dsh-plugin 1.3.9 → 1.3.11

package/lib/http/routes.js

@@ -11,7 +11,7 @@
 import { mkdirSync, readFileSync, writeFileSync } from 'node:fs';
 import { homedir, release } from 'node:os';
 import { dirname, join, resolve } from 'node:path';
-import { spawn } from 'node:child_process';
+import { spawn, spawnSync } from 'node:child_process';
 import { fetchViaCurl, gitLsRemote, probeUrl, systemProxy } from '../services/probe.js';
 import { activeTask, cancelTask, dumpLoaderEntries, getTask, githubRepoOf, githubTarget, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, listPendingRestarts, readProfileArg, startPluginMutation, validPackageName } from '../services/install/install.js';
 import { recordInstalledVersion, recordResolvedNpmPackage, readInstalledVersions, removeInstalledVersion } from '../services/profile/installed-versions.js';
@@ -121,8 +121,13 @@ export function readInstalled(profile) {
         return {};
     }
 }
-/** 宿主 dsh CLI 版本：从入口（process.argv[1]）向上找最近的 dsh/harness 相关 package.json；找不到返回 null。 */
+/** 宿主 dsh CLI 版本：优先直接跑 `dsh --version`（与 pnpm/npm/git 同款同步探测，1500ms 超时兜底，
+ *  绝不挂起）—— 原先从 process.argv[1] 向上找 package.json 猜版本在部分宿主加载方式下取不到，
+ *  导致 issue 环境快照 DSH: unknown；拿不到再退回入口 package.json 查找（dsh 不在 PATH 时兜底）。 */
 function hostDshVersion() {
+    const viaCli = toolVersion('dsh', ['--version']);
+    if (viaCli)
+        return viaCli;
     const entry = process.argv[1];
     if (entry === undefined)
         return null;
@@ -145,11 +150,29 @@ function hostDshVersion() {
     }
     return null;
 }
+/** 探测命令行工具的版本号（pnpm --version / npm --version / git --version）：
+ *  未安装 / 不在 PATH / 超时一律返回 null —— issue 环境快照如实写 unknown，绝不挂起。
+ *  （同步探测仅用于启动期/请求期的低频率 /env 快照，安装通道不经过这里。） */
+function toolVersion(cmd, args) {
+    try {
+        const r = spawnSync(cmd, args, { timeout: 1500, encoding: 'utf8' });
+        if (r.error || r.status !== 0)
+            return null;
+        const v = (r.stdout ?? '').trim().split(/\r?\n/)[0];
+        return v || null;
+    }
+    catch {
+        return null;
+    }
+}
 /** 宿主环境快照：提交 bug 时随 issue 附上，便于作者复现（前端 /env 端点返回）。 */
 function hostEnv(profile) {
     return {
         dshVersion: hostDshVersion(),
         nodeVersion: process.version,
+        pnpmVersion: toolVersion('pnpm', ['--version']),
+        npmVersion: toolVersion('npm', ['--version']),
+        gitVersion: toolVersion('git', ['--version']),
         platform: process.platform,
         arch: process.arch,
         release: release(),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.3.9",
+  "version": "1.3.11",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 4000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：4000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/modals/NotificationsModal.tsx

@@ -276,6 +276,17 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                       // 本机缺 pnpm，不是插件问题 —— 给安装指引，不引导提 Issue
                       return h('div', { className: styles.failPrepareHint }, t('failPnpmMissingHint'))
                     }
+                    if (kind === 'pnpmStore') {
+                      // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录旧依赖是
+                      // 另一大版本 pnpm 装的，当前 pnpm 不认，任何插件装进该 profile 都会失败 ——
+                      // 给清理重建指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failPnpmStoreHint'))
+                    }
+                    if (kind === 'pnpmPolicy') {
+                      // pnpm 11 供应链安全策略拦截（minimumReleaseAge 拒收发布太新的包 / untrusted origin）：
+                      // 本机 pnpm 策略不放行，装任何「刚发布/新来源」插件都撞墙 —— 给豁免指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failPnpmPolicyHint'))
+                    }
                     if (kind === 'network') {
                       // 安装前预检 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
                       // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，

package/src/client/components/modals/modals.tsx

@@ -395,6 +395,15 @@ export function ErrorModal({ message, repo, kind, command, attempts, t, env, onC
               // 找到了 dsh 但缺 pnpm（dsh 用它管理 profile 插件；dsh 报 pnpm not found on PATH）：
               // 本机缺 pnpm，不是插件问题 —— 给安装指引，不引导提 Issue
               ? h('div', { className: styles.failPrepareHint }, t('failPnpmMissingHint'))
+              : failureKind === 'pnpmStore'
+              // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录旧依赖是
+              // 另一大版本 pnpm 装的，当前 pnpm 不认，任何插件装进该 profile 都会失败 ——
+              // 给清理重建指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failPnpmStoreHint'))
+              : failureKind === 'pnpmPolicy'
+              // pnpm 11 供应链安全策略拦截（minimumReleaseAge 拒收发布太新的包 / untrusted origin）：
+              // 本机 pnpm 策略不放行，装任何「刚发布/新来源」插件都撞墙 —— 给豁免指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failPnpmPolicyHint'))
               : failureKind === 'network'
               // 安装前预检 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
               // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，

package/src/client/locales.ts

@@ -313,6 +313,8 @@ export const zh = {
   failNetworkRunDiag: '去系统诊断检测网络',
   failDshMissingHint: '系统找不到 dsh 命令（dsh 未加入系统 PATH），无法调用安装器执行安装。请确认 DeepSeek Harness 已正确安装、dsh 已加入 PATH（或重新安装），然后重试。这不是插件本身的问题。',
   failPnpmMissingHint: '安装器找到了 dsh，但系统里没有 pnpm 命令（dsh 用它来管理 profile 插件）。请先安装 pnpm（如 npm install -g pnpm），确认 pnpm 已加入 PATH 后重试。这不是插件本身的问题。',
+  failPnpmStoreHint: '安装器调用 pnpm 时报「store 位置不匹配」（ERR_PNPM_UNEXPECTED_STORE）：你的 profile 目录里旧插件依赖是用另一个大版本的 pnpm 生成的，当前 pnpm 出于安全不认旧目录，导致任何插件装进该 profile 都会失败。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错），再重新安装。这不是插件本身的问题。',
+  failPnpmPolicyHint: '安装器调用 pnpm 时被其供应链安全策略拦截（ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION / Minimum release age：锁文件里包的发布时间太近被拒；或 untrusted origin：依赖来源未受本机 pnpm 信任）。这是 pnpm 11 的默认安全策略，装任何「刚发布/新来源」的插件都会撞墙，不是插件本身的问题。请在 pnpm 配置（pnpm-workspace.yaml 或 .npmrc）里加入 minimumReleaseAge: 0 豁免，或等发布冷却一段时间后重试。',
   // 自定义安装三卡片入口的渠道名（报错/日志溯源：本次安装从哪个入口发起）
   installChannelNpm: 'NPM 包',
   installChannelGit: 'GitHub 源码',
@@ -668,6 +670,8 @@ export const en = {
   failNetworkRunDiag: 'Run a network diagnostic',
   failDshMissingHint: 'The dsh command could not be found (it is not on the system PATH), so the installer could not run. Please make sure DeepSeek Harness is installed correctly and dsh is on your PATH (or reinstall it), then retry. This is not a problem with the plugin itself.',
   failPnpmMissingHint: 'The installer found dsh, but pnpm is missing on this machine (dsh uses it to manage profile plugins). Please install pnpm first (e.g. npm install -g pnpm), make sure it is on your PATH, then retry. This is not a problem with the plugin itself.',
+  failPnpmStoreHint: 'pnpm reported an unexpected store location (ERR_PNPM_UNEXPECTED_STORE): the profile directory was previously set up with a different major version of pnpm, and the current pnpm refuses to reuse it — no plugin can be installed into that profile. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall. This is not a problem with the plugin itself.',
+  failPnpmPolicyHint: 'The installer was blocked by pnpm supply-chain security policy (ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION / Minimum release age: a package in the lockfile was published too recently; or untrusted origin: a dependency source is not trusted by pnpm). This is pnpm 11 default security policy — installing any freshly published or new-origin plugin hits the same wall, so this is not a problem with the plugin itself. Add minimumReleaseAge: 0 to your pnpm config (pnpm-workspace.yaml or .npmrc) to opt out, or retry once the release has cooled down.',
   // Custom install entry channel names (the three cards) — used in error/log traceability
   installChannelNpm: 'NPM package',
   installChannelGit: 'GitHub source',

package/src/client/logic/failures.ts

@@ -151,7 +151,7 @@ export function removeNotification(id: number): NotificationRecord[] {
   return next
 }
 
-export type FailureKind = 'npmTooOld' | 'dshMissing' | 'pnpmMissing' | 'pnpmIgnoredBuild' | 'pluginPrepare' | 'network' | 'repo'
+export type FailureKind = 'npmTooOld' | 'dshMissing' | 'pnpmMissing' | 'pnpmStore' | 'pnpmPolicy' | 'pnpmIgnoredBuild' | 'pluginPrepare' | 'network' | 'repo'
 
 /**
  * 失败归类，七态。无论底层机制如何（pnpm 白名单拦截 / 构建脚本被忽略 / prepare 失败），
@@ -167,6 +167,15 @@ export type FailureKind = 'npmTooOld' | 'dshMissing' | 'pnpmMissing' | 'pnpmIgno
  *   「pnpm: command not found」/ spawn ENOENT）—— 本机缺 pnpm（dsh 用 pnpm 管理 profile 插件），
  *   不是插件问题（dsh-plugin-hub#13：Linux 下 `dsh: pnpm not found on PATH` 被误归插件侧失败）
  *   → 提示安装/开启 pnpm，不引导提 Issue
+ * - pnpmStore：pnpm 存在但报 store 位置不匹配（`ERR_PNPM_UNEXPECTED_STORE` / `Unexpected store
+ *   location`）—— profile 目录的 node_modules 是用不同大版本的 pnpm 生成的，当前 pnpm 不认，
+ *   任何插件装进该 profile 都会失败；不是插件问题（dsh-plugin-hub#14：macOS 下
+ *   `ERR_PNPM_UNEXPECTED_STORE` 被误归插件侧失败）→ 提示清理 profile 依赖目录重建，不引导提 Issue
+ * - pnpmPolicy：pnpm 11 的供应链安全策略拒绝安装（`ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION` /
+ *   `Minimum release age` —— 锁文件里包的发布时间太近被拒；`untrusted origin` —— 依赖来源未被
+ *   本机 pnpm 信任）。拦的是「发布太新的包」与「未被信任的来源」，装任何新插件都会撞墙，不是
+ *   插件问题（dsh-plugin-hub#15/#16：用户装官方 dsh-plugin 也被这两类策略拦下并误归插件侧失败）
+ *   → 提示在 pnpm 配置里豁免该策略（如 `minimumReleaseAge: 0`）或等发布冷却后重试，不引导提 Issue
  * - network：安装前连通性预检拦截（服务端 `[network]` 标记）或底层连接失败
  *   （ERR_PNPM_GIT_FETCH_FAILED / ETIMEDOUT / DNS 解析 / TLS 握手 / 代理拒绝）——
  *   是本机网络不通/被墙/代理有问题，不是插件问题 → 提示检查网络，不引导提 Issue
@@ -196,6 +205,17 @@ export function classifyFailure(message: string): FailureKind {
   // 否则会被外层 "Command failed" 吞成「插件打包问题」，误导用户去提 Issue
   // （dsh-plugin-hub#12：Win 下 'dsh' 不在 PATH，cmd 报「不是内部或外部命令」被误归插件侧失败）
   if (/\[dsh-missing\]|不是内部或外部命令|is not recognized as an internal or external command|command not found|spawn dsh ENOENT/i.test(message)) return 'dshMissing'
+  // pnpm 大版本不一致（ERR_PNPM_UNEXPECTED_STORE / Unexpected store location）：profile 目录里
+  // 旧依赖是另一个大版本 pnpm 生成的，当前 pnpm 出于安全不认旧 store —— 本机环境问题，
+  // 任何插件装进该 profile 都会同样失败，不是插件问题（dsh-plugin-hub#14：macOS 下
+  // `ERR_PNPM_UNEXPECTED_STORE` 被误归插件侧失败）；提示清理依赖目录用当前 pnpm 重建，
+  // 不引导提 Issue。必须在 pnpmMissing 之后 —— pnpm 在（能跑起来报错），不是「找不到命令」。
+  if (/ERR_PNPM_UNEXPECTED_STORE|Unexpected store location/i.test(message)) return 'pnpmStore'
+  // pnpm 供应链安全策略拦截（pnpm 11：minimumReleaseAge 拒收「发布太新」的包 /
+  // untrusted origin 来源不受信任）：pnpm 在、也连得上，纯粹是本机策略不放行 ——
+  // 装任何「新发布/非信任来源」的插件都会同样失败，不是插件问题（dsh-plugin-hub#15/#16）。
+  // 必须在 pnpmIgnoredBuild 之前 —— 该策略优先于「构建脚本被白名单拦截」，且两者都不引导提 Issue。
+  if (/ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION|Minimum release age|untrusted origin/i.test(message)) return 'pnpmPolicy'
   // 构建脚本被 pnpm 白名单（allowBuilds）拦截：插件的 prepare 脚本或依赖里的原生模块构建
   // 被默认拒绝（ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED / ERR_PNPM_IGNORED_BUILDS）。
   // 这类错误出现即说明 pnpm 已成功 fetch 到 tarball（网络是通的），主因是插件构建脚本

package/src/client/logic/urls.ts

@@ -42,6 +42,8 @@ function reasonTitleOf(kind: FailureKind): string {
     case 'npmTooOld': return 'npm too old to install'
     case 'dshMissing': return 'dsh command not found on the user machine'
     case 'pnpmMissing': return 'pnpm command not found on the user machine'
+    case 'pnpmStore': return 'pnpm store version mismatch on the user machine'
+    case 'pnpmPolicy': return 'pnpm supply-chain policy blocked the install on the user machine'
     case 'pnpmIgnoredBuild': return 'build scripts blocked by pnpm allowlist'
     case 'pluginPrepare': return 'plugin distribution incomplete'
     case 'network': return 'network failure on the user side'
@@ -73,7 +75,9 @@ export function pluginIssueUrl(repo: string, message: string, env?: EnvInfo | nu
           ? 'plugin prepare/build script failed during install (packaging/distribution issue)'
           : kind === 'pnpmIgnoredBuild'
             ? 'plugin depends on a native module whose build script pnpm blocks by default (use a prebuilt variant)'
-            : 'plugin-side install failure'
+            : kind === 'pnpmPolicy'
+              ? 'the pnpm supply-chain policy on the user machine blocked the install (minimum release age for freshly published packages / untrusted origin)'
+              : 'plugin-side install failure'
   const code = coreErrorCode(message)
   // 按给定核心摘要预算构建完整预填 URL（含 URL 编码）；预算可调，供超长时逐档缩小
   const build = (coreChars: number): string => {
@@ -110,9 +114,16 @@ export function pluginIssueUrl(repo: string, message: string, env?: EnvInfo | nu
           `- DSH: ${env.dshVersion ? `v${env.dshVersion}` : 'unknown'}`,
           `- Plugin Hub: v${PLUGIN_VERSION}`,
           `- Node: ${env.nodeVersion}`,
+          // 工具链版本：pnpm/npm/git —— 排查 ERR_PNPM_UNEXPECTED_STORE（store 大版本不匹配）
+          // 这类环境问题，作者一眼就能对号入座；探测不到如实写 unknown
+          `- pnpm: ${env.pnpmVersion ? `v${env.pnpmVersion}` : 'unknown'}`,
+          `- npm: ${env.npmVersion ? `v${env.npmVersion}` : 'unknown'}`,
+          `- git: ${env.gitVersion ? `v${env.gitVersion}` : 'unknown'}`,
           `- OS: ${env.platform} ${env.arch} (${env.release})`,
           `- Profile: \`${env.profile}\``,
           `- DSH Home: \`${env.dshHome}\``,
+          // 完整安装日志所在（正文受 URL 长度限制只能带摘要，完整日志在 hub.log，可复制/附加给作者）
+          `- Full log: \`~/.dsh/profiles/${env.profile}/hub.log\` (paste or attach for the full output)`,
         ]
         : []),
       // 该插件在插件中心的收录位置（详情页链接）

package/src/client/types.ts

@@ -87,6 +87,12 @@ export interface ToastState {
 export interface EnvInfo {
   dshVersion: string | null
   nodeVersion: string
+  /** 本机 pnpm 版本（pnpm --version 首行；缺失返回 null）—— 排查 ERR_PNPM_UNEXPECTED_STORE 等 pnpm 环境问题 */
+  pnpmVersion: string | null
+  /** 本机 npm 版本（npm --version 首行；缺失返回 null） */
+  npmVersion: string | null
+  /** 本机 git 版本（git --version 首行；缺失返回 null） */
+  gitVersion: string | null
   platform: string
   arch: string
   release: string

package/src/server/http/routes.ts

@@ -12,7 +12,7 @@ import { mkdirSync, readFileSync, writeFileSync } from 'node:fs'
 import type { IncomingMessage, ServerResponse } from 'node:http'
 import { homedir, release } from 'node:os'
 import { dirname, join, resolve } from 'node:path'
-import { spawn } from 'node:child_process'
+import { spawn, spawnSync } from 'node:child_process'
 import { fetchViaCurl, gitLsRemote, probeUrl, systemProxy } from '../services/probe.ts'
 import { activeTask, cancelTask, dumpLoaderEntries, getTask, githubRepoOf, githubTarget, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, listPendingRestarts, readProfileArg, startPluginMutation, validPackageName, type LoaderHandle } from '../services/install/install.ts'
 import { recordInstalledVersion, recordResolvedNpmPackage, readInstalledVersions, removeInstalledVersion } from '../services/profile/installed-versions.ts'
@@ -149,8 +149,12 @@ export function readInstalled(profile: string): Record<string, string> {
   }
 }
 
-/** 宿主 dsh CLI 版本：从入口（process.argv[1]）向上找最近的 dsh/harness 相关 package.json；找不到返回 null。 */
+/** 宿主 dsh CLI 版本：优先直接跑 `dsh --version`（与 pnpm/npm/git 同款同步探测，1500ms 超时兜底，
+ *  绝不挂起）—— 原先从 process.argv[1] 向上找 package.json 猜版本在部分宿主加载方式下取不到，
+ *  导致 issue 环境快照 DSH: unknown；拿不到再退回入口 package.json 查找（dsh 不在 PATH 时兜底）。 */
 function hostDshVersion(): string | null {
+  const viaCli = toolVersion('dsh', ['--version'])
+  if (viaCli) return viaCli
   const entry = process.argv[1]
   if (entry === undefined) return null
   let dir = dirname(resolve(entry))
@@ -171,11 +175,28 @@ function hostDshVersion(): string | null {
   return null
 }
 
+/** 探测命令行工具的版本号（pnpm --version / npm --version / git --version）：
+ *  未安装 / 不在 PATH / 超时一律返回 null —— issue 环境快照如实写 unknown，绝不挂起。
+ *  （同步探测仅用于启动期/请求期的低频率 /env 快照，安装通道不经过这里。） */
+function toolVersion(cmd: string, args: string[]): string | null {
+  try {
+    const r = spawnSync(cmd, args, { timeout: 1500, encoding: 'utf8' })
+    if (r.error || r.status !== 0) return null
+    const v = (r.stdout ?? '').trim().split(/\r?\n/)[0]
+    return v || null
+  } catch {
+    return null
+  }
+}
+
 /** 宿主环境快照：提交 bug 时随 issue 附上，便于作者复现（前端 /env 端点返回）。 */
 function hostEnv(profile: string): Record<string, string | null> {
   return {
     dshVersion: hostDshVersion(),
     nodeVersion: process.version,
+    pnpmVersion: toolVersion('pnpm', ['--version']),
+    npmVersion: toolVersion('npm', ['--version']),
+    gitVersion: toolVersion('git', ['--version']),
     platform: process.platform,
     arch: process.arch,
     release: release(),