshplugin/hello-dsh', display: 'github.com', cmd: 'git ls-remote https://github.com/dshplugin/hello-dsh', git: true },
+                    { key: 'catalog', url: 'https://api.dsh-plugin.org/stats.json', display: '', cmd: 'curl -s https://api.dsh-plugin.org/stats.json' },
                 ];
                 // 配置了 HTTP 代理：追加一行代理诊断 —— 用该代理打 github.com（安装通道真实访问的地址），
                 // 验证「代理能不能把请求带出去」。与安装同口径：curl 子进程注入该代理 env。
@@ -620,7 +634,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                 const target = isStats
                     ? 'https://api.dsh-plugin.org/stats.json'
                     : `https://api.dsh-plugin.org/plugins.${lang}.json`;
-                // 1 小时本地缓存：命中直接返回（跨重启生效，插件中心秒开），未命中才走 curl 拉远程
+                // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程
                 const cacheFile = catalogCacheFile(profile, isStats ? 'stats' : `plugins-${lang}`);
                 const cached = readCatalogCache(cacheFile);
                 if (cached !== null) {
@@ -655,8 +669,9 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                 // 任务自动入队：即使已有插件操作在跑也接受请求（FIFO 串行执行），不再 409 拒绝
                 try {
                     const body = await readJsonBody(request);
-                    // mode: 'update' = 已安装目标的覆盖更新（放行 add，pnpm 对已存在依赖原位覆盖重装）
-                    const mode = body !== null && typeof body === 'object' && body.mode === 'update'
+                    // mode: 'update' = 已安装目标的覆盖更新（放行 add，pnpm 对已存在依赖原位覆盖重装）。
+                    // 后续「同仓库残留」检测可能把 install 就地升级为 update（见包名冲突检测），故用 let。
+                    let mode = body !== null && typeof body === 'object' && body.mode === 'update'
                         ? 'update'
                         : 'install';
                     // installTargetOf 先把完整 DSH 命令（`dsh plugin [--profile <p>] add <target>`）剥成裸目标，
@@ -829,6 +844,32 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                             });
                             return;
                         }
+                        // 包名冲突检测（仅 git 通道）：git 目标包内声明的 name 若与 profile 已装依赖同名，
+                        // pnpm 会以该 name 做依赖键撞车，抛出的 CLI 报错晦涩难懂（issue #25：sandbase-harness
+                        // 声明 managed-agents，但该包名在 registry 上被另一仓库占用，npm 反查搜不到 → git 直装
+                        // 撞已装同名依赖）。到这里已装依赖要么来源不同仓库、要么 spec 是版本号解析不出仓库身份。
+                        // 读 node_modules 里已装包的真实 repository 区分两种情况：
+                        //  - 指向同一仓库 → 是「同仓库残留」（spec 丢了仓库身份），就地转 update 覆盖重装（幂等）；
+                        //  - 指向别的仓库 / 读不到 → 跨仓库包名冲突，入队前转成明确 409，指导用户先卸载或改装。
+                        if (preflight.name !== null && repoTarget !== null && target === repoTarget) {
+                            const declared = preflight.name;
+                            if (installed[declared] !== undefined) {
+                                const installedRepo = installedRepoOf(profile, declared);
+                                if (installedRepo !== null && gitRepo !== null && installedRepo.toLowerCase() === gitRepo.toLowerCase()) {
+                                    // 同名且同源：已装 spec 丢了仓库身份导致的残留，直接按 update 覆盖重装，不打扰用户
+                                    attempts.push(`same-repo residual: \`${declared}\` resolves to \`${installedRepo}\` → reinstall as update`);
+                                    mode = 'update';
+                                }
+                                else {
+                                    attempts.push(`package name conflict: \`${gitRepo}\` declares npm name \`${declared}\`, which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository)`);
+                                    const error = lang === 'zh'
+                                        ? `already installed: ${declared} —— ${gitRepo} 声明的 npm 包名「${declared}」已存在于当前 profile，且无法匹配到本仓库（该包名在 npm 上可能被其他仓库占用）。请先移除现有的 ${declared}（dsh plugin remove ${declared}），再重新安装；或改装该包名对应的官方 npm 包。`
+                                        : `already installed: ${declared} — ${gitRepo} declares the npm package name "${declared}", which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository). Remove the existing ${declared} dependency (dsh plugin remove ${declared}) first, then retry; or install the official npm package under that name.`;
+                                    sendJson(response, 409, { error, attempts });
+                                    return;
+                                }
+                            }
+                        }
                     }
                     // 入队前复检（与上方检查同语义，但必须在同步块内）：preflight 的 await 期间并发请求
                     // 可能已通过上方检查、任务却尚未入队——此处检查与 startPluginMutation 之间无 await，

package/lib/services/install/preflight.js

@@ -25,7 +25,7 @@ const PREFLIGHT_TIMEOUT_MS = 15_000;
 export async function preflightTarget(target) {
     const source = githubRepoOf(target);
     if (source === null)
-        return { ok: true, missing: null };
+        return { ok: true, missing: null, name: null };
     const [owner, repo] = source.split('/');
     let commit = '';
     try {
@@ -36,17 +36,17 @@ export async function preflightTarget(target) {
         commit = stdout.split(/\s+/)[0] ?? '';
     }
     catch {
-        return { ok: true, missing: null };
+        return { ok: true, missing: null, name: null };
     }
     if (!commit)
-        return { ok: true, missing: null };
+        return { ok: true, missing: null, name: null };
     const dir = mkdtempSync(join(tmpdir(), 'dsh-preflight-'));
     try {
         const tar = join(dir, 'pkg.tar.gz');
         await download(`https://codeload.github.com/${owner}/${repo}/tar.gz/${commit}`, tar);
         const meta = await readTarJson(tar, 'package/package.json');
         if (meta === null)
-            return { ok: true, missing: null };
+            return { ok: true, missing: null, name: null };
         const dot = meta.exports?.['.'];
         const resolved = typeof dot === 'string'
             ? dot
@@ -55,10 +55,10 @@ export async function preflightTarget(target) {
                 : undefined;
         const entry = typeof resolved === 'string' ? resolved : typeof meta.main === 'string' ? meta.main : 'index.js';
         const inTar = await hasTarEntry(tar, `package/${entry}`);
-        return { ok: inTar, missing: inTar ? null : entry };
+        return { ok: inTar, missing: inTar ? null : entry, name: typeof meta.name === 'string' ? meta.name : null };
     }
     catch {
-        return { ok: true, missing: null };
+        return { ok: true, missing: null, name: null };
     }
     finally {
         rmSync(dir, { recursive: true, force: true });

package/lib/types/services/install/preflight.d.ts

@@ -1,6 +1,10 @@
-/** 预检结果：ok=false 表示分发改入口文件缺失，missing 为该文件在包内的相对路径。 */
+/** 预检结果：ok=false 表示分发改入口文件缺失，missing 为该文件在包内的相对路径；
+ *  name 为 git 分发包 package.json 声明的包名（非 git 目标/无法确定时为 null），
+ *  供安装路由做「包名冲突」检测 —— 同名包名已被其他来源占用时，pnpm 装前必然撞车，
+ *  需要把晦涩的 CLI 报错转成明确的拦截。 */
 export interface PreflightResult {
     ok: boolean;
     missing: string | null;
+    name: string | null;
 }
 export declare function preflightTarget(target: string): Promise<PreflightResult>;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.3.11",
+  "version": "1.4.1",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 4000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：4000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -46,7 +46,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   /** 设置状态：服务端 hub-settings.json 持久化，本地乐观更新即时生效 */
   const { settings: hubSettings, ready: settingsReady, update: updateSettings, reset: resetSettings } = useSettings()
 
-  /** 一级导航：插件中心 / 已安装 / 自定义安装 / 设置 */
+  /** 一级导航：插件市场 / 已安装 / 自定义安装 / 设置 */
   const [view, setView] = useState<SectionView>('market')
   /** 外部跳转设置分组的一次性信号（错误弹窗「去系统诊断」→ 设置 → 系统诊断）：
    *  传给 SettingsView 消费后即清空，避免下次进设置被强制带跳 */
@@ -195,7 +195,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   }
 
   // 启动更新策略：目录数据与设置都就绪后触发一次 —— 开启「启动时检查更新」→ 发现可更新插件
-  // 即写入通知中心（每条一条，点击可去更新），toast 同步提示已入通知。
+  // 即写入通知中心（每条一条，点击可去更新），不弹窗打扰，由通知中心红点提示。
   // 绝不自动安装：是否更新完全由用户决定。
   // ref 守卫保证只跑一次，后续目录刷新/设置变化不会重复打扰。
   const startupCheckedRef = useRef(false)
@@ -204,8 +204,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
     if (!settingsReady || catalog.plugins === null || catalog.failed) return
     startupCheckedRef.current = true
     if (!hubSettings.checkUpdatesOnStart) return
-    const added = syncUpdateNotices()
-    if (added > 0) setToast({ id: Date.now(), kind: 'updates', n: added })
+    syncUpdateNotices()
   }, [settingsReady, hubSettings, catalog.plugins, catalog.failed, catalog.installedItems, queue])
 
   // 信任/卸载/更新说明弹窗打开时按 Esc 关闭；任务进入后台队列后可随时关闭（任务继续）

package/src/client/components/catalog/CatalogList.tsx

@@ -11,7 +11,7 @@
 import { createElement as h, useEffect, useRef } from 'react'
 import styles from '../../styles/List.module.css'
 import type { HubPlugin, LocaleId, Translate } from '../../types.ts'
-import { SITE_URL } from '../../logic/constants.ts'
+import { siteUrl } from '../../logic/urls.ts'
 import { useIncrementalList } from '../../hooks/useIncrementalList.ts'
 import { PluginCard } from './PluginCard.tsx'
 
@@ -82,7 +82,7 @@ export function CatalogList({ plugins, failed, visible, total, t, langPath, relo
     plugins !== null && !failed && h('div', { className: styles.footer },
       h('a', {
         className: styles.footLink,
-        href: `${SITE_URL}${langPath}`,
+        href: siteUrl(langPath),
         target: '_blank',
         rel: 'noopener noreferrer',
       }, t('browseAll', { n: total })),

package/src/client/components/layout/CatalogHeader.tsx

@@ -9,7 +9,8 @@
 import { createElement as h, Fragment } from 'react'
 import styles from '../../styles/Header.module.css'
 import type { Translate } from '../../types.ts'
-import { GITHUB_URL, PLUGIN_VERSION, SITE_URL } from '../../logic/constants.ts'
+import { GITHUB_URL, PLUGIN_VERSION } from '../../logic/constants.ts'
+import { siteUrl } from '../../logic/urls.ts'
 import { GitHubIcon, LogoIcon } from '../ui/icons.tsx'
 
 export function CatalogHeader({ t, langPath, statsTotal, statsVerified, onToggleLang, hubUpdate, onVersionClick, onAboutClick }: {
@@ -31,7 +32,7 @@ export function CatalogHeader({ t, langPath, statsTotal, statsVerified, onToggle
       h('div', { className: styles.headerTitleRow },
         h('a', {
           className: styles.brandTitle,
-          href: `${SITE_URL}${langPath}`,
+          href: siteUrl(langPath),
           target: '_blank',
           rel: 'noopener noreferrer',
           title: t('openHint'),
@@ -86,7 +87,7 @@ export function CatalogHeader({ t, langPath, statsTotal, statsVerified, onToggle
       // 第二行：副标题仍是官网链接，点击跳 dsh-plugin.org
       h('a', {
         className: styles.taglineLink,
-        href: `${SITE_URL}${langPath}`,
+        href: siteUrl(langPath),
         target: '_blank',
         rel: 'noopener noreferrer',
         title: t('openHint'),
@@ -96,7 +97,7 @@ export function CatalogHeader({ t, langPath, statsTotal, statsVerified, onToggle
     ),
     h('a', {
       className: styles.adBanner,
-      href: `${SITE_URL}${langPath}`,
+      href: siteUrl(langPath),
       target: '_blank',
       rel: 'noopener noreferrer',
     },

package/src/client/components/modals/NotificationsModal.tsx

@@ -271,11 +271,21 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                       // 本机 DeepSeek Harness 未正确安装或 dsh 不在 PATH，不是插件问题 —— 直接给环境修复指引，不引导提 Issue
                       return h('div', { className: styles.failPrepareHint }, t('failDshMissingHint'))
                     }
+                    if (kind === 'gitMissing') {
+                      // 找不到 git 命令（Win「'git' is not recognized」/ POSIX「git: command not found」/ spawn ENOENT）：
+                      // 本机 Git 未安装或不在 PATH，不是插件问题 —— 直接给环境修复指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failGitMissingHint'))
+                    }
                     if (kind === 'pnpmMissing') {
                       // 找到了 dsh 但缺 pnpm（dsh 用它管理 profile 插件；dsh 报 pnpm not found on PATH）：
                       // 本机缺 pnpm，不是插件问题 —— 给安装指引，不引导提 Issue
                       return h('div', { className: styles.failPrepareHint }, t('failPnpmMissingHint'))
                     }
+                    if (kind === 'npmMissing') {
+                      // 全局 npm 安装通道 spawn 的 npm 找不到：本机 npm 未安装或不在 PATH ——
+                      // 给安装指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failNpmMissingHint'))
+                    }
                     if (kind === 'pnpmStore') {
                       // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录旧依赖是
                       // 另一大版本 pnpm 装的，当前 pnpm 不认，任何插件装进该 profile 都会失败 ——

package/src/client/components/modals/modals.tsx

@@ -391,10 +391,18 @@ export function ErrorModal({ message, repo, kind, command, attempts, t, env, onC
               // 找不到 dsh 命令（Win「不是内部或外部命令」/ POSIX「command not found」/ spawn ENOENT）：
               // 本机 DeepSeek Harness 未正确安装或 dsh 不在 PATH，不是插件问题 —— 直接给环境修复指引，不引导提 Issue
               ? h('div', { className: styles.failPrepareHint }, t('failDshMissingHint'))
+              : failureKind === 'gitMissing'
+              // 找不到 git 命令（Win「'git' is not recognized」/ POSIX「git: command not found」/ spawn ENOENT）：
+              // 本机 Git 未安装或不在 PATH，不是插件问题 —— 直接给环境修复指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failGitMissingHint'))
               : failureKind === 'pnpmMissing'
               // 找到了 dsh 但缺 pnpm（dsh 用它管理 profile 插件；dsh 报 pnpm not found on PATH）：
               // 本机缺 pnpm，不是插件问题 —— 给安装指引，不引导提 Issue
               ? h('div', { className: styles.failPrepareHint }, t('failPnpmMissingHint'))
+              : failureKind === 'npmMissing'
+              // 全局 npm 安装通道 spawn 的 npm 找不到（Win「'npm' is not recognized」/ POSIX
+              // 「npm: command not found」/ spawn ENOENT）：本机 npm 未安装或不在 PATH —— 给安装指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failNpmMissingHint'))
               : failureKind === 'pnpmStore'
               // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录旧依赖是
               // 另一大版本 pnpm 装的，当前 pnpm 不认，任何插件装进该 profile 都会失败 ——
@@ -456,8 +464,7 @@ export function Toast({ toast, t }: { toast: ToastState; t: Translate }) {
         : toast.kind === 'fail' ? t('installFail')
           : toast.kind === 'removed' ? t('uninstallDone')
             : toast.kind === 'revealFail' ? t('openFolderFail')
-              : toast.kind === 'updates' ? t('updatesFound', { n: toast.n ?? 0 })
-                  : t('uninstallFail')
+              : t('uninstallFail')
   const fail = toast.kind === 'fail' || toast.kind === 'removeFail' || toast.kind === 'revealFail'
   return h('div', {
     key: toast.id,

package/src/client/components/ui/icons.tsx

@@ -179,7 +179,7 @@ export function SortArrowIcon({ up }: { up: boolean }) {
   }))
 }
 
-/** 插件中心图标：店面货架（stroke 继承 currentColor），一级导航「插件中心」tab 用。 */
+/** 插件市场图标：店面货架（stroke 继承 currentColor），一级导航「插件市场」tab 用。 */
 export function MarketIcon() {
   return h('svg', {
     viewBox: '0 0 24 24',

package/src/client/components/views/DiagnosticsView.tsx

@@ -42,8 +42,8 @@ interface RowState {
 const INITIAL_ROWS: RowState[] = [
   // npm 行 display 初始置空：设置里未配置镜像时显示「未配置（跟随本机）」，探测结果回来再用服务端 display 覆盖
   { key: 'npm', display: '', nameKey: 'diagNpm', status: 'idle', ms: null, statusCode: null },
-  { key: 'github', display: 'github.com/dshplugin/hello-dsh', nameKey: 'diagGithub', status: 'idle', ms: null, statusCode: null },
-  { key: 'catalog', display: 'api.dsh-plugin.org', nameKey: 'diagCatalog', status: 'idle', ms: null, statusCode: null },
+  { key: 'github', display: 'github.com', nameKey: 'diagGithub', status: 'idle', ms: null, statusCode: null },
+  { key: 'catalog', display: '', nameKey: 'diagCatalog', status: 'idle', ms: null, statusCode: null },
 ]
 
 export function DiagnosticsView({ t, env, proxy, onCopy }: {
@@ -172,8 +172,10 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
         title: t('diagRecheck'),
       },
         h('span', { className: styles.name }, t(r.nameKey)),
-        // npm 行未配置镜像：display 为空 → 显示「未配置（跟随本机）」，不误导成官方源
-        h('span', { className: styles.display }, r.display !== '' ? r.display : t('diagNpmUnset')),
+        // npm 行未配置镜像：display 为空 → 显示「未配置（跟随本机）」，不误导成官方源；
+        // 目录站点行不暴露域名/API 地址，固定显示「插件市场」这一友好称呼
+        h('span', { className: styles.display },
+          r.key === 'catalog' ? t('diagCatalogTarget') : (r.display !== '' ? r.display : t('diagNpmUnset'))),
         h('span', { className: styles.meta }, r.status === 'ok' && r.ms !== null ? `${r.ms} ms` : ''),
         badge,
       )

package/src/client/components/views/InstalledView.tsx

@@ -111,7 +111,7 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, onOpenDetail,
           ? h('span', { className: styles.updateBadge, title: t('updateAvailableHint') }, t('updateAvailable'))
           : null,
       ),
-      // 来源标签列（行尾、操作按钮前，右对齐固定）：目录插件 →「插件中心」（品牌色），
+      // 来源标签列（行尾、操作按钮前，右对齐固定）：目录插件 →「插件市场」（品牌色），
       // 命令行安装 →「手动安装」（琥珀色）；两词 4 字等宽，所有条目标签同列对齐
       h('span', {
         className: isCustom

package/src/client/hooks/useCatalog.ts

@@ -200,11 +200,25 @@ export function useCatalog(lang: LocaleId) {
    * 以 Worker 版本控制中心返回的「最新版本」为准，与当前运行的版本号比对——
    * 构建时注入的 PLUGIN_VERSION 是运行 bundle 的真实版本；测试/异常场景缺失时
    * 回退到安装时记录的版本。版本号不等即新版（版本号只在发版时变更，绝无降级场景）。
+   *
+   * 另加 pnpm 供应链安全门槛：新版本发布还不满 24 小时（+30 分钟缓冲）时，pnpm 会静默
+   * 回退到旧版本，此时若提示「可更新」用户点了也更新不到。publishedAt 由接口中心按 npm
+   * registry 真实发布时间下发（同源），据此判断最准。
    */
   const hubHasUpdate = (() => {
     if (!hubUpdateInfo) return false
     const current = PLUGIN_VERSION || versions[HUB_REPO]?.version || null
-    return current !== null && hubUpdateInfo.version !== current
+    if (current === null || hubUpdateInfo.version === current) return false
+    const publishedAt = hubUpdateInfo.publishedAt
+    if (publishedAt) {
+      const publishedMs = Date.parse(publishedAt)
+      if (!Number.isNaN(publishedMs)) {
+        // 24 小时 + 30 分钟缓冲（防网络/CDN 边缘时间偏差）
+        const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000
+        if (Date.now() - publishedMs < MIN_RELEASE_AGE_MS) return false
+      }
+    }
+    return true
   })()
 
   /** 当前分类下的插件（「全部」时为整个目录）。 */

package/src/client/hooks/useIncrementalList.ts

@@ -5,7 +5,7 @@
  *
  * Incremental list: renders only the first batch of a (potentially huge)
  * result set and appends the next batch whenever the end sentinel scrolls
- * into view, so the plugin center never mounts thousands of cards at once.
+ * into view, so the plugin market never mounts thousands of cards at once.
  * The items reference is the list identity — category / search / sort
  * changes produce a new array, which resets the window to the first batch.
  */

package/src/client/hooks/useLanguage.ts

@@ -3,25 +3,29 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Language state for the section: follows the host (system) locale by
- * default, with an optional manual toggle that wins until the user changes
- * it back. Exposes the localized dictionary lookup `t()` plus the zh/en
- * language flag and the /zh/ URL path prefix.
+ * Language state for the section: the Hub shares the host (system) locale —
+ * the header language toggle writes the host locale preference via setLocale,
+ * so the host chrome (left sidebar, settings dialog) and the Hub panel switch
+ * together instead of drifting apart. Exposes the localized dictionary lookup
+ * `t()` plus the zh/en language flag and the /zh/ URL path prefix.
  */
-import { useState } from 'react'
+import { useEffect, useState } from 'react'
 import type { LocaleId, SectionProps } from '../types.ts'
 import { en, zh } from '../locales.ts'
 import { langPathOf } from '../logic/urls.ts'
 
 export function useLanguage(locale: SectionProps['locale']) {
-  /** 界面语言：默认跟随宿主（系统）语言；右上角按钮可手动切换，切换后以手动选择为准 */
-  const [manualLang, setManualLang] = useState<LocaleId | null>(null)
-  const lang: LocaleId = manualLang ?? locale.getSnapshot().active
+  // 界面语言 = 宿主（系统）语言：右上角按钮切换时直接写入宿主 locale 偏好，
+  // 宿主左侧菜单/设置弹窗与 Hub 面板一起切换，不存在 Hub 内部语言与宿主语言脱节的情况。
+  // subscribe 订阅宿主语言变化并触发重渲染，保证 Hub 界面随时跟随宿主。
+  const [, setRev] = useState(0)
+  useEffect(() => locale.subscribe(() => setRev((r) => r + 1)), [locale])
+  const lang: LocaleId = locale.getSnapshot().active
   const langKey: LocaleId = lang === 'en' ? 'en' : 'zh'
   // dsh-plugin.org keeps zh pages under the /zh/ prefix; en is the root.
   const langPath = langPathOf(lang)
 
-  // 界面语言跟随宿主（系统）locale 自动切换；宿主的 t() 绑定宿主 locale，
+  // 界面语言跟随宿主（系统）locale；宿主的 t() 绑定宿主 locale，
   // 这里基于本地字典自建翻译函数，与宿主 locale 保持一致。
   // （settings.section 的导航 label 仍在 apply 里用宿主 t()，跟随宿主语言。）
   const dict: Record<string, string> = langKey === 'en' ? en : zh
@@ -35,6 +39,6 @@ export function useLanguage(locale: SectionProps['locale']) {
     langKey,
     langPath,
     t,
-    toggleLang: () => setManualLang(lang === 'en' ? 'zh' : 'en'),
+    toggleLang: () => locale.setLocale(lang === 'en' ? 'zh' : 'en'),
   }
 }

package/src/client/locales.ts

@@ -6,13 +6,13 @@
  * zh/en dictionaries for the DSH Plugin Hub settings section.
  */
 export const zh = {
-  nav: '插件中心',
+  nav: '插件市场',
   title: 'DSH Plugin Hub',
   // 收录/精选数量由组件从官网 /api/stats.json 实时拉取填充（{total}/{verified}），不写死
-  tagline: 'DSH Plugin 插件中心：面向 DeepSeek Harness 插件收录平台，人工审验、来源可溯，免费安装',
+  tagline: 'DSH Plugin 插件市场：面向 DeepSeek Harness 插件收录平台，人工审验、来源可溯，免费安装',
   adBadge: '推荐',
   // 紫色广告横幅：突出数量（显眼）+ 更新节奏，与 tagline 职责分开、不重复
-  ad: 'DSH Plugin 插件中心：收录 {total} 款插件，{verified} 款人工精选验证，每日更新',
+  ad: 'DSH Plugin 插件市场：收录 {total} 款插件，{verified} 款人工精选验证，每日更新',
   search: '搜索插件名称、描述、标签…',
   all: '全部',
   sortStars: 'Star',
@@ -26,8 +26,8 @@ export const zh = {
   loading: '正在加载插件数据…',
   failed: '插件数据加载失败',
   // 目录拉不出来时的精准提示：按「是否配置了代理」区分，引导排查网络 / 代理
-  failedDescNoProxy: '你的网络似乎不通，无法获取插件目录数据。请检查网络连接后重试；或点击右上角按钮在浏览器中打开插件中心。',
-  failedDescProxy: '你的网络似乎不通，或设置里的 HTTP 代理地址不可达，无法获取插件目录数据。请检查代理设置与网络连接后重试；或点击右上角按钮在浏览器中打开插件中心。',
+  failedDescNoProxy: '你的网络似乎不通，无法获取插件目录数据。请检查网络连接后重试；或点击右上角按钮在浏览器中打开插件市场。',
+  failedDescProxy: '你的网络似乎不通，或设置里的 HTTP 代理地址不可达，无法获取插件目录数据。请检查代理设置与网络连接后重试；或点击右上角按钮在浏览器中打开插件市场。',
   retry: '重试',
   install: '安装',
   // AI 识别可能需要命令行辅助的插件（webInstallable=false）：仍可尝试一键安装，失败时复制命令去 dsh 终端
@@ -35,8 +35,8 @@ export const zh = {
   failedCopyHint: '安装失败。请复制上方安装命令到 dsh 终端手动执行（原生依赖构建脚本可能需要人工放行，如 pnpm approve-builds）',
   toastCopied: '安装命令已复制，去 dsh 终端粘贴即可安装',
   installed: '已安装',
-  // 一级导航：插件中心 / 已安装 / 自定义安装 / 设置
-  viewMarket: '插件中心',
+  // 一级导航：插件市场 / 已安装 / 自定义安装 / 设置
+  viewMarket: '插件市场',
   viewInstalled: '已安装',
   viewCustom: '自定义安装',
   viewSettings: '设置',
@@ -76,8 +76,8 @@ export const zh = {
   customLabel: '自定义安装',
   installedSearch: '搜索已安装的插件…',
   installedFilterCatalog: '目录插件',
-  hubInstall: '插件中心',
-  hubInstallHint: '来自插件中心收录的目录插件',
+  hubInstall: '插件市场',
+  hubInstallHint: '来自插件市场收录的目录插件',
   manualInstall: '手动安装',
   manualInstallHint: '非目录收录，通过命令行手动安装',
   filterByLabel: '来源',
@@ -109,7 +109,7 @@ export const zh = {
   settingsUpdate: '更新设置',
   settingsUpdateDesc: '更新检查方式与安装走到的网络通道',
   settingsCheckOnStart: '启动时检查更新',
-  settingsCheckOnStartDesc: '打开插件中心时检查已安装插件是否有新版，发现更新会提示',
+  settingsCheckOnStartDesc: '打开插件市场时检查已安装插件是否有新版，发现更新会提示',
   settingsProxy: 'HTTP 代理',
   settingsProxyDesc: 'npm / git / 目录数据请求统一走该代理；留空直连',
   // 代理连通性实时探测：输入停笔后提示检测结果（不通仍可保存，先填地址后开代理也合法）
@@ -192,6 +192,7 @@ export const zh = {
   diagNpmUnset: '未配置（跟随本机 npm 配置）',
   diagGithub: 'GitHub',
   diagCatalog: '目录站点',
+  diagCatalogTarget: '插件市场',
   diagProxy: 'HTTP 代理',
   diagOk: 'OK',
   diagChecking: '检测中…',
@@ -212,8 +213,7 @@ export const zh = {
   settingsResetRun: '恢复默认',
   settingsResetConfirm: '确认恢复',
   settingsResetConfirmDetail: '确定要恢复默认设置吗？更新策略、镜像源、代理与安全限制将全部回到出厂默认值。',
-  // 启动更新策略提示
-  updatesFound: '发现 {n} 个插件可更新，已加入通知中心',
+  // 更新通知（通知中心条目标题）
   updateNoticeTitle: '发现新版本',
   updateNoticeGo: '去更新',
   ignoreUpdateRun: '忽略本次更新',
@@ -312,9 +312,11 @@ export const zh = {
   // 「去系统诊断」直达按钮：网络不通提示下方的品牌实底按钮，跳到设置 → 系统诊断跑连通性检测
   failNetworkRunDiag: '去系统诊断检测网络',
   failDshMissingHint: '系统找不到 dsh 命令（dsh 未加入系统 PATH），无法调用安装器执行安装。请确认 DeepSeek Harness 已正确安装、dsh 已加入 PATH（或重新安装），然后重试。这不是插件本身的问题。',
+  failGitMissingHint: '系统找不到 git 命令（Git 未安装或未加入系统 PATH），无法从 GitHub 源安装插件。请先安装 Git（如 git-scm.com/downloads）或把 git 加入 PATH，重启 DSH 后重试。这不是插件本身的问题。',
   failPnpmMissingHint: '安装器找到了 dsh，但系统里没有 pnpm 命令（dsh 用它来管理 profile 插件）。请先安装 pnpm（如 npm install -g pnpm），确认 pnpm 已加入 PATH 后重试。这不是插件本身的问题。',
+  failNpmMissingHint: '系统找不到 npm 命令（npm 未安装或未加入系统 PATH），无法执行全局安装。请先安装 Node.js（自带 npm），确认 npm 已加入 PATH 后重试。这不是插件本身的问题。',
   failPnpmStoreHint: '安装器调用 pnpm 时报「store 位置不匹配」（ERR_PNPM_UNEXPECTED_STORE）：你的 profile 目录里旧插件依赖是用另一个大版本的 pnpm 生成的，当前 pnpm 出于安全不认旧目录，导致任何插件装进该 profile 都会失败。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错），再重新安装。这不是插件本身的问题。',
-  failPnpmPolicyHint: '安装器调用 pnpm 时被其供应链安全策略拦截（ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION / Minimum release age：锁文件里包的发布时间太近被拒；或 untrusted origin：依赖来源未受本机 pnpm 信任）。这是 pnpm 11 的默认安全策略，装任何「刚发布/新来源」的插件都会撞墙，不是插件本身的问题。请在 pnpm 配置（pnpm-workspace.yaml 或 .npmrc）里加入 minimumReleaseAge: 0 豁免，或等发布冷却一段时间后重试。',
+  failPnpmPolicyHint: '安装器调用 pnpm 时被其供应链安全策略拦截——装任何插件都会撞墙，不是插件本身的问题。分两种情况处理：① 提示「Minimum release age」（ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION）：包发布还不满 24 小时，pnpm 11 出于安全会拒收这种刚发布的新包。可在 pnpm 配置（pnpm-workspace.yaml）里加 minimumReleaseAge: 0 豁免，或等满 24 小时后重试。② 提示「untrusted origin」（ERR_PNPM_UNTRUSTED_ORIGIN）：依赖来源不被本机 pnpm 信任，通常是该 profile 里之前用 github: 或非官方 npm 源装过插件，锁文件记录了不受信任的来源。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml 后重新安装（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错）。',
   // 自定义安装三卡片入口的渠道名（报错/日志溯源：本次安装从哪个入口发起）
   installChannelNpm: 'NPM 包',
   installChannelGit: 'GitHub 源码',
@@ -551,6 +553,7 @@ export const en = {
   diagNpmUnset: 'Unset (follow local npm config)',
   diagGithub: 'GitHub',
   diagCatalog: 'Catalog site',
+  diagCatalogTarget: 'Plugin marketplace',
   diagProxy: 'HTTP proxy',
   diagOk: 'OK',
   diagChecking: 'Checking…',
@@ -571,8 +574,7 @@ export const en = {
   settingsResetRun: 'Restore Defaults',
   settingsResetConfirm: 'Restore Defaults',
   settingsResetConfirmDetail: 'Reset all settings to factory defaults? Update policy, npm mirror, proxy and security restrictions will be cleared.',
-  // Startup update policy hints
-  updatesFound: '{n} plugin(s) have updates — check the notification center',
+  // Update notice (notification center item title)
   updateNoticeTitle: 'Update available',
   updateNoticeGo: 'Update',
   ignoreUpdateRun: 'Ignore this update',
@@ -669,9 +671,11 @@ export const en = {
   // Diagnostics shortcut button under the network-down hint: jumps to Settings → System Diagnostics
   failNetworkRunDiag: 'Run a network diagnostic',
   failDshMissingHint: 'The dsh command could not be found (it is not on the system PATH), so the installer could not run. Please make sure DeepSeek Harness is installed correctly and dsh is on your PATH (or reinstall it), then retry. This is not a problem with the plugin itself.',
+  failGitMissingHint: 'The git command could not be found (Git is not installed or not on the system PATH), so GitHub-source plugins cannot be installed. Please install Git (e.g. from git-scm.com/downloads) or add git to your PATH, restart DSH, then retry. This is not a problem with the plugin itself.',
   failPnpmMissingHint: 'The installer found dsh, but pnpm is missing on this machine (dsh uses it to manage profile plugins). Please install pnpm first (e.g. npm install -g pnpm), make sure it is on your PATH, then retry. This is not a problem with the plugin itself.',
+  failNpmMissingHint: 'The npm command could not be found (npm is not installed or not on the system PATH), so a global install cannot run. Please install Node.js (which bundles npm), make sure npm is on your PATH, then retry. This is not a problem with the plugin itself.',
   failPnpmStoreHint: 'pnpm reported an unexpected store location (ERR_PNPM_UNEXPECTED_STORE): the profile directory was previously set up with a different major version of pnpm, and the current pnpm refuses to reuse it — no plugin can be installed into that profile. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall. This is not a problem with the plugin itself.',
-  failPnpmPolicyHint: 'The installer was blocked by pnpm supply-chain security policy (ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION / Minimum release age: a package in the lockfile was published too recently; or untrusted origin: a dependency source is not trusted by pnpm). This is pnpm 11 default security policy — installing any freshly published or new-origin plugin hits the same wall, so this is not a problem with the plugin itself. Add minimumReleaseAge: 0 to your pnpm config (pnpm-workspace.yaml or .npmrc) to opt out, or retry once the release has cooled down.',
+  failPnpmPolicyHint: 'The installer was blocked by pnpm supply-chain security policy — every plugin install would hit the same wall, so this is not a problem with the plugin itself. Two cases: ① "Minimum release age" (ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION): the package was published less than 24 hours ago, and pnpm 11 refuses freshly-published packages for safety. Add minimumReleaseAge: 0 to your pnpm config (pnpm-workspace.yaml) to opt out, or wait until the 24 hours have passed and retry. ② "untrusted origin" (ERR_PNPM_UNTRUSTED_ORIGIN): a dependency source is not trusted by this machine, usually because plugins were previously installed via github: or a non-official npm registry, so the lockfile records an untrusted source. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall.',
   // Custom install entry channel names (the three cards) — used in error/log traceability
   installChannelNpm: 'NPM package',
   installChannelGit: 'GitHub source',

package/src/client/logic/constants.ts

@@ -8,10 +8,10 @@
  */
 import type { LocaleId } from '../types.ts'
 
-/** 插件中心官网地址。 */
+/** 插件市场官网地址。 */
 export const SITE_URL = 'https://dsh-plugin.org/'
 
-/** 插件中心源码仓库：头部右上角 GitHub 图标的跳转地址 */
+/** 插件市场源码仓库：头部右上角 GitHub 图标的跳转地址 */
 export const GITHUB_URL = 'https://github.com/dshplugin/dsh-plugin-hub'
 
 /** Hub 自身在目录数据里的仓库标识：头部版本号旁的「可更新」徽标按它定位自己。 */