dsh-plugin 1.3.3 → 1.3.5

package/lib/http/routes.js

@@ -20,6 +20,61 @@ import { preflightTarget } from '../services/install/preflight.js';
 import { isDshPlugin, isEntryLoaded } from '../services/loader.js';
 import { loadSettings, saveSettings, resetSettings } from '../services/settings.js';
 import { appendLog, clearLog, readLog, logFilePath, defaultLogFilePath, customLogFile } from '../services/log.js';
+/**
+ * 跨平台宿主重启脚本（以 `node -e` 运行，独立于宿主进程）。
+ * 取代原先的 `/bin/sh -c`：Windows 无 /bin/sh，且 lsof/nohup 仅 POSIX 存在。
+ * 由 `spawn(process.execPath, ['-e', SCRIPT, port], { detached, stdio:'ignore' })` 孵化，
+ * 宿主进程被 kill 后仍能完成「停旧 → 等端口释放 → 拉起新 dsh web」。
+ */
+const HOST_RESTART_SCRIPT = String.raw `const C = require('node:child_process')
+const F = require('node:fs')
+const P = require('node:path')
+const O = require('node:os')
+const win = process.platform === 'win32'
+const port = Number(process.argv[1])
+
+function findPids() {
+  if (win) {
+    const out = C.spawnSync('netstat', ['-ano', '-p', 'tcp'], { encoding: 'utf8' })
+    const found = []
+    for (const line of String(out.stdout || '').split(/\r?\n/)) {
+      if (!/LISTENING/i.test(line)) continue
+      const parts = line.trim().split(/\s+/)
+      const addr = parts[1] || ''
+      if (!addr.endsWith(':' + port)) continue
+      const pid = parts[parts.length - 1]
+      if (pid && /\d+/.test(pid)) found.push(pid)
+    }
+    return found
+  }
+  const out = C.spawnSync('lsof', ['-ti', 'tcp:' + port, '-sTCP:LISTEN'], { encoding: 'utf8' })
+  return String(out.stdout || '').split(/\s+/).filter(Boolean)
+}
+
+for (const pid of findPids()) {
+  try {
+    if (win) C.spawnSync('taskkill', ['/pid', pid, '/t', '/f'])
+    else process.kill(Number(pid), 'SIGTERM')
+  } catch {}
+}
+
+let tries = 0
+;(function waitForStop() {
+  if (findPids().length === 0 || ++tries > 20) return startHost()
+  setTimeout(waitForStop, 250)
+})()
+
+function startHost() {
+  const dir = P.join(O.homedir(), '.dsh', 'logs')
+  F.mkdirSync(dir, { recursive: true })
+  const fd = F.openSync(P.join(dir, 'dsh-web-' + port + '.log'), 'a')
+  const child = C.spawn('dsh', ['web', '--port', String(port)], {
+    detached: true,
+    shell: win,
+    stdio: ['ignore', fd, fd],
+  })
+  child.unref()
+}`;
 const PROFILE_RE = /^[A-Za-z0-9_-]+$/;
 const BODY_LIMIT_BYTES = 4 * 1024;
 const COMMAND_TIMEOUT_MS = 5 * 60 * 1000;
@@ -672,7 +727,9 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     }
                     // Kick off the CLI in the background; the client polls /status for progress
                     const task = startPluginMutation({
-                        action: 'add',
+                        // mode=update（已安装目标的覆盖更新）以 update 动作入队：
+                        // 日志按 update 类别落盘（update.start/done/fail），实际 CLI 执行仍是 add <target>@latest
+                        action: mode === 'update' ? 'update' : 'add',
                         profile,
                         target,
                         // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不受通道变化影响
@@ -804,16 +861,12 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                 const host = request.headers.host ?? '';
                 const portMatch = host.match(/:(\d+)$/);
                 const port = portMatch ? Number(portMatch[1]) : 7923;
-                // detached 子 shell 完成「停旧进程 → 等端口释放 → 后台拉起 dsh web」，
-                // 即使当前宿主（即本插件所在进程）被 kill，重启仍会继续执行
-                const script = [
-                    `pids=$(lsof -ti tcp:${port} -sTCP:LISTEN 2>/dev/null)`,
-                    '[ -n "$pids" ] && kill -TERM $pids 2>/dev/null || true',
-                    `i=0; while [ -n "$(lsof -ti tcp:${port} -sTCP:LISTEN 2>/dev/null)" ] && [ $i -lt 20 ]; do sleep 0.25; i=$((i + 1)); done`,
-                    'mkdir -p "$HOME/.dsh/logs"',
-                    `nohup dsh web --port ${port} >>"$HOME/.dsh/logs/dsh-web-${port}.log" 2>&1 &`,
-                ].join('\n');
-                spawn('/bin/sh', ['-c', script], { detached: true, stdio: 'ignore' }).unref();
+                // detached 子进程完成「停旧进程 → 等端口释放 → 后台拉起 dsh web」，
+                // 即使当前宿主（即本插件所在进程）被 kill，重启仍会继续执行。
+                // 不用 /bin/sh：Windows 无此路径，且 lsof/nohup 等仅 POSIX 存在，
+                // 故孵化 node(process.execPath) 跑跨平台脚本 —— Windows 用
+                // netstat + taskkill + shell:true 解析 dsh.cmd，POSIX 用 lsof + SIGTERM。
+                spawn(process.execPath, ['-e', HOST_RESTART_SCRIPT, String(port)], { detached: true, stdio: 'ignore' }).unref();
                 sendJson(response, 200, { ok: true, port });
             },
         }),

package/lib/services/install/npm-check.js

@@ -21,7 +21,8 @@ export const NPM_MIN_VERSION = [11, 6, 0];
 /** 读本机 npm 版本（major.minor.patch）；npm 不在 PATH 或执行失败/超时时返回 null（不妄下结论）。 */
 export function npmVersionOf(env) {
     try {
-        const res = spawnSync('npm', ['-v'], { env, encoding: 'utf8', timeout: 10_000, stdio: ['ignore', 'pipe', 'pipe'] });
+        // Windows 下 npm 是 npm.cmd：spawn 直接 exec 会拒绝，须 shell:true 解析（与 task-queue 的 useShell 一致）
+        const res = spawnSync('npm', ['-v'], { env, encoding: 'utf8', timeout: 10_000, stdio: ['ignore', 'pipe', 'pipe'], shell: process.platform === 'win32' });
         if (res.error !== undefined || res.status !== 0)
             return null;
         const m = /(\d+)\.(\d+)\.(\d+)/.exec(res.stdout ?? '');

package/lib/services/install/task-queue.js

@@ -142,6 +142,14 @@ function stopChild(child) {
     }
     child.kill('SIGKILL');
 }
+/** 系统日志类别：安装/卸载/更新三分，针对性地判断「哪一步不兼容」。 */
+function mutationCategory(action) {
+    return action === 'remove' ? 'uninstall' : action === 'update' ? 'update' : 'install';
+}
+/** 系统日志动作词：开始安装/开始卸载/开始更新。 */
+function mutationVerb(action) {
+    return action === 'remove' ? '开始卸载' : action === 'update' ? '开始更新' : '开始安装';
+}
 /**
  * Enqueue a plugin mutation and return its task. Tasks run strictly serially:
  * the queue worker starts the next one only after the previous finishes.
@@ -161,14 +169,14 @@ export function startPluginMutation(options) {
         });
     }
     queue.push({ task, options: { ...options } });
-    // 系统日志：记录任务入队（安装/卸载开始）
-    const category = options.action === 'add' ? 'install' : 'uninstall';
+    // 系统日志：记录任务入队（安装/卸载/更新开始）
+    const category = mutationCategory(options.action);
     appendLog(options.profile, {
         at: Date.now(),
         level: 'info',
         category,
         event: `${category}.start`,
-        message: `${options.action === 'add' ? '开始安装' : '开始卸载'} ${options.displayTarget ?? options.target}`,
+        message: `${mutationVerb(options.action)} ${options.displayTarget ?? options.target}`,
     });
     pumpQueue();
     return task;
@@ -184,16 +192,17 @@ function pumpQueue() {
     task.status = 'running';
     void runPluginMutation({ ...options, task }).finally(() => {
         runningChildren.delete(task.id);
-        // 系统日志：任务终态（成功/失败/取消），按动作归类安装/卸载日志
+        // 系统日志：任务终态（成功/失败/取消），按动作归类安装/卸载/更新日志
         const show = task.displayTarget ?? task.target;
-        const category = task.action === 'add' ? 'install' : 'uninstall';
+        const category = mutationCategory(task.action);
+        const verb = (v) => task.action === 'remove' ? `卸载${v}` : task.action === 'update' ? `更新${v}` : `安装${v}`;
         if (task.status === 'done') {
             appendLog(options.profile, {
                 at: Date.now(),
                 level: 'success',
                 category,
                 event: `${category}.done`,
-                message: `${task.action === 'add' ? '安装成功' : '卸载成功'} ${show}${task.needsRestart ? '（待重启生效）' : ''}`,
+                message: `${verb('成功')} ${show}${task.needsRestart ? '（待重启生效）' : ''}`,
             });
         }
         else if (task.status === 'failed') {
@@ -202,7 +211,7 @@ function pumpQueue() {
                 level: 'error',
                 category,
                 event: `${category}.fail`,
-                message: `${task.action === 'add' ? '安装失败' : '卸载失败'} ${show}`,
+                message: `${verb('失败')} ${show}`,
             });
         }
         else if (task.status === 'cancelled') {
@@ -236,17 +245,21 @@ function spawnMutation(options) {
     // 更新已安装的 npm 包：显式指定 @latest。pnpm add <pkg>（无版本）对已存在依赖
     // （尤其精确 spec 如 "1.3.0"）是幂等的 —— 输出 "Already up to date" 且不改 package.json，
     // 导致「更新成功」但实际仍停留在旧版本；git 地址与全局安装不受此影响。
-    const npmUpdateTarget = updateNpm && !isGlobalNpm && githubRepoOf(target) === null
+    // update 动作实际执行 `add <target>@latest`（pnpm 对已存在依赖带显式版本即原位覆盖升级），
+    // CLI 动词仍透传 add —— 不执行官方 update 动词，避免与既有覆盖重装机制分叉。
+    const isUpdate = action === 'update' || updateNpm === true;
+    const cliAction = action === 'update' ? 'add' : action;
+    const npmUpdateTarget = isUpdate && !isGlobalNpm && githubRepoOf(target) === null
         ? `${target}@latest`
         : target;
     const args = isGlobalNpm
         ? ['install', '-g', ...(globalNpm ?? [])]
-        : [...invocation.prefixArgs, 'plugin', '--profile', profile, action, npmUpdateTarget];
+        : [...invocation.prefixArgs, 'plugin', '--profile', profile, cliAction, npmUpdateTarget];
     // 记录实际执行的命令（npm 通道显示包名，git 通道显示 HTTPS 源），
     // 失败提 Issue 时作为「已尝试的安装方式」随附
     const executed = isGlobalNpm
         ? `npm install -g ${(globalNpm ?? []).join(' ')}`
-        : `dsh plugin --profile ${profile} ${action} ${npmUpdateTarget}`;
+        : `dsh plugin --profile ${profile} ${cliAction} ${npmUpdateTarget}`;
     if (task && !task.attempts.includes(executed)) {
         task.attempts.push(executed);
     }
@@ -413,10 +426,10 @@ function spawnMutation(options) {
                             addPendingRestart(displayTarget ?? target, 'uninstall');
                     }
                     else {
-                        // 安装成功（或卸载但无 loader 引用）→ 登记待重启：
+                        // 安装/更新成功（或卸载但无 loader 引用）→ 登记待重启：
                         // 插件要宿主重启才会挂载/卸载干净，重启前一直提醒；展示目标用 displayTarget（owner/repo）
                         task.needsRestart = true;
-                        addPendingRestart(displayTarget ?? target, action === 'add' ? 'install' : 'uninstall');
+                        addPendingRestart(displayTarget ?? target, action === 'remove' ? 'uninstall' : 'install');
                     }
                 }
                 pushLine(task, result.timedOut ? '[timed out]' : `[exit ${result.exitCode ?? '?'}]`);
@@ -482,7 +495,7 @@ function ignoredBuildKeys(output) {
  *  前端据此展示「本机 npm 版本过低」的准确原因 —— 避免该报错被外层 ERR_PNPM_PREPARE_PACKAGE
  *  误判成插件打包/分发问题、误导用户提 Issue。检测逻辑在独立的 npm-check.ts（本机 npm 环境职责）。 */
 function annotateNpmTooLow(result, options) {
-    if (options.action !== 'add' || result.exitCode === 0 || result.timedOut)
+    if (options.action === 'remove' || result.exitCode === 0 || result.timedOut)
         return result;
     const line = npmTooLowMarker(`${result.stderr}\n${result.stdout}`, options.env);
     if (line === null)
@@ -504,7 +517,8 @@ export async function runPluginMutation(options) {
     let result = await spawnMutation(options);
     // allowBuilds 放行 / 装后入口校验都是 profile 专属（pnpm 装进 profile 的场景）；
     // 全局 npm 安装直接走 npm，无 pnpm allowBuilds 拦截、也不进 profile，跳过这两类恢复
-    if (options.action === 'add' && result.exitCode !== 0 && !result.timedOut && (options.globalNpm ?? []).length === 0) {
+    // 安装与更新（同为 add 通道执行）共享同一套恢复路径；卸载不适用
+    if (options.action !== 'remove' && result.exitCode !== 0 && !result.timedOut && (options.globalNpm ?? []).length === 0) {
         const output = `${result.stderr}\n${result.stdout}`;
         // git 源：pnpm 打印的 key@url 提示
         if (output.includes('ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED')) {
@@ -544,7 +558,7 @@ export async function runPluginMutation(options) {
     // pnpm 安装本身成功，但目标包入口文件缺失（git 分发缺构建产物）→ 判为失败：
     // 撤销刚登记的待重启，避免用户重启时宿主加载残缺包直接崩溃。
     // 全局 npm 安装不进 profile（profile deps 里没有这些包），跳过入口校验
-    if (options.action === 'add' && result.exitCode === 0 && !result.timedOut && (options.globalNpm ?? []).length === 0) {
+    if (options.action !== 'remove' && result.exitCode === 0 && !result.timedOut && (options.globalNpm ?? []).length === 0) {
         const verified = verifyInstalledEntry(options.profile, options.target);
         if (verified.name !== null && verified.missing !== null) {
             clearPendingRestart(options.displayTarget ?? options.target);

package/lib/services/profile/profile.js

@@ -27,16 +27,17 @@ export function githubTarget(repo) {
     return `git+https://github.com/${repo}.git`;
 }
 /**
- * DSH 命令行前缀（官方唯一形式 `dsh plugin --profile <name> add <target>`）—— 提取其中的安装目标；
+ * DSH 命令行前缀（官方唯一形式 `dsh plugin --profile <name> <add|update> <target>`）—— 提取其中的安装目标；
  * 非命令输入原样返回。兼容「直接粘贴完整命令」（防用户输错）：--profile 必填且只有长选项
  * （官方 CLI 无 -p 简写，省略即报错），支持 `--profile=<name>` 等号形式，命令大小写不敏感。
+ * update = 更新已安装目标到最新；remove 不在此列（卸载走 /uninstall 路由，按已装包名直卸）。
  * 与客户端 CustomInstallView 口径一致。
  */
-const DSH_PLUGIN_CMD_RE = /^dsh\s+plugin\s+--profile(?:\s+|=)\S+\s+add\s+(.+)$/i;
+const DSH_PLUGIN_CMD_RE = /^dsh\s+plugin\s+--profile(?:\s+|=)\S+\s+(add|update)\s+(.+)$/i;
 export function installTargetOf(value) {
     const input = typeof value === 'string' ? value.trim() : '';
     const match = DSH_PLUGIN_CMD_RE.exec(input);
-    return match !== null ? match[1].trim() : input;
+    return match !== null ? match[2].trim() : input;
 }
 /**
  * npm 全局安装命令（官方 README 的 `npm install -g <pkgs>`，如 dsh-tui 的安装命令）——

package/lib/types/services/install/install-types.d.ts

@@ -25,7 +25,7 @@ export interface InstallTask {
     attempts: string[];
     /** 全局 npm 安装（官方 `npm install -g <pkgs>`）：非空时任务执行全局 npm 安装，不进任何 profile */
     globalNpm?: string[];
-    action: 'add' | 'remove';
+    action: 'add' | 'remove' | 'update';
     /** 队列语义：pending 排队中 / running 执行中 / done / failed / cancelled（用户取消） */
     status: 'pending' | 'running' | 'done' | 'failed' | 'cancelled';
     timedOut: boolean;
@@ -48,7 +48,7 @@ export interface Invocation {
 export interface QueueItem {
     task: InstallTask;
     options: {
-        action: 'add' | 'remove';
+        action: 'add' | 'remove' | 'update';
         profile: string;
         target: string;
         timeoutMs?: number;

package/lib/types/services/install/task-queue.d.ts

@@ -5,7 +5,7 @@ export declare function getTask(id: number): InstallTask | undefined;
 export interface ActiveTaskInfo {
     id: number;
     target: string;
-    action: 'add' | 'remove';
+    action: 'add' | 'remove' | 'update';
     status: 'pending' | 'running';
     progress: number;
     lines: string[];
@@ -37,7 +37,7 @@ export declare function cancelTask(id: number): boolean;
  * Progress is visible through `getTask(id)` / `activeTask()` until done.
  */
 export declare function startPluginMutation(options: {
-    action: 'add' | 'remove';
+    action: 'add' | 'remove' | 'update';
     profile: string;
     target: string;
     timeoutMs?: number;
@@ -73,7 +73,7 @@ export declare function verifyInstalledEntry(profile: string, target: string): {
  * Other failures fall through to the single-spawn result.
  */
 export declare function runPluginMutation(options: {
-    action: 'add' | 'remove';
+    action: 'add' | 'remove' | 'update';
     profile: string;
     target: string;
     timeoutMs?: number;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.3.3",
+  "version": "1.3.5",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 4000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：4000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -427,6 +427,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
               enableGit: hubSettings.enableGitInstall,
               enableDsh: hubSettings.enableDshInstall,
               onOpenSettings: () => setView('settings'),
+              // 当前 profile：一键插入的 Hub 更新命令用它拼 --profile
+              profile: env?.profile ?? 'web',
               onInstallCustom: (raw, opts) => {
                 const target = raw.trim()
                 if (!target) return

package/src/client/components/views/CustomInstallView.tsx

@@ -26,7 +26,8 @@ import { CloseIcon, HelpIcon } from '../ui/icons.tsx'
 /* —— 自定义安装输入预检 ——
  * 提交前校验「输入是否符合该通道格式」，识别不了的输入不发请求，就地提示推荐格式。
  * 三个通道严格分开：npm 框认裸包名或完整 npm/pnpm 安装命令（含全局 `npm install -g`），
- * git 框只认 GitHub 地址，命令框只认官方 `dsh plugin --profile <name> add <target>`（--profile 必填，无 -p 简写）。
+ * git 框只认 GitHub 地址，命令框只认官方 `dsh plugin --profile <name> <add|update> <target>`
+ * （--profile 必填，无 -p 简写；update = 更新已安装目标到最新）。
  * 这里只做格式校验，真正归一化/安装由服务端完成。 */
 
 /** GitHub 地址（带前缀形态）：github:、https://github.com/、git+https://github.com/、git@github.com: */
@@ -36,10 +37,12 @@ const GITHUB_BARE_RE = /^[A-Za-z0-9._-]+\/[A-Za-z0-9._-]+$/
 /** npm 包名（含 @scope/pkg） */
 const NPM_PACKAGE_RE = /^(?:@[a-z0-9._-]+\/)?[a-z0-9._-]+$/
 
-/** DSH 命令行前缀（官方唯一形式 `dsh plugin --profile <name> add <target>`）—— 提取其中的安装目标。
+/** DSH 命令行前缀（官方唯一形式 `dsh plugin --profile <name> <add|update> <target>`）—— 提取其中的动作与目标。
  * 官方 CLI（apps/cli/src/args.ts，commander）：--profile 为必填长选项（无 -p 简写，省略即报错），
- * 支持 `--profile=<name>` 等号形式；命令大小写不敏感。与 server 端 installTargetOf 口径一致。 */
-const DSH_PLUGIN_CMD_RE = /^dsh\s+plugin\s+--profile(?:\s+|=)\S+\s+add\s+(.+)$/i
+ * 支持 `--profile=<name>` 等号形式；命令大小写不敏感。update = 已安装目标覆盖更新到最新；
+ * remove 不走这里（卸载由「已安装」列表的卸载按钮执行，命令框不认卸载动词）。
+ * 与 server 端 installTargetOf 口径一致。 */
+const DSH_PLUGIN_CMD_RE = /^dsh\s+plugin\s+--profile(?:\s+|=)\S+\s+(add|update)\s+(.+)$/i
 
 /** npm 全局安装命令（官方 README 格式，如 `npm install -g @deepseek-ai/dsh @deepseek-harness-tui/dsh-tui`）——
  * 提取 -g 之后的包列表；任一包名非法返回 null（交给格式错误提示）。与 server 端 globalNpmPackagesOf 口径一致。 */
@@ -49,10 +52,12 @@ const NPM_GLOBAL_CMD_RE = /^npm\s+(?:install|i)\s+(?:-g|--global)\s+(.+)$/i
  * 提取命令后的包列表；包列表在 splitPackages 里逐个校验。 */
 const NPM_INSTALL_CMD_RE = /^(?:npm\s+(?:install|i)|pnpm\s+(?:add|i|install))\s+(.+)$/i
 
-function installTargetOf(raw: string): string {
+/** 解析 DSH 命令：返回 { action, target }；非官方命令返回 null（交给格式错误提示）。 */
+function parseDshCommand(raw: string): { action: 'add' | 'update'; target: string } | null {
   const input = raw.trim()
   const match = DSH_PLUGIN_CMD_RE.exec(input)
-  return match !== null ? match[1].trim() : input
+  if (match === null) return null
+  return { action: match[1].toLowerCase() as 'add' | 'update', target: match[2].trim() }
 }
 
 /** 空格分隔的包列表：逐个按 npm 包名语法校验 + 拒绝以 - 开头的 token（npm 会把 --xxx 当参数而非包名），
@@ -96,10 +101,6 @@ function isGitHubInput(raw: string): boolean {
   return GITHUB_URL_RE.test(input) || GITHUB_BARE_RE.test(input)
 }
 
-function isDshCommand(raw: string): boolean {
-  return DSH_PLUGIN_CMD_RE.test(raw.trim())
-}
-
 /** 卡片标题旁的「帮助」弹窗：三块卡片各自的标题与格式清单语言包 key。 */
 const HELP_CARDS = {
   npm: { titleKey: 'npmInstallLabel', contentKey: 'npmInstallHelp' },
@@ -109,7 +110,7 @@ const HELP_CARDS = {
 
 type HelpTarget = keyof typeof HELP_CARDS
 
-export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, enableDsh, onOpenSettings }: {
+export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, enableDsh, onOpenSettings, profile }: {
   t: Translate
   /** 命令行安装：输入 npm 包名 / npm、pnpm 安装命令 / GitHub 地址 / dsh plugin 命令即装
    *  （custom 源，受安全设置开关控制）；opts.globalNpm 表示官方 npm 全局安装命令（npm install -g），附带解析出的包列表 */
@@ -120,6 +121,8 @@ export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, en
   enableDsh: boolean
   /** 引导去「设置 → 安全信任」打开被关闭的通道开关 */
   onOpenSettings: () => void
+  /** 当前 dsh profile 名（宿主 /env 快照）：一键插入的更新命令用它拼 --profile */
+  profile: string
 }) {
   /** 自定义安装：NPM 包输入与格式错误（'' = 无错误） */
   const [npmQuery, setNpmQuery] = useState('')
@@ -170,11 +173,19 @@ export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, en
   const submitCmd = () => {
     const raw = cmdQuery.trim()
     if (!raw) return
-    if (!isDshCommand(raw)) { setCmdError(t('dshCmdInvalid')); return }
-    onInstallCustom(installTargetOf(raw))
+    const parsed = parseDshCommand(raw)
+    if (parsed === null) { setCmdError(t('dshCmdInvalid')); return }
+    // add / update 统一走安装流程：目标已安装时弹窗自动转「更新」覆盖重装（服务端 mode=update 放行），
+    // 未安装时即为普通安装 —— 粘贴 `dsh plugin --profile web update dsh-plugin` 这类命令即可更新到最新
+    onInstallCustom(parsed.target)
     setCmdQuery('')
     setCmdError('')
   }
+  /** 一键插入 DSH Plugin Hub 自身的更新命令：按当前 profile 拼官方命令填进输入框，用户确认后提交 */
+  const insertHubUpdate = () => {
+    setCmdQuery(`dsh plugin --profile ${profile} update dsh-plugin`)
+    setCmdError('')
+  }
 
   return h('div', { className: styles.root },
     // 页面说明：独立一级导航，交代「装完去哪看」
@@ -265,7 +276,8 @@ export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, en
             gitError ? h('div', { className: styles.installError }, gitError) : null,
           ],
       ),
-      // 命令卡片：粘贴官方 dsh plugin 命令即装 —— 只认完整命令（--profile 必填，可含 = 等号，剥成裸目标安装）
+      // 命令卡片：粘贴官方 dsh plugin 命令即装/即更新 —— 只认完整命令
+      // （--profile 必填，可含 = 等号，动词 add/update，剥成裸目标走安装流程）
       h('div', { className: enableDsh ? styles.installCard : `${styles.installCard} ${styles.installCardDisabled}` },
         h('div', { className: styles.installCardHead },
           h('span', { className: styles.installLabel }, t('dshCmdLabel')),
@@ -276,6 +288,15 @@ export function CustomInstallView({ t, onInstallCustom, enableNpm, enableGit, en
             'aria-label': t('installHelp'),
             onClick: () => setHelpFor('cmd'),
           }, h(HelpIcon)),
+          // 一键插入 Hub 自身的更新命令：按当前 profile 拼 `dsh plugin --profile <p> update dsh-plugin`
+          // 填入输入框（命令卡片被安全开关禁用时不显示，插入后也提交不了）
+          enableDsh
+            ? h('button', {
+              type: 'button',
+              className: styles.installInsertBtn,
+              onClick: insertHubUpdate,
+            }, t('dshCmdInsertHubUpdate'))
+            : null,
         ),
         !enableDsh
           ? channelOffRow

package/src/client/locales.ts

@@ -56,13 +56,14 @@ export const zh = {
   gitInstallInvalid: '请输入 GitHub 仓库地址，例如：owner/repo 或 https://github.com/owner/repo',
   dshCmdLabel: 'DeepSeek Harness 命令',
   dshCmdPlaceholder: '粘贴官方 dsh plugin 命令',
-  dshCmdExample: '例如：dsh plugin --profile web add github:owner/repo',
-  dshCmdInvalid: '请输入官方 dsh plugin 安装命令（--profile 必填）。例如：dsh plugin --profile web add github:owner/repo',
+  dshCmdInsertHubUpdate: '插入更新命令',
+  dshCmdExample: '例如：dsh plugin --profile web add github:owner/repo，或 dsh plugin --profile web update dsh-plugin',
+  dshCmdInvalid: '请输入官方 dsh plugin 命令（--profile 必填，支持 add / update）。例如：dsh plugin --profile web update dsh-plugin',
   installHelp: '帮助',
   helpModalTitle: '支持的命令格式',
   npmInstallHelp: 'lodash、@scope/pkg\t直接输入包名\nnpm install lodash\nnpm i lodash\npnpm add @scope/pkg\npnpm i @scope/pkg\nnpm install -g @scope/cli\t全局安装 CLI 工具，不进「已安装」列表',
   gitInstallHelp: 'owner/repo\nhttps://github.com/owner/repo\ngithub:owner/repo\ngit+https://github.com/owner/repo.git\ngit@github.com:owner/repo.git',
-  dshCmdHelp: 'dsh plugin --profile web add <目标>\ndsh plugin --profile=web add <目标>\n\t--profile 必填，官方 CLI 无 -p 简写；<目标> 可为 npm 包名或 github:owner/repo',
+  dshCmdHelp: 'dsh plugin --profile web add <目标>\t安装\ndsh plugin --profile web update <目标>\t更新已安装目标到最新版本\ndsh plugin --profile=web add <目标>\ndsh plugin --profile=web update <目标>\n\t--profile 必填，官方 CLI 无 -p 简写；<目标> 可为 npm 包名或 github:owner/repo；卸载请用「已安装」列表',
   globalNpmHint: '将全局安装 CLI 工具（npm install -g），不会出现在「已安装」列表，无需重启宿主',
   installCliBtn: '安装',
   // 安装通道关闭（安全信任开关关掉后，对应卡片禁用并引导去设置打开）
@@ -381,13 +382,14 @@ export const en = {
   gitInstallInvalid: 'Enter a GitHub repository address, e.g. owner/repo or https://github.com/owner/repo',
   dshCmdLabel: 'DeepSeek Harness command',
   dshCmdPlaceholder: 'Paste an official dsh plugin command',
-  dshCmdExample: 'e.g. dsh plugin --profile web add github:owner/repo',
-  dshCmdInvalid: 'Paste an official dsh plugin install command (--profile required), e.g. dsh plugin --profile web add github:owner/repo',
+  dshCmdInsertHubUpdate: 'Insert update command',
+  dshCmdExample: 'e.g. dsh plugin --profile web add github:owner/repo, or dsh plugin --profile web update dsh-plugin',
+  dshCmdInvalid: 'Paste an official dsh plugin command (--profile required, add / update), e.g. dsh plugin --profile web update dsh-plugin',
   installHelp: 'Help',
   helpModalTitle: 'Supported command formats',
   npmInstallHelp: 'lodash or @scope/pkg\tjust type the package name\nnpm install lodash\nnpm i lodash\npnpm add @scope/pkg\npnpm i @scope/pkg\nnpm install -g @scope/cli\tinstalls the CLI globally, not shown in Installed',
   gitInstallHelp: 'owner/repo\nhttps://github.com/owner/repo\ngithub:owner/repo\ngit+https://github.com/owner/repo.git\ngit@github.com:owner/repo.git',
-  dshCmdHelp: 'dsh plugin --profile web add <target>\ndsh plugin --profile=web add <target>\n\t--profile is required and there is no -p shorthand; <target> can be an npm package or github:owner/repo',
+  dshCmdHelp: 'dsh plugin --profile web add <target>\tinstall\ndsh plugin --profile web update <target>\tupdate an installed target to the latest version\ndsh plugin --profile=web add <target>\ndsh plugin --profile=web update <target>\n\t--profile is required and there is no -p shorthand; <target> can be an npm package or github:owner/repo; uninstall from the Installed list',
   globalNpmHint: 'This installs CLI tools globally (npm install -g). They won\'t appear in Installed and no host restart is needed.',
   installCliBtn: 'Install',
   // Install channel disabled (security-trust toggle off → card disabled, guides to settings)

package/src/client/logic/renderMarkdown.ts

@@ -33,11 +33,15 @@ function inline(s: string): string {
     return `\u0000${codeSpans.length - 1}\u0000`
   })
   // 图片 ![alt](url)：仅放行 http(s)，用于展示反馈群二维码等；limited by CSS
-  out = out.replace(/!\[([^\]]*)\]\(([^)\s]+)\)/g, (m, alt, url) =>
-    /^https?:\/\//i.test(String(url)) && !/[\u0000]/.test(String(url))
-      ? `<img src="${String(url)}" alt="${String(alt)}" loading="lazy">`
-      : m,
-  )
+  // 文件名为 dsh-plugin-user-group-qr- 前缀的视为用户反馈群二维码，固定 250×250 不撑破弹窗。
+  out = out.replace(/!\[([^\]]*)\]\(([^)\s]+)\)/g, (m, alt, url) => {
+    const src = String(url)
+    if (!/^https?:\/\//i.test(src) || /[\u0000]/.test(src)) return m
+    if (/\/dsh-plugin-user-group-qr-[^/]*$/i.test(src)) {
+      return `<img src="${src}" alt="${String(alt)}" width="250" height="250" loading="lazy">`
+    }
+    return `<img src="${src}" alt="${String(alt)}" loading="lazy">`
+  })
   // 链接 [text](url)：仅放行 http(s)，新窗口打开
   out = out.replace(/\[([^\]]+)\]\(([^)\s]+)\)/g, (m, text, url) =>
     /^https?:\/\//i.test(String(url)) && !/[\u0000]/.test(String(url))

package/src/client/styles/CustomInstallView.module.css

@@ -84,6 +84,31 @@
   border-color: var(--hub-brand-border-soft);
 }
 
+/* 命令卡片标题旁的「一键插入更新命令」：右对齐小号描边按钮，弱化但可点，hover 提亮品牌色 */
+.installInsertBtn {
+  flex-shrink: 0;
+  margin-left: auto;
+  font-family: inherit;
+  font-size: 11px;
+  line-height: 16px;
+  font-weight: 500;
+  color: var(--hub-text-secondary);
+  background: transparent;
+  border: 1px solid var(--hub-border-2);
+  border-radius: 6px;
+  padding: 2px 9px;
+  cursor: pointer;
+  white-space: nowrap;
+  user-select: none;
+  transition: color 120ms ease, border-color 120ms ease, background 120ms ease;
+}
+
+.installInsertBtn:hover {
+  color: var(--hub-brand);
+  border-color: var(--hub-brand-border-soft);
+  background: var(--hub-brand-tint);
+}
+
 /* 文本框上方的示例：灰字小字，告诉用户该通道的推荐写法 */
 .installExample {
   font-size: 11px;

package/src/server/http/routes.ts

@@ -22,6 +22,62 @@ import { isDshPlugin, isEntryLoaded } from '../services/loader.ts'
 import { loadSettings, saveSettings, resetSettings, type HubSettings } from '../services/settings.ts'
 import { appendLog, clearLog, readLog, logFilePath, defaultLogFilePath, customLogFile } from '../services/log.ts'
 
+/**
+ * 跨平台宿主重启脚本（以 `node -e` 运行，独立于宿主进程）。
+ * 取代原先的 `/bin/sh -c`：Windows 无 /bin/sh，且 lsof/nohup 仅 POSIX 存在。
+ * 由 `spawn(process.execPath, ['-e', SCRIPT, port], { detached, stdio:'ignore' })` 孵化，
+ * 宿主进程被 kill 后仍能完成「停旧 → 等端口释放 → 拉起新 dsh web」。
+ */
+const HOST_RESTART_SCRIPT = String.raw`const C = require('node:child_process')
+const F = require('node:fs')
+const P = require('node:path')
+const O = require('node:os')
+const win = process.platform === 'win32'
+const port = Number(process.argv[1])
+
+function findPids() {
+  if (win) {
+    const out = C.spawnSync('netstat', ['-ano', '-p', 'tcp'], { encoding: 'utf8' })
+    const found = []
+    for (const line of String(out.stdout || '').split(/\r?\n/)) {
+      if (!/LISTENING/i.test(line)) continue
+      const parts = line.trim().split(/\s+/)
+      const addr = parts[1] || ''
+      if (!addr.endsWith(':' + port)) continue
+      const pid = parts[parts.length - 1]
+      if (pid && /\d+/.test(pid)) found.push(pid)
+    }
+    return found
+  }
+  const out = C.spawnSync('lsof', ['-ti', 'tcp:' + port, '-sTCP:LISTEN'], { encoding: 'utf8' })
+  return String(out.stdout || '').split(/\s+/).filter(Boolean)
+}
+
+for (const pid of findPids()) {
+  try {
+    if (win) C.spawnSync('taskkill', ['/pid', pid, '/t', '/f'])
+    else process.kill(Number(pid), 'SIGTERM')
+  } catch {}
+}
+
+let tries = 0
+;(function waitForStop() {
+  if (findPids().length === 0 || ++tries > 20) return startHost()
+  setTimeout(waitForStop, 250)
+})()
+
+function startHost() {
+  const dir = P.join(O.homedir(), '.dsh', 'logs')
+  F.mkdirSync(dir, { recursive: true })
+  const fd = F.openSync(P.join(dir, 'dsh-web-' + port + '.log'), 'a')
+  const child = C.spawn('dsh', ['web', '--port', String(port)], {
+    detached: true,
+    shell: win,
+    stdio: ['ignore', fd, fd],
+  })
+  child.unref()
+}`
+
 export interface WebRoute {
   kind: 'exact'
   path: string
@@ -669,7 +725,9 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           }
           // Kick off the CLI in the background; the client polls /status for progress
           const task = startPluginMutation({
-            action: 'add',
+            // mode=update（已安装目标的覆盖更新）以 update 动作入队：
+            // 日志按 update 类别落盘（update.start/done/fail），实际 CLI 执行仍是 add <target>@latest
+            action: mode === 'update' ? 'update' : 'add',
             profile,
             target,
             // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不受通道变化影响
@@ -792,16 +850,12 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
         const host = request.headers.host ?? ''
         const portMatch = host.match(/:(\d+)$/)
         const port = portMatch ? Number(portMatch[1]) : 7923
-        // detached 子 shell 完成「停旧进程 → 等端口释放 → 后台拉起 dsh web」，
-        // 即使当前宿主（即本插件所在进程）被 kill，重启仍会继续执行
-        const script = [
-          `pids=$(lsof -ti tcp:${port} -sTCP:LISTEN 2>/dev/null)`,
-          '[ -n "$pids" ] && kill -TERM $pids 2>/dev/null || true',
-          `i=0; while [ -n "$(lsof -ti tcp:${port} -sTCP:LISTEN 2>/dev/null)" ] && [ $i -lt 20 ]; do sleep 0.25; i=$((i + 1)); done`,
-          'mkdir -p "$HOME/.dsh/logs"',
-          `nohup dsh web --port ${port} >>"$HOME/.dsh/logs/dsh-web-${port}.log" 2>&1 &`,
-        ].join('\n')
-        spawn('/bin/sh', ['-c', script], { detached: true, stdio: 'ignore' }).unref()
+        // detached 子进程完成「停旧进程 → 等端口释放 → 后台拉起 dsh web」，
+        // 即使当前宿主（即本插件所在进程）被 kill，重启仍会继续执行。
+        // 不用 /bin/sh：Windows 无此路径，且 lsof/nohup 等仅 POSIX 存在，
+        // 故孵化 node(process.execPath) 跑跨平台脚本 —— Windows 用
+        // netstat + taskkill + shell:true 解析 dsh.cmd，POSIX 用 lsof + SIGTERM。
+        spawn(process.execPath, ['-e', HOST_RESTART_SCRIPT, String(port)], { detached: true, stdio: 'ignore' }).unref()
         sendJson(response, 200, { ok: true, port })
       },
     }),