dsh-plugin 1.6.12 → 2.0.0

package/lib/http/catalog.js

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Catalog proxy routes: server-side caching of the directory/stats payloads
- * and profile-level installed-package reads shared with the install/task modules.
+ * 目录代理路由：目录/统计载荷的服务端缓存，以及与安装/任务模块共享的 profile 级已装包读取。
  */
 import { mkdirSync, readFileSync, writeFileSync } from 'node:fs';
 import { homedir } from 'node:os';
@@ -44,7 +43,7 @@ function writeCatalogCache(file, body) {
 export function profileDirectory(profile) {
     return join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile);
 }
-/** Read non-official dependencies installed into one profile. */
+/** 读取安装进某 profile 的非官方依赖。 */
 export function readInstalled(profile) {
     try {
         const manifest = JSON.parse(readFileSync(join(profileDirectory(profile), 'package.json'), 'utf8'));

package/lib/http/diagnostics.js

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Diagnostics routes: streaming connectivity self-check, proxy verification,
- * and the host environment snapshot shared with the task module's /env route.
+ * 诊断路由：流式连通性自检、代理校验，以及与任务模块 /env 路由共享的宿主环境快照。
  */
 import { readFileSync } from 'node:fs';
 import { homedir, release } from 'node:os';
@@ -33,7 +32,7 @@ function hostDshVersion() {
             }
         }
         catch {
-            /* not a package root — keep walking up */
+            /* 不是包根，继续向上查找 */
         }
         const parent = dirname(dir);
         if (parent === dir)
@@ -98,8 +97,8 @@ export function registerDiagnosticsRoutes(webServer, profile) {
             handler: async (request, response) => {
                 if (!requireTrustedPost(request, response))
                     return;
-                // 连通性自检：npm registry（镜像/官方）/ GitHub API / 目录站点，逐路探测并测速。
-                // 与安装通道一一对应 —— npm 反查与 npm 安装走 registry、git 源走 github、目录数据走 dsh-plugin.org。
+                // 连通性自检：npm registry（镜像/官方）/ GitHub / 目录站点，逐路探测并测速。
+                // npm 安装走 registry、目录数据走 dsh-plugin.org、GitHub 那一行用于反映插件运行时对 github.com 的可达性。
                 // 流式（NDJSON）逐条上报：每个探测先发命令行，完成后发结果行，客户端以黑窗口终端实时展示。
                 // 可选 body { key }：只重测指定通道（页面列表「重测」单项时用），缺省全量串行探测。
                 let onlyKey = '';
@@ -116,8 +115,8 @@ export function registerDiagnosticsRoutes(webServer, profile) {
                 // npm 通道：设置里配置了镜像源就探测该镜像（安装通道吃同一个 registry）；
                 // 未配置（空串）时探测官方源作为「跟随本机 npm 配置」的基础连通性参考。
                 const registry = settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org';
-                // 连通性自检直接打安装通道真实访问的轻量资源：npm 源拉包元数据、git 通道探
-                // 仓库主页、目录站探 badge 小文件，避免拉取目录全量 JSON。
+                // 连通性自检打各通道的轻量资源：npm 源拉包元数据、GitHub 行探小仓库、目录站探
+                // 小文件，避免拉取目录全量 JSON。
                 // npm 行 display：配置了镜像就显示镜像地址；未配置置空 —— 客户端显示「未配置（跟随本机 npm 配置）」。
                 const allChecks = [
                     { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },

package/lib/http/install.js

@@ -3,22 +3,18 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Install/uninstall routes: validate the target and spawn the official dsh CLI
- * (see services/install/install.ts), reporting the captured result back.
+ * 安装/卸载路由：校验目标后 spawn 官方 dsh CLI（见 services/install/install.ts），
+ * 并回传捕获的结果。自定义安装只接受 npm 包名。
  */
-import { githubRefOf, githubRepoOf, githubTarget, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, startPluginMutation, validPackageName } from '../services/install/install.js';
-import { githubReleaseTarget } from '../services/install/release-target.js';
+import { githubRepoOf, globalNpmPackagesOf, hasQueuedTarget, installTargetOf, startPluginMutation, validPackageName } from '../services/install/install.js';
 import { recordResolvedNpmPackage } from '../services/profile/installed-versions.js';
-import { isDshNpmPackageForRepo, resolveNpmPackage } from '../services/install/npm-resolve.js';
-import { preflightTarget } from '../services/install/preflight.js';
-import { gitLsRemote, probeUrl, systemProxy } from '../services/probe.js';
+import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.js';
+import { probeUrl, systemProxy } from '../services/probe.js';
 import { loadSettings } from '../services/settings.js';
-import { installedRepoOf, readInstalled } from './catalog.js';
+import { readInstalled } from './catalog.js';
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson } from './shared.js';
-/** 安装/卸载 CLI 的子进程环境：透传宿主环境，并按设置注入 HTTP(S) 代理。
- *  不注入 npm registry —— 安装完全沿用用户本机 npm 配置（~/.npmrc / 全局配置）。
- *  代理优先级：设置里的代理 → 系统代理（macOS scutil / Windows 注册表）→ 宿主 env 原有值。
- *  使安装通道与诊断使用相同的代理来源。 */
+/** 安装/卸载 CLI 的子进程环境：透传宿主环境并注入 HTTP(S) 代理，
+ *  代理来源与诊断一致（设置代理 → 系统代理 → 宿主 env）；不注入 npm registry，沿用用户本机 npm 配置。 */
 function mutationEnv(settings) {
     const env = { ...process.env, CI: 'true' };
     const proxy = settings.proxy !== '' ? settings.proxy : (systemProxy() ?? '');
@@ -30,18 +26,6 @@ function mutationEnv(settings) {
     }
     return env;
 }
-/** Match a GitHub install target against the installed table; returns the package name when already installed. */
-function installedByRepo(installed, target) {
-    const repo = githubRepoOf(target);
-    if (repo === null)
-        return null;
-    const needle = repo.toLowerCase();
-    for (const [name, spec] of Object.entries(installed)) {
-        if (githubRepoOf(spec)?.toLowerCase() === needle)
-            return name;
-    }
-    return null;
-}
 export function registerInstallRoutes(webServer, profile, loader) {
     return [
         {
@@ -54,43 +38,37 @@ export function registerInstallRoutes(webServer, profile, loader) {
                 try {
                     const body = await readJsonBody(request);
                     // mode: 'update' = 已安装目标的覆盖更新（放行 add，pnpm 对已存在依赖原位覆盖重装）。
-                    // 后续「同仓库残留」检测可能把 install 就地升级为 update（见包名冲突检测），故用 let。
                     let mode = body !== null && typeof body === 'object' && body.mode === 'update'
                         ? 'update'
                         : 'install';
-                    // installTargetOf 先把完整 DSH 命令（`dsh plugin [--profile <p>] add <target>`）剥成裸目标，
-                    // 兼容用户直接粘贴命令行（防输错），真正语法判定交给下面 githubRepoOf / validPackageName。
+                    // installTargetOf 把完整 DSH 命令剥成裸目标；自定义目标只接受 npm 包名，语法判定交给 validPackageName。
                     const rawRepo = typeof body === 'object' && body !== null && typeof body.repo === 'string'
                         ? installTargetOf(body.repo)
                         : '';
-                    // 前端决策的展示用仓库名（owner/repo）：npm 安装时 body.repo 是包名，display 用于
-                    // 待重启行 / 任务恢复时展示仓库名，保证用户无感知（安装通道变化不改变所见目标）
+                    // 展示用仓库名（owner/repo）：npm 安装时 body.repo 是包名，display 供待重启行 / 任务恢复展示仓库名。
                     const displayRepo = typeof body === 'object' && body !== null && typeof body.display === 'string'
                         ? body.display.trim()
                         : rawRepo;
-                    // 请求来源：目录插件安装（catalog）走目录白名单；命令行安装（custom）按通道受安全开关控制
+                    // 请求来源：目录插件安装（catalog）走目录白名单；命令行安装（custom）受安全开关控制
                     const source = typeof body === 'object' && body !== null && typeof body.source === 'string'
                         ? body.source
                         : '';
-                    // 自定义安装入口渠道（客户端三张卡片：NPM 包 / GitHub 源码 / DSH 命令）：
-                    // 客户端显式上报，服务端日志/报错据此精准溯源「从哪个入口发起」；目录插件安装不传。
+                    // 自定义安装入口渠道（仅 NPM 包）：日志/报错据此溯源发起入口。
                     const installChannel = (() => {
                         const raw = body !== null && typeof body === 'object' ? body.installChannel : undefined;
-                        return raw === 'git' || raw === 'dsh' || raw === 'npm' ? raw : undefined;
+                        return raw === 'npm' ? 'npm' : undefined;
                     })();
                     const settings = loadSettings(profile);
                     // 界面语言（客户端随请求携带）：错误消息按用户当前语言提示（中文界面给中文，英文界面给英文）
                     const lang = typeof body === 'object' && body !== null && body.lang === 'en'
                         ? 'en'
                         : 'zh';
-                    // 全局 npm 安装（官方 README 的 `npm install -g <pkgs>`，如 dsh-tui 的安装命令）：
-                    // 直接从命令框输入格式执行全局安装，不进任何 profile、无需宿主重启。
-                    // 包列表优先取 body.globalNpm（客户端命令框解析后显式携带）；兜底再从 rawRepo 解析，
-                    // 保证直接调 API 传完整命令也能识别。
+                    // 全局 npm 安装（`npm install -g <pkgs>`）：不进任何 profile、无需宿主重启。
+                    // 包列表优先取 body.globalNpm，兜底从 rawRepo 解析，保证直接调 API 传完整命令也能识别。
                     const bodyGlobalNpm = Array.isArray(body.globalNpm)
                         ? body.globalNpm.filter((x) => typeof x === 'string' && x !== '')
                         : [];
-                    let globalNpm = bodyGlobalNpm.length > 0 ? bodyGlobalNpm : (globalNpmPackagesOf(rawRepo) ?? []);
+                    const globalNpm = bodyGlobalNpm.length > 0 ? bodyGlobalNpm : (globalNpmPackagesOf(rawRepo) ?? []);
                     if (globalNpm.length > 0) {
                         // 包名逐个按 npm 包名语法校验 + 拒绝以 - 开头的 token（npm 会把 --xxx 当参数而非包名），数量封顶防滥用
                         if (globalNpm.length > 20 || globalNpm.some((p) => !validPackageName(p) || p.startsWith('-'))) {
@@ -122,99 +100,35 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         sendJson(response, 200, { ok: true, task: task.id });
                         return;
                     }
-                    // 目标语法三态：固定 GitHub release .tgz（保留其包根目录，不转成仓库 HEAD）；
-                    // GitHub 地址（owner/repo、github:、https/ssh 链接等任意写法）→ 显式 HTTPS Git 源
-                    // （走装前预检）；npm 包名（@scope/name 或 name）→ 信任 registry 直接安装。
-                    // githubRepoOf 先把各种 GitHub 地址归一成 owner/repo，让「输入地址即装」兼容粘贴完整链接。
-                    const gitRepo = githubRepoOf(rawRepo);
-                    const release = githubReleaseTarget(rawRepo);
-                    // 显式 pin 的 Git ref（`#tag` / `#commit`）是用户意图：保留它，且不让 npm 反查
-                    // 把这个精确修订换成 registry 上的默认版本。
-                    const pinnedRef = githubRefOf(rawRepo);
-                    const repoTarget = gitRepo !== null && release === null ? githubTarget(gitRepo, pinnedRef) : null;
-                    let target = release?.target ?? repoTarget ?? (validPackageName(rawRepo) ? rawRepo : null);
-                    if (target === null) {
-                        sendJson(response, 400, { error: 'unsupported install target' });
+                    // 自定义安装目标只接受 npm 包名（@scope/name 或 name）。
+                    if (!validPackageName(rawRepo)) {
+                        sendJson(response, 400, { error: 'unsupported install target: expected an npm package name' });
                         return;
                     }
+                    const target = rawRepo;
+                    // 已尝试的安装方式（供失败提 Issue 预填）：保持为空
                     const attempts = [];
                     // 代理口径与诊断/安装通道一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
-                    // 供 npm 反查时跟随 GitHub 改名跳转用（Node https 读不到系统代理，交给 curl）。
                     const effectiveProxy = settings.proxy !== ''
                         ? settings.proxy
                         : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
-                    // Catalog metadata may outlive a packaging split: one repository can publish both a
-                    // CLI/helper package and a dedicated DSH plugin package. Keep the catalog target when
-                    // registry metadata confirms it is a DSH package for this repo. Otherwise inspect the
-                    // repository root package.json and use its package name only when that exact registry
-                    // package also points back to the repo and identifies as a DSH plugin. This avoids
-                    // relying on npm search ranking, which is not a repository index and can omit the
-                    // correct package even with a large result window.
+                    // 目录插件安装：目录数据可能滞后于打包拆分，确认目录下发的 npm 目标确为该仓库的 DSH 包，
+                    // 命中则记录 repo → 包名映射，客户端据此把依赖 key 匹配回仓库、列表立即显示「已安装」。
                     const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null;
-                    if (catalogRepo !== null && release === null && repoTarget === null && validPackageName(rawRepo)) {
+                    if (catalogRepo !== null) {
                         const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy);
-                        if (catalogTargetIsDsh) {
+                        if (catalogTargetIsDsh)
                             recordResolvedNpmPackage(profile, catalogRepo, rawRepo);
-                        }
-                        else {
-                            const catalogGitTarget = githubTarget(catalogRepo);
-                            if (catalogGitTarget !== null) {
-                                const root = await preflightTarget(catalogGitTarget);
-                                const rootName = root.ok && root.name !== null && validPackageName(root.name) ? root.name : null;
-                                if (rootName !== null && rootName !== rawRepo
-                                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry, effectiveProxy)) {
-                                    attempts.push(`catalog npm target: \`${target}\` → repository root DSH package \`${rootName}\``);
-                                    target = rootName;
-                                    recordResolvedNpmPackage(profile, catalogRepo, rootName);
-                                }
-                            }
-                        }
-                    }
-                    // npm 优先：git 目标先反查该仓库的官方 npm 包，命中则改走 npm 通道。
-                    // git 分发常缺构建产物/子模块，npm 包是作者发布的完整产物；未命中或
-                    // 查询失败保留 github 直装（不阻塞安装，预检仍会拦截缺入口文件的情况）。
-                    // 通用机制，不针对具体插件。
-                    // 反查本身计入「已尝试的安装方式」：组织 scope 与 GitHub 用户名不一致时仅凭
-                    // 仓库名猜不到包名，失败提 Issue 时作者看到我们查过的命令就能直接指认正确包名。
-                    // 显式 pin 了 Git ref 时跳过 npm 反查：用户要的就是那个精确修订，
-                    // 不能用 registry 上的默认版本覆盖它。
-                    if (repoTarget !== null && pinnedRef === null) {
-                        // 反查/记录统一用归一化后的 owner/repo（gitRepo），保证「输入完整链接」也走同一套 npm 反查
-                        const repoIdentity = gitRepo ?? rawRepo;
-                        const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry, effectiveProxy);
-                        if (npmName !== null) {
-                            target = npmName;
-                            attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → found \`${npmName}\``);
-                            // 持久化 repo → npm 包名映射：目录数据未下发 npmPackage（组织 scope 与 GitHub
-                            // 用户名不一致）时，客户端仍能通过 /installed 的 versions 把依赖 key 匹配回仓库，
-                            // 列表立即显示「已安装」，避免安装成功后仍显示可安装
-                            recordResolvedNpmPackage(profile, repoIdentity, npmName);
-                        }
-                        else {
-                            attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → no matching package found (falling back to git install)`);
-                        }
                     }
-                    // 命令行安装（目录外）按通道门禁：GitHub 源码通道受「启用 GitHub 源码安装」控制，
-                    // npm 通道受「启用 NPM 安装」控制 —— 目录插件安装走目录白名单，不受开关影响。
-                    // 通道判定看反查后的最终 target：release 包与 git 目标同属 GitHub 通道，否则走 npm。
-                    if (source !== 'catalog') {
-                        const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget);
-                        if (isGitChannel && !settings.enableGitInstall) {
-                            sendJson(response, 403, { error: 'git installs are disabled by the security settings' });
-                            return;
-                        }
-                        if (!isGitChannel && !settings.enableNpmInstall) {
-                            sendJson(response, 403, { error: 'npm installs are disabled by the security settings' });
-                            return;
-                        }
+                    // 命令行安装（目录外）受「启用 NPM 安装」开关控制；目录插件安装走目录白名单，不受开关影响。
+                    if (source !== 'catalog' && !settings.enableNpmInstall) {
+                        sendJson(response, 403, { error: 'npm installs are disabled by the security settings' });
+                        return;
                     }
-                    // 命中已安装目标时一律按「更新」语义执行（pnpm add 对已存在依赖本就是原位覆盖重装），
-                    // 不再抛 409：客户端的已装列表与服务端实读可能不同步（如页面列表滞后），此时用户点
-                    // 「安装」会撞上重复安装守卫，直接覆盖重装比让用户看到一句看不懂的 already installed
-                    // 报错友好，最终状态也一致（都是已安装）。命中判定双通道：npm 包名按 dependencies
-                    // 键直接命中，GitHub 目标按仓库身份匹配。
+                    // 命中已安装目标时按「更新」执行（pnpm add 对已存在依赖即原位覆盖重装）：
+                    // 客户端已装列表可能与服务端不同步，覆盖重装比报错更友好且终态一致。
                     const installed = readInstalled(profile);
-                    const already = installedByRepo(installed, target) ?? (installed[target] !== undefined ? target : null);
+                    const already = installed[target] !== undefined ? target : null;
                     if (already !== null)
                         mode = 'update';
                     // 队列级去重：同一目标已在排队/执行中时拒绝，避免客户端防重竞态导致重复入队
@@ -222,122 +136,42 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         sendJson(response, 409, { error: `already queued: ${target}` });
                         return;
                     }
-                    // 安装前网络连通性预检：npm 通道探 registry、git 通道探 github.com 连通性。
-                    // 探测目标固定为通道的稳定入口（registry 根 / github.com 主页），不探具体包或仓库
-                    // 页 —— 404 表示「目标不存在」而非网络不通，不该被当成网络故障拦截。
-                    // 仅新安装预检（更新是已信任目标的覆盖重装，跳过）；不通直接 400 拦下并打
-                    // [network] 标记，客户端据此提示「你的网络不通」，而不是把网络失败当成
-                    // 插件侧问题引导去作者仓库提 Issue。
-                    // 代理口径与诊断一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
+                    // 安装前网络探测：探 registry 根而非具体包（404 是「包不存在」而非网络不通）；仅新安装执行，更新跳过。
+                    // 不通则 400 拦下并打 [network] 标记，客户端据此提示网络问题，而非插件问题。
                     if (already === null) {
-                        const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget);
-                        // release 包是 https://github.com/ 直链下载（非 git 克隆），探针按 HTTP 打 github.com 主页；
-                        // npm 通道探 registry 根。两者都是通道的稳定入口，不探具体包/仓库（404 会被误判成网络故障）。
-                        const httpProbeTarget = release !== null
-                            ? 'https://github.com/'
-                            : `${(settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org')}/`;
-                        // git 通道的探针换成克隆握手本身：git ls-remote 走的就是 pnpm 克隆前的同一套
-                        // https 传输。curl 打 github.com 主页会被按协议/端口区分的防火墙与 TLS 复检
-                        // 拦截（能 git 克隆、打不开网页），把可装的仓库误判成 [network] 而中止。
-                        // 握手失败时再用 curl 复核一次主页连通性：只有两者都不通
-                        // 才判「网络不通」；仅握手失败（仓库不存在、私有仓库、需要凭据）放行，
-                        // 交给后续预检与真实安装给出准确原因。
-                        // 探针只握手仓库本身（去掉 git+ 前缀与 #ref 片段）：ls-remote 认的是仓库地址，
-                        // 带 ref 片段会干扰 URL 解析
-                        const gitProbeTarget = repoTarget === null ? null : repoTarget.replace(/^git\+/, '').replace(/#.*$/, '');
-                        let net;
-                        if (gitProbeTarget !== null) {
-                            net = await gitLsRemote(gitProbeTarget, effectiveProxy, 6000);
-                            if (!net.ok) {
-                                const reachable = await probeUrl('https://github.com/', effectiveProxy, 6000);
-                                if (reachable.ok)
-                                    net = reachable;
-                            }
-                        }
-                        else {
-                            net = await probeUrl(httpProbeTarget, effectiveProxy, 6000);
-                        }
-                        const probeTarget = gitProbeTarget ?? httpProbeTarget;
+                        const probeTarget = `${(settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org')}/`;
+                        const net = await probeUrl(probeTarget, effectiveProxy, 6000);
                         if (!net.ok) {
-                            // 错误消息按客户端界面语言提示：中文界面给中文、英文界面给英文，
-                            // 让用户一眼看懂是网络问题而非插件问题
-                            const channelName = isGitChannel
-                                ? (lang === 'zh' ? 'GitHub' : 'github.com')
-                                : (lang === 'zh' ? 'npm 源' : 'the npm registry');
+                            // 错误消息按界面语言输出，让用户看清是网络问题而非插件问题
                             const error = lang === 'zh'
-                                ? `[network] 安装已中止：安装前无法连接到 ${channelName}（${probeTarget}）—— 您的网络似乎不通或被拦截（断网 / DNS 解析失败 / 防火墙 / 代理配置问题）。这不是插件本身的问题，请检查网络连接或代理设置，运行「系统诊断」检测各通道连通性后重试。`
-                                : `[network] install aborted: cannot reach ${channelName} (${probeTarget}) before install — your network connection appears to be down or blocked (DNS / proxy / firewall). This is not a problem with the plugin itself. Check your connection or proxy settings, run the connectivity diagnostic, then retry.`;
+                                ? `[network] 安装已中止：安装前无法连接到 npm 源（${probeTarget}）—— 您的网络似乎不通或被拦截（断网 / DNS 解析失败 / 防火墙 / 代理配置问题）。这不是插件本身的问题，请检查网络连接或代理设置，运行「系统诊断」检测各通道连通性后重试。`
+                                : `[network] install aborted: cannot reach the npm registry (${probeTarget}) before install — your network connection appears to be down or blocked (DNS / proxy / firewall). This is not a problem with the plugin itself. Check your connection or proxy settings, run the connectivity diagnostic, then retry.`;
                             sendJson(response, 400, { error, attempts });
                             return;
                         }
                     }
-                    // 安装前预检：仅新安装走预检（github 源分发缺 package.json 声明的文件时直接拦截）。
-                    // 更新是已信任目标的覆盖重装，跳过预检避免重复下载 tarball。
-                    // npm 包信任 registry 直接放行；github 源拦截时标记 [packaging] 前缀，
-                    // 供客户端归类为「插件分发不完整」并引导去仓库提 Issue
-                    if (already === null) {
-                        const preflight = await preflightTarget(target);
-                        if (!preflight.ok) {
-                            // 预检拦截（git 分发缺作者声明的文件）：同步 400 返回，附上已尝试的安装方式，
-                            // 客户端失败弹窗提 Issue 时一并贴给作者
-                            sendJson(response, 400, {
-                                error: `[packaging] ${target}: plugin distribution is incomplete — the file ${preflight.missing ?? '?'} the package needs (its declared entry, an entry a bundled patch mounts, or the patch itself) is not present in the git distribution (build output not committed). Report to the author.`,
-                                attempts,
-                            });
-                            return;
-                        }
-                        // 包名冲突检测（仅 git 通道）：git 目标包内声明的 name 若与 profile 已装依赖同名，
-                        // pnpm 会以该 name 做依赖键撞车，抛出的 CLI 报错晦涩难懂 —— 且该包名在 registry 上
-                        // 可能被别的仓库占用，npm 反查搜不到，git 直装就会撞上已装的同名依赖。
-                        // 到这里已装依赖要么来源不同仓库、要么 spec 是版本号解析不出仓库身份。
-                        // 读 node_modules 里已装包的真实 repository 区分两种情况：
-                        //  - 指向同一仓库 → 是「同仓库残留」（spec 丢了仓库身份），就地转 update 覆盖重装（幂等）；
-                        //  - 指向别的仓库 / 读不到 → 跨仓库包名冲突，入队前转成明确 409，指导用户先卸载或改装。
-                        if (preflight.name !== null && repoTarget !== null && target === repoTarget) {
-                            const declared = preflight.name;
-                            if (installed[declared] !== undefined) {
-                                const installedRepo = installedRepoOf(profile, declared);
-                                if (installedRepo !== null && gitRepo !== null && installedRepo.toLowerCase() === gitRepo.toLowerCase()) {
-                                    // 同名且同源：已装 spec 丢了仓库身份导致的残留，直接按 update 覆盖重装，不打扰用户
-                                    attempts.push(`same-repo residual: \`${declared}\` resolves to \`${installedRepo}\` → reinstall as update`);
-                                    mode = 'update';
-                                }
-                                else {
-                                    attempts.push(`package name conflict: \`${gitRepo}\` declares npm name \`${declared}\`, which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository)`);
-                                    const error = lang === 'zh'
-                                        ? `already installed: ${declared} —— ${gitRepo} 声明的 npm 包名「${declared}」已存在于当前 profile，且无法匹配到本仓库（该包名在 npm 上可能被其他仓库占用）。请先移除现有的 ${declared}（dsh plugin remove ${declared}），再重新安装；或改装该包名对应的官方 npm 包。`
-                                        : `already installed: ${declared} — ${gitRepo} declares the npm package name "${declared}", which is already present in the profile and cannot be matched to this repo (that npm name is likely registered by another repository). Remove the existing ${declared} dependency (dsh plugin remove ${declared}) first, then retry; or install the official npm package under that name.`;
-                                    sendJson(response, 409, { error, attempts });
-                                    return;
-                                }
-                            }
-                        }
-                    }
-                    // 入队前复检（与上方检查同语义，但必须在同步块内）：preflight 的 await 期间并发请求
-                    // 可能已通过上方检查、任务却尚未入队——此处检查与 startPluginMutation 之间无 await，
-                    // JS 单线程保证同一目标至多一个任务，杜绝双击/并发产生双任务
+                    // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
+                    // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
                     if (hasQueuedTarget(target)) {
                         sendJson(response, 409, { error: `already queued: ${target}` });
                         return;
                     }
-                    // Kick off the CLI in the background; the client polls /status for progress
+                    // 后台启动 CLI；客户端轮询 /status 获取进度
                     const task = startPluginMutation({
                         // mode=update（已安装目标的覆盖更新）以 update 动作入队：
                         // 日志按 update 类别落盘（update.start/done/fail），实际 CLI 执行仍是 add <target>@latest
                         action: mode === 'update' ? 'update' : 'add',
                         profile,
                         target,
-                        // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不受通道变化影响
+                        // npm 安装时 target 是包名：displayTarget 固定展示仓库名，待重启行/前端恢复不因安装目标形态而变
                         displayTarget: githubRepoOf(displayRepo) ?? undefined,
-                        // 已尝试的安装方式（npm 反查）：实际执行命令由 spawn 时追加，失败 issue 一并展示
-                        attempts,
-                        timeoutMs: COMMAND_TIMEOUT_MS,
-                        env: mutationEnv(settings),
-                        // 覆盖更新：npm 通道命令显式 @latest（pnpm add 无版本对已存在依赖是幂等的，不加版本不会真更新）
+                        // 覆盖更新：npm 命令显式 @latest（pnpm add 无版本对已存在依赖是幂等的，不加版本不会真更新）
                         updateNpm: mode === 'update',
                         // 运行中 loader：安装成功后把新插件热挂进 loader，非桌面端 + 纯服务端插件无需重启即生效
                         loader,
-                        // 自定义安装入口渠道（NPM 包 / GitHub 源码 / DSH 命令卡片）：日志/报错据此溯源
+                        timeoutMs: COMMAND_TIMEOUT_MS,
+                        env: mutationEnv(settings),
+                        // 自定义安装入口渠道：日志/报错据此溯源
                         installChannel,
                     });
                     sendJson(response, 200, { ok: true, task: task.id });

package/lib/http/logs.js

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Log routes: paginated log viewer, clearing, reveal-in-file-manager and the
- * native folder picker for choosing a log directory.
+ * 日志路由：分页日志查看器、清空、在文件管理器中定位，以及选择日志目录的原生文件夹选择器。
  */
 import { spawn } from 'node:child_process';
 import { dirname } from 'node:path';

package/lib/http/npm-release-age.js

@@ -0,0 +1,42 @@
+/**
+ * DSH Plugin Hub — the community plugin marketplace for DeepSeek Harness.
+ * Website: https://dsh-plugin.org
+ * GitHub: https://github.com/dshplugin/dsh-plugin-hub
+ *
+ * npm 包发布时间查询路由：按已安装插件的 npm 包名按需查询最新版本的发布时间，
+ * 供客户端判定 pnpm 24h 供应链门禁（发布未满门槛的版本不提示更新）。
+ */
+import { systemProxy } from '../services/probe.js';
+import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.js';
+import { loadSettings } from '../services/settings.js';
+import { readJsonBody, requireTrustedPost, sendJson } from './shared.js';
+export function registerNpmReleaseAgeRoutes(webServer, profile) {
+    return [
+        {
+            kind: 'exact',
+            path: '/dsh-plugin-hub/npm-release-age',
+            handler: async (request, response) => {
+                if (!requireTrustedPost(request, response))
+                    return;
+                try {
+                    const packages = parseReleaseAgeRequest(await readJsonBody(request));
+                    if (packages === null) {
+                        sendJson(response, 400, { error: 'invalid package list' });
+                        return;
+                    }
+                    const settings = loadSettings(profile);
+                    // 代理口径与安装/目录一致：设置里的代理 → 系统代理 → 环境变量 → 直连
+                    const proxy = settings.proxy !== ''
+                        ? settings.proxy
+                        : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
+                    // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
+                    const results = await Promise.all(packages.map(async (name) => [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)]));
+                    sendJson(response, 200, { packages: Object.fromEntries(results) });
+                }
+                catch (error) {
+                    sendJson(response, 500, { error: error instanceof Error ? error.message : String(error) });
+                }
+            },
+        },
+    ];
+}

package/lib/http/routes.js

@@ -6,12 +6,12 @@ import { registerSettingsRoutes } from './settings.js';
 import { registerLogsRoutes } from './logs.js';
 import { registerDiagnosticsRoutes } from './diagnostics.js';
 import { registerTaskRoutes } from './task.js';
+import { registerNpmReleaseAgeRoutes } from './npm-release-age.js';
 /**
- * Register the Plugin Hub API on the host web server and return a disposer.
- * @param webServer - DSH web server service.
- * @param profile - profile that owns plugin mutations.
- * @param loader - running loader (optional): lets uninstall remove the entry
- *   immediately so the page survives a refresh without a host restart.
+ * 在宿主 web server 上注册插件中心 API 并返回 dispose 函数。
+ * @param webServer - DSH web server 服务。
+ * @param profile - 拥有插件变更权限的 profile。
+ * @param loader - 运行中 loader（可选）：让卸载立即移除条目，页面刷新即生效、无需重启宿主。
  */
 export function mountPluginHubRoutes(webServer, profile, loader) {
     if (!PROFILE_RE.test(profile))
@@ -32,6 +32,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
         ...registerLogsRoutes(webServer, profile),
         ...registerDiagnosticsRoutes(webServer, profile),
         ...registerTaskRoutes(webServer, profile, loader),
+        ...registerNpmReleaseAgeRoutes(webServer, profile),
     ];
     const disposers = routes.map((route) => webServer.register(route));
     return () => {
@@ -39,7 +40,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
             dispose();
     };
 }
-/** Profile resolution shared with the client route docs. */
+/** 与客户端路由文档共用的 profile 解析。 */
 export { readProfileArg } from '../services/install/install.js';
-/** Re-exported so tests/routes.test.ts keeps importing these from this module. */
+/** 转出以便 tests/routes.test.ts 继续从本模块引入。 */
 export { isDesktopHost, isSameOrigin } from './shared.js';

package/lib/http/settings.js

@@ -3,7 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Settings routes: read/write the hub settings and reset them to defaults.
+ * 设置路由：读写插件中心设置，以及恢复默认。
  */
 import { mkdirSync } from 'node:fs';
 import { dirname } from 'node:path';
@@ -28,7 +28,7 @@ export function registerSettingsRoutes(webServer, profile) {
                     // 白名单字段：只接受已知设置项，防客户端把任意键写进文件
                     const patch = {};
                     const source = typeof body === 'object' && body !== null ? body : {};
-                    for (const key of ['checkUpdatesOnStart', 'enableNpmInstall', 'enableGitInstall', 'enableDshInstall', 'npmRegistry', 'proxy', 'logPath']) {
+                    for (const key of ['checkUpdatesOnStart', 'enableNpmInstall', 'npmRegistry', 'proxy', 'logPath']) {
                         if (source[key] !== undefined)
                             patch[key] = source[key];
                     }

package/lib/http/shared.js

@@ -108,8 +108,8 @@ function loopbackAuthority(authority) {
         return null;
     }
 }
-/** POST mutations are only accepted from the local web server origin or the desktop host page.
- *  Exported for tests (tests/routes.test.ts) — the origin check is the whole CSRF defence. */
+/** POST 变更只接受来自本地 web server 来源或桌面宿主页面。转出供测试（tests/routes.test.ts）使用 ——
+ *  来源校验就是全部的 CSRF 防御。 */
 export function isSameOrigin(request) {
     // 服务只绑定本机回环地址：Host 不是回环（局域网 IP、被改写的域名）一律拒绝，
     // 顺带挡掉 DNS rebinding（Host 是攻击者域名，即便解析到 127.0.0.1）。

package/lib/http/task.js

@@ -3,8 +3,7 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * Task/misc routes: task polling, host restart, loader-entry debugging, and
- * the installed-plugin inventory the client uses to reconcile its list.
+ * 任务/杂项路由：任务轮询、宿主重启、loader 条目调试，以及客户端用于对账列表的已装插件清单。
  */
 import { spawn } from 'node:child_process';
 import { join } from 'node:path';

package/lib/index.js

@@ -3,17 +3,16 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * dsh-plugin host entry: mounts the Plugin Hub HTTP routes once the host
- * web server service is available. The browser bundle (src/client) talks to
- * these same-origin routes to perform real installs from inside the app.
+ * dsh-plugin 宿主入口：宿主 webServer 服务就绪后挂载插件中心的 HTTP 路由。
+ * 浏览器 bundle（src/client）通过这些同源路由在应用内执行真正的安装。
  */
 import { readProfileArg } from './services/install/install.js';
 import { mountPluginHubRoutes } from './http/routes.js';
 export const name = 'dsh-plugin';
 /**
- * Mount the Plugin Hub routes after the web server service becomes available.
- * @param ctx - cordis host context.
- * @param config - optional profile override.
+ * webServer 服务就绪后挂载插件中心路由。
+ * @param ctx - cordis 宿主上下文。
+ * @param config - 可选的 profile 覆盖。
  */
 export function apply(ctx, config = {}) {
     const profile = config.profile ?? readProfileArg('web');

package/lib/services/install/install-types.js

@@ -5,13 +5,13 @@
  *
  * 安装/卸载运行时的公共类型与常量（无依赖，供各服务模块复用）。
  */
-/** Grammar of a catalog GitHub repository identity (`owner/repo`). */
+/** 目录 GitHub 仓库身份（`owner/repo`）的语法。 */
 export const REPO_RE = /^[A-Za-z0-9._-]+\/[A-Za-z0-9._-]+$/;
-/** Grammar of an npm package name (used for uninstall targets). */
+/** npm 包名的语法（用于卸载目标）。 */
 export const PACKAGE_RE = /^(?:@[a-z0-9._-]+\/)?[A-Za-z0-9._-]+$/;
 /** 捕获输出上限：stdout/stderr 各保留尾部 N 字节。 */
 export const CAPTURE_LIMIT_BYTES = 64 * 1024;
-/** Max output lines kept per task (newest wins). */
+/** 每个任务保留的最大输出行数（最新优先）。 */
 export const MAX_TASK_LINES = 200;
-/** Max tracked tasks; oldest finished tasks are dropped first. */
+/** 最多跟踪的任务数；超出时先丢弃最早结束的任务。 */
 export const MAX_TASKS = 50;

package/lib/services/install/install.js

@@ -1,4 +1,4 @@
 export { addPendingRestart, clearPendingRestart, listPendingRestarts } from '../profile/pending-restart.js';
 export { dumpLoaderEntries, removeLoadedEntry } from '../loader.js';
-export { addAllowBuildsKey, githubRefOf, githubRepoOf, githubTarget, globalNpmPackagesOf, installTargetOf, parseAllowBuildsKey, readProfileArg, validPackageName, } from '../profile/profile.js';
+export { addAllowBuildsKey, githubRepoOf, githubTarget, globalNpmPackagesOf, installTargetOf, parseAllowBuildsKey, readProfileArg, validPackageName, } from '../profile/profile.js';
 export { activeTask, cancelTask, getTask, hasQueuedTarget, hasRunningTask, runPluginMutation, startPluginMutation } from './task-queue.js';