dsh-plugin 1.6.11 → 2.0.0

package/src/server/http/install.ts

@@ -3,23 +3,19 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Install/uninstall routes: validate the target and spawn the official dsh CLI
- * (see services/install/install.ts), reporting the captured result back.
+ * 安装/卸载路由：校验目标后 spawn 官方 dsh CLI（见 services/install/install.ts），
+ * 并回传捕获的结果。自定义安装只接受 npm 包名。
  */
-import { githubRefOf, githubRepoOf, githubTarget, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, startPluginMutation, validPackageName, type LoaderHandle } from '../services/install/install.ts'
-import { githubReleaseTarget } from '../services/install/release-target.ts'
+import { githubRepoOf, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, startPluginMutation, validPackageName, type LoaderHandle } from '../services/install/install.ts'
 import { recordResolvedNpmPackage } from '../services/profile/installed-versions.ts'
-import { isDshNpmPackageForRepo, resolveNpmPackage } from '../services/install/npm-resolve.ts'
-import { preflightTarget } from '../services/install/preflight.ts'
-import { gitLsRemote, probeUrl, systemProxy } from '../services/probe.ts'
+import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.ts'
+import { probeUrl, systemProxy } from '../services/probe.ts'
 import { loadSettings, type HubSettings } from '../services/settings.ts'
-import { installedRepoOf, readInstalled } from './catalog.ts'
+import { readInstalled } from './catalog.ts'
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
 
-/** 安装/卸载 CLI 的子进程环境：透传宿主环境，并按设置注入 HTTP(S) 代理。
- *  不注入 npm registry —— 安装完全沿用用户本机 npm 配置（~/.npmrc / 全局配置）。
- *  代理优先级：设置里的代理 → 系统代理（macOS scutil / Windows 注册表）→ 宿主 env 原有值。
- *  使安装通道与诊断使用相同的代理来源。 */
+/** 安装/卸载 CLI 的子进程环境：透传宿主环境并注入 HTTP(S) 代理，
+ *  代理来源与诊断一致（设置代理 → 系统代理 → 宿主 env）；不注入 npm registry，沿用用户本机 npm 配置。 */
 function mutationEnv(settings: HubSettings): NodeJS.ProcessEnv {
   const env: NodeJS.ProcessEnv = { ...process.env, CI: 'true' }
   const proxy = settings.proxy !== '' ? settings.proxy : (systemProxy() ?? '')
@@ -32,17 +28,6 @@ function mutationEnv(settings: HubSettings): NodeJS.ProcessEnv {
   return env
 }
 
-/** Match a GitHub install target against the installed table; returns the package name when already installed. */
-function installedByRepo(installed: Record<string, string>, target: string): string | null {
-  const repo = githubRepoOf(target)
-  if (repo === null) return null
-  const needle = repo.toLowerCase()
-  for (const [name, spec] of Object.entries(installed)) {
-    if (githubRepoOf(spec)?.toLowerCase() === needle) return name
-  }
-  return null
-}
-
 export function registerInstallRoutes(webServer: WebServerService, profile: string, loader: LoaderHandle | undefined): WebRoute[] {
   return [
     {
@@ -54,43 +39,37 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
         try {
           const body = await readJsonBody(request)
           // mode: 'update' = 已安装目标的覆盖更新（放行 add，pnpm 对已存在依赖原位覆盖重装）。
-          // 后续「同仓库残留」检测可能把 install 就地升级为 update（见包名冲突检测），故用 let。
           let mode = body !== null && typeof body === 'object' && (body as { mode?: unknown }).mode === 'update'
             ? 'update'
             : 'install'
-          // installTargetOf 先把完整 DSH 命令（`dsh plugin [--profile <p>] add <target>`）剥成裸目标，
-          // 兼容用户直接粘贴命令行（防输错），真正语法判定交给下面 githubRepoOf / validPackageName。
+          // installTargetOf 把完整 DSH 命令剥成裸目标；自定义目标只接受 npm 包名，语法判定交给 validPackageName。
           const rawRepo = typeof body === 'object' && body !== null && typeof (body as { repo?: unknown }).repo === 'string'
             ? installTargetOf((body as { repo: string }).repo)
             : ''
-          // 前端决策的展示用仓库名（owner/repo）：npm 安装时 body.repo 是包名，display 用于
-          // 待重启行 / 任务恢复时展示仓库名，保证用户无感知（安装通道变化不改变所见目标）
+          // 展示用仓库名（owner/repo）：npm 安装时 body.repo 是包名，display 供待重启行 / 任务恢复展示仓库名。
           const displayRepo = typeof body === 'object' && body !== null && typeof (body as { display?: unknown }).display === 'string'
             ? (body as { display: string }).display.trim()
             : rawRepo
-          // 请求来源：目录插件安装（catalog）走目录白名单；命令行安装（custom）按通道受安全开关控制
+          // 请求来源：目录插件安装（catalog）走目录白名单；命令行安装（custom）受安全开关控制
           const source = typeof body === 'object' && body !== null && typeof (body as { source?: unknown }).source === 'string'
             ? (body as { source: string }).source
             : ''
-          // 自定义安装入口渠道（客户端三张卡片：NPM 包 / GitHub 源码 / DSH 命令）：
-          // 客户端显式上报，服务端日志/报错据此精准溯源「从哪个入口发起」；目录插件安装不传。
+          // 自定义安装入口渠道（仅 NPM 包）：日志/报错据此溯源发起入口。
           const installChannel = (() => {
             const raw = body !== null && typeof body === 'object' ? (body as { installChannel?: unknown }).installChannel : undefined
-            return raw === 'git' || raw === 'dsh' || raw === 'npm' ? raw : undefined
+            return raw === 'npm' ? 'npm' : undefined
           })()
           const settings = loadSettings(profile)
           // 界面语言（客户端随请求携带）：错误消息按用户当前语言提示（中文界面给中文，英文界面给英文）
           const lang = typeof body === 'object' && body !== null && (body as { lang?: unknown }).lang === 'en'
             ? 'en'
             : 'zh'
-          // 全局 npm 安装（官方 README 的 `npm install -g <pkgs>`，如 dsh-tui 的安装命令）：
-          // 直接从命令框输入格式执行全局安装，不进任何 profile、无需宿主重启。
-          // 包列表优先取 body.globalNpm（客户端命令框解析后显式携带）；兜底再从 rawRepo 解析，
-          // 保证直接调 API 传完整命令也能识别。
+          // 全局 npm 安装（`npm install -g <pkgs>`）：不进任何 profile、无需宿主重启。
+          // 包列表优先取 body.globalNpm，兜底从 rawRepo 解析，保证直接调 API 传完整命令也能识别。
           const bodyGlobalNpm = Array.isArray((body as { globalNpm?: unknown }).globalNpm)
             ? (body as { globalNpm: unknown[] }).globalNpm.filter((x): x is string => typeof x === 'string' && x !== '')
             : []
-          let globalNpm: string[] = bodyGlobalNpm.length > 0 ? bodyGlobalNpm : (globalNpmPackagesOf(rawRepo) ?? [])
+          const globalNpm: string[] = bodyGlobalNpm.length > 0 ? bodyGlobalNpm : (globalNpmPackagesOf(rawRepo) ?? [])
           if (globalNpm.length > 0) {
             // 包名逐个按 npm 包名语法校验 + 拒绝以 - 开头的 token（npm 会把 --xxx 当参数而非包名），数量封顶防滥用
             if (globalNpm.length > 20 || globalNpm.some((p) => !validPackageName(p) || p.startsWith('-'))) {
@@ -122,216 +101,76 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
             sendJson(response, 200, { ok: true, task: task.id })
             return
           }
-          // 目标语法三态：固定 GitHub release .tgz（保留其包根目录，不转成仓库 HEAD）；
-          // GitHub 地址（owner/repo、github:、https/ssh 链接等任意写法）→ 显式 HTTPS Git 源
-          // （走装前预检）；npm 包名（@scope/name 或 name）→ 信任 registry 直接安装。
-          // githubRepoOf 先把各种 GitHub 地址归一成 owner/repo，让「输入地址即装」兼容粘贴完整链接。
-          const gitRepo = githubRepoOf(rawRepo)
-          const release = githubReleaseTarget(rawRepo)
-          // 显式 pin 的 Git ref（`#tag` / `#commit`）是用户意图：保留它，且不让 npm 反查
-          // 把这个精确修订换成 registry 上的默认版本。
-          const pinnedRef = githubRefOf(rawRepo)
-          const repoTarget = gitRepo !== null && release === null ? githubTarget(gitRepo, pinnedRef) : null
-          let target: string | null = release?.target ?? repoTarget ?? (validPackageName(rawRepo) ? rawRepo : null)
-          if (target === null) {
-            sendJson(response, 400, { error: 'unsupported install target' })
+          // 自定义安装目标只接受 npm 包名（@scope/name 或 name）。
+          if (!validPackageName(rawRepo)) {
+            sendJson(response, 400, { error: 'unsupported install target: expected an npm package name' })
             return
           }
+          const target = rawRepo
+          // 已尝试的安装方式（供失败提 Issue 预填）：保持为空
           const attempts: string[] = []
           // 代理口径与诊断/安装通道一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
-          // 供 npm 反查时跟随 GitHub 改名跳转用（Node https 读不到系统代理，交给 curl）。
           const effectiveProxy = settings.proxy !== ''
             ? settings.proxy
             : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
-          // Catalog metadata may outlive a packaging split: one repository can publish both a
-          // CLI/helper package and a dedicated DSH plugin package. Keep the catalog target when
-          // registry metadata confirms it is a DSH package for this repo. Otherwise inspect the
-          // repository root package.json and use its package name only when that exact registry
-          // package also points back to the repo and identifies as a DSH plugin. This avoids
-          // relying on npm search ranking, which is not a repository index and can omit the
-          // correct package even with a large result window.
+          // 目录插件安装：目录数据可能滞后于打包拆分，确认目录下发的 npm 目标确为该仓库的 DSH 包，
+          // 命中则记录 repo → 包名映射，客户端据此把依赖 key 匹配回仓库、列表立即显示「已安装」。
           const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null
-          if (catalogRepo !== null && release === null && repoTarget === null && validPackageName(rawRepo)) {
+          if (catalogRepo !== null) {
             const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy)
-            if (catalogTargetIsDsh) {
-              recordResolvedNpmPackage(profile, catalogRepo, rawRepo)
-            } else {
-              const catalogGitTarget = githubTarget(catalogRepo)
-              if (catalogGitTarget !== null) {
-                const root = await preflightTarget(catalogGitTarget)
-                const rootName = root.ok && root.name !== null && validPackageName(root.name) ? root.name : null
-                if (rootName !== null && rootName !== rawRepo
-                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry, effectiveProxy)) {
-                  attempts.push(`catalog npm target: \`${target}\` → repository root DSH package \`${rootName}\``)
-                  target = rootName
-                  recordResolvedNpmPackage(profile, catalogRepo, rootName)
-                }
-              }
-            }
-          }
-          // npm 优先：git 目标先反查该仓库的官方 npm 包，命中则改走 npm 通道。
-          // git 分发常缺构建产物/子模块，npm 包是作者发布的完整产物；未命中或
-          // 查询失败保留 github 直装（不阻塞安装，预检仍会拦截缺入口文件的情况）。
-          // 通用机制，不针对具体插件。
-          // 反查本身计入「已尝试的安装方式」：组织 scope 与 GitHub 用户名不一致时仅凭
-          // 仓库名猜不到包名，失败提 Issue 时作者看到我们查过的命令就能直接指认正确包名。
-          // 显式 pin 了 Git ref 时跳过 npm 反查：用户要的就是那个精确修订，
-          // 不能用 registry 上的默认版本覆盖它。
-          if (repoTarget !== null && pinnedRef === null) {
-            // 反查/记录统一用归一化后的 owner/repo（gitRepo），保证「输入完整链接」也走同一套 npm 反查
-            const repoIdentity = gitRepo ?? rawRepo
-            const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry, effectiveProxy)
-            if (npmName !== null) {
-              target = npmName
-              attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → found \`${npmName}\``)
-              // 持久化 repo → npm 包名映射：目录数据未下发 npmPackage（组织 scope 与 GitHub
-              // 用户名不一致）时，客户端仍能通过 /installed 的 versions 把依赖 key 匹配回仓库，
-              // 列表立即显示「已安装」，避免安装成功后仍显示可安装
-              recordResolvedNpmPackage(profile, repoIdentity, npmName)
-            } else {
-              attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → no matching package found (falling back to git install)`)
-            }
+            if (catalogTargetIsDsh) recordResolvedNpmPackage(profile, catalogRepo, rawRepo)
           }
-          // 命令行安装（目录外）按通道门禁：GitHub 源码通道受「启用 GitHub 源码安装」控制，
-          // npm 通道受「启用 NPM 安装」控制 —— 目录插件安装走目录白名单，不受开关影响。
-          // 通道判定看反查后的最终 target：release 包与 git 目标同属 GitHub 通道，否则走 npm。
-          if (source !== 'catalog') {
-            const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget)
-            if (isGitChannel && !settings.enableGitInstall) {
-              sendJson(response, 403, { error: 'git installs are disabled by the security settings' })
-              return
-            }
-            if (!isGitChannel && !settings.enableNpmInstall) {
-              sendJson(response, 403, { error: 'npm installs are disabled by the security settings' })
-              return
-            }
+          // 命令行安装（目录外）受「启用 NPM 安装」开关控制；目录插件安装走目录白名单，不受开关影响。
+          if (source !== 'catalog' && !settings.enableNpmInstall) {
+            sendJson(response, 403, { error: 'npm installs are disabled by the security settings' })
+            return
           }
-          // 命中已安装目标时一律按「更新」语义执行（pnpm add 对已存在依赖本就是原位覆盖重装），
-          // 不再抛 409：客户端的已装列表与服务端实读可能不同步（如页面列表滞后），此时用户点
-          // 「安装」会撞上重复安装守卫，直接覆盖重装比让用户看到一句看不懂的 already installed
-          // 报错友好，最终状态也一致（都是已安装）。命中判定双通道：npm 包名按 dependencies
-          // 键直接命中，GitHub 目标按仓库身份匹配。
+          // 命中已安装目标时按「更新」执行（pnpm add 对已存在依赖即原位覆盖重装）：
+          // 客户端已装列表可能与服务端不同步，覆盖重装比报错更友好且终态一致。
           const installed = readInstalled(profile)
-          const already = installedByRepo(installed, target) ?? (installed[target] !== undefined ? target : null)
+          const already = installed[target] !== undefined ? target : null
           if (already !== null) mode = 'update'
           // 队列级去重：同一目标已在排队/执行中时拒绝，避免客户端防重竞态导致重复入队
           if (hasQueuedTarget(target)) {
             sendJson(response, 409, { error: `already queued: ${target}` })
             return
           }
-          // 安装前网络连通性预检：npm 通道探 registry、git 通道探 github.com 连通性。
-          // 探测目标固定为通道的稳定入口（registry 根 / github.com 主页），不探具体包或仓库
-          // 页 —— 404 表示「目标不存在」而非网络不通，不该被当成网络故障拦截。
-          // 仅新安装预检（更新是已信任目标的覆盖重装，跳过）；不通直接 400 拦下并打
-          // [network] 标记，客户端据此提示「你的网络不通」，而不是把网络失败当成
-          // 插件侧问题引导去作者仓库提 Issue。
-          // 代理口径与诊断一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
+          // 安装前网络探测：探 registry 根而非具体包（404 是「包不存在」而非网络不通）；仅新安装执行，更新跳过。
+          // 不通则 400 拦下并打 [network] 标记，客户端据此提示网络问题，而非插件问题。
           if (already === null) {
-            const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget)
-            // release 包是 https://github.com/ 直链下载（非 git 克隆），探针按 HTTP 打 github.com 主页；
-            // npm 通道探 registry 根。两者都是通道的稳定入口，不探具体包/仓库（404 会被误判成网络故障）。
-            const httpProbeTarget = release !== null
-              ? 'https://github.com/'
-              : `${(settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org')}/`
-            // git 通道的探针换成克隆握手本身：git ls-remote 走的就是 pnpm 克隆前的同一套
-            // https 传输。curl 打 github.com 主页会被按协议/端口区分的防火墙与 TLS 复检
-            // 拦截（能 git 克隆、打不开网页），把可装的仓库误判成 [network] 而中止。
-            // 握手失败时再用 curl 复核一次主页连通性：只有两者都不通
-            // 才判「网络不通」；仅握手失败（仓库不存在、私有仓库、需要凭据）放行，
-            // 交给后续预检与真实安装给出准确原因。
-            // 探针只握手仓库本身（去掉 git+ 前缀与 #ref 片段）：ls-remote 认的是仓库地址，
-            // 带 ref 片段会干扰 URL 解析
-            const gitProbeTarget = repoTarget === null ? null : repoTarget.replace(/^git\+/, '').replace(/#.*$/, '')
-            let net: Awaited<ReturnType<typeof probeUrl>>
-            if (gitProbeTarget !== null) {
-              net = await gitLsRemote(gitProbeTarget, effectiveProxy, 6000)
-              if (!net.ok) {
-                const reachable = await probeUrl('https://github.com/', effectiveProxy, 6000)
-                if (reachable.ok) net = reachable
-              }
-            } else {
-              net = await probeUrl(httpProbeTarget, effectiveProxy, 6000)
-            }
-            const probeTarget = gitProbeTarget ?? httpProbeTarget
+            const probeTarget = `${(settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org')}/`
+            const net = await probeUrl(probeTarget, effectiveProxy, 6000)
             if (!net.ok) {
-              // 错误消息按客户端界面语言提示：中文界面给中文、英文界面给英文，
-              // 让用户一眼看懂是网络问题而非插件问题
-              const channelName = isGitChannel
-                ? (lang === 'zh' ? 'GitHub' : 'github.com')
-                : (lang === 'zh' ? 'npm 源' : 'the npm registry')
+              // 错误消息按界面语言输出，让用户看清是网络问题而非插件问题
               const error = lang === 'zh'
-                ? `[network] 安装已中止：安装前无法连接到 ${channelName}（${probeTarget}）—— 您的网络似乎不通或被拦截（断网 / DNS 解析失败 / 防火墙 / 代理配置问题）。这不是插件本身的问题，请检查网络连接或代理设置，运行「系统诊断」检测各通道连通性后重试。`
-                : `[network] install aborted: cannot reach ${channelName} (${probeTarget}) before install — your network connection appears to be down or blocked (DNS / proxy / firewall). This is not a problem with the plugin itself. Check your connection or proxy settings, run the connectivity diagnostic, then retry.`
+                ? `[network] 安装已中止：安装前无法连接到 npm 源（${probeTarget}）—— 您的网络似乎不通或被拦截（断网 / DNS 解析失败 / 防火墙 / 代理配置问题）。这不是插件本身的问题，请检查网络连接或代理设置，运行「系统诊断」检测各通道连通性后重试。`
+                : `[network] install aborted: cannot reach the npm registry (${probeTarget}) before install — your network connection appears to be down or blocked (DNS / proxy / firewall). This is not a problem with the plugin itself. Check your connection or proxy settings, run the connectivity diagnostic, then retry.`
               sendJson(response, 400, { error, attempts })
               return
             }
           }
-          // 安装前预检：仅新安装走预检（github 源分发缺 package.json 声明的文件时直接拦截）。
-          // 更新是已信任目标的覆盖重装，跳过预检避免重复下载 tarball。
-          // npm 包信任 registry 直接放行；github 源拦截时标记 [packaging] 前缀，
-          // 供客户端归类为「插件分发不完整」并引导去仓库提 Issue
-          if (already === null) {
-            const preflight = await preflightTarget(target)
-            if (!preflight.ok) {
-              // 预检拦截（git 分发缺作者声明的文件）：同步 400 返回，附上已尝试的安装方式，
-              // 客户端失败弹窗提 Issue 时一并贴给作者
-              sendJson(response, 400, {
-                error: `[packaging] ${target}: plugin distribution is incomplete — the file ${preflight.missing ?? '?'} the package needs (its declared entry, an entry a bundled patch mounts, or the patch itself) is not present in the git distribution (build output not committed). Report to the author.`,
-                attempts,
-              })
-              return
-            }
-            // 包名冲突检测（仅 git 通道）：git 目标包内声明的 name 若与 profile 已装依赖同名，
-            // pnpm 会以该 name 做依赖键撞车，抛出的 CLI 报错晦涩难懂 —— 且该包名在 registry 上
-            // 可能被别的仓库占用，npm 反查搜不到，git 直装就会撞上已装的同名依赖。
-            // 到这里已装依赖要么来源不同仓库、要么 spec 是版本号解析不出仓库身份。
-            // 读 node_modules 里已装包的真实 repository 区分两种情况：
-            //  - 指向同一仓库 → 是「同仓库残留」（spec 丢了仓库身份），就地转 update 覆盖重装（幂等）；
-            //  - 指向别的仓库 / 读不到 → 跨仓库包名冲突，入队前转成明确 409，指导用户先卸载或改装。
-            if (preflight.name !== null && repoTarget !== null && target === repoTarget) {
-              const declared = preflight.name
-              if (installed[declared] !== undefined) {
-                const installedRepo = installedRepoOf(profile, declared)
-                if (installedRepo !== null && gitRepo !== null && installedRepo.toLowerCase() === gitRepo.toLowerCase()) {
-                  // 同名且同源：已装 spec 丢了仓库身份导致的残留，直接按 update 覆盖重装，不打扰用户
-                  attempts.push(`same-repo residual: \`${declared}\` resolves to \`${installedRepo}\` → reinstall as update`)
-                  mode = 'update'
-                } else {
-                  attempts.push(`package name conflict: \`${gitRepo}\` declares npm name \`${declared}\`, which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository)`)
-                  const error = lang === 'zh'
-                    ? `already installed: ${declared} —— ${gitRepo} 声明的 npm 包名「${declared}」已存在于当前 profile，且无法匹配到本仓库（该包名在 npm 上可能被其他仓库占用）。请先移除现有的 ${declared}（dsh plugin remove ${declared}），再重新安装；或改装该包名对应的官方 npm 包。`
-                    : `already installed: ${declared} — ${gitRepo} declares the npm package name "${declared}", which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository). Remove the existing ${declared} dependency (dsh plugin remove ${declared}) first, then retry; or install the official npm package under that name.`
-                  sendJson(response, 409, { error, attempts })
-                  return
-                }
-              }
-            }
-          }
-          // 入队前复检（与上方检查同语义，但必须在同步块内）：preflight 的 await 期间并发请求
-          // 可能已通过上方检查、任务却尚未入队——此处检查与 startPluginMutation 之间无 await，
-          // JS 单线程保证同一目标至多一个任务，杜绝双击/并发产生双任务
+          // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
+          // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
           if (hasQueuedTarget(target)) {
             sendJson(response, 409, { error: `already queued: ${target}` })
             return
           }
-          // Kick off the CLI in the background; the client polls /status for progress
+          // 后台启动 CLI；客户端轮询 /status 获取进度
           const task = startPluginMutation({
             // mode=update（已安装目标的覆盖更新）以 update 动作入队：
             // 日志按 update 类别落盘（update.start/done/fail），实际 CLI 执行仍是 add <target>@latest
             action: mode === 'update' ? 'update' : 'add',
             profile,
             target,
-            // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不受通道变化影响
+            // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不因安装目标形态而变
             displayTarget: githubRepoOf(displayRepo) ?? undefined,
-            // 已尝试的安装方式（npm 反查）：实际执行命令由 spawn 时追加，失败 issue 一并展示
-            attempts,
-            timeoutMs: COMMAND_TIMEOUT_MS,
-            env: mutationEnv(settings),
-            // 覆盖更新：npm 通道命令显式 @latest（pnpm add 无版本对已存在依赖是幂等的，不加版本不会真更新）
+            // 覆盖更新：npm 命令显式 @latest（pnpm add 无版本对已存在依赖是幂等的，不加版本不会真更新）
             updateNpm: mode === 'update',
             // 运行中 loader：安装成功后把新插件热挂进 loader，非桌面端 + 纯服务端插件无需重启即生效
             loader,
-            // 自定义安装入口渠道（NPM 包 / GitHub 源码 / DSH 命令卡片）：日志/报错据此溯源
+            timeoutMs: COMMAND_TIMEOUT_MS,
+            env: mutationEnv(settings),
+            // 自定义安装入口渠道：日志/报错据此溯源
             installChannel,
           })
           sendJson(response, 200, { ok: true, task: task.id })

package/src/server/http/logs.ts

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Log routes: paginated log viewer, clearing, reveal-in-file-manager and the
- * native folder picker for choosing a log directory.
+ * 日志路由：分页日志查看器、清空、在文件管理器中定位，以及选择日志目录的原生文件夹选择器。
  */
 import { spawn } from 'node:child_process'
 import { dirname } from 'node:path'

package/src/server/http/npm-release-age.ts

@@ -0,0 +1,42 @@
+/**
+ * DSH Plugin Hub — the community plugin marketplace for DeepSeek Harness.
+ * Website: https://dsh-plugin.org
+ * GitHub: https://github.com/dshplugin/dsh-plugin-hub
+ *
+ * npm 包发布时间查询路由：按已安装插件的 npm 包名按需查询最新版本的发布时间，
+ * 供客户端判定 pnpm 24h 供应链门禁（发布未满门槛的版本不提示更新）。
+ */
+import { systemProxy } from '../services/probe.ts'
+import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.ts'
+import { loadSettings } from '../services/settings.ts'
+import { readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
+
+export function registerNpmReleaseAgeRoutes(webServer: WebServerService, profile: string): WebRoute[] {
+  return [
+    {
+      kind: 'exact',
+      path: '/dsh-plugin-hub/npm-release-age',
+      handler: async (request, response) => {
+        if (!requireTrustedPost(request, response)) return
+        try {
+          const packages = parseReleaseAgeRequest(await readJsonBody(request))
+          if (packages === null) {
+            sendJson(response, 400, { error: 'invalid package list' })
+            return
+          }
+          const settings = loadSettings(profile)
+          // 代理口径与安装/目录一致：设置里的代理 → 系统代理 → 环境变量 → 直连
+          const proxy = settings.proxy !== ''
+            ? settings.proxy
+            : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
+          // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
+          const results = await Promise.all(packages.map(async (name) =>
+            [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)] as const))
+          sendJson(response, 200, { packages: Object.fromEntries(results) })
+        } catch (error) {
+          sendJson(response, 500, { error: error instanceof Error ? error.message : String(error) })
+        }
+      },
+    },
+  ]
+}

package/src/server/http/routes.ts

@@ -3,10 +3,9 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Local HTTP routes exposing real installs to the in-app Plugin Hub UI.
- * The client fetches the same-origin `/dsh-plugin-hub/*` endpoints; the
- * install handler validates the target, then spawns the official dsh CLI
- * (see services/install/install.ts) and reports the captured result back.
+ * 本地 HTTP 路由：把真实安装能力暴露给应用内的插件中心 UI。客户端请求同源
+ * `/dsh-plugin-hub/*` 端点；安装处理校验目标后 spawn 官方 dsh CLI（见
+ * services/install/install.ts）并回传捕获的结果。
  */
 import { type LoaderHandle } from '../services/install/install.ts'
 import { appendLog } from '../services/log.ts'
@@ -17,13 +16,13 @@ import { registerSettingsRoutes } from './settings.ts'
 import { registerLogsRoutes } from './logs.ts'
 import { registerDiagnosticsRoutes } from './diagnostics.ts'
 import { registerTaskRoutes } from './task.ts'
+import { registerNpmReleaseAgeRoutes } from './npm-release-age.ts'
 
 /**
- * Register the Plugin Hub API on the host web server and return a disposer.
- * @param webServer - DSH web server service.
- * @param profile - profile that owns plugin mutations.
- * @param loader - running loader (optional): lets uninstall remove the entry
- *   immediately so the page survives a refresh without a host restart.
+ * 在宿主 web server 上注册插件中心 API 并返回 dispose 函数。
+ * @param webServer - DSH web server 服务。
+ * @param profile - 拥有插件变更权限的 profile。
+ * @param loader - 运行中 loader（可选）：让卸载立即移除条目，页面刷新即生效、无需重启宿主。
  */
 export function mountPluginHubRoutes(webServer: WebServerService, profile: string, loader?: LoaderHandle): () => void {
   if (!PROFILE_RE.test(profile)) throw new Error(`invalid profile name: ${profile}`)
@@ -43,6 +42,7 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
     ...registerLogsRoutes(webServer, profile),
     ...registerDiagnosticsRoutes(webServer, profile),
     ...registerTaskRoutes(webServer, profile, loader),
+    ...registerNpmReleaseAgeRoutes(webServer, profile),
   ]
   const disposers = routes.map((route) => webServer.register(route))
   return () => {
@@ -50,9 +50,9 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
   }
 }
 
-/** Profile resolution shared with the client route docs. */
+/** 与客户端路由文档共用的 profile 解析。 */
 export { readProfileArg } from '../services/install/install.ts'
-/** Re-exported so the host entry (index.ts) keeps importing it from this module. */
+/** 转出以便宿主入口（index.ts）继续从本模块引入。 */
 export type { WebServerService } from './shared.ts'
-/** Re-exported so tests/routes.test.ts keeps importing these from this module. */
+/** 转出以便 tests/routes.test.ts 继续从本模块引入。 */
 export { isDesktopHost, isSameOrigin } from './shared.ts'

package/src/server/http/settings.ts

@@ -3,7 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Settings routes: read/write the hub settings and reset them to defaults.
+ * 设置路由：读写插件中心设置，以及恢复默认。
  */
 import { mkdirSync } from 'node:fs'
 import { dirname } from 'node:path'
@@ -28,7 +28,7 @@ export function registerSettingsRoutes(webServer: WebServerService, profile: str
           // 白名单字段：只接受已知设置项，防客户端把任意键写进文件
           const patch: Record<string, unknown> = {}
           const source = typeof body === 'object' && body !== null ? body as Record<string, unknown> : {}
-          for (const key of ['checkUpdatesOnStart', 'enableNpmInstall', 'enableGitInstall', 'enableDshInstall', 'npmRegistry', 'proxy', 'logPath'] as const) {
+          for (const key of ['checkUpdatesOnStart', 'enableNpmInstall', 'npmRegistry', 'proxy', 'logPath'] as const) {
             if (source[key] !== undefined) patch[key] = source[key]
           }
           // 日志位置：非空时预建目录验证可写，失败直接 400 拦截（默认位置永远合法，空串 = 回默认）

package/src/server/http/shared.ts

@@ -3,9 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Shared HTTP utilities: route/service types, request validation helpers and
- * the same-origin check guarding every POST mutation. Imported by the other
- * route modules in this directory.
+ * 共享 HTTP 工具：路由/服务类型、请求校验助手，以及守卫每个 POST 变更的同源校验。
+ * 由本目录其它路由模块引入。
  */
 import type { IncomingMessage, ServerResponse } from 'node:http'
 
@@ -97,7 +96,7 @@ export interface WebRoute {
   handler: (request: IncomingMessage, response: ServerResponse) => void | Promise<void>
 }
 
-/** The subset of the host web-server service this plugin touches. */
+/** 本插件用到的宿主 web-server 服务子集。 */
 export interface WebServerService {
   register(route: WebRoute): () => void
 }
@@ -135,8 +134,8 @@ function loopbackAuthority(authority: string): string | null {
   }
 }
 
-/** POST mutations are only accepted from the local web server origin or the desktop host page.
- *  Exported for tests (tests/routes.test.ts) — the origin check is the whole CSRF defence. */
+/** POST 变更只接受来自本地 web server 来源或桌面宿主页面。转出供测试（tests/routes.test.ts）使用 ——
+ *  来源校验就是全部的 CSRF 防御。 */
 export function isSameOrigin(request: IncomingMessage): boolean {
   // 服务只绑定本机回环地址：Host 不是回环（局域网 IP、被改写的域名）一律拒绝，
   // 顺带挡掉 DNS rebinding（Host 是攻击者域名，即便解析到 127.0.0.1）。

package/src/server/http/task.ts

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Task/misc routes: task polling, host restart, loader-entry debugging, and
- * the installed-plugin inventory the client uses to reconcile its list.
+ * 任务/杂项路由：任务轮询、宿主重启、loader 条目调试，以及客户端用于对账列表的已装插件清单。
  */
 import { spawn } from 'node:child_process'
 import { join } from 'node:path'

package/src/server/index.ts

@@ -3,9 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * dsh-plugin host entry: mounts the Plugin Hub HTTP routes once the host
- * web server service is available. The browser bundle (src/client) talks to
- * these same-origin routes to perform real installs from inside the app.
+ * dsh-plugin 宿主入口：宿主 webServer 服务就绪后挂载插件中心的 HTTP 路由。
+ * 浏览器 bundle（src/client）通过这些同源路由在应用内执行真正的安装。
  */
 import { readProfileArg, type LoaderHandle } from './services/install/install.ts'
 import { mountPluginHubRoutes, type WebServerService } from './http/routes.ts'
@@ -13,11 +12,11 @@ import { mountPluginHubRoutes, type WebServerService } from './http/routes.ts'
 export const name = 'dsh-plugin'
 
 export interface Config {
-  /** DSH profile that owns plugin mutations. Defaults to the booted profile. */
+  /** 拥有插件变更权限的 DSH profile，缺省用启动时的 profile。 */
   profile?: string
 }
 
-/** The subset of the cordis host context this plugin touches. */
+/** 本插件用到的 cordis 宿主上下文子集。 */
 interface HostContext {
   webServer: WebServerService
   /** 运行中 loader：卸载成功后主动移除条目、立即生效（宿主未提供时卸载仍需重启） */
@@ -27,9 +26,9 @@ interface HostContext {
 }
 
 /**
- * Mount the Plugin Hub routes after the web server service becomes available.
- * @param ctx - cordis host context.
- * @param config - optional profile override.
+ * webServer 服务就绪后挂载插件中心路由。
+ * @param ctx - cordis 宿主上下文。
+ * @param config - 可选的 profile 覆盖。
  */
 export function apply(ctx: HostContext, config: Config = {}): void {
   const profile = config.profile ?? readProfileArg('web')