dsh-plugin 1.6.11 → 2.0.0

package/lib/types/services/install/npm-resolve.d.ts

@@ -1,15 +1,3 @@
-/**
- * 反查 repo（`owner/repo`）对应的官方 npm 包名；未命中、网络异常或超时返回 null。
- * 返回 null 不代表仓库一定没有 npm 包，只代表本次未能确认 —— 调用方应保留
- * 原有错误路径，反查只是额外的一次尝试。只有「已确认」的结果（包名，或 200
- * 响应下确认无匹配）会进缓存；网络异常/超时/解析失败不缓存，同一会话内下次
- * 安装仍会重试反查，避免一次瞬时故障把整个会话锁死在 git 通道。
- * registry 参数：npm 镜像源地址，空串 = 官方源；与安装通道吃同一 registry，
- * 保证「配置了镜像」时反查和安装走同一个源（镜像节点同步完整时结果一致）。
- * proxy 参数：GitHub 改名跳转探测走的代理（与安装/诊断同一口径）。
- * 慢网络下失败不阻塞安装。
- */
-export declare function resolveNpmPackage(repo: string, registry?: string, proxy?: string): Promise<string | null>;
 type NpmSearchPackage = {
     name?: unknown;
     keywords?: unknown;
@@ -19,10 +7,10 @@ type NpmSearchPackage = {
     repository?: unknown;
     dsh?: unknown;
 };
-type NpmSearchObject = {
-    package?: NpmSearchPackage;
-};
 export declare function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string): boolean;
+/**
+ * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上的 `latest`
+ * 元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
+ */
 export declare function isDshNpmPackageForRepo(packageName: string, repo: string, registry?: string, proxy?: string): Promise<boolean>;
-export declare function selectNpmPackageForRepo(objects: NpmSearchObject[], repo: string): string | null;
 export {};

package/lib/types/services/install/package-entry.d.ts

@@ -4,17 +4,12 @@
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
  * 分发文件解析：从 package.json 推出装完后必须真实存在的文件 —— 作者声明的入口
- * （exports["."] / main）与 bundle 声明的补丁（dsh.bundle.patch）。git 通道（tar 预检）
- * 与 npm 通道（装后 statSync 校验）共用，保证两条通道对同一个包判定一致。
+ * （exports["."] / main）与 bundle 声明的补丁（dsh.bundle.patch），供装后校验使用。
  *
- * 这里不替作者补一个 index.js：宿主加载一个 bundle 读的是它的 package.json 和它声明的
- * 补丁文件（官方 bundleManifest 的注释即「Read bundle metadata without loading its
- * JavaScript」），从不 import 包本身。凭空要求一个作者没声明的入口，只会把完整的
- * 技能包判成分发残缺，并把一条假缺陷推到作者仓库（见 QingYunA/answer-me-with-html#209）。
- *
- * 例外是补丁自己 mount 了本包：dsh 的《打包与安装插件》里组合包的常规写法就是
- * `- insert: - name: <本包名>`，宿主随后按包名 import 本包，入口那时必须存在。
- * 所以只有补丁真的写了自己的包名，才把这个入口算进分发要求。
+ * 只在包自己声明了入口时才要求它存在：宿主加载 bundle 读的是它的 package.json 与声明的补丁，
+ * 从不 import 包本身。硬要一个作者没声明过的 index.js，会把完整的包判成分发残缺、把一条假缺陷
+ * 推到作者仓库。例外是补丁自己 mount 了本包（组合包的常规写法）—— 那时宿主按包名 import 本包，
+ * 入口必须存在，所以只有补丁真的写了自己的包名才把这个入口算进分发要求。
  */
 /** 解析所需的 manifest 字段；其余字段不读。 */
 export interface PackageManifest {
@@ -36,7 +31,7 @@ export declare function resolvePackageEntry(meta: PackageManifest): string | nul
 /**
  * 解析 `dsh.bundle.patch` 声明的补丁文件（相对包根，不带 `./` 前缀）。
  * 形状不合规范（既不是字符串也不是字符串数组）在这里不判定：那是 dsh 启动时
- * bundlePatchFiles 的报错职责，预检只负责「声明了就要在包里存在」。
+ * bundlePatchFiles 的报错职责，装后校验只负责「声明了就要在包里存在」。
  */
 export declare function resolveBundlePatchFiles(meta: PackageManifest): string[];
 /** 分发里必须存在的全部文件：作者声明的入口，加上 bundle 声明的补丁，入口在前。

package/lib/types/services/install/release-target.d.ts

@@ -3,14 +3,13 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * 预构建 GitHub release 安装目标（目录权威命令 → 可安装直链）。
- * 部分插件（如 loopx）把构建产物发布成 GitHub release 的 .tgz，仓库 HEAD 反而是
- * monorepo 根、走 git 直装会因缺入口文件失败；目录下发的权威安装命令直接指向该
- * release 包。这里把「目录命令」解析成安全的 release 目标，供客户端选路与服务端
- * 校验共用（单一事实来源，避免两端口径漂移）。
+ * 预构建 release 直链的仓库身份解析。部分插件（如 loopx）当初以 GitHub release 的 .tgz
+ * 安装过，仓库 HEAD 反而是 monorepo 根、走 git 直装会因缺入口文件失败；老安装记录里留的
+ * 就是这种 release 直链。这里把「历史安装目标」还原成所属仓库身份，供已装态读回、队列
+ * 去重与展示复用（单一事实来源，避免两端口径漂移）。
  *
  * 只接受固定形态的 HTTPS `github.com/<owner>/<repo>/releases/download/<tag>/<asset>.tgz`：
- * 目录命令是展示数据、绝非 shell 代码，绝不执行命令文本；跨仓跳转、外部主机、凭据、
+ * 输入是记录/展示数据、绝非 shell 代码，绝不执行其文本；跨仓跳转、外部主机、凭据、
  * 移动的 latest 链接、query/fragment、多余 CLI 参数与 shell 片段一律拒绝。
  */
 /** release 包目标及其所属仓库身份（owner/repo）；非法返回 null。 */
@@ -21,8 +20,8 @@ export interface GithubReleaseTarget {
     repo: string;
 }
 /**
- * 解析一个 release 安装目标。
- * @param value - 目录命令（`dsh plugin --profile web add <url>`）或裸直链。
+ * 解析一个历史安装目标里的 release 直链。
+ * @param value - 完整命令（`dsh plugin --profile web add <url>`）或裸直链。
  * @returns 命中返回 `{ target, repo }`，否则 null。
  */
 export declare function githubReleaseTarget(value: string): GithubReleaseTarget | null;

package/lib/types/services/install/task-queue.d.ts

@@ -1,6 +1,6 @@
-import type { InstallResult, InstallTask } from './install-types.ts';
+import type { InstallResult, InstallTask, Invocation } from './install-types.ts';
 import type { LoaderHandle } from '../loader.ts';
-/** Snapshot of a task (keeps the live object untouched by consumers). */
+/** 任务快照（避免消费方改动实时对象）。 */
 export declare function getTask(id: number): InstallTask | undefined;
 export interface ActiveTaskInfo {
     id: number;
@@ -9,28 +9,26 @@ export interface ActiveTaskInfo {
     status: 'pending' | 'running';
     progress: number;
     lines: string[];
-    /** 尝试过的安装方式（npm 反查 + 实际执行命令）：失败时前端 issue 预填需要 */
+    /** 尝试过的安装方式（实际执行过的命令）：失败时前端 issue 预填需要 */
     attempts: string[];
-    /** 自定义安装入口渠道（NPM 包 / GitHub 源码 / DSH 命令卡片）：前端刷新恢复后仍能精准溯源 */
-    installChannel?: 'npm' | 'git' | 'dsh';
+    /** 自定义安装入口渠道（NPM 包卡片）：前端刷新恢复后仍能精准溯源 */
+    installChannel?: 'npm';
 }
-/** All non-terminal tasks in queue order (running first, then pending). Lets the client resume a queue after a page reload. */
+/** 全部未终态任务，按队列顺序（running 在前、pending 在后）。供客户端刷新页面后恢复队列。 */
 export declare function activeTask(): ActiveTaskInfo[];
 /**
- * True while a mutation child process is still alive. The concurrent slot is
- * keyed off the live child set rather than task.status: cancelling a running
- * task flips its status immediately, but the child may still be shutting down
- * (the close event lands later) — the slot must stay held until then, otherwise
- * a new task would start while the old pnpm still runs in the same profile dir.
+ * 变更子进程仍存活时为 true。并发占位以存活子进程集合为准，而非 task.status：
+ * 取消运行中任务会立即翻转其状态，但子进程可能仍在退出中（close 事件稍后才到）——
+ * 占位必须维持到那时，否则旧 pnpm 还在同一 profile 目录跑，新任务就开始了。
  */
 export declare function hasRunningTask(): boolean;
-/** Whether the target already has a non-terminal task in the queue (install/uninstall dedupe). */
+/** 目标在队列里是否已有未终态任务（安装/卸载去重）。 */
 export declare function hasQueuedTarget(target: string): boolean;
 /**
- * Cancel a queued or running task.
- * - pending: removed from the queue immediately (never spawned).
- * - running: kills the child process; the queue worker then picks the next one.
- * Returns false when the task is unknown or already finished.
+ * 取消排队中或运行中的任务。
+ * - pending：立即移出队列（从未 spawn）。
+ * - running：杀掉子进程；队列 worker 随后取下一个。
+ * 任务不存在或已结束时返回 false。
  */
 export declare function cancelTask(id: number): boolean;
 /**
@@ -41,9 +39,8 @@ export declare function cancelTask(id: number): boolean;
  */
 export declare function desktopCliBootstrap(entry: string): string | null;
 /**
- * Enqueue a plugin mutation and return its task. Tasks run strictly serially:
- * the queue worker starts the next one only after the previous finishes.
- * Progress is visible through `getTask(id)` / `activeTask()` until done.
+ * 插件变更入队并返回其任务。任务严格串行：队列 worker 只在上一个结束后才启动下一个。
+ * 完成前可通过 `getTask(id)` / `activeTask()` 查看进度。
  */
 export declare function startPluginMutation(options: {
     action: 'add' | 'remove' | 'update';
@@ -58,17 +55,17 @@ export declare function startPluginMutation(options: {
     /** 运行中 loader：安装成功后热挂新条目、卸载成功后停用旧条目，两类操作都尽量立即生效
      *  （缺失时安装/卸载仍需重启） */
     loader?: LoaderHandle;
-    /** 入队前已尝试的安装方式（npm registry 反查等）：失败提 Issue 时如实展示；实际执行的命令由 spawn 时追加 */
+    /** 入队前已尝试的安装方式：失败提 Issue 时如实展示；实际执行的命令由 spawn 时追加 */
     attempts?: string[];
     /** 更新已安装的 npm 包（mode=update）：命令显式带 @latest，让 pnpm 真正解析最新版本 */
     updateNpm?: boolean;
-    /** 自定义安装入口渠道（客户端三张卡片：NPM 包 / GitHub 源码 / DSH 命令）：
-     *  任务输出行与系统日志据此溯源「从哪个入口发起」；目录插件安装不传 */
-    installChannel?: 'npm' | 'git' | 'dsh';
+    /** 自定义安装入口渠道（NPM 包卡片）：任务输出行与系统日志据此溯源「从哪个入口发起」；
+     *  目录插件安装不传 */
+    installChannel?: 'npm';
 }): InstallTask;
 /**
  * 安装后校验已装包里 package.json 声明的文件（main / exports["."].default 与
- * dsh.bundle.patch）是否真实存在。git: 分发常不提交构建产物（lib/ 等），pnpm 装完没有
+ * dsh.bundle.patch）是否真实存在。npm 包也可能漏发构建产物（lib/ 等），pnpm 装完没有
  * 报错，但宿主重启加载插件树时会 ERR_MODULE_NOT_FOUND 直接崩溃、网页打不开 —— 这里在
  * 登记「待重启」前就把这类残缺包拦下。没有声明过的文件不在这里追究：没声明入口的
  * bundle 包（只挂技能）本来就不需要入口，宿主读的是它的 package.json 与声明的补丁。
@@ -79,13 +76,17 @@ export declare function verifyInstalledEntry(profile: string, target: string): {
     missing: string | null;
 };
 /**
- * Run a plugin mutation with one recovery path: when `add` fails because
- * pnpm's allowBuilds gate blocks a build script — either the git-hosted
- * package's own `prepare` (`ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED`, key from
- * the printed key@url hint) or a dependency's native build
- * (`ERR_PNPM_IGNORED_BUILDS`, key = the listed name@version) — write the
- * exact keys into the profile's pnpm-workspace.yaml and retry once.
- * Other failures fall through to the single-spawn result.
+ * 宿主自身 CLI 调不起来时的 ASCII 标记行：spawn 我们解析出的宿主入口报 ENOENT 时返回
+ * `[host-spawn]`，供前端单独归因、不引导提 Issue。PATH 上的 dsh/npm 各有自己的标记，返回 null。
+ * 导出供单测覆盖判据。
+ */
+export declare function hostSpawnMarker(invocation: Invocation, error: unknown): string | null;
+/**
+ * 执行插件变更，带一条恢复路径：当 `add` 因 pnpm 的 allowBuilds 门禁拦下构建脚本而失败 ——
+ * 或是 git 源包自己的 `prepare`（`ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED`，key 取自打印的
+ * key@url 提示），或是某依赖的原生构建（`ERR_PNPM_IGNORED_BUILDS`，key = 列出的 name@version）——
+ * 就把确切的 key 写进 profile 的 pnpm-workspace.yaml 并重试一次。
+ * 其它失败一律落到单次 spawn 的结果。
  */
 export declare function runPluginMutation(options: {
     action: 'add' | 'remove' | 'update';

package/lib/types/services/npm-release-age.d.ts

@@ -0,0 +1,15 @@
+export interface NpmRelease {
+    version: string;
+    publishedAt: string;
+}
+/** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
+export declare const MAX_RELEASE_AGE_PACKAGES = 50;
+/** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
+export declare const RELEASE_AGE_TIMEOUT_MS = 8000;
+export declare const DEFAULT_NPM_REGISTRY = "https://registry.npmjs.org";
+/** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
+export declare function latestReleaseOf(packument: unknown): NpmRelease | null;
+/** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
+export declare function parseReleaseAgeRequest(body: unknown): string[] | null;
+/** 查询一个包的最新版本与发布时间（成功结果缓存，同会话内同包不重复请求）；registry 为空回退官方源，失败返回 null。 */
+export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmRelease | null>;

package/lib/types/services/probe.d.ts

@@ -33,7 +33,7 @@ export declare function tlsRevocationBlocked(stderr: string): boolean;
  * `http=host:port;https=host:port`（按协议分别配置）。
  * 字符类必须同时排除 `/` 与 `=`：只排除 `=` 时，带 scheme 的值会让「主机名」吞掉 `//`，
  * 拼出 `http:////127.0.0.1:10793` 这种立刻失败的非法地址 —— 代理本来是通的，却把诊断、
- * 目录拉取、npm/git 预检全判成「不可达」。
+ * 目录拉取、安装前网络探测全判成「不可达」。
  */
 export declare function parseWinProxyServer(stdout: string): string | null;
 /**
@@ -49,13 +49,13 @@ export declare function systemProxy(): string | null;
  */
 export declare function probeUrl(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult>;
 /**
- * git 通道真实克隆握手探测：spawn git ls-remote（https 传输，与 pnpm 克隆前的
+ * git 真实克隆握手探测：spawn git ls-remote（https 传输，与 pnpm 克隆前的
  * ref 握手一致），注入代理 env，GIT_TERMINAL_PROMPT=0 防凭据提示挂起。
  *
  * 为什么要真实 git 而非 curl 打网页：网页「能打开」和 git「能克隆」是两码事 ——
  * 防火墙/代理常按端口与协议区分，HTTP 页可达不代表 git 传输可达。这里测的就是
- * 克隆握手本身，回答「github:owner/repo 装不装得动」。
- * 供系统诊断 GitHub 通道使用；探测目标用 dshplugin/hello-dsh 小仓库（秒级完成，
+ * 克隆握手本身，回答「能不能连上 github.com」。
+ * 供系统诊断 GitHub 可达性使用；探测目标用 dshplugin/hello-dsh 小仓库（秒级完成，
  * 不打 17MB 的 dsh-plugin-hub 主页）。
  */
 export declare function gitLsRemote(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult>;

package/lib/types/services/profile/installed-versions.d.ts

@@ -4,21 +4,19 @@ export interface InstalledVersionRecord {
     /** 安装时的仓库最近更新时间（ISO，GitHub pushed_at）；无 release 仓库的更新依据 */
     updatedAt: string;
     installedAt: string;
-    /** npm 优先通道反查命中的官方 npm 包名（repo → 包名映射）：目录数据可能未下发
+    /** 安装时记录在案的官方 npm 包名（repo → 包名映射）：目录数据可能未下发
      *  npmPackage（组织 scope 与 GitHub 用户名不一致），客户端据此把依赖 key 匹配回仓库 */
     npmPackage?: string;
 }
 export type InstalledVersionTable = Record<string, InstalledVersionRecord>;
 export declare function versionsFilePath(profile: string): string;
 export declare function readInstalledVersions(profile: string): InstalledVersionTable;
-/** Record the catalog signals (version + repo updated time) present at install time for one repo. */
+/** 记录某仓库安装时的目录信号（版本 + 仓库更新时间）。 */
 export declare function recordInstalledVersion(profile: string, repo: string, version: string, updatedAt: string): void;
 /**
- * Record the npm package name resolved for a repo (npm-first install channel).
- * Called at `/install` time so the mapping exists even before the task finishes;
- * harmless when the repo is not (yet) installed — the client only treats a repo
- * as installed when its dependency key actually exists.
+ * 记录某仓库解析出的 npm 包名。在 `/install` 时调用，让映射在任务完成前就存在；
+ * 仓库尚未安装时也无害 —— 客户端只在依赖 key 真实存在时才把仓库当作已安装。
  */
 export declare function recordResolvedNpmPackage(profile: string, repo: string, npmPackage: string): void;
-/** Forget the recorded version for one repo (called on uninstall). */
+/** 清除某仓库记录的版本（卸载时调用）。 */
 export declare function removeInstalledVersion(profile: string, repo: string): void;

package/lib/types/services/profile/profile.d.ts

@@ -1,4 +1,4 @@
-/** Resolve the active profile from the booted CLI args, falling back to `web`. */
+/** 从启动参数解析当前 profile，取不到落回 `web`。 */
 export declare function readProfileArg(fallback?: string): string;
 /**
  * 从启动参数解析当前 profile，两种宿主形态都认：
@@ -10,32 +10,28 @@ export declare function readProfileArg(fallback?: string): string;
  * 位置参数按「父目录名为 profiles」精确识别 profile 目录，避免误取其它位置参数。
  */
 export declare function profileFromArgv(argv: readonly string[], fallback?: string): string;
-/** Resolve a profile directory (`DSH_HOME` or `~/.dsh`). */
+/** 解析 profile 目录（`DSH_HOME` 或 `~/.dsh`）。 */
 export declare function profileDirectory(profile: string): string;
-/** Build a safe explicit HTTPS Git target, or null when the repo is unsafe.
- *  When `ref` is given it is appended as a Git ref (`#tag` / `#commit`) so an
- *  explicitly pinned revision reaches the installer instead of being dropped. */
+/** 把仓库身份转成规范的 GitHub 目标（git+https），仓库不合法时返回 null。
+ *  带 ref 时按 Git ref（`#tag` / `#commit`）拼接；安装通道已不再使用 git 目标，此函数仅做身份规范化。 */
 export declare function githubTarget(repo: string, ref?: string | null): string | null;
-export declare function githubRefOf(value: string): string | null;
 export declare function installTargetOf(value: string): string;
 export declare function globalNpmPackagesOf(value: string): string[] | null;
-/** Extract an owner/repo identity from a catalog value or an installed Git spec. */
+/** 从目录值或已装 Git spec 中提取 owner/repo 身份。 */
 export declare function githubRepoOf(value: string): string | null;
-/** Validate an npm package name (uninstall target grammar). */
+/** 校验 npm 包名（卸载目标的语法）。 */
 export declare function validPackageName(name: string): boolean;
 /**
- * The exact `allowBuilds` key pnpm printed in its
- * `ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED` hint. For Git installs pnpm
- * matches against `name@<resolved fetch URL>` — the URL it actually fetches,
- * e.g. `https://codeload.github.com/<owner>/<repo>/tar.gz/<commit>` — not the
- * `git+ssh://`/branch spec. A bare name or a `git+` spec does not match, so
- * the only reliable key is the one pnpm prints verbatim. Null when absent.
+ * 取 pnpm 在 `ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED` 提示里原样打印的 `allowBuilds` key。
+ * Git 安装时 pnpm 按 `name@<实际 fetch URL>`（如
+ * `https://codeload.github.com/<owner>/<repo>/tar.gz/<commit>`）匹配，而不是 `git+ssh://`
+ * 或分支 spec —— 裸包名与 `git+` spec 都匹配不上，唯一可靠的 key 就是 pnpm 原样输出的那个。
+ * 无则返回 null。
  */
 export declare function parseAllowBuildsKey(output: string): string | null;
 /**
- * Add one `allowBuilds` entry to the profile's pnpm-workspace.yaml, merging
- * with existing entries and leaving the rest of the yaml intact. Broken
- * placeholder entries (pnpm's failed-install bug writes a literal
- * `set this to true or false` value) are dropped on rewrite.
+ * 向 profile 的 pnpm-workspace.yaml 追加一条 `allowBuilds` 记录：与已有条目合并，
+ * 其余 yaml 保持不变；重写时丢弃损坏的占位条目（pnpm 安装失败的 bug 会写入
+ * 字面量 `set this to true or false`）。
  */
 export declare function addAllowBuildsKey(profile: string, key: string): void;

package/lib/types/services/profile/progress.d.ts

@@ -3,19 +3,16 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Pure progress-estimation helpers shared by the install runner.
+ * 安装执行器共用的纯进度估算工具。
  *
- * The dsh CLI wraps pnpm, which refreshes its `Progress: …` line in place
- * with carriage returns, so raw output arrives as a stream of partial
- * fragments. These helpers normalize one fragment into a clean terminal
- * line and map it onto a 0-100 estimate; keeping them free of I/O makes the
- * estimation logic directly unit-testable (see tests/progress.test.ts).
+ * dsh CLI 包装了 pnpm，pnpm 用回车原地刷新 `Progress: …` 行，因此原始输出是一串碎片。
+ * 这些工具把单个碎片归一化成干净的终端行，并映射到 0-100 估算值；不碰 I/O
+ * 让估算逻辑可直接单测（见 tests/progress.test.ts）。
  */
-/** Strip the `[out]` / `[err]` source prefix and ANSI escape sequences. */
+/** 剥掉 `[out]` / `[err]` 来源前缀与 ANSI 转义序列。 */
 export declare function cleanLine(raw: string): string;
 /**
- * Estimate 0-100 progress from one CLI output line. pnpm emits
- * `Progress: resolved N, reused X, downloaded Y, added Z` during the fetch
- * phase; resolution/install phase lines bump the estimate towards done.
+ * 从单行 CLI 输出估算 0-100 进度。pnpm 在 fetch 阶段输出
+ * `Progress: resolved N, reused X, downloaded Y, added Z`；解析/安装阶段的行把估算值推向完成。
  */
 export declare function estimateProgress(line: string): number;

package/lib/types/services/settings.d.ts

@@ -7,10 +7,6 @@ export interface HubSettings {
     npmRegistry: string;
     /** 启用命令行安装 NPM 包（默认开；关掉后输入 npm 包名安装被拦截） */
     enableNpmInstall: boolean;
-    /** 启用命令行安装 GitHub 源码（默认开；关掉后输入 GitHub 地址安装被拦截） */
-    enableGitInstall: boolean;
-    /** 启用命令行粘贴 dsh plugin 命令安装（默认开；关掉后命令输入被禁用） */
-    enableDshInstall: boolean;
     /** 日志存放位置覆盖（空串 = 默认 ~/.dsh/profiles/<profile>/hub.log；可填目录或 .log 文件路径） */
     logPath: string;
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.6.11",
+  "version": "2.0.0",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -3,10 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Plugin Hub section: wires the catalog data pipeline, the background task
- * queue and the feedback state together. Data/queue logic lives in hooks/,
- * rendering is delegated to the small presentational components in this
- * folder; it hosts the dialogs/toast and the section-level copy actions.
+ * 插件中心板块：把目录数据管道、后台任务队列与反馈状态接在一起。数据/队列逻辑在 hooks/，
+ * 渲染交给本目录下的小型展示组件；本文件托管各弹窗/Toast 与板块级复制动作。
  */
 import { createElement as h, useEffect, useRef, useState } from 'react'
 import type { MouseEvent } from 'react'
@@ -27,7 +25,7 @@ import { HubUpdateModal } from './modals/HubUpdateModal.tsx'
 import { InstalledDetailModal } from './modals/InstalledDetailModal.tsx'
 import { NotificationsModal } from './modals/NotificationsModal.tsx'
 import { addFailure, addSuccess, addUpdateNotice, clearNotifications, ignoreUpdate, loadIgnoredUpdates, loadNotifications, removeNotification, removeUpdateNotice } from '../logic/failures.ts'
-import type { NotificationRecord } from '../logic/failures.ts'
+import type { FailureAction, NotificationRecord } from '../logic/failures.ts'
 import { CatalogHeader } from './layout/CatalogHeader.tsx'
 import { MarketView } from './views/MarketView.tsx'
 import { SectionTabs } from './layout/SectionTabs.tsx'
@@ -78,10 +76,10 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   const [confirmPlugin, setConfirmPlugin] = useState<HubPlugin | null>(null)
   /** 弹窗动作是否为「更新」：已安装插件点「更新」→ 走同一条 add 命令原位覆盖重装，文案区分安装/更新 */
   const [confirmIsUpdate, setConfirmIsUpdate] = useState(false)
-  /** 命令行安装确认弹窗：记录待安装的裸目标（npm 包名 / GitHub 地址，DSH 命令已剥成裸目标）——
+  /** 命令行安装确认弹窗：记录待安装的裸目标（npm 包名）——
    *  与应用商店同一套确认/进度/结果弹窗，提供时 plugin 传 null 走 customTarget 模式 */
   const [confirmCustomTarget, setConfirmCustomTarget] = useState<string | null>(null)
-  /** 自定义安装入口渠道（三张卡片之一）：随确认弹窗记录，提交时上报服务端，
+  /** 自定义安装入口渠道（NPM 包卡片）：随确认弹窗记录，提交时上报服务端，
    *  报错/日志据此精准溯源「从哪个入口发起」（npm 全局安装固定为 'npm'） */
   const [confirmCustomChannel, setConfirmCustomChannel] = useState<InstallChannel | null>(null)
   /** 全局 npm 安装确认弹窗（官方 `npm install -g <pkgs>`）：记录原始命令 + 解析出的包列表，
@@ -114,8 +112,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   const [uninstallNeedsReload, setUninstallNeedsReload] = useState(false)
   /** 结果视图「立即重启」：请求宿主重启后进入等待，服务回来后整页刷新 */
   const [restarting, setRestarting] = useState(false)
-  /** 操作失败完整信息 + 所属插件仓库 + 失败类型（决定弹窗标题「安装失败/卸载失败」）+ 实际执行的安装命令 + 尝试过的安装方式（issue 预填用） */
-  const [errorMsg, setErrorMsg] = useState<{ message: string; repo: string | null; kind: 'install' | 'uninstall'; command?: string; attempts?: string[] } | null>(null)
+  /** 操作失败信息 + 归属仓库 + 动作（决定弹窗标题与上报措辞）+ 命令与尝试记录（issue 预填用） */
+  const [errorMsg, setErrorMsg] = useState<{ message: string; repo: string | null; action: FailureAction; command?: string; attempts?: string[] } | null>(null)
   /** 通知中心记录：localStorage 持久化，每次安装/卸载任务成败都留痕（启动时读回） */
   const [notifications, setNotifications] = useState<NotificationRecord[]>(() => loadNotifications())
   /** 通知中心弹窗：一级导航「设置」tab 后边的铃铛入口按钮打开 */
@@ -142,7 +140,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
 
   const queue = useTaskQueue({
     t,
-    // 界面语言带给服务端：网络预检等错误消息按用户语言提示（中文界面给中文，英文界面给英文）
+    // 界面语言带给服务端：安装前网络探测等错误消息按用户语言提示（中文界面给中文，英文界面给英文）
     langKey,
     refreshInstalled: catalog.refreshInstalled,
     onInstallDone: (viaModal, repo, needsRestart, update, needsReload) => {
@@ -173,7 +171,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       // 提 Issue 目标先反查仓库身份：npm 包名能在已安装表/目录里反查到 owner/repo 才保留，
       // 反查不到置 null —— 错误弹窗据此不显示「一键提 Issue」按钮（防提到错误仓库）
       const issueRepo = issueRepoOf(repo ?? '', catalog.installedItems, catalog.plugins)
-      setErrorMsg({ message, repo: issueRepo, kind, command, attempts })
+      // 动作：更新失败要显示「更新失败」，其余按安装/卸载
+      setErrorMsg({ message, repo: issueRepo, action: update ? 'update' : kind, command, attempts })
       // 失败自动写入通知记录：任务在后台结束时没人盯着也能留痕。
       // 存原始 repo（可能只是裸包名）而非反查结果 —— 反查只服务于提 Issue，
       // 通知中心的展示反查由 NotificationsModal 做、查不到会回退显示原始值，
@@ -223,10 +222,12 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   useEffect(() => {
     if (startupCheckedRef.current) return
     if (!settingsReady || catalog.plugins === null || catalog.failed) return
+    // 供应链门禁结果未就绪时先等：否则刚发布的插件会先写进通知中心，冒出装不上的更新提醒
+    if (!catalog.releaseAgeReady) return
     startupCheckedRef.current = true
     if (!hubSettings.checkUpdatesOnStart) return
     syncUpdateNotices()
-  }, [settingsReady, hubSettings, catalog.plugins, catalog.failed, catalog.installedItems, queue])
+  }, [settingsReady, hubSettings, catalog.plugins, catalog.failed, catalog.installedItems, catalog.releaseAgeReady, queue])
 
   // 信任/卸载/更新说明弹窗打开时按 Esc 关闭；任务进入后台队列后可随时关闭（任务继续）
   useEffect(() => {
@@ -264,8 +265,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       await navigator.clipboard.writeText(text)
       return true
     } catch {
-      // Clipboard API unavailable (permissions/iframe) — fall back to the
-      // legacy hidden-textarea trick, which works in any context.
+      // Clipboard API 不可用（权限/iframe）—— 退回旧的隐藏 textarea 方案，任何环境都可用。
       const ta = document.createElement('textarea')
       ta.value = text
       ta.style.position = 'fixed'
@@ -305,7 +305,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       Object.keys(catalog.installed).some((k) => k.toLowerCase() === pkg)
   }
 
-  /** 弹窗动作一：复制安装命令到剪贴板，引导去终端粘贴执行（npm 通道显示包名命令）。 */
+  /** 弹窗动作一：复制安装命令到剪贴板，引导去终端粘贴执行（npm 安装显示包名命令）。 */
   const copyCommand = async (p: HubPlugin) => {
     const repo = p.source?.repo ?? ''
     const ok = await doCopy(installCommandOf(p))
@@ -416,8 +416,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
         noticeCount: notifications.length + queue.queue.length + queue.pendingRestarts.length,
         onOpenNotifications: () => {
           // 打开弹窗时补齐更新提醒（受「启动时检查更新」开关约束）：同一版本只一条，
-          // 清空/删除后重开仍恢复，直到插件更新完成才消失
-          if (hubSettings.checkUpdatesOnStart) syncUpdateNotices()
+          // 清空/删除后重开仍恢复，直到插件更新完成才消失；门禁结果未就绪时先不写，避免提示装不上的更新
+          if (hubSettings.checkUpdatesOnStart && catalog.releaseAgeReady) syncUpdateNotices()
           setShowNotifications(true)
         },
       }),
@@ -488,17 +488,13 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
         : view === 'custom'
           ? h(CustomInstallView, {
               t,
-              // 命令行安装：与应用商店同一套确认/进度/结果弹窗 —— 输入 npm 包名 / GitHub 地址 /
-              // dsh plugin 命令即装（custom 源，受安全设置三开关控制）。点安装先弹确认窗，
+              // 命令行安装：与应用商店同一套确认/进度/结果弹窗 —— 输入 npm 包名 / npm、pnpm
+              // 安装命令即装（custom 源，受安全设置开关控制）。点安装先弹确认窗，
               // 确认后走队列安装（实时进度 + 成功结果视图）；目标已安装 → 弹窗转「更新」覆盖重装，
               // 不会撞「already installed」报错。
-              // 安全信任开关关掉对应通道 → 卡片禁用并提示去设置打开（onOpenSettings 跳到设置页）。
+              // 安全信任开关关掉 → 卡片禁用并提示去设置打开（onOpenSettings 跳到设置页）。
               enableNpm: hubSettings.enableNpmInstall,
-              enableGit: hubSettings.enableGitInstall,
-              enableDsh: hubSettings.enableDshInstall,
               onOpenSettings: () => setView('settings'),
-              // 当前 profile：一键插入的 Hub 更新命令用它拼 --profile
-              profile: env?.profile ?? 'web',
               onInstallCustom: (raw, opts) => {
                 const target = raw.trim()
                 if (!target) return
@@ -515,7 +511,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
                   return
                 }
                 setConfirmGlobalNpm(null)
-                // 记录入口渠道：报错/日志据此精准提示「从哪张卡片发起的安装」（NPM 包 / GitHub 源码 / DSH 命令）
+                // 记录入口渠道：报错/日志据此精准提示「从哪张卡片发起的安装」
                 setConfirmCustomChannel(opts.installChannel)
                 setConfirmIsUpdate(customTargetInstalled(target))
                 setConfirmCustomTarget(target)
@@ -695,7 +691,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       },
       onInstall: () => void queue.installCustom(confirmCustomTarget, {
         update: confirmIsUpdate,
-        // 入口渠道（NPM 包 / GitHub 源码 / DSH 命令卡片）：上报服务端，报错/日志据此溯源
+        // 入口渠道（NPM 包卡片）：上报服务端，报错/日志据此溯源
         channel: confirmCustomChannel ?? 'npm',
       }),
       onRestart: () => setShowRestartConfirm(true),
@@ -793,7 +789,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
     errorMsg && h(ErrorModal, {
       message: errorMsg.message,
       repo: errorMsg.repo,
-      kind: errorMsg.kind,
+      action: errorMsg.action,
       command: errorMsg.command,
       attempts: errorMsg.attempts,
       t,

package/src/client/components/catalog/CatalogList.tsx

@@ -3,10 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Catalog list: the scrollable container with the loading / failed / empty
- * states, the plugin cards, and the count footer. Resets scroll position when
- * the category or install-status filter changes so the replaced content is
- * not mistaken for a no-op update.
+ * 目录列表：承载加载/失败/空三态、插件卡片与计数页脚的滚动容器。分类或安装状态
+ * 筛选变化时重置滚动位置，避免替换后的内容被误当成「没变化」。
  */
 import { createElement as h, useEffect, useRef } from 'react'
 import styles from '../../styles/List.module.css'

package/src/client/components/catalog/PluginCard.tsx

@@ -3,9 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * One plugin card in the catalog list: name/category/verified badge,
- * description + topics, star/fork/date stats, and the detail/install/
- * uninstall actions.
+ * 目录列表里的单张插件卡片：名称/分类/verified 徽标、描述 + 标签、Star/Fork/日期
+ * 统计，以及详情/安装/卸载动作。
  */
 import { createElement as h } from 'react'
 import styles from '../../styles/List.module.css'

package/src/client/components/layout/CatalogControls.tsx

@@ -3,12 +3,11 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Toolbar above the market list:
- * row 1 — full-width search input;
- * row 2 — result count on the left, sort segmented control on the right
- * (mirrors the Installed view: clicking the same sort toggles
- * ascending/descending, a new sort uses its default order; the active
- * button shows an up/down arrow for the current direction).
+ * 市场列表上方的工具栏：
+ * 第一行 —— 整行宽的搜索框；
+ * 第二行 —— 左侧结果计数，右侧排序分段控件
+ * （与已安装视图一致：点同一排序切换正/倒序，点新排序用其默认方向；
+ *  激活按钮显示当前方向的上/下箭头）。
  */
 import { createElement as h, Fragment } from 'react'
 import type { FormEvent, ReactNode } from 'react'

package/src/client/components/layout/CatalogHeader.tsx

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Section header: brand title row (H1 + open-site button) + tagline, followed
- * by the purple ad banner that promotes the catalog stats.
+ * 板块头部：品牌标题行（H1 + 官网入口按钮）+ 副标题，其后是宣传目录统计的紫色广告条。
  */
 import { createElement as h, Fragment } from 'react'
 import styles from '../../styles/Header.module.css'

package/src/client/components/layout/CategoryTabs.tsx

@@ -3,9 +3,8 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Category tabs: an "all" chip followed by one chip per catalog category.
- * The "all" chip carries the total plugin count; the per-category chips
- * carry no counts so their widths stay uniform.
+ * 分类 Tab：先是「全部」chip，其后每个目录分类一个 chip。「全部」chip 带插件总数，
+ * 各分类 chip 不带计数以保持宽度一致。
  */
 import { createElement as h } from 'react'
 import styles from '../../styles/Header.module.css'