dsh-plugin 1.6.3 → 1.6.5

package/lib/http/routes.js

@@ -843,6 +843,11 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                         return;
                     }
                     const attempts = [];
+                    // 代理口径与诊断/安装通道一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
+                    // 供 npm 反查时跟随 GitHub 改名跳转用（Node https 读不到系统代理，交给 curl）。
+                    const effectiveProxy = settings.proxy !== ''
+                        ? settings.proxy
+                        : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
                     // Catalog metadata may outlive a packaging split: one repository can publish both a
                     // CLI/helper package and a dedicated DSH plugin package. Keep the catalog target when
                     // registry metadata confirms it is a DSH package for this repo. Otherwise inspect the
@@ -852,7 +857,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     // correct package even with a large result window.
                     const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null;
                     if (catalogRepo !== null && release === null && repoTarget === null && validPackageName(rawRepo)) {
-                        const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry);
+                        const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy);
                         if (catalogTargetIsDsh) {
                             recordResolvedNpmPackage(profile, catalogRepo, rawRepo);
                         }
@@ -862,7 +867,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                                 const root = await preflightTarget(catalogGitTarget);
                                 const rootName = root.ok && root.name !== null && validPackageName(root.name) ? root.name : null;
                                 if (rootName !== null && rootName !== rawRepo
-                                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry)) {
+                                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry, effectiveProxy)) {
                                     attempts.push(`catalog npm target: \`${target}\` → repository root DSH package \`${rootName}\``);
                                     target = rootName;
                                     recordResolvedNpmPackage(profile, catalogRepo, rootName);
@@ -881,7 +886,7 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     if (repoTarget !== null && pinnedRef === null) {
                         // 反查/记录统一用归一化后的 owner/repo（gitRepo），保证「输入完整链接」也走同一套 npm 反查
                         const repoIdentity = gitRepo ?? rawRepo;
-                        const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry);
+                        const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry, effectiveProxy);
                         if (npmName !== null) {
                             target = npmName;
                             attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → found \`${npmName}\``);
@@ -931,9 +936,6 @@ export function mountPluginHubRoutes(webServer, profile, loader) {
                     // 插件侧问题引导去作者仓库提 Issue。
                     // 代理口径与诊断一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
                     if (already === null) {
-                        const effectiveProxy = settings.proxy !== ''
-                            ? settings.proxy
-                            : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
                         const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget);
                         // release 包是 https://github.com/ 直链下载（非 git 克隆），探针按 HTTP 打 github.com 主页；
                         // npm 通道探 registry 根。两者都是通道的稳定入口，不探具体包/仓库（404 会被误判成网络故障）。

package/lib/services/install/npm-resolve.js

@@ -13,6 +13,7 @@
  */
 import { get } from 'node:https';
 import { githubRepoOf } from '../profile/profile.js';
+import { finalUrl } from '../probe.js';
 /** 反查缓存：repo 小写 → npm 包名（null 表示已确认无对应 npm 包；网络异常不缓存）。 */
 const cache = new Map();
 /** 单次 registry 查询超时（ms）：慢网络下失败返回 null，不阻塞安装流程。 */
@@ -27,18 +28,24 @@ const SEARCH_RESULT_LIMIT = 250;
  * 安装仍会重试反查，避免一次瞬时故障把整个会话锁死在 git 通道。
  * registry 参数：npm 镜像源地址，空串 = 官方源；与安装通道吃同一 registry，
  * 保证「配置了镜像」时反查和安装走同一个源（镜像节点同步完整时结果一致）。
+ * proxy 参数：GitHub 改名跳转探测走的代理（与安装/诊断同一口径）。
  * 慢网络下失败不阻塞安装。
  */
-export function resolveNpmPackage(repo, registry = '') {
+export async function resolveNpmPackage(repo, registry = '', proxy = '') {
     const key = repo.toLowerCase();
     if (cache.has(key))
-        return Promise.resolve(cache.get(key) ?? null);
-    const name = searchRepo(repo, registry);
-    void name.then((found) => {
-        if (found !== undefined)
-            cache.set(key, found);
-    });
-    return name.then((found) => found ?? null);
+        return cache.get(key) ?? null;
+    let found = await searchRepo(repo, registry);
+    // 仓库改名后 npm 包的 repository 已指向新名，按旧名反查不到：跟随一次 GitHub 的
+    // 改名跳转拿到规范名再查一遍（旧地址本身仍可用，只是仓库名变了）。
+    if (found === null) {
+        const canonical = await canonicalRepo(repo, proxy);
+        if (canonical !== '' && canonical.toLowerCase() !== key)
+            found = await searchRepo(canonical, registry);
+    }
+    if (found !== undefined)
+        cache.set(key, found);
+    return found ?? null;
 }
 /**
  * Pick the installable npm package for one GitHub repository. npm search is a
@@ -65,7 +72,7 @@ export function isDshPackageMetadataForRepo(pkg, repo) {
     const manifestMarked = pkg.dsh !== null && typeof pkg.dsh === 'object';
     return keywordMarked || manifestMarked;
 }
-export function isDshNpmPackageForRepo(packageName, repo, registry = '') {
+export function isDshNpmPackageForRepo(packageName, repo, registry = '', proxy = '') {
     if (packageName === '' || repo === '')
         return Promise.resolve(false);
     const base = registry === '' ? 'https://registry.npmjs.org' : registry.replace(/\/+$/, '');
@@ -80,18 +87,40 @@ export function isDshNpmPackageForRepo(packageName, repo, registry = '') {
             let body = '';
             res.on('data', (chunk) => { body += chunk.toString(); });
             res.on('end', () => {
-                try {
-                    resolve(isDshPackageMetadataForRepo(JSON.parse(body), repo));
-                }
-                catch {
-                    resolve(false);
-                }
+                void (async () => {
+                    try {
+                        const pkg = JSON.parse(body);
+                        if (isDshPackageMetadataForRepo(pkg, repo)) {
+                            resolve(true);
+                            return;
+                        }
+                        // 仓库改名后包元数据指向新名：按原名不匹配时，用 GitHub 跳转后的规范名复核一次
+                        const canonical = await canonicalRepo(repo, proxy);
+                        resolve(canonical !== '' && isDshPackageMetadataForRepo(pkg, canonical));
+                    }
+                    catch {
+                        resolve(false);
+                    }
+                })();
             });
         });
         req.on('timeout', () => req.destroy());
         req.on('error', () => resolve(false));
     });
 }
+/**
+ * 解析仓库改名后的规范 `owner/repo`：GitHub 对已改名仓库返回 301，跟随跳转取最终地址。
+ * 与其它 GitHub 访问同口径走 curl + 代理 env（Node 内置 https 读不到系统代理）。
+ * 未改名、仓库不存在、网络失败或 curl 不可用都返回 ''，调用方按原名继续。
+ */
+async function canonicalRepo(repo, proxy) {
+    if (githubRepoOf(repo) === null)
+        return '';
+    const key = repo.toLowerCase();
+    const final = await finalUrl(`https://github.com/${repo}`, proxy, REQUEST_TIMEOUT_MS);
+    const canonical = final === null ? null : githubRepoOf(final);
+    return canonical !== null && canonical.toLowerCase() !== key ? canonical : '';
+}
 function matchingPackagesForRepo(objects, repo) {
     const matches = [];
     for (const obj of objects) {

package/lib/services/probe.js

@@ -235,6 +235,23 @@ export function gitLsRemote(url, proxy, timeoutMs) {
         const timer = setTimeout(() => { child.kill(); finish(probeFail()); }, timeoutMs + 1000);
     });
 }
+/**
+ * 请求一个 URL 并返回重定向后的最终地址（curl -I -L -w %{url_effective}）。
+ * 供 GitHub 仓库改名解析使用：对已改名仓库 GitHub 回 301，跟随跳转后的最终地址
+ * 即规范地址。与其它 GitHub 访问同口径 —— curl 子进程注入代理 env（Node 内置
+ * http(s) 读不到系统代理，直连在部分网络下不可达）。
+ * 未发生跳转（200/404）、网络失败或 curl 不可用都返回 null，调用方保留原始地址。
+ */
+export async function finalUrl(url, proxy, timeoutMs) {
+    const discard = process.platform === 'win32' ? 'NUL' : '/dev/null';
+    const r = await curlWithTlsFallback([
+        '-sS', '-I', '-L', '-o', discard, '-w', '%{url_effective}',
+        '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
+        url,
+    ], proxyEnv(proxy), timeoutMs);
+    const final = r.stdout.trim();
+    return r.code === 0 && final !== '' ? final : null;
+}
 /**
  * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，

package/lib/types/services/install/npm-resolve.d.ts

@@ -6,9 +6,10 @@
  * 安装仍会重试反查，避免一次瞬时故障把整个会话锁死在 git 通道。
  * registry 参数：npm 镜像源地址，空串 = 官方源；与安装通道吃同一 registry，
  * 保证「配置了镜像」时反查和安装走同一个源（镜像节点同步完整时结果一致）。
+ * proxy 参数：GitHub 改名跳转探测走的代理（与安装/诊断同一口径）。
  * 慢网络下失败不阻塞安装。
  */
-export declare function resolveNpmPackage(repo: string, registry?: string): Promise<string | null>;
+export declare function resolveNpmPackage(repo: string, registry?: string, proxy?: string): Promise<string | null>;
 type NpmSearchPackage = {
     name?: unknown;
     keywords?: unknown;
@@ -22,6 +23,6 @@ type NpmSearchObject = {
     package?: NpmSearchPackage;
 };
 export declare function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string): boolean;
-export declare function isDshNpmPackageForRepo(packageName: string, repo: string, registry?: string): Promise<boolean>;
+export declare function isDshNpmPackageForRepo(packageName: string, repo: string, registry?: string, proxy?: string): Promise<boolean>;
 export declare function selectNpmPackageForRepo(objects: NpmSearchObject[], repo: string): string | null;
 export {};

package/lib/types/services/probe.d.ts

@@ -59,6 +59,14 @@ export declare function probeUrl(url: string, proxy: string, timeoutMs: number):
  * 不打 17MB 的 dsh-plugin-hub 主页）。
  */
 export declare function gitLsRemote(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult>;
+/**
+ * 请求一个 URL 并返回重定向后的最终地址（curl -I -L -w %{url_effective}）。
+ * 供 GitHub 仓库改名解析使用：对已改名仓库 GitHub 回 301，跟随跳转后的最终地址
+ * 即规范地址。与其它 GitHub 访问同口径 —— curl 子进程注入代理 env（Node 内置
+ * http(s) 读不到系统代理，直连在部分网络下不可达）。
+ * 未发生跳转（200/404）、网络失败或 curl 不可用都返回 null，调用方保留原始地址。
+ */
+export declare function finalUrl(url: string, proxy: string, timeoutMs: number): Promise<string | null>;
 /**
  * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "1.6.3",
+  "version": "1.6.5",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -533,12 +533,14 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
             onConsumedOpenSection: () => setSettingsSection(null),
           }),
     // Hub 版本信息弹窗：版本号/徽标点击打开 —— 有更新显示新版本 + 变更记录 + 「直接更新」，
-    // 无更新显示当前版本 + 记录 + 「已是最新」。Worker 拉取失败时兜底展示当前版本号。
+    // 暂缓提示显示同一标题但只给「稍后再说」，无更新显示当前版本 + 记录 + 「已是最新」。
+    // 版本号与本机版本一律由 hubUpdateState / hubCurrentVersion 决定，不用远端版号冒充本机。
     showHubUpdate && h(HubUpdateModal, {
       info: catalog.hubUpdateInfo ?? { version: PLUGIN_VERSION },
+      state: catalog.hubUpdateState,
+      currentVersion: catalog.hubCurrentVersion,
       lang,
       t,
-      hasUpdate: catalog.hubHasUpdate,
       onClose: () => setShowHubUpdate(false),
       onProceed: () => {
         setShowHubUpdate(false)

package/src/client/components/modals/HubUpdateModal.tsx

@@ -4,30 +4,39 @@
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
  * Hub 版本信息 / 自我更新说明弹窗：
- *  - 有更新（hasUpdate=true）：标题「有新版本」，展示新版本号、发布时间与 Worker 下发的
+ *  - 有更新（state='available'）：标题「有新版本」，展示新版本号、发布时间与 Worker 下发的
  *    Markdown 变更记录（renderMarkdown 渲染，双语言按界面语言取 {zh,en} 对象），
  *    按钮「稍后再说 / 直接更新」，确认后进入安装弹窗执行覆盖重装。
- *  - 无更新（hasUpdate=false）：标题「当前版本」，展示当前版本信息与更新记录，已是最新。
+ *  - 暂缓提示（state='pending'）：远端确有新版本，但发布未满供应链安全门槛，pnpm 此时会
+ *    静默回退到旧版本 —— 仍按「有新版本」展示，只给「稍后再说」，并说明稍后会自动提示。
+ *  - 无更新 / 信息缺失（state='latest' / 'none'）：标题「当前版本」，版本号与本机版本取自
+ *    currentVersion（构建注入的 PLUGIN_VERSION），**不得**用远端最新版号冒充本机版本。
  * 点击头部版本号（或「可更新」徽标）打开 —— 无论有无更新都能看到更新内容。
  */
 import { createElement as h } from 'react'
 import type { MouseEvent } from 'react'
 import styles from '../../styles/Modal.module.css'
-import type { HubUpdateInfo } from '../../types.ts'
+import type { HubUpdateInfo, HubUpdateState } from '../../types.ts'
 import type { LocaleId, Translate } from '../../types.ts'
 import { renderMarkdown } from '../../logic/renderMarkdown.ts'
 import { CloseIcon } from '../ui/icons.tsx'
 
-export function HubUpdateModal({ info, lang, t, hasUpdate, onProceed, onClose }: {
+export function HubUpdateModal({ info, state, currentVersion, lang, t, onProceed, onClose }: {
   info: HubUpdateInfo
   lang: LocaleId
   t: Translate
-  /** 是否有可用更新：有则显示「直接更新」，无则显示「已是最新」 */
-  hasUpdate: boolean
+  /** Hub 自我更新状态（见 types.ts）：决定标题 / 正文 / meta 版本号 / 按钮 */
+  state: HubUpdateState
+  /** 本机实际运行的版本 —— 「当前版本」与「暂缓提示」的版本号一律用它 */
+  currentVersion: string
   /** 点「直接更新」：关闭本弹窗，进入安装弹窗的更新流程 */
   onProceed: () => void
   onClose: () => void
 }) {
+  const hasUpdate = state === 'available'
+  const pending = state === 'pending'
+  // 展示的版本号：提示更新/暂缓提示时是远端新版本；否则是本机当前版本
+  const shownVersion = hasUpdate || pending ? info.version : currentVersion || info.version
   // 变更记录：字符串直接使用；{zh,en} 对象按界面语言取，缺哪种补哪种，全缺则不出记录区
   const notesRaw = typeof info.notes === 'string'
     ? info.notes
@@ -54,7 +63,7 @@ export function HubUpdateModal({ info, lang, t, hasUpdate, onProceed, onClose }:
   },
     h('div', { className: `${styles.modal} ${styles.hubUpdateModal}`, role: 'dialog', 'aria-modal': 'true' },
       h('div', { className: styles.modalHead },
-        h('div', { className: styles.modalTitle }, t(hasUpdate ? 'hubUpdateTitle' : 'hubCurrentTitle')),
+        h('div', { className: styles.modalTitle }, t(hasUpdate || pending ? 'hubUpdateTitle' : 'hubCurrentTitle')),
         h('button', {
           className: styles.modalClose,
           'aria-label': t('confirmCancel'),
@@ -62,9 +71,9 @@ export function HubUpdateModal({ info, lang, t, hasUpdate, onProceed, onClose }:
         }, h(CloseIcon)),
       ),
       h('div', { className: styles.modalDesc },
-        t(hasUpdate ? 'hubUpdateDesc' : 'hubCurrentDesc', { version: info.version })),
+        t(hasUpdate ? 'hubUpdateDesc' : pending ? 'hubPendingDesc' : 'hubCurrentDesc', { version: shownVersion })),
       h('div', { className: styles.hubUpdateMeta },
-        h('span', { className: styles.hubUpdateMetaItem }, `${t('version')} ${info.version}`),
+        h('span', { className: styles.hubUpdateMetaItem }, `${t('version')} ${shownVersion}`),
         published
           ? h('span', { className: styles.hubUpdateMetaItem }, `${t('hubUpdatePublished')} ${published}`)
           : null,
@@ -81,7 +90,7 @@ export function HubUpdateModal({ info, lang, t, hasUpdate, onProceed, onClose }:
             h('button', { className: styles.restartLater, onClick: onClose }, t('hubUpdateLater')),
             h('button', { className: styles.modalInstall, onClick: onProceed }, t('updateNow')),
           ]
-          : h('button', { className: styles.modalInstall, onClick: onClose }, t('hubUpToDate')),
+          : h('button', { className: styles.modalInstall, onClick: onClose }, t(pending ? 'hubUpdateLater' : 'hubUpToDate')),
       ),
     ),
   )

package/src/client/hooks/useCatalog.ts

@@ -12,7 +12,7 @@
 import { useEffect, useMemo, useRef, useState } from 'react'
 import type { HubPlugin, LocaleId } from '../types.ts'
 import { HUB_REPO, PLUGIN_VERSION } from '../logic/constants.ts'
-import type { HubAboutInfo, HubUpdateInfo } from '../types.ts'
+import type { HubAboutInfo, HubUpdateInfo, HubUpdateState } from '../types.ts'
 import type { SortKey } from '../logic/constants.ts'
 import { fetchCatalog, fetchStats } from '../data/catalog.ts'
 import { fetchHubAbout, fetchHubUpdate } from '../data/hub.ts'
@@ -196,30 +196,32 @@ export function useCatalog(lang: LocaleId) {
   )
 
   /**
-   * Hub 自身是否有可用更新：Hub 就是当前运行的应用（始终已安装，无需 installedName 命中）。
+   * Hub 自身更新状态：Hub 就是当前运行的应用（始终已安装，无需 installedName 命中）。
    * 以 Worker 版本控制中心返回的「最新版本」为准，与当前运行的版本号比对——
    * 构建时注入的 PLUGIN_VERSION 是运行 bundle 的真实版本；测试/异常场景缺失时
    * 回退到安装时记录的版本。版本号不等即新版（版本号只在发版时变更，绝无降级场景）。
    *
    * 另加 pnpm 供应链安全门槛：新版本发布还不满 24 小时（+30 分钟缓冲）时，pnpm 会静默
    * 回退到旧版本，此时若提示「可更新」用户点了也更新不到。publishedAt 由接口中心按 npm
-   * registry 真实发布时间下发（同源），据此判断最准。
+   * registry 真实发布时间下发（同源），据此判断最准。门槛命中要单列成 `pending` 而不是
+   * 落回「无更新」——回落会让弹窗在本机版本落后时谎称「已是最新」（issue #145）。
    */
-  const hubHasUpdate = (() => {
-    if (!hubUpdateInfo) return false
-    const current = PLUGIN_VERSION || versions[HUB_REPO]?.version || null
-    if (current === null || hubUpdateInfo.version === current) return false
+  const hubCurrentVersion = PLUGIN_VERSION || versions[HUB_REPO]?.version || ''
+  const hubUpdateState: HubUpdateState = (() => {
+    if (!hubUpdateInfo) return 'none'
+    if (hubCurrentVersion === '' || hubUpdateInfo.version === hubCurrentVersion) return 'latest'
     const publishedAt = hubUpdateInfo.publishedAt
     if (publishedAt) {
       const publishedMs = Date.parse(publishedAt)
       if (!Number.isNaN(publishedMs)) {
         // 24 小时 + 30 分钟缓冲（防网络/CDN 边缘时间偏差）
         const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000
-        if (Date.now() - publishedMs < MIN_RELEASE_AGE_MS) return false
+        if (Date.now() - publishedMs < MIN_RELEASE_AGE_MS) return 'pending'
       }
     }
-    return true
+    return 'available'
   })()
+  const hubHasUpdate = hubUpdateState === 'available'
 
   /** 当前分类下的插件（「全部」时为整个目录）。 */
   const categoryPlugins = useMemo(() => {
@@ -271,6 +273,8 @@ export function useCatalog(lang: LocaleId) {
     installedVersion,
     hasUpdate,
     hubHasUpdate,
+    hubUpdateState,
+    hubCurrentVersion,
     hubUpdateInfo,
     hubAboutInfo,
     refreshHub,

package/src/client/locales.ts

@@ -312,7 +312,7 @@ export const zh = {
   // prepare 构建脚本实际执行失败（git 分发缺子模块/构建产物）：插件打包分发问题，应提 Issue
   failPrepareHint: '该插件安装时的构建脚本执行失败（git 分发常缺失子模块或构建产物），属插件打包分发问题。请向作者仓库提交 Issue 反馈。',
   // 安装前预检 / 装后校验拦截（[packaging]）：git 分发缺构建产物、入口文件不存在 = 插件未适配官方默认安装方式
-  failPackagingHint: '该插件不支持官方默认安装方式：其 git 分发缺少构建产物（package.json 声明的入口文件在仓库中不存在），说明作者未适配官方安装流程。请到作者仓库提交 Issue 反馈，请其提交构建产物或发布 npm 版。',
+  failPackagingHint: '该插件不支持官方默认安装方式：其 git 分发缺少构建产物（package.json 声明的入口文件在仓库中不存在），说明作者未适配官方安装流程。请到作者仓库提交 Issue 反馈，请其提交构建产物、改用预构建 release `.tgz` 直链（`releases/download/<tag>/<asset>.tgz`），或发布完整的 npm 版。',
   // 原生依赖构建脚本被 pnpm 默认拦截（如 node-pty 的 ERR_PNPM_IGNORED_BUILDS）：只影响带原生模块的插件，属插件依赖打包问题，应提 Issue
   failIgnoredBuild: '该插件或其依赖需要执行构建脚本，被 pnpm 的安全白名单（allowBuilds）默认拦截导致安装失败（如原生模块 node-pty、或 git 安装时插件的 prepare 脚本）—— 其他插件不受影响，属该插件的依赖/打包问题。建议向作者仓库一键反馈，请作者改用预编译版本（如 node-pty-prebuilt-multiarch）或移除安装期构建。',
   // npm arborist 内部崩溃（edgesOut）＋ 本机 npm 版本过低：npm 自身已知缺陷，不是插件问题，升级 npm 即可
@@ -380,6 +380,8 @@ export const zh = {
   versionHint: '查看版本信息与更新记录',
   hubCurrentTitle: '当前版本',
   hubCurrentDesc: '你正在使用 v{version}，已是最新版本。',
+  // 暂缓提示：远端确有新版本，但发布未满 24 小时（pnpm 供应链安全门槛），与「已是最新」严格区分
+  hubPendingDesc: '最新版 v{version} 已发布，但发布尚未满 24 小时：此时更新会被 pnpm 静默回退到旧版本，因此暂不提示。稍后这里会自动出现更新入口。',
   hubUpToDate: '已是最新版本',
   // 头部「关注我们」弹窗：平台介绍 + 用户反馈群二维码（内容由 Worker /about Markdown 推送，非写死）
   followUs: '关注我们',
@@ -700,7 +702,7 @@ export const en = {
   // prepare script actually failed (git tarball misses submodules/build output): a packaging issue of the plugin itself — file an issue
   failPrepareHint: 'This plugin failed while running its build scripts during install (git tarballs often miss submodules or build output). This is a packaging issue of the plugin itself — please report it to the author repository.',
   // Pre-install / post-install guard hit ([packaging]): git distribution lacks build output, entry file missing = not adapted to the official default install method
-  failPackagingHint: 'This plugin does not support the official default install method: its git distribution lacks the build output (the entry file declared in package.json is not in the repository), so it has not been adapted to the official install flow. Please file an Issue on the author\'s repo asking for committed build output or an npm release.',
+  failPackagingHint: 'This plugin does not support the official default install method: its git distribution lacks the build output (the entry file declared in package.json is not in the repository), so it has not been adapted to the official install flow. Please file an Issue on the author\'s repo asking for committed build output, a prebuilt release `.tgz` (`releases/download/<tag>/<asset>.tgz`), or a complete npm release.',
   // native-module build scripts ignored by pnpm by default (e.g. node-pty, ERR_PNPM_IGNORED_BUILDS): only affects plugins with native deps — a dependency/packaging issue of the plugin itself, file an issue
   failIgnoredBuild: 'This plugin (or its dependencies) needs to run build scripts, which pnpm blocks by default via its allowBuilds allowlist, so the install fails (e.g. native modules like node-pty, or the plugin\'s own prepare script on git installs) — other plugins are unaffected. This is a dependency/packaging issue of the plugin itself. Please report it to the author repository and ask the author to ship a prebuilt variant (e.g. node-pty-prebuilt-multiarch) or drop install-time builds.',
   failNpmTooLow: 'Your local npm may be too old: npm crashed internally while resolving the plugin\'s dependencies (a known npm bug — not a plugin issue). Please upgrade npm and retry: npm install -g npm@latest',
@@ -769,6 +771,8 @@ export const en = {
   versionHint: 'View version info and changelog',
   hubCurrentTitle: 'Current version',
   hubCurrentDesc: 'You are on v{version} — this is the latest version.',
+  // Deferred notice: a newer release exists but is still inside pnpm's 24h supply-chain window
+  hubPendingDesc: 'v{version} has been released, but it is still within the 24-hour window where pnpm silently falls back to the older version, so the update is not offered yet. The update entry will appear here shortly.',
   hubUpToDate: 'Up to date',
   // Header "Follow us" modal: platform intro + user feedback group QR (content pushed via Worker /about Markdown)
   followUs: 'Follow us',

package/src/client/logic/urls.ts

@@ -124,12 +124,12 @@ export function pluginIssueUrl(repo: string, message: string, env?: EnvInfo | nu
       ...(attempts && attempts.length > 0
         ? ['', '## Attempted install channels（已尝试的安装方式）', ...attempts.map((a) => `- ${a}`)]
         : []),
-      // [packaging] 场景：说明两种官方安装通道（npm 包 / git 直装），当前插件在对应通道下分发不完整
+      // [packaging] 场景：说明三种官方安装通道（npm 包 / git 直装 / 预构建 release .tgz），当前插件在对应通道下分发不完整
       ...(/\[packaging\]/i.test(message)
         ? [
           '',
           '## 安装方式说明',
-          'DSH 插件支持两种官方安装通道：`dsh plugin add <npm-package>`（npm 分发，需发布完整构建产物）与 `dsh plugin add git+https://github.com/owner/repo.git`（Git 直装，仓库需提交构建产物或在 package.json 提供 `prepare` 脚本）。当前插件的分发物缺少 package.json 声明的入口文件，请按所用通道补齐后重新发布。',
+          'DSH 插件支持三种官方安装通道：`dsh plugin add <npm-package>`（npm 分发，需发布完整构建产物）、`dsh plugin add git+https://github.com/owner/repo.git`（Git 直装，仓库需提交构建产物），以及预构建 release 包 `dsh plugin add https://github.com/owner/repo/releases/download/<tag>/<asset>.tgz`（仓库不便提交构建产物时的推荐方式）。注意：pnpm ≥10 默认拦截依赖构建脚本，Git 直装不会执行包内 `prepare`，请勿依赖它生成产物。当前插件的分发物缺少 package.json 声明的入口文件，请提交构建产物、改用 release `.tgz` 直链，或发布完整的 npm 包。',
         ]
         : []),
       '',

package/src/client/types.ts

@@ -109,6 +109,17 @@ export interface HubUpdateInfo {
   notes?: string | Record<string, string> | null
 }
 
+/**
+ * Hub 自我更新状态 —— 供版本弹窗选文案与按钮，四态互斥：
+ *  - `none`      未取到接口中心信息（拉取失败）→ 只说当前版本，不提示更新
+ *  - `available` 远端有更新且已过供应链安全门槛 → 提示更新
+ *  - `pending`   远端有更新但发布未满门槛（见 useCatalog）→ 暂缓提示并说明原因
+ *  - `latest`    与远端最新版一致 → 确已最新
+ * 「有新版但暂缓提示」必须与「确已最新」分开：两者若共用文案，弹窗会在本机版本落后时
+ * 谎称「你正在使用 v{远端最新版}，已是最新」（见 issue #145）。
+ */
+export type HubUpdateState = 'none' | 'available' | 'pending' | 'latest'
+
 /** Worker 返回的「关注我们」内容（content 为 Markdown，可字符串或 {zh,en} 双语言对象）。 */
 export interface HubAboutInfo {
   /** Markdown 平台介绍 + 反馈群二维码；可传字符串，或 { zh, en } 双语言对象按界面语言取 */

package/src/server/http/routes.ts

@@ -834,6 +834,11 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
             return
           }
           const attempts: string[] = []
+          // 代理口径与诊断/安装通道一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
+          // 供 npm 反查时跟随 GitHub 改名跳转用（Node https 读不到系统代理，交给 curl）。
+          const effectiveProxy = settings.proxy !== ''
+            ? settings.proxy
+            : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
           // Catalog metadata may outlive a packaging split: one repository can publish both a
           // CLI/helper package and a dedicated DSH plugin package. Keep the catalog target when
           // registry metadata confirms it is a DSH package for this repo. Otherwise inspect the
@@ -843,7 +848,7 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           // correct package even with a large result window.
           const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null
           if (catalogRepo !== null && release === null && repoTarget === null && validPackageName(rawRepo)) {
-            const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry)
+            const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy)
             if (catalogTargetIsDsh) {
               recordResolvedNpmPackage(profile, catalogRepo, rawRepo)
             } else {
@@ -852,7 +857,7 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
                 const root = await preflightTarget(catalogGitTarget)
                 const rootName = root.ok && root.name !== null && validPackageName(root.name) ? root.name : null
                 if (rootName !== null && rootName !== rawRepo
-                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry)) {
+                    && await isDshNpmPackageForRepo(rootName, catalogRepo, settings.npmRegistry, effectiveProxy)) {
                   attempts.push(`catalog npm target: \`${target}\` → repository root DSH package \`${rootName}\``)
                   target = rootName
                   recordResolvedNpmPackage(profile, catalogRepo, rootName)
@@ -871,7 +876,7 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           if (repoTarget !== null && pinnedRef === null) {
             // 反查/记录统一用归一化后的 owner/repo（gitRepo），保证「输入完整链接」也走同一套 npm 反查
             const repoIdentity = gitRepo ?? rawRepo
-            const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry)
+            const npmName = await resolveNpmPackage(repoIdentity, settings.npmRegistry, effectiveProxy)
             if (npmName !== null) {
               target = npmName
               attempts.push(`npm registry search: \`npm search repository:${repoIdentity}\` → found \`${npmName}\``)
@@ -920,9 +925,6 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           // 插件侧问题引导去作者仓库提 Issue。
           // 代理口径与诊断一致：设置里的代理 → 系统代理 → 环境变量 → 直连。
           if (already === null) {
-            const effectiveProxy = settings.proxy !== ''
-              ? settings.proxy
-              : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
             const isGitChannel = release !== null || (repoTarget !== null && target === repoTarget)
             // release 包是 https://github.com/ 直链下载（非 git 克隆），探针按 HTTP 打 github.com 主页；
             // npm 通道探 registry 根。两者都是通道的稳定入口，不探具体包/仓库（404 会被误判成网络故障）。

package/src/server/services/install/npm-resolve.ts

@@ -13,6 +13,7 @@
  */
 import { get } from 'node:https'
 import { githubRepoOf } from '../profile/profile.ts'
+import { finalUrl } from '../probe.ts'
 
 /** 反查缓存：repo 小写 → npm 包名（null 表示已确认无对应 npm 包；网络异常不缓存）。 */
 const cache = new Map<string, string | null>()
@@ -30,16 +31,21 @@ const SEARCH_RESULT_LIMIT = 250
  * 安装仍会重试反查，避免一次瞬时故障把整个会话锁死在 git 通道。
  * registry 参数：npm 镜像源地址，空串 = 官方源；与安装通道吃同一 registry，
  * 保证「配置了镜像」时反查和安装走同一个源（镜像节点同步完整时结果一致）。
+ * proxy 参数：GitHub 改名跳转探测走的代理（与安装/诊断同一口径）。
  * 慢网络下失败不阻塞安装。
  */
-export function resolveNpmPackage(repo: string, registry = ''): Promise<string | null> {
+export async function resolveNpmPackage(repo: string, registry = '', proxy = ''): Promise<string | null> {
   const key = repo.toLowerCase()
-  if (cache.has(key)) return Promise.resolve(cache.get(key) ?? null)
-  const name = searchRepo(repo, registry)
-  void name.then((found) => {
-    if (found !== undefined) cache.set(key, found)
-  })
-  return name.then((found) => found ?? null)
+  if (cache.has(key)) return cache.get(key) ?? null
+  let found = await searchRepo(repo, registry)
+  // 仓库改名后 npm 包的 repository 已指向新名，按旧名反查不到：跟随一次 GitHub 的
+  // 改名跳转拿到规范名再查一遍（旧地址本身仍可用，只是仓库名变了）。
+  if (found === null) {
+    const canonical = await canonicalRepo(repo, proxy)
+    if (canonical !== '' && canonical.toLowerCase() !== key) found = await searchRepo(canonical, registry)
+  }
+  if (found !== undefined) cache.set(key, found)
+  return found ?? null
 }
 
 type NpmSearchPackage = {
@@ -77,7 +83,7 @@ export function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string)
   return keywordMarked || manifestMarked
 }
 
-export function isDshNpmPackageForRepo(packageName: string, repo: string, registry = ''): Promise<boolean> {
+export function isDshNpmPackageForRepo(packageName: string, repo: string, registry = '', proxy = ''): Promise<boolean> {
   if (packageName === '' || repo === '') return Promise.resolve(false)
   const base = registry === '' ? 'https://registry.npmjs.org' : registry.replace(/\/+$/, '')
   const url = `${base}/${encodeURIComponent(packageName)}/latest`
@@ -91,11 +97,20 @@ export function isDshNpmPackageForRepo(packageName: string, repo: string, regist
       let body = ''
       res.on('data', (chunk: Buffer) => { body += chunk.toString() })
       res.on('end', () => {
-        try {
-          resolve(isDshPackageMetadataForRepo(JSON.parse(body) as NpmSearchPackage, repo))
-        } catch {
-          resolve(false)
-        }
+        void (async () => {
+          try {
+            const pkg = JSON.parse(body) as NpmSearchPackage
+            if (isDshPackageMetadataForRepo(pkg, repo)) {
+              resolve(true)
+              return
+            }
+            // 仓库改名后包元数据指向新名：按原名不匹配时，用 GitHub 跳转后的规范名复核一次
+            const canonical = await canonicalRepo(repo, proxy)
+            resolve(canonical !== '' && isDshPackageMetadataForRepo(pkg, canonical))
+          } catch {
+            resolve(false)
+          }
+        })()
       })
     })
     req.on('timeout', () => req.destroy())
@@ -103,6 +118,19 @@ export function isDshNpmPackageForRepo(packageName: string, repo: string, regist
   })
 }
 
+/**
+ * 解析仓库改名后的规范 `owner/repo`：GitHub 对已改名仓库返回 301，跟随跳转取最终地址。
+ * 与其它 GitHub 访问同口径走 curl + 代理 env（Node 内置 https 读不到系统代理）。
+ * 未改名、仓库不存在、网络失败或 curl 不可用都返回 ''，调用方按原名继续。
+ */
+async function canonicalRepo(repo: string, proxy: string): Promise<string> {
+  if (githubRepoOf(repo) === null) return ''
+  const key = repo.toLowerCase()
+  const final = await finalUrl(`https://github.com/${repo}`, proxy, REQUEST_TIMEOUT_MS)
+  const canonical = final === null ? null : githubRepoOf(final)
+  return canonical !== null && canonical.toLowerCase() !== key ? canonical : ''
+}
+
 function matchingPackagesForRepo(objects: NpmSearchObject[], repo: string): Array<{ name: string; isDshPlugin: boolean }> {
   const matches: Array<{ name: string; isDshPlugin: boolean }> = []
 

package/src/server/services/probe.ts

@@ -256,6 +256,24 @@ export function gitLsRemote(url: string, proxy: string, timeoutMs: number): Prom
   })
 }
 
+/**
+ * 请求一个 URL 并返回重定向后的最终地址（curl -I -L -w %{url_effective}）。
+ * 供 GitHub 仓库改名解析使用：对已改名仓库 GitHub 回 301，跟随跳转后的最终地址
+ * 即规范地址。与其它 GitHub 访问同口径 —— curl 子进程注入代理 env（Node 内置
+ * http(s) 读不到系统代理，直连在部分网络下不可达）。
+ * 未发生跳转（200/404）、网络失败或 curl 不可用都返回 null，调用方保留原始地址。
+ */
+export async function finalUrl(url: string, proxy: string, timeoutMs: number): Promise<string | null> {
+  const discard = process.platform === 'win32' ? 'NUL' : '/dev/null'
+  const r = await curlWithTlsFallback([
+    '-sS', '-I', '-L', '-o', discard, '-w', '%{url_effective}',
+    '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
+    url,
+  ], proxyEnv(proxy), timeoutMs)
+  const final = r.stdout.trim()
+  return r.code === 0 && final !== '' ? final : null
+}
+
 /**
  * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，