dsh-plugin 1.4.5 → 1.4.7

package/lib/http/routes.js

@@ -84,12 +84,13 @@ const CATALOG_CACHE_TTL_MS = 60 * 60 * 1000;
 function catalogCacheFile(profile, key) {
     return join(profileDirectory(profile), 'cache', `catalog-${key}.json`);
 }
-/** 读缓存：文件存在、JSON 合法、未过期 → 返回原始响应字符串；否则 null（视为 miss）。 */
-function readCatalogCache(file) {
+/** 读缓存：文件存在、JSON 合法、未超过 maxAgeMs → 返回原始响应字符串；否则 null（视为 miss）。
+ *  maxAgeMs 传 Infinity 即「任意年龄的缓存」，供实时拉取失败时兜底使用。 */
+function readCatalogCache(file, maxAgeMs) {
     try {
         const entry = JSON.parse(readFileSync(file, 'utf8'));
         if (entry && typeof entry.at === 'number' && typeof entry.body === 'string'
-            && Date.now() - entry.at < CATALOG_CACHE_TTL_MS) {
+            && Date.now() - entry.at < maxAgeMs) {
             return entry.body;
         }
     }
@@ -563,8 +564,16 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                         ? await gitLsRemote(c.url, c.proxy ?? effectiveProxy, 6000)
                         : await probe(c.url, c.proxy);
                     results.push({ key: c.key, ok: r.ok });
-                    // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码
-                    send({ type: r.ok ? 'ok' : 'fail', key: c.key, display: c.display, ms: r.ms, status: c.git ? null : r.status });
+                    // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码。
+                    // reason 透出失败细分原因（如 Windows 证书吊销受阻），客户端据此给对症提示而非笼统「不可达」。
+                    send({
+                        type: r.ok ? 'ok' : 'fail',
+                        key: c.key,
+                        display: c.display,
+                        ms: r.ms,
+                        status: c.git ? null : r.status,
+                        reason: r.ok ? null : (r.reason ?? null),
+                    });
                 }
                 send({ type: 'end', at: Date.now() });
                 response.end();
@@ -609,9 +618,10 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     sendJson(response, 200, { ok: false, ms: null, status: null, target, reason: 'empty' });
                     return;
                 }
-                // 探测走该代理本身（不是 effectiveProxy）：验证的就是用户填的这个地址
+                // 探测走该代理本身（不是 effectiveProxy）：验证的就是用户填的这个地址。
+                // reason 带上失败细分原因（如证书吊销受阻），设置页才能提示「不是代理地址的问题」。
                 const r = await probeUrl(target, proxy, 6000);
-                sendJson(response, 200, { ok: r.ok, ms: r.ms, status: r.status, target });
+                sendJson(response, 200, { ok: r.ok, ms: r.ms, status: r.status, target, reason: r.reason ?? null });
             },
         }),
         webServer.register({
@@ -636,7 +646,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     : `https://api.dsh-plugin.org/plugins.${lang}.json`;
                 // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程
                 const cacheFile = catalogCacheFile(profile, isStats ? 'stats' : `plugins-${lang}`);
-                const cached = readCatalogCache(cacheFile);
+                const cached = readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS);
                 if (cached !== null) {
                     try {
                         sendJson(response, 200, JSON.parse(cached));
@@ -648,6 +658,18 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                 }
                 const r = await fetchViaCurl(target, proxy, 20000);
                 if (!r.ok || r.body === '') {
+                    // 实时拉取失败：退回任意年龄的本地缓存（上次成功数据），
+                    // 避免证书吊销受阻 / 网络抖动时整个插件市场打不开 —— 数据可能过期，但好过空白。
+                    const stale = readCatalogCache(cacheFile, Number.POSITIVE_INFINITY);
+                    if (stale !== null) {
+                        try {
+                            sendJson(response, 200, JSON.parse(stale));
+                            return;
+                        }
+                        catch {
+                            // 兜底缓存也损坏：落到下面的 502
+                        }
+                    }
                     sendJson(response, 502, { error: 'catalog fetch failed' });
                     return;
                 }

package/lib/services/probe.js

@@ -14,6 +14,38 @@
  */
 import { spawn, spawnSync } from 'node:child_process';
 const probeFail = () => ({ ok: false, ms: null, status: null });
+/**
+ * Windows 的 curl 走 Schannel 做 TLS：握手阶段强制获取证书吊销信息（CRL/OCSP），
+ * 代理受限或吊销服务不可达时整个握手直接失败（CRYPT_E_NO_REVOCATION_CHECK），
+ * 表现为 `curl: (35) schannel: next InitializeSecurityContext failed` —— 而 Node/npm/
+ * 浏览器各有自己的 TLS 实现，照常可用，用户只会看到「插件市场打不开」。
+ * --ssl-revoke-best-effort（curl ≥ 7.70）把吊销检查降级为尽力而为，握手不再被它拦死；
+ * 其它平台后端（SecureTransport / OpenSSL）没有这个强制行为，不加参数。
+ * 运行时读 process.platform（而非模块级常量），便于测试覆盖两条分支。
+ */
+export function curlTlsArgs() {
+    return process.platform === 'win32' ? ['--ssl-revoke-best-effort'] : [];
+}
+/** 本机 curl 太老、不认识 --ssl-revoke-best-effort（curl < 7.70）：退出码 2 + stderr 指向该参数。 */
+export function curlRevokeFlagUnsupported(code, stderr) {
+    return code === 2 && /ssl-revoke-best-effort/i.test(stderr) && /unknown|unrecognized/i.test(stderr);
+}
+/** stderr 是否指向 Schannel 取不到证书吊销信息（据此归因为环境 TLS 问题，而非网络不通）。 */
+export function tlsRevocationBlocked(stderr) {
+    return /CRYPT_E_NO_REVOCATION_CHECK|CRYPT_E_REVOCATION_OFFLINE|0x80092012/i.test(stderr);
+}
+/** 探测/安装同一套代理口径：curl 与 git 子进程都读 HTTP(S)_PROXY 环境变量。 */
+function proxyEnv(proxy) {
+    if (proxy === '')
+        return { ...process.env };
+    return {
+        ...process.env,
+        HTTP_PROXY: proxy,
+        HTTPS_PROXY: proxy,
+        http_proxy: proxy,
+        https_proxy: proxy,
+    };
+}
 /** macOS 系统代理：scutil --proxy 输出里的 HTTP(S) 代理；未开启返回 null。 */
 function macSystemProxy() {
     try {
@@ -69,46 +101,65 @@ export function systemProxy() {
         return winSystemProxy();
     return null;
 }
-/**
- * curl 子进程探测：spawn curl -s -w '%{http_code}' 并注入代理 env。
- * curl 读 HTTP_PROXY/HTTPS_PROXY 是原生行为，与 pnpm/git 安装通道同一套代理口径；
- * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
- */
-function curlProbe(url, proxy, timeoutMs) {
+/** 跑一次 curl 子进程，收集 stdout 与 stderr（stderr 是识别 Schannel 类 TLS 失败的唯一线索）。 */
+function runCurl(args, env, timeoutMs) {
     return new Promise((resolve) => {
-        const started = Date.now();
-        const env = { ...process.env };
-        if (proxy !== '') {
-            env.HTTP_PROXY = proxy;
-            env.HTTPS_PROXY = proxy;
-            env.http_proxy = proxy;
-            env.https_proxy = proxy;
-        }
-        const discard = process.platform === 'win32' ? 'NUL' : '/dev/null';
-        const child = spawn('curl', [
-            '-s', '-o', discard, '-w', '%{http_code}',
-            '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
-            url,
-        ], { env });
-        let code = '';
-        child.stdout.on('data', (c) => { code += c.toString(); });
+        let stdout = '';
+        let stderr = '';
         let done = false;
-        const finish = (r) => {
+        const finish = (code) => {
             if (done)
                 return;
             done = true;
             clearTimeout(timer);
-            resolve(r);
+            resolve({ code, stdout, stderr });
         };
-        child.on('error', () => finish(probeFail()));
-        child.on('close', () => {
-            const status = /^\d+$/.test(code.trim()) ? Number(code.trim()) : null;
-            finish({ ok: status !== null && status >= 100 && status < 400, ms: Date.now() - started, status });
-        });
+        const child = spawn('curl', args, { env });
+        child.stdout.on('data', (c) => { stdout += c.toString(); });
+        child.stderr.on('data', (c) => { stderr += c.toString(); });
+        child.on('error', () => finish(null));
+        child.on('close', (code) => finish(code));
         // 超时兜底：curl --max-time 到点自行退出，此处再设一个进程级超时防止悬挂
-        const timer = setTimeout(() => { child.kill(); finish(probeFail()); }, timeoutMs + 1000);
+        const timer = setTimeout(() => { child.kill(); finish(null); }, timeoutMs + 1000);
     });
 }
+/** 带 TLS 兜底的 curl 调用：先按平台参数跑（Windows 带吊销检查降级），
+ *  若本机 curl 不认这个参数（curl < 7.70）则去掉参数重跑一次，保证老版本不因此直接失败。 */
+async function curlWithTlsFallback(args, env, timeoutMs) {
+    const tlsArgs = curlTlsArgs();
+    const first = await runCurl([...tlsArgs, ...args], env, timeoutMs);
+    if (tlsArgs.length === 0 || !curlRevokeFlagUnsupported(first.code, first.stderr))
+        return first;
+    return runCurl(args, env, timeoutMs);
+}
+/**
+ * curl 子进程探测：spawn curl -s -w '%{http_code}' 并注入代理 env。
+ * curl 读 HTTP_PROXY/HTTPS_PROXY 是原生行为，与 pnpm/git 安装通道同一套代理口径；
+ * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
+ * 证书吊销检查受阻（Windows Schannel）另记 reason，供诊断给出对症提示。
+ */
+async function curlProbe(url, proxy, timeoutMs) {
+    const started = Date.now();
+    const discard = process.platform === 'win32' ? 'NUL' : '/dev/null';
+    // -sS（而非仅 -s）：silent 会把连接/TLS 错误一并吞掉，而识别证书吊销受阻正需要 stderr；
+    // 子进程 stderr 由我们收集、不会回显给用户，所以补 -S 不产生噪音。
+    const r = await curlWithTlsFallback([
+        '-sS', '-o', discard, '-w', '%{http_code}',
+        '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
+        url,
+    ], proxyEnv(proxy), timeoutMs);
+    // 子进程没起来 / 超时被杀：没有任何可诊断信息，按不可达处理
+    if (r.code === null)
+        return probeFail();
+    const status = /^\d+$/.test(r.stdout.trim()) ? Number(r.stdout.trim()) : null;
+    const ok = status !== null && status >= 100 && status < 400;
+    return {
+        ok,
+        ms: Date.now() - started,
+        status,
+        reason: !ok && tlsRevocationBlocked(r.stderr) ? 'tlsRevocation' : null,
+    };
+}
 /**
  * 探测一个 HTTPS 目标：proxy 非空注入给 curl 子进程走代理，否则直连。
  * 供系统诊断 /diagnostics 使用；目标 URL 非法返回不可达。
@@ -136,13 +187,7 @@ export function probeUrl(url, proxy, timeoutMs) {
 export function gitLsRemote(url, proxy, timeoutMs) {
     return new Promise((resolve) => {
         const started = Date.now();
-        const env = { ...process.env, GIT_TERMINAL_PROMPT: '0' };
-        if (proxy !== '') {
-            env.HTTP_PROXY = proxy;
-            env.HTTPS_PROXY = proxy;
-            env.http_proxy = proxy;
-            env.https_proxy = proxy;
-        }
+        const env = { ...proxyEnv(proxy), GIT_TERMINAL_PROMPT: '0' };
         const child = spawn('git', ['ls-remote', '--exit-code', url, 'HEAD'], { env });
         let out = '';
         child.stdout.on('data', (c) => { out += c.toString(); });
@@ -167,34 +212,18 @@ export function gitLsRemote(url, proxy, timeoutMs) {
     });
 }
 /**
- * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入）。
+ * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，
  * 使「目录数据请求走设置里的代理」与 npm / git 安装通道口径一致。
- * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错。
+ * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错；
+ * reason 区分「证书吊销受阻」这类环境 TLS 问题，供调用方决定兜底策略。
  */
 export function fetchViaCurl(url, proxy, timeoutMs) {
-    return new Promise((resolve) => {
-        const env = { ...process.env };
-        if (proxy !== '') {
-            env.HTTP_PROXY = proxy;
-            env.HTTPS_PROXY = proxy;
-            env.http_proxy = proxy;
-            env.https_proxy = proxy;
-        }
-        const child = spawn('curl', ['-s', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url], { env });
-        let body = '';
-        child.stdout.on('data', (c) => { body += c.toString(); });
-        let done = false;
-        const finish = (ok) => {
-            if (done)
-                return;
-            done = true;
-            clearTimeout(timer);
-            resolve({ ok, body });
-        };
-        child.on('error', () => finish(false));
-        child.on('close', (code) => finish(code === 0));
-        // 超时兜底：curl --max-time 到点自行退出，此处再设一个进程级超时防止悬挂
-        const timer = setTimeout(() => { child.kill(); finish(false); }, timeoutMs + 1000);
-    });
+    // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）
+    const args = ['-sS', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url];
+    return curlWithTlsFallback(args, proxyEnv(proxy), timeoutMs).then((r) => ({
+        ok: r.code === 0,
+        body: r.stdout,
+        reason: r.code !== 0 && tlsRevocationBlocked(r.stderr) ? 'tlsRevocation' : null,
+    }));
 }

package/lib/types/services/probe.d.ts

@@ -5,7 +5,28 @@ export interface ProbeResult {
     ms: number | null;
     /** HTTP 状态码；失败为 null */
     status: number | null;
+    /** 失败细分原因：仅当能确认为环境侧 TLS 问题时才有值，普通不可达为 null */
+    reason?: ProbeFailReason | null;
 }
+/**
+ * 不可达的细分原因。把「证书吊销检查被挡」这类本机环境问题与「网络不通」分开，
+ * 诊断列表才能给出对症提示，而不是笼统显示不可达。
+ */
+export type ProbeFailReason = 'tlsRevocation';
+/**
+ * Windows 的 curl 走 Schannel 做 TLS：握手阶段强制获取证书吊销信息（CRL/OCSP），
+ * 代理受限或吊销服务不可达时整个握手直接失败（CRYPT_E_NO_REVOCATION_CHECK），
+ * 表现为 `curl: (35) schannel: next InitializeSecurityContext failed` —— 而 Node/npm/
+ * 浏览器各有自己的 TLS 实现，照常可用，用户只会看到「插件市场打不开」。
+ * --ssl-revoke-best-effort（curl ≥ 7.70）把吊销检查降级为尽力而为，握手不再被它拦死；
+ * 其它平台后端（SecureTransport / OpenSSL）没有这个强制行为，不加参数。
+ * 运行时读 process.platform（而非模块级常量），便于测试覆盖两条分支。
+ */
+export declare function curlTlsArgs(): string[];
+/** 本机 curl 太老、不认识 --ssl-revoke-best-effort（curl < 7.70）：退出码 2 + stderr 指向该参数。 */
+export declare function curlRevokeFlagUnsupported(code: number | null, stderr: string): boolean;
+/** stderr 是否指向 Schannel 取不到证书吊销信息（据此归因为环境 TLS 问题，而非网络不通）。 */
+export declare function tlsRevocationBlocked(stderr: string): boolean;
 /**
  * 操作系统级代理（macOS 系统网络设置 / Windows Internet 设置）。
  * Node 内置 http(s) 不读系统代理，浏览器挂的代理 Node 看不见 —— 这里读出来
@@ -30,12 +51,14 @@ export declare function probeUrl(url: string, proxy: string, timeoutMs: number):
  */
 export declare function gitLsRemote(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult>;
 /**
- * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入）。
+ * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，
  * 使「目录数据请求走设置里的代理」与 npm / git 安装通道口径一致。
- * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错。
+ * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错；
+ * reason 区分「证书吊销受阻」这类环境 TLS 问题，供调用方决定兜底策略。
  */
 export declare function fetchViaCurl(url: string, proxy: string, timeoutMs: number): Promise<{
     ok: boolean;
     body: string;
+    reason: ProbeFailReason | null;
 }>;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.4.5",
+  "version": "1.4.7",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 9000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：9000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/modals/NotificationsModal.tsx

@@ -318,6 +318,11 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                       // 占用、只读属性、目录 ACL 或杀软拦截 —— 给退出宿主 + 检查权限的指引，不引导提 Issue（#50）
                       return h('div', { className: styles.failPrepareHint }, t('failAccessDeniedHint'))
                     }
+                    if (kind === 'fsUnavailable') {
+                      // 本机磁盘写不进去（ENOSPC / EROFS / EMFILE 及 Windows os error 112、19）：
+                      // 空间不足、盘只读、句柄耗尽，任何插件都装不进来 —— 按子场景给指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failFsUnavailableHint'))
+                    }
                     if (kind === 'network') {
                       // 安装前预检 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
                       // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，

package/src/client/components/modals/modals.tsx

@@ -429,6 +429,10 @@ export function ErrorModal({ message, repo, kind, command, attempts, t, env, onC
               // profile 里的文件被系统拒绝写入（Windows os error 5「拒绝访问」/ EPERM / EACCES）：
               // 占用、只读属性、目录 ACL 或杀软拦截 —— 同样给退出宿主/检查权限的指引，不引导提 Issue（#50）
               ? h('div', { className: styles.failPrepareHint }, t('failAccessDeniedHint'))
+              : failureKind === 'fsUnavailable'
+              // 本机磁盘写不进去（ENOSPC / EROFS / EMFILE 及 Windows os error 112、19）：
+              // 空间不足、盘只读、句柄耗尽，任何插件都装不进来 —— 按子场景给指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failFsUnavailableHint'))
               : failureKind === 'network'
               // 安装前预检 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
               // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，

package/src/client/components/views/DiagnosticsView.tsx

@@ -37,6 +37,8 @@ interface RowState {
   status: 'idle' | 'running' | 'ok' | 'fail'
   ms: number | null
   statusCode: number | null
+  /** 失败细分原因：'tlsRevocation' = 证书吊销检查受阻（本机 TLS 环境问题，不是网络不通） */
+  reason?: string | null
 }
 
 const INITIAL_ROWS: RowState[] = [
@@ -74,7 +76,7 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
     runningRef.current?.abort()
     const controller = new AbortController()
     runningRef.current = controller
-    patchRows(key, { status: 'running', ms: null, statusCode: null })
+    patchRows(key, { status: 'running', ms: null, statusCode: null, reason: null })
 
     void (async () => {
       try {
@@ -98,7 +100,7 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
             const raw = buf.slice(0, nl).trim()
             buf = buf.slice(nl + 1)
             if (raw !== '') {
-              const ev = JSON.parse(raw) as { type?: string; key?: string; ms?: number | null; status?: number | null; display?: string }
+              const ev = JSON.parse(raw) as { type?: string; key?: string; ms?: number | null; status?: number | null; display?: string; reason?: string | null }
               if (ev.type === 'ok' || ev.type === 'fail') {
                 patchRows(ev.key as ProbeKey, {
                   status: ev.type === 'ok' ? 'ok' : 'fail',
@@ -106,6 +108,8 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
                   statusCode: typeof ev.status === 'number' ? ev.status : null,
                   // 服务端带出实际使用的源地址（配置镜像 → 镜像地址；未配置 → 空串）
                   display: typeof ev.display === 'string' ? ev.display : '',
+                  // 失败细分原因：证书吊销受阻时给对症提示，而非笼统「不可达」
+                  reason: typeof ev.reason === 'string' ? ev.reason : null,
                 })
               }
             }
@@ -155,13 +159,16 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
       }, t('diagRunAll')),
     ),
     rows.map((r) => {
+      // 证书吊销检查受阻：badge 与悬浮提示都换成对症文案，避免用户朝「网络不通」方向排查
+      const revokeBlocked = r.status === 'fail' && r.reason === 'tlsRevocation'
       const badge = r.status === 'running'
         ? h('span', { className: `${styles.badge} ${styles.badgeRunning}` }, t('diagChecking'))
         : r.status === 'ok'
           ? h('span', { className: `${styles.badge} ${styles.badgeOk}` },
             r.statusCode !== null ? `HTTP ${r.statusCode} ${t('diagOk')}` : t('diagOk'))
           : r.status === 'fail'
-            ? h('span', { className: `${styles.badge} ${styles.badgeFail}` }, t('settingsDiagFail'))
+            ? h('span', { className: `${styles.badge} ${styles.badgeFail}` },
+              revokeBlocked ? t('diagFailRevocation') : t('settingsDiagFail'))
             : h('span', { className: `${styles.badge} ${styles.badgeIdle}` }, t('diagIdle'))
       return h('button', {
         key: r.key,
@@ -169,7 +176,7 @@ export function DiagnosticsView({ t, env, proxy, onCopy }: {
         className: styles.row,
         disabled: r.status === 'running',
         onClick: () => run(r.key),
-        title: t('diagRecheck'),
+        title: revokeBlocked ? t('diagFailRevocationHint') : t('diagRecheck'),
       },
         h('span', { className: styles.name }, t(r.nameKey)),
         // npm 行未配置镜像：display 为空 → 显示「未配置（跟随本机）」，不误导成官方源；

package/src/client/components/views/SettingsView.tsx

@@ -94,6 +94,8 @@ export function SettingsView({ t, settings, update, reset, env, onCopy, openSect
   // —— HTTP 代理连通性：输入停笔后防抖实时探测（服务端 /proxy-check 用该代理打 github.com）。
   // 结果只作提示、绝不阻断保存 —— 用户可能是先填地址后开代理，保存后再去开代理完全合法。
   const [proxyProbe, setProxyProbe] = useState<'idle' | 'checking' | 'ok' | 'fail'>('idle')
+  // 失败细分原因（如 'tlsRevocation'）：证书吊销受阻时提示「不是代理地址不通」，避免误导排查方向
+  const [proxyProbeReason, setProxyProbeReason] = useState<string | null>(null)
   const proxyProbeTimer = useRef<number | null>(null)
   const proxyProbeSeq = useRef(0)
   // 卸载时清掉未触发的防抖计时器，避免卸载后 setState
@@ -103,25 +105,31 @@ export function SettingsView({ t, settings, update, reset, env, onCopy, openSect
   }, [])
   // 设置被外部重置（恢复默认/清空代理）时同步清掉探测状态，避免残留过期的「不通」提示
   useEffect(() => {
-    if (settings.proxy === '') setProxyProbe('idle')
+    if (settings.proxy === '') { setProxyProbe('idle'); setProxyProbeReason(null) }
   }, [settings.proxy])
 
   const probeProxyNow = (value: string) => {
     const v = value.trim()
-    if (v === '') { setProxyProbe('idle'); return }
+    if (v === '') { setProxyProbe('idle'); setProxyProbeReason(null); return }
     const seq = ++proxyProbeSeq.current
     setProxyProbe('checking')
+    setProxyProbeReason(null)
     void fetch('/dsh-plugin-hub/proxy-check', {
       method: 'POST',
       headers: { 'content-type': 'application/json' },
       body: JSON.stringify({ proxy: v }),
       cache: 'no-store',
     }).then((res) => res.json())
-      .then((data: { ok?: boolean }) => {
+      .then((data: { ok?: boolean; reason?: string | null }) => {
         if (seq !== proxyProbeSeq.current) return
         setProxyProbe(data.ok ? 'ok' : 'fail')
+        setProxyProbeReason(typeof data.reason === 'string' ? data.reason : null)
+      })
+      .catch(() => {
+        if (seq !== proxyProbeSeq.current) return
+        setProxyProbe('fail')
+        setProxyProbeReason(null)
       })
-      .catch(() => { if (seq === proxyProbeSeq.current) setProxyProbe('fail') })
   }
 
   const onProxyChange = (e: ChangeEvent<HTMLInputElement>) => {
@@ -191,7 +199,8 @@ export function SettingsView({ t, settings, update, reset, env, onCopy, openSect
           : proxyProbe === 'ok'
             ? h('div', { className: `${styles.proxyHint} ${styles.proxyHintOk}` }, t('proxyCheckOk'))
             : proxyProbe === 'fail'
-              ? h('div', { className: `${styles.proxyHint} ${styles.proxyHintFail}` }, t('proxyCheckFail'))
+              ? h('div', { className: `${styles.proxyHint} ${styles.proxyHintFail}` },
+                proxyProbeReason === 'tlsRevocation' ? t('proxyCheckRevocation') : t('proxyCheckFail'))
               : null,
       ),
     }),

package/src/client/locales.ts

@@ -116,6 +116,8 @@ export const zh = {
   proxyCheckChecking: '正在测试该代理地址…',
   proxyCheckOk: '测试可达，安装与目录请求将统一走该代理',
   proxyCheckFail: '此地址测试不通，仍可保存；请确认代理已开启、地址与端口无误',
+  // 失败细分原因：Windows Schannel 必须取到证书吊销信息，取不到即中断握手 —— 不是代理地址不通
+  proxyCheckRevocation: '证书吊销检查受阻（Windows Schannel 取不到 CRL/OCSP），握手被中断；属本机 TLS 环境问题，非代理地址不通',
   settingsMirror: 'npm 镜像源',
   settingsMirrorDesc: '默认跟随本机 npm 配置；官方源慢可换国内镜像',
   mirrorNone: '未配置（跟随本机 npm 配置）',
@@ -203,6 +205,9 @@ export const zh = {
   diagSummaryRunning: '正在检测通道…',
   diagSummaryOk: '全部通道正常',
   diagSummaryFail: '存在不可达通道，点击对应行可重测',
+  // 失败细分原因：Windows Schannel 必须取到证书吊销信息才能握手，取不到即中断（易被误当成网络不通）
+  diagFailRevocation: '证书校验受阻',
+  diagFailRevocationHint: '系统 curl 取不到证书吊销信息（Windows Schannel 必需 CRL/OCSP），TLS 握手被中断 —— 这不是网络不通，npm/git 可能照常可用。升级 curl 到 7.70+ 可自动按「尽力而为」处理，或换一个能访问吊销服务的网络。',
   settingsEnvSnapshot: '系统版本',
   settingsEnvSnapshotDesc: '复制宿主版本与系统信息，提交 Issue 时粘贴到正文便于复现',
   settingsEnvCopy: '复制',
@@ -320,6 +325,7 @@ export const zh = {
   failPnpmUnusedPatchHint: '安装器调用 pnpm 时报「有些补丁没有被使用」（ERR_PNPM_UNUSED_PATCH）：你的 profile 里留着一条指向旧版本 dsh-plugin 的补丁声明（例如 dsh-plugin@1.4.2），而本次安装解析到的版本已经不是它，pnpm 出于安全直接中止整次安装，因此任何插件都装不进来。这不是插件本身的问题——请在 profile 目录（~/.dsh/profiles/<profile>）的 pnpm-workspace.yaml（pnpm 11 及以上）或 package.json 的 pnpm.patchedDependencies（pnpm 10）里删除该 dsh-plugin 补丁条目后重试。',
   failFileLockedHint: '安装过程中 pnpm 无法替换 profile 里的文件：有程序正占用着它（Windows 常见报错 os error 32「另一个程序正在使用此文件」）。通常是 DeepSeek Harness 自身或杀毒软件的实时扫描持有文件句柄。这不是插件本身的问题——请完全退出 DeepSeek Harness（Windows 可在任务管理器确认进程已结束，必要时临时关闭杀毒软件实时防护）后重试。',
   failAccessDeniedHint: '安装过程中 pnpm 写入 profile 里的文件被系统拒绝访问（Windows 常见报错 os error 5「拒绝访问」，英文为 Access is denied；Node 下的 EPERM / EACCES 同理）。常见原因是该文件或目录正被其他进程占用、文件带只读属性、目录权限受限，或杀毒软件实时防护拦截了写入——这与「文件正被占用」（os error 32）同属本机文件系统问题，任何插件装进该目录都会一样失败，不是插件本身的问题。请完全退出 DeepSeek Harness（Windows 可在任务管理器确认进程已结束，必要时临时关闭杀毒软件实时防护）后重试；若仍然失败，请检查 profile 目录及其文件是否被设为只读，并以管理员身份重新运行。',
+  failFsUnavailableHint: '安装过程中 pnpm 无法把文件写进本机磁盘（这类报错与装哪个插件无关，任何插件装在同一目录都会失败，不是插件本身的问题）。请按报错对号入座：① 磁盘空间不足（ENOSPC / no space left on device，Windows 为 os error 112）——请清理 profile 所在磁盘的剩余空间后重试；② 磁盘或挂载点只读、带写保护（EROFS / read-only file system，Windows 为 os error 19）——请确认 profile 目录所在磁盘可写（外接盘/U 盘、带写保护的移动盘或只读挂载的分区都会触发），必要时把插件目录换到系统盘的可写位置；③ 进程可用的文件句柄被耗尽（EMFILE / ENFILE / too many open files）——请关闭占用大量文件的程序并重启 DeepSeek Harness 后重试。',
   failPnpmWorkspaceHint: '安装器调用 pnpm 时报「不能把依赖装到 workspace 根目录」（ERR_PNPM_ADDING_TO_ROOT）：你的 profile 目录被 pnpm 视为 workspace 根目录，而本次安装命令没有声明在根目录操作，pnpm 直接拒绝执行，因此任何插件装进来都会失败。这不是插件本身的问题——可在 profile 目录（~/.dsh/profiles/<profile>）的 .npmrc 里加一行 ignore-workspace-root-check=true 后重试，或把 DeepSeek Harness 升级到最新版再试。',
   failPnpmPolicyHint: '安装器调用 pnpm 时被其供应链安全策略拦截——装任何插件都会撞墙，不是插件本身的问题。分两种情况处理：① 提示「Minimum release age」（ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION）：包发布还不满 24 小时，pnpm 11 出于安全会拒收这种刚发布的新包。可在 pnpm 配置（pnpm-workspace.yaml）里加 minimumReleaseAge: 0 豁免，或等满 24 小时后重试。② 提示「untrusted origin」（ERR_PNPM_UNTRUSTED_ORIGIN）：依赖来源不被本机 pnpm 信任，通常是该 profile 里之前用 github: 或非官方 npm 源装过插件，锁文件记录了不受信任的来源。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml 后重新安装（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错）。',
   // 自定义安装三卡片入口的渠道名（报错/日志溯源：本次安装从哪个入口发起）
@@ -482,6 +488,8 @@ export const en = {
   proxyCheckChecking: 'Testing this proxy address…',
   proxyCheckOk: 'Reachable — installs and catalog requests will route through it',
   proxyCheckFail: 'Unreachable, but you can still save it; make sure the proxy is running and the address and port are correct',
+  // Failure reason: Windows Schannel aborts the handshake when revocation info (CRL/OCSP) is unreachable — not a bad proxy address
+  proxyCheckRevocation: 'Certificate revocation check blocked (Windows Schannel could not fetch CRL/OCSP), so the handshake was aborted — a local TLS issue, not a bad proxy address',
   settingsMirror: 'npm mirror',
   settingsMirrorDesc: 'Unset by default — follows local npm config; pick a domestic mirror if slow',
   mirrorNone: 'Unset (follow local npm config)',
@@ -569,6 +577,9 @@ export const en = {
   diagSummaryRunning: 'Checking channels…',
   diagSummaryOk: 'All channels reachable',
   diagSummaryFail: 'Unreachable channel(s) — click a row to re-check',
+  // Failure reason: Windows Schannel aborts the handshake when revocation info (CRL/OCSP) is unreachable (easily mistaken for a network outage)
+  diagFailRevocation: 'Cert check blocked',
+  diagFailRevocationHint: 'The system curl cannot fetch certificate revocation info (CRL/OCSP, required by Windows Schannel), so the TLS handshake is aborted — this is not a network outage, and npm/git may still work. curl 7.70+ downgrades the check to best-effort, or switch to a network that can reach the revocation service.',
   settingsEnvSnapshot: 'System version',
   settingsEnvSnapshotDesc: 'Copy host version and system info for pasting into issue reports',
   settingsEnvCopy: 'Copy',
@@ -684,6 +695,7 @@ export const en = {
   failPnpmUnusedPatchHint: 'pnpm reported that some patches were not used (ERR_PNPM_UNUSED_PATCH): your profile still holds a patch entry for an older dsh-plugin version (for example dsh-plugin@1.4.2), while this install resolved a different version, so pnpm aborts the whole install for safety — no plugin can be installed into that profile. This is not a problem with the plugin itself. Remove that dsh-plugin patch entry from pnpm-workspace.yaml (pnpm 11+) or from pnpm.patchedDependencies in package.json (pnpm 10) inside the profile directory (~/.dsh/profiles/<profile>), then retry.',
   failFileLockedHint: 'During install, pnpm could not replace a file inside the profile because another program is holding it (on Windows this shows as os error 32, "the process cannot access the file because it is being used by another process"). Usually DeepSeek Harness itself or a real-time antivirus scan holds the handle. This is not a problem with the plugin itself — fully quit DeepSeek Harness (on Windows, confirm in Task Manager that the process has ended, and temporarily disable real-time antivirus protection if needed), then retry.',
   failAccessDeniedHint: 'During install, Windows denied pnpm access to a file inside the profile (this shows as os error 5, "Access is denied"; on Node the equivalent codes are EPERM / EACCES). Typical causes: the file or directory is held by another process, the file is marked read-only, the directory permissions are restricted, or a real-time antivirus scan blocked the write. This is the same class of local file-system problem as a locked file (os error 32) — no plugin can be installed into that directory, so it is not a problem with the plugin itself. Fully quit DeepSeek Harness (on Windows, confirm in Task Manager that the process has ended, and temporarily disable real-time antivirus protection if needed), then retry. If it still fails, check whether the profile directory or its files are read-only and run as administrator.',
+  failFsUnavailableHint: 'During install, pnpm could not write files to the local disk — this has nothing to do with which plugin you are installing: any plugin installed into the same directory would fail the same way, so it is not a problem with the plugin itself. Match the error you see: ① Out of space (ENOSPC / no space left on device, os error 112 on Windows) — free up space on the drive that holds the profile and retry. ② Read-only or write-protected volume (EROFS / read-only file system, os error 19 on Windows) — make sure the drive holding the profile directory is writable (external or USB drives, write-protected media, and read-only mounts all trigger this); move the plugin directory to a writable location on the system drive if needed. ③ File handles exhausted (EMFILE / ENFILE / too many open files) — close programs that hold many files open, restart DeepSeek Harness, then retry.',
   failPnpmWorkspaceHint: 'pnpm refused to add the dependency to the workspace root (ERR_PNPM_ADDING_TO_ROOT): the profile directory is treated as a pnpm workspace root, and this install command did not declare that it operates at the root, so pnpm rejected it outright — no plugin can be installed into that profile. This is not a problem with the plugin itself. Add `ignore-workspace-root-check=true` to the `.npmrc` inside the profile directory (~/.dsh/profiles/<profile>) and retry, or upgrade DeepSeek Harness and try again.',
   failPnpmPolicyHint: 'The installer was blocked by pnpm supply-chain security policy — every plugin install would hit the same wall, so this is not a problem with the plugin itself. Two cases: ① "Minimum release age" (ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION): the package was published less than 24 hours ago, and pnpm 11 refuses freshly-published packages for safety. Add minimumReleaseAge: 0 to your pnpm config (pnpm-workspace.yaml) to opt out, or wait until the 24 hours have passed and retry. ② "untrusted origin" (ERR_PNPM_UNTRUSTED_ORIGIN): a dependency source is not trusted by this machine, usually because plugins were previously installed via github: or a non-official npm registry, so the lockfile records an untrusted source. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall.',
   // Custom install entry channel names (the three cards) — used in error/log traceability

package/src/client/logic/failures.ts

@@ -151,7 +151,7 @@ export function removeNotification(id: number): NotificationRecord[] {
   return next
 }
 
-export type FailureKind = 'npmTooOld' | 'dshMissing' | 'gitMissing' | 'pnpmMissing' | 'npmMissing' | 'pnpmStore' | 'pnpmWorkspace' | 'pnpmPolicy' | 'pnpmUnusedPatch' | 'fileLocked' | 'accessDenied' | 'pnpmIgnoredBuild' | 'pluginPrepare' | 'network' | 'repo'
+export type FailureKind = 'npmTooOld' | 'dshMissing' | 'gitMissing' | 'pnpmMissing' | 'npmMissing' | 'pnpmStore' | 'pnpmWorkspace' | 'pnpmPolicy' | 'pnpmUnusedPatch' | 'fileLocked' | 'accessDenied' | 'fsUnavailable' | 'pnpmIgnoredBuild' | 'pluginPrepare' | 'network' | 'repo'
 
 /**
  * 失败归类，七态。无论底层机制如何（pnpm 白名单拦截 / 构建脚本被忽略 / prepare 失败），
@@ -210,6 +210,12 @@ export type FailureKind = 'npmTooOld' | 'dshMissing' | 'gitMissing' | 'pnpmMissi
  *   （dsh-plugin-hub#50：Win 下 `swap: 拒绝访问。 (os error 5)` 漏判，被误报成插件侧安装失败并
  *   自动提了 issue）→ 提示退出宿主/关杀软后重试，仍失败则检查只读属性并以管理员身份运行，
  *   不引导提 Issue
+ * - fsUnavailable：本机文件系统层面根本写不进去 —— 磁盘/分区空间耗尽（`ENOSPC` /
+ *   `no space left on device`，Windows 为 `os error 112`）、目标分卷或挂载点为只读
+ *   （`EROFS` / `read-only file system`，Windows 写保护为 `os error 19`）、进程可用的文件句柄
+ *   被耗尽（`EMFILE` / `ENFILE` / `too many open files`）。这三类都在 pnpm 落盘阶段发生，
+ *   与具体装哪个插件无关：空间不足、盘只读、句柄不够时，任何插件都装不进来，不是插件问题
+ *   → 提示按报错代码对号入座（清空间 / 换可写目录 / 重启宿主释放句柄），不引导提 Issue
  * - network：安装前连通性预检拦截（服务端 `[network]` 标记）、底层连接失败
  *   （ERR_PNPM_GIT_FETCH_FAILED / ETIMEDOUT / DNS 解析 / TLS 握手 / 代理拒绝），或
  *   registry tarball 拉取失败（`fetch failed` / `GET …/-/…tgz error (n)` —— 常见于本机
@@ -292,6 +298,13 @@ export function classifyFailure(message: string): FailureKind {
   // 中文原文经 GBK→UTF-8 解码会残缺，不能依赖「拒绝访问」四个字
   // （dsh-plugin-hub#50：swap 阶段 `os error 5` 漏判，落 repo 兜底被误报成插件侧失败）
   if (/os error 5\b|ERROR_ACCESS_DENIED|\bEPERM\b|\bEACCES\b|access is denied/i.test(message)) return 'accessDenied'
+  // 本机文件系统层面根本写不进去：空间耗尽（ENOSPC / no space left on device / Windows os error 112）、
+  // 目标盘或挂载点只读（EROFS / read-only file system / Windows 写保护 os error 19）、
+  // 文件句柄耗尽（EMFILE / ENFILE / too many open files）。都在 pnpm 落盘阶段发生，
+  // 空间不足、盘只读或句柄不够时任何插件都装不进来，不是插件问题 ——
+  // 必须在 network / prepare 之前判：磁盘满时 pnpm 会在日志尾部混着重试与超时特征，
+  // 先判网络会把「本机磁盘写不进去」误报成「你的网络不通」
+  if (/os error 112\b|os error 19\b|ERROR_DISK_FULL|ERROR_WRITE_PROTECT|\bENOSPC\b|\bEROFS\b|\bEMFILE\b|\bENFILE\b|no space left on device|read-only file system|too many open files/i.test(message)) return 'fsUnavailable'
   // 构建脚本被 pnpm 白名单（allowBuilds）拦截：插件的 prepare 脚本或依赖里的原生模块构建
   // 被默认拒绝（ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED / ERR_PNPM_IGNORED_BUILDS）。
   // 这类错误出现即说明 pnpm 已成功 fetch 到 tarball（网络是通的），主因是插件构建脚本

package/src/client/logic/urls.ts

@@ -54,6 +54,7 @@ function reasonTitleOf(kind: FailureKind): string {
     case 'pnpmUnusedPatch': return 'stale pnpm patch entry on the user machine'
     case 'fileLocked': return 'file locked by another process on the user machine'
     case 'accessDenied': return 'file write access denied on the user machine'
+    case 'fsUnavailable': return 'local file system unavailable on the user machine'
     case 'pnpmIgnoredBuild': return 'build scripts blocked by pnpm allowlist'
     case 'pluginPrepare': return 'plugin distribution incomplete'
     case 'network': return 'network failure on the user side'
@@ -93,7 +94,9 @@ export function pluginIssueUrl(repo: string, message: string, env?: EnvInfo | nu
                     ? 'a file in the profile is locked by another process on the user machine (local environment issue)'
                     : kind === 'accessDenied'
                       ? 'the system denied write access to a file in the profile on the user machine (local environment issue)'
-                      : 'plugin-side install failure'
+                      : kind === 'fsUnavailable'
+                        ? 'the local file system could not accept the write — no space left, read-only volume, or too many open file handles on the user machine (local environment issue)'
+                        : 'plugin-side install failure'
   const code = coreErrorCode(message)
   // 按给定核心摘要预算构建完整预填 URL（含 URL 编码）；预算可调，供超长时逐档缩小
   const build = (coreChars: number): string => {